Bir veri ihlali bildiriminin ardından ortaya çıkan tablo çoğu zaman ikilidir: bir yanda ihlalden etkilenen ilgili kişilerin talepleri, diğer yanda verinin yurt dışındaki sunucularda işlenmesinden doğan aktarım sorunu. KVKK ve 6698 sayılı Kanun çerçevesinde bu iki başlık farklı usullere tabidir ve yurt dışı aktarım boyutu çoğunlukla ihlal bildiriminden sonra gündeme gelir. Aşağıdaki kontrol listesi, başvurunun yanlış mercie yapılmasından doğan gecikmeyi önlemeye yöneliktir.
Önce Veri Sorumlusuna, Sonra Kurula
İlgili kişi bakımından kural nettir: Kurula şikâyet yolu, veri sorumlusuna yapılan başvuru sonuçsuz kaldıktan sonra açılır. Doğrudan Kurula yapılan şikâyet, ön başvuru koşulu tamamlanmadığı için işleme alınmayabilir. Bu nedenle ilk yazılı başvurunun tarihi, iletim yöntemi ve içeriği kayıt altına alınmalı; veri sorumlusunun kayıtlı elektronik posta veya sicilde yer alan iletişim kanalı tercih edilmelidir.
Aktarım Sorununu Ayrı Bir Başlık Olarak Kurmak
- Verinin hangi ülkeye, hangi hizmet sağlayıcı üzerinden aktarıldığı belirlenir; bulut hizmetlerinde bu bilgi genellikle sözleşme eklerinde yer alır.
- Aktarımın hangi hukuki zemine dayandırıldığı sorulur: açık rıza mı, yoksa mevzuatta öngörülen güvenceli aktarım mekanizmalarından biri mi?
- Açık rızaya dayanıldığı söyleniyorsa, rızanın hizmetin şartı hâline getirilip getirilmediği incelenir; koşula bağlanan rıza tartışmalıdır.
- Aydınlatma metninde aktarımın açıkça belirtilip belirtilmediği kontrol edilir; eksik aydınlatma başlı başına bir inceleme konusudur.
İhlal Bildiriminden Sonra İlgili Kişinin Kontrol Listesi
- Bildirimin ulaştığı tarih ve içerik saklanır; bildirimde etkilenen veri kategorileri belirtilmişse bu liste taleplerin sınırını çizer.
- Veri sorumlusundan, kendisine ait verilerin işlenip işlenmediği ve aktarıldığı üçüncü kişiler hakkında bilgi talep edilir.
- İhlalin somut sonucu varsa (kimlik bilgisiyle hesap açılması, dolandırıcılık girişimi, spam artışı) bu sonuç tarihli olarak belgelenir.
- Cevap süresi takip edilir; süresinde cevap verilmemesi de şikâyet için başlangıç noktası oluşturur.
Kurul Şikâyeti ile Tazminatı Karıştırmamak
Kurul, idari yaptırım uygulayabilir ve veri işleme faaliyetine ilişkin karar verebilir; ancak kişisel zararın tazmini kural olarak genel hükümlere göre hukuk mahkemesinde istenir. Aynı olayda hem şikâyet hem dava yolunun açık olması, iki takvimin ayrı yürütülmesini gerektirir. Kurul kararını beklemek, tazminat talebi bakımından süreyi durdurmaz.
Veri Sorumlusu Tarafında Risk Azaltma
Kurum tarafında en sık görülen eksik, ihlal müdahale planının kâğıt üzerinde kalması ve bildirim süresinin kaçırılmasıdır. Envanterin güncel olmaması, hangi verinin nereye aktarıldığının saatler içinde yanıtlanamamasına yol açar. Aktarım yapılan hizmet sağlayıcılarla imzalanan sözleşmelerde veri güvenliği ve alt işleyici hükümlerinin bulunması, sonraki incelemede kusur değerlendirmesini etkileyen unsurlardandır.
Yukarıdakiler genel çerçeve niteliğindedir. İşlenen verinin niteliği ve aktarımın yapısı yükümlülükleri değiştirebileceğinden, somut olayda uzman hukuki değerlendirme alınması önerilir.