Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı en zorlayıcı unsur, hukuki değerlendirmeyi çok kısa bir süre içinde tamamlamak zorunda olmasıdır. İhlalin yurt dışına aktarılan verileri de kapsaması hâlinde tablo daha da karmaşıklaşır. Bu yazı, KVKK ve 6698 çerçevesinde veri ihlali bildirimi ile yurt dışı aktarım hattının aynı takvimde nasıl yönetileceğini konu alır.
Tespitten Bildirime Uzanan Saatler
Bildirim süresi, ihlalin öğrenildiği andan itibaren işler. Bu nedenle iç prosedürde ihlalin ne zaman ve kim tarafından öğrenildiğinin kayıt altına alınması kritik önemdedir. Öğrenme anını gösteren bir kayıt yoksa, sonradan yapılan incelemede sürenin başlangıcı tartışmalı hâle gelir ve savunma zemini daralır. Log kayıtları, olay yönetim sistemi biletleri ve ilgili birime yapılan bildirim e-postaları bu noktada belirleyicidir.
Aktarım Zincirinin Haritalanması
İhlalden etkilenen verilerin yurt dışında işlenen bir sistemde bulunup bulunmadığı hızla belirlenmelidir. Uygulamada şu sorular sırayla yanıtlanmalıdır:
- Veri hangi sunucuda tutuluyor ve hizmet sağlayıcı nerede yerleşik?
- Aktarım hangi hukuki dayanağa göre yapılıyor?
- Aktarıma ilişkin sözleşme veya taahhüt metni güncel mi?
- Alıcı taraf ihlalden haberdar edildi mi ve ne zaman?
Bu haritanın hazır olmaması, bildirim metninin eksik doldurulmasına ve sonraki incelemede ilave bilgi taleplerine yol açar.
Dayanağın İspatlanabilirliği
Yurt dışı aktarımda hangi araca dayanıldığının kâğıt üzerinde gösterilebilmesi gerekir. Sözleşme metinlerinin imzalı nüshası, bildirim ve kayıt yükümlülüklerinin yerine getirildiğini gösteren belgeler, aydınlatma metinlerinin ilgili sürümü ve rıza alınmışsa rızanın alındığı ana ilişkin sistem kaydı dosyada bulunmalıdır. Bu belgelerin bulunamaması, esasen hukuka uygun yürütülen bir aktarımı bile savunulamaz hâle getiren tipik bir delil eksikliği örneğidir.
İdari Yaptırım Sonrası Yol
İnceleme sonucunda idari para cezası uygulanırsa, kararın tebliğ tarihi ile itiraz ve dava süreleri ayrı ayrı takip edilmelidir. Bu aşamada ihlal anına ilişkin teknik incelemenin, alınan önlemlerin ve ilgili kişilere yapılan bilgilendirmenin kronolojik dökümü hazır bulundurulmalıdır. 5651 kapsamında içerik kaldırma gerektiren bir yayılma varsa bu süreç de eş zamanlı yürütülür.
Son Söz
Veri ihlali yönetiminde başarı, olaydan sonra yazılan metinlerden çok, olay öncesinde kurulmuş kayıt düzenine bağlıdır. Bu içerik genel bilgilendirme amaçlıdır; işlenen veri kategorisi, etkilenen kişi sayısı ve aktarım yapısı her kurumda farklılaştığından, somut olayda hukuki ve teknik değerlendirmenin birlikte yürütülmesi önerilir.