Bir veri ihlali yaşandığında ilk saatlerdeki teknik müdahale kadar, KVKK ve 6698 sayılı Kanun kapsamındaki bildirim yükümlülüklerinin zamanında yerine getirilmesi de önem taşır. İhlale konu verilerin yurt dışındaki sunucularda tutulduğu veya yurt dışına aktarıldığı hallerde tablo daha da karmaşıklaşır; çünkü aktarımın hukuki dayanağı sorgulanmaya başlar. Bu rehber, ihlal anından itibaren işleyen takvimi aktarım boyutuyla birlikte ele alır.
Öğrenme Anı Nasıl Belgelenir?
Bildirim yükümlülüğünün süresi, ihlalin öğrenildiği andan itibaren işler. Bu nedenle olayın hangi saatte, hangi uyarı sistemi veya hangi çalışan bildirimi üzerine öğrenildiği kayıt altına alınmalıdır. Log kayıtlarının, olay müdahale ekibinin ilk raporunun ve iç yazışmaların saat damgalı olarak saklanması, sonradan geç bildirim eleştirisine karşı en güçlü savunmadır.
Aktarımın Hukuki Zemininin Yeniden Gözden Geçirilmesi
İhlal incelemesi sırasında verilerin nerede bulunduğu ortaya çıkar ve çoğu kurumda bu, aktarım altyapısının ilk kez topluca gözden geçirildiği an olur. Şu başlıklar dosyanın merkezine alınmalıdır:
- Verilerin hangi hizmet sağlayıcıda, hangi ülkede barındırıldığı
- Aktarımın hangi hukuki mekanizmaya dayandırıldığı ve belgelerin güncel olup olmadığı
- Alt işleyenlerin zinciri; hizmet sağlayıcının kendi tedarikçilerine yaptığı aktarımlar
- Veri işleme envanteri ile fiili durumun örtüşüp örtüşmediği
- Aydınlatma metinlerinde aktarımın açıkça yer alıp almadığı
Üç Ayrı Muhataba Yönelen Bildirimler
- Denetim otoritesine yapılacak bildirim: en kısa sürede, eksiksiz ve ihlalin kapsamını daraltmadan.
- İlgili kişilere yapılacak bildirim: makul en kısa sürede ve ilgili kişinin alabileceği önlemleri de içerecek biçimde.
- Sözleşmesel bildirimler: veri işleyen ile veri sorumlusu arasındaki sözleşmelerde öngörülen ve çoğu zaman daha kısa olan süreler.
Gecikmenin Doğurduğu İkinci Katman Risk
Geç bildirim yalnızca idari yaptırım riski doğurmaz; ilgili kişilerin uğradığı zararın büyümesine yol açtığı için tazminat taleplerinin de dayanağı haline gelir. Ayrıca 5651 sayılı Kanun kapsamında yayılan içerikler bakımından erişimin engellenmesi talebi gecikirse, verinin başka kaynaklara kopyalanması nedeniyle geri döndürülemez bir yayılma yaşanır.
Olay Sonrası Kalıcı Düzeltmeler
Bildirim tamamlandıktan sonra dosyanın kapanmadığı unutulmamalıdır. İhlale yol açan zafiyetin giderildiğinin belgelenmesi, aktarım sözleşmelerinin güncellenmesi, saklama sürelerinin kısaltılması ve erişim yetkilerinin daraltılması, sonraki incelemelerde kurumun iyi niyetini gösteren somut adımlardır. Bu çalışmaların tarihli tutanaklarla kayıt altına alınması gerekir.
Yukarıdaki çerçeve genel bilgilendirme amacı taşır. İhlalin kapsamı, veri kategorileri ve aktarım yapısı her kurumda farklı yükümlülükler doğurduğundan, kendi sisteminize özgü bir değerlendirme yaptırmanız önerilir.