Veri ihlali yaşandığında ilk gün verilen kararlar, sonraki denetimin çerçevesini belirler. İhlale konu verilerin bir bölümü yurt dışındaki sunuculara veya hizmet sağlayıcılara aktarılıyorsa, tablo ikiye katlanır: hem ihlalin kendisi hem de aktarımın hukuka uygunluğu ayrı ayrı sorgulanır. Bu iki başlık farklı takvimlerde ilerler.
İhlalin İlk Aşaması: Bildirim Takvimi
6698 sayılı Kanun kapsamında veri sorumlusu, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edildiğini öğrendiğinde durumu en kısa sürede Kurula bildirmekle yükümlüdür; Kurul düzenlemesi bu süreyi yetmiş iki saat olarak somutlaştırmıştır. İlgili kişiye bildirim ise makul olan en kısa sürede yapılır. Bildirim yapılırken ihlalin kapsamı henüz tam bilinmiyorsa, aşamalı bildirim mümkündür; bilinmeyeni beklemek yerine bilinenle bildirim yapmak, gecikmeden doğan sorumluluğu azaltır.
Aktarımın Hukuki Dayanağı Sorgulanır
İhlal incelemesinde ikinci soru, verinin yurt dışına hangi dayanakla aktarıldığıdır. Mevzuat, aktarım için sırasıyla yeterlilik kararı bulunması, uygun güvenceler sağlanması veya kanunda sayılan arızi durumların varlığını arar. Uygun güvenceler arasında yer alan standart sözleşmelerin imzalanması yeterli değildir; bu sözleşmelerin imza tarihinden itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Bu bildirim yapılmamışsa, aktarım hukuka uygun temelden yoksun kabul edilebilir ve ihlal incelemesinde ağırlaştırıcı unsur haline gelir.
İhlal ile Aktarımın Kesiştiği Riskli Noktalar
- Yurt dışındaki bulut sağlayıcıda tutulan yedeklerin ihlal kapsamında olup olmadığının tespit edilmemesi.
- Alt işleyenlerin listesinin tutulmaması; zincirdeki son halkanın kim olduğunun bilinmemesi.
- Aydınlatma metninde aktarımdan hiç söz edilmemiş olması.
- Açık rızaya dayanıldığı halde rızanın ihlalden sonra geriye dönük alınmaya çalışılması.
- Saklama ve imha politikasının uygulanmaması nedeniyle silinmiş olması gereken verinin ihlale konu olması.
İlgili Kişi Tarafındaki Süreler
Verisi ihlale konu olan kişi, önce veri sorumlusuna başvurmak zorundadır. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Başvuru reddedilir, verilen cevap yetersiz bulunur ya da hiç cevap verilmezse, ilgili kişi öğrenme tarihinden itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Bu iki sürenin birlikte işlediği gözden kaçırıldığında, haklı bir şikâyet süre yönünden değerlendirme dışı kalabilir. Kurul kararlarına karşı yargı yolu ise ayrı bir takvim başlatır.
Kayıt Düzeni Neden Belirleyici
Denetimde en çok istenen belgeler, ihlal anında hazır olmayan belgelerdir: veri envanteri, aktarım listesi, işleme faaliyeti kayıtları, teknik ve idari tedbir dokümanları, olay müdahale kaydı. Barındırma hizmetine ilişkin 5651 sayılı Kanun kapsamındaki yükümlülükler de aynı dosyada sorulabilir. Bu belgeler ihlalden sonra hazırlandığında tarih tutarsızlığı doğar ve savunmayı zayıflatır.
Buradaki açıklamalar genel bilgilendirme amaçlıdır; veri kategorisi, aktarım yapısı ve ihlalin kapsamı sonucu değiştirebilir. Kurumsal süreçleriniz için hukuki değerlendirme almanız önerilir.