Kişisel veri ihlallerinde kurumların en çok zorlandığı konu teknik müdahale değil, bildirim yükümlülüğünün zamanında yerine getirilmesidir. 6698 sayılı KVKK düzeni ile 5651 sayılı Kanun kaynaklı yükümlülükler bir arada işlediğinde, ihlalin yurt dışına aktarılan verileri de kapsaması hâlinde süreç iki ayrı hat üzerinden yürür.
İhlal Bildiriminin Zaman Baskısı
Veri sorumlusu ihlali öğrendiğinde Kurula ve etkilenen ilgili kişilere bildirimde bulunmakla yükümlüdür. Kurul düzenlemeleri bu bildirimin gecikmeksizin yapılmasını öngörür. Uygulamada asıl sorun, ihlalin "öğrenildiği an"ın kurum içinde net biçimde belirlenememesidir. Bu nedenle olay müdahale prosedüründe kimin, hangi bilgiye ulaştığında bildirim zincirini başlatacağı yazılı olarak tanımlanmalıdır.
Yurt Dışı Aktarımın Hukuki Dayanağı
- Aktarımın hangi mekanizmaya dayandığı belgelenmelidir.
- Standart sözleşme kullanılıyorsa Kuruma bildirim yükümlülüğü hatırlanmalıdır.
- Bağlayıcı şirket kuralları uygulanan gruplarda onay süreci ayrıca izlenir.
- Alt işleyicilerin bulunduğu ülkeler ve veri saklama konumları listelenmelidir.
- Bulut hizmet sağlayıcılarıyla yapılan sözleşmelerde veri işleme şartları ayrıca kontrol edilir.
Belgelendirme ve İç Süreç Kaydı
İhlal sonrası yapılan her adımın tarih ve saatle kaydedilmesi, sonraki denetimde en güçlü savunma aracıdır. Tespit anı, kapsam analizi, etkilenen kayıt sayısı, alınan teknik tedbirler ve bildirim tarihleri tek bir kronolojide tutulmalıdır. Veri envanteri ve işleme faaliyetleri kaydı güncel değilse, ihlalin kapsamını belirlemek günler alır ve bildirim süresi bu sırada tüketilir.
İlgili Kişi Başvurusu ve Şikâyet Takvimi
- İlgili kişi önce veri sorumlusuna başvurur.
- Cevap verilmemesi veya cevabın yetersiz bulunması hâlinde Kurula şikâyet yolu açılır.
- Şikâyet için kanunda öngörülen süreler, başvuruya verilen cevabın tebliğinden itibaren işler.
- Başvuru ve cevap yazışmalarının tebliğ kayıtları saklanır.
İdari Yaptırım Kararına Karşı Yol
Kurul tarafından verilen idari para cezalarına karşı idari yargı yolu açıktır ve dava süresi kararın tebliğine bağlıdır. Kurumsal yazışma adresinin güncel tutulmaması ya da elektronik tebligatın takip edilmemesi, esasa girilmeden süre aşımıyla karşılaşılmasına yol açar. Tebligat takibinin belirli bir birime verilmesi bu riski azaltır.
Bu içerik genel bilgilendirme sağlar. Veri işleme faaliyetinizin kapsamı ve aktarım yapılan ülke, yükümlülüklerinizi değiştirebileceğinden, süreç kurgusunu hukuki destekle oluşturmanız yerinde olur.