Bir veri ihlali yaşandığında en kritik konu, ihlalin fark edildiği andan itibaren hem Kişisel Verileri Koruma Kurulu'na hem de etkilenen ilgili kişilere yapılacak bildirimin doğru ve zamanında yönetilmesidir. Yurt dışına aktarım boyutu bulunan ihlallerde tablo daha da karmaşıklaşır; çünkü verinin fiziken nerede işlendiği ile hukuki sorumluluğun kimde olduğu farklılaşabilir.
İhlal Anında İlk Refleks
İhlal tespit edilir edilmez teknik ekip ile hukuk biriminin aynı masada olması gerekir. Öncelikle ihlalin kapsamı, hangi veri kategorilerinin (kimlik, iletişim, özel nitelikli veri) etkilendiği ve kaç kişinin risk altında olduğu netleştirilmelidir. Bu tespit yapılmadan yapılan erken bildirim eksik, geç bildirim ise idari yaptırım riski taşır.
Yurt Dışı Aktarımın Ayrı Değerlendirilmesi
6698 sayılı KVKK kapsamında yurt dışına aktarım, ayrı bir hukuki dayanak ve güvence gerektirir. İhlale konu veri bir bulut sağlayıcı üzerinden yurt dışında tutuluyorsa, aktarımın hangi mekanizmaya (açık rıza, taahhüt, yeterlilik kararı) dayandığı dosyada belgelenmelidir. Aktarım dayanağının zayıf olması, ihlalin kendisinden bağımsız olarak ayrı bir aykırılık doğurabilir.
Bildirim Metninin Kurgusu
- İhlalin niteliği ve muhtemel sonuçları açık dille anlatılmalı
- Alınan ve alınması planlanan teknik-idari tedbirler somut yazılmalı
- İlgili kişilere yönelik uyarı ve öneriler (şifre değişimi, dolandırıcılık uyarısı) eklenmeli
- İletişim noktası ve başvuru kanalı belirtilmeli
İlgili Kişi Başvurularına Hazırlık
İhlal duyurusunun ardından ilgili kişilerden yoğun başvuru gelmesi olağandır. Veri sorumlusu, bu başvuruları kanuni süre içinde yanıtlayabilmek için önceden bir yanıt akışı kurmalıdır. Başvurulardan tatmin olmayan kişilerin Kurul'a şikayet yoluna gidebileceği unutulmamalı; bu nedenle her başvurunun kaydı ve verilen yanıt arşivlenmelidir.
Ayrıca 5651 sayılı Kanun kapsamında internet ortamındaki içerik ve erişim boyutu varsa, veri ihlali ile içeriğe erişimin engellenmesi talepleri birbirinden ayrı süreçler olarak yürütülmelidir.
Değerlendirme
Veri ihlali yönetimi, teknik olay müdahalesi ile hukuki uyumun kesiştiği hassas bir alandır. Her ihlalin veri kategorisi, etki alanı ve aktarım yapısı farklı olduğundan buradaki genel çerçeve, somut olayınızın koşullarına göre bir uzmanla birlikte gözden geçirilmelidir.