Bir veri ihlalinde teknik müdahale ile hukuki yükümlülük aynı anda başlar. KVKK (6698) ve internet ortamına ilişkin 5651 sayılı Kanun çerçevesinde veri sorumlusunun görevleri sadece sistemi kapatmakla bitmez; bildirim, kayıt ve aktarım meşruiyetinin belgelenmesi de aynı takvimin parçasıdır. Verinin yurt dışına aktarıldığı hâllerde bu takvim daha da sıkışır.
İhlalin Tespitinden Bildirime Uzanan Zincir
İlk adım, ihlalin kapsamını yazılı olarak sabitlemektir: hangi veri kategorisi, kaç ilgili kişi, hangi zaman aralığı, hangi sistem. Bu tespit yapılmadan gönderilen bildirim eksik kalır ve sonradan düzeltme ihtiyacı doğar. İhlal kaydının kendisi de bir belgedir; sonradan yapılan denetimde sürecin nasıl yönetildiği bu kayıttan okunur. İlgili kişilere yapılacak bildirimin anlaşılır olması, sonradan gelecek başvuru yükünü de azaltır.
Yurt Dışı Aktarımın Dayanağını Belgelemek
Aktarım yurt dışındaki bir sunucuya ya da hizmet sağlayıcıya yapılıyorsa, aktarımın hangi hukuki zemine dayandığı ihlal anında değil, aktarımın başladığı anda kurulmuş olmalıdır. Sonradan üretilen belge, geçmişe etkili bir meşruiyet sağlamaz. Bu nedenle sözleşme metinleri, taahhütler ve varsa Kurul onayına ilişkin yazışmalar, hizmet sağlayıcı bazında ayrı dosyalarda tutulmalıdır.
Usule Aykırılık Üreten Noktalar
- İhlalin tespit anı ile bildirim anı arasındaki farkın kayıt altına alınmaması
- Aydınlatma metni ile fiilen yapılan aktarımın birbirini tutmaması
- İşleyen alt yüklenicilerin envanterde hiç görünmemesi
- İlgili kişi başvurularının kayıtsız biçimde e-posta üzerinden yanıtlanması
- İdari yaptırım kararına karşı hangi mercie başvurulacağının geç araştırılması
İlgili Kişi Başvurusu ve Şikâyet Sırası
İlgili kişi kural olarak önce veri sorumlusuna başvurur; bu başvuruya yanıt verilmemesi veya yanıtın yetersiz kalması hâlinde Kurula şikâyet yolu açılır. Sıralamayı atlayan şikâyetler usulden değerlendirilebilir. Veri sorumlusu tarafında ise her başvurunun geliş tarihi, yanıt tarihi ve yanıt içeriği tek bir kayıtta izlenmelidir; süre tartışması çıktığında ispat yükü büyük ölçüde veri sorumlusundadır.
Kalıcı Bir Kontrol Düzeni Kurmak
- Veri envanterini aktarım yönü ve alıcı ülke bilgisiyle birlikte güncel tutun.
- İhlal senaryosu için önceden yazılmış bir müdahale akışı hazırlayın.
- Bildirim metinlerinin şablonlarını hukuk ve teknik ekiple birlikte hazırlayın.
- Yaptırım kararı ihtimaline karşı itiraz ve dava takvimini baştan planlayın.
Bu içerik genel bilgilendirme amacı taşır. Veri işleme faaliyetinin niteliği, alıcı ülkedeki koruma düzeyi ve kurumsal yapı değerlendirmeyi değiştirebilir; uygulamaya geçmeden önce dosyanıza özgü hukuki görüş alınması uygun olacaktır.