Bir veri ihlali yaşandığında ilk soru genellikle kaç kişinin etkilendiğidir. Oysa denetimde asıl ağırlaştırıcı unsur çoğu zaman başka yerde çıkar: etkilenen verinin yurt dışındaki bir sunucuya ya da hizmet sağlayıcıya aktarılmış olması ve bu aktarımın hukuki dayanağının belgelenememesi. Bu rehber, ihlal bildirimi takvimini aktarım boyutuyla birlikte kurgulamaya odaklanır.
İhlali Aktarım Zinciriyle Birlikte Tespit Etmek
Olay müdahalesinde yalnızca ihlalin gerçekleştiği sistem incelenirse tablo eksik kalır. Yedekleme, e-posta, analitik, müşteri ilişkileri ve destek araçları gibi katmanların hangisinin yurt dışında konumlandığı çıkarılmalı; her biri için işleyen bir veri işleyen sözleşmesi bulunup bulunmadığı kontrol edilmelidir. Etkilenen veri kategorileri özel nitelikli veri içeriyorsa hem bildirimin içeriği hem alınacak tedbirler ağırlaşır.
Bildirim Saati Ne Zaman Başlar
KVKK, ihlalin öğrenilmesi hâlinde Kurula en kısa sürede bildirim yapılmasını öngörür; Kurul kararlarıyla bu süre yetmiş iki saat olarak somutlaştırılmıştır. Buradaki kritik nokta sürenin başlangıcıdır: sayaç, teknik ekibin olayı fark ettiği anda işlemeye başlar, yönetime raporlandığı anda değil. İlgili kişilere yapılacak bildirim ise makul en kısa sürede ve etkilenen kişiye ulaşabilecek bir yöntemle yapılmalıdır. Süre dolduktan sonra yapılan bildirimlerde gecikmenin gerekçesi ayrıca açıklanmalıdır.
Aktarımın Dayanağını Belgelemek
- Yeterlilik kararı bulunan bir ülkeye aktarım yapılıp yapılmadığı
- Uygun güvencelerden hangisine dayanıldığı: standart sözleşme, bağlayıcı şirket kuralları veya taahhütname
- Standart sözleşmeye dayanılıyorsa imzadan itibaren beş iş günü içinde Kuruma bildirimin yapılıp yapılmadığı
- Arızi nitelikteki istisnai hâllere dayanılıyorsa bunun süreklilik arz eden bir aktarıma dönüşmediği
- Aydınlatma metinlerinde aktarımın açık biçimde yer alıp almadığı
İnceleme Süreci ve Yaptırıma İtiraz
Bildirim sonrası Kurul bilgi ve belge isteyebilir; bu yazılara verilen cevapların süresi ve içeriği, dosyanın seyrini doğrudan etkiler. İstenen belgenin süresinde sunulmaması başlı başına ayrı bir yaptırım sebebi olabilir. İdari yaptırım kararı verilmesi hâlinde ise kanunda öngörülen dava açma süresi içinde yargı yoluna başvurulmalı; sürenin başlangıcı tebliğ tarihine göre hesaplanmalıdır.
Yukarıdaki çerçeve tipik bir kurumsal yapıyı esas alır. Kullandığınız hizmetlerin coğrafi dağılımı ve sözleşme mimarisi tabloyu değiştirebileceğinden, ihlal anı için önceden hazırlanmış bir müdahale planını hukukçu desteğiyle oluşturmanız daha etkili olacaktır.