Bir veri ihlali yaşandığında ortaya çıkan tablo çoğu zaman tek katmanlı değildir. İhlalin kendisi kadar, ihlale konu verilerin nerede tutulduğu ve yurt dışındaki hangi sağlayıcılara aktarıldığı da incelemeye açılır. Bu nedenle KVKK, 6698 ve 5651 çerçevesinde hazırlık yapılırken bildirim yükümlülüğü ile aktarım rejimi birlikte ele alınmalıdır.
İhlalin Tespitinden Bildirime Uzanan Zincir
Bildirim yükümlülüğü, ihlalin öğrenildiği andan itibaren gecikmeksizin ve Kurulca belirlenen süre içinde yerine getirilir. Uygulamada tartışma yaratan nokta, öğrenme anının ne zaman gerçekleştiğidir. Bu nedenle olayın tespit edildiği saat, iç bildirim akışının hangi kişilere ne zaman ulaştığı ve teknik incelemenin başladığı an ayrı ayrı kaydedilmelidir. Ayrıca ilgili kişilere yapılacak bildirimin kapsamı, Kurula yapılan bildirimden farklıdır ve ayrı bir metin gerektirir.
Yurt Dışı Aktarımın Dayanağının Belgelenmesi
Aktarımın hukuki dayanağı, kullanılan mekanizmaya göre değişir. Hakkında yeterlilik kararı bulunan ülkelere yapılan aktarımlar ile uygun güvencelere dayanan aktarımlar farklı belgelendirme gerektirir. Standart sözleşme kullanılıyorsa bunun öngörülen usule uygun biçimde bildirildiği, bağlayıcı şirket kuralları söz konusuysa onay sürecinin tamamlandığı gösterilmelidir. Arızi nitelikteki aktarımlar ise istisnai bir yola dayandığından, süreklilik taşıyan bir aktarımın bu istisna ile açıklanması genellikle kabul görmez.
Denetim Dosyasında Hazır Bulundurulacaklar
- Veri envanteri ve işleme faaliyetleri kayıtları
- Hizmet sağlayıcılarla imzalanan sözleşmeler ve aktarım mekanizmasına ilişkin belgeler
- Teknik ve idari tedbirlerin tarihli olarak uygulandığını gösteren kayıtlar
- İhlal sonrası alınan düzeltici önlemlerin ve bunların uygulama tarihlerinin dökümü
Bu belgelerin ihlal sonrasında geriye dönük hazırlanması, tarih tutarsızlıkları nedeniyle çoğu zaman lehe sonuç doğurmaz. Değerlendirmede belirleyici olan, tedbirlerin ihlalden önce yürürlükte olduğunun gösterilebilmesidir.
İdari Yol ile Yargı Yolu Arasındaki Tercih
Kurul incelemesi sırasında sunulan savunma, sonraki aşamanın da temelini oluşturur; bu aşamada eksik bırakılan bir husus ileride tamamlanmaya çalışıldığında ikna gücü azalır. Verilen karara karşı idari yargı yolu açıktır ve bu yol kendi süresine tabidir. Yaptırımın kabul edilerek sürecin kapatılması ile karara karşı dava açılması arasında seçim yapılırken, kararın benzer nitelikteki diğer işleme faaliyetleri üzerinde doğuracağı etki de hesaba katılmalıdır.
Buradaki açıklamalar genel bir çerçeve sunmaktadır. Verinin türü, ihlalin kapsamı ve aktarımın yapıldığı ülke değerlendirmeyi değiştirebileceğinden, bildirim metni gönderilmeden önce sürecin hukuki denetimden geçirilmesi yerinde olur.