Veri ihlali yaşandığında en kritik başlıklardan biri, ihlalden etkilenen verilerin yurt dışındaki bir sunucuda ya da yurt dışındaki bir hizmet sağlayıcıda bulunup bulunmadığıdır. Aktarımın hukuki dayanağı gösterilemediğinde, ihlalin kendisi kadar aktarım da ayrı bir sorumluluk başlığına dönüşür. 6698 sayılı KVKK bakımından bu noktada belirleyici olan iyi niyet beyanı değil, elde tutulan kayıtlardır.
Aktarımın Dayanağı Neye Göre Belirlenir
Kişisel verilerin yurt dışına aktarılabilmesi, yeterlilik kararı bulunan bir ülkeye aktarım yapılmasına ya da bunun yokluğunda uygun güvencelerin sağlanmasına bağlıdır. Uygulamada en sık başvurulan güvenceler standart sözleşme ve bağlayıcı şirket kuralları biçiminde karşımıza çıkar. Hangi mekanizmaya dayanıldığı, ihlal sonrasında değil aktarım başlamadan önce belirlenmiş ve yazılı hale getirilmiş olmalıdır.
İhlal Anında Hazır Olması Gereken Kayıtlar
- Kişisel veri işleme envanteri ve aktarım yapılan alıcı grupları listesi
- Yurt dışındaki hizmet sağlayıcılarla imzalanmış sözleşmeler ve ekleri
- Sunucu konumlarını ve veri saklama sürelerini gösteren teknik dokümantasyon
- Erişim yetkileri ve log kayıtları
- Aydınlatma metinleri ile açık rıza alınmışsa rıza kayıtlarının zaman damgalı örnekleri
Bildirim Zincirini Doğru Kurmak
İhlalin öğrenilmesinin ardından Kurula ve etkilenen ilgili kişilere bildirim yapılması gerekir. Bildirim metninde ihlalin kapsamı, etkilenen veri kategorileri ve alınan önlemler yer alır; bu bilgilerin sonradan değişmesi güven kaybı yaratır. Bu nedenle bildirim öncesinde teknik incelemenin ana bulgularının netleştirilmesi, aceleyle eksik bilgi verilmesinden daha güvenlidir. İhlal internet ortamındaki bir yayınla birleşmişse, 5651 sayılı Kanun kapsamındaki kaldırma yolları paralel olarak değerlendirilir.
Delil Eksikliğinin En Sık Görülen Hali
Denetim ve şikâyet süreçlerinde en çok karşılaşılan boşluk, verinin fiilen nereye aktarıldığının gösterilememesidir. Bulut hizmeti kullanan yapılarda alt yüklenici zinciri uzadıkça, sözleşmeler mevcut olsa bile hangi verinin hangi bölgede işlendiği belirsizleşir. Bu belirsizlik, aktarımın hukuka uygunluğunu savunmayı neredeyse imkânsız kılar.
İhlal Sonrası Yapılacak Düzeltmeler
Süreç kapandıktan sonra atılması gereken adım, envanterin güncellenmesi, gereksiz aktarımların durdurulması, saklama sürelerinin kısaltılması ve erişim yetkilerinin daraltılmasıdır. Yapılan iyileştirmelerin tarihli biçimde kayda geçirilmesi, ileride benzer bir olay yaşanırsa sorumluluğun değerlendirilmesinde dikkate alınabilecek bir gösterge oluşturur.
Bu yazı genel bir bakış sunar; veri sorumlusunun büyüklüğü, sektörü ve kullandığı altyapı yükümlülükleri değiştirebilir. Kendi yapınıza özgü değerlendirme için hukuki ve teknik desteği birlikte almanız faydalı olur.