Bir veri ihlalinin yurt dışına aktarılan verileri de kapsaması, olayı iki ayrı hesap verme başlığına taşır. 6698 sayılı Kişisel Verilerin Korunması Kanunu hem ihlal bildirimi hem de aktarım şartları bakımından ayrı yükümlülükler öngördüğünden, kriz anında iki takvimin birlikte yönetilmesi gerekir.
İhlalin İlk Saatlerindeki Yükümlülük
Veri sorumlusu, ihlali öğrendiğinde makul olan en kısa sürede Kişisel Verileri Koruma Kuruluna bildirimde bulunmakla yükümlüdür; ilgili kişilere yapılacak bilgilendirme de ayrıca gerekir. Bu bildirimlerin gecikmesi, ihlalin kendisinden bağımsız bir aykırılık olarak değerlendirilebilir. Bildirim metninde ihlalin kapsamı, etkilenen veri kategorileri ve alınan önlemler somut biçimde yazılmalıdır.
Aktarımın Hukuki Dayanağını Gösterebilmek
Verinin yurt dışındaki bir sunucuda veya hizmet sağlayıcıda bulunması hâlinde, aktarımın hangi mekanizmaya dayandığı sorulur. KVKK kapsamında yeterlilik kararı, uygun güvenceler ya da istisnai hâllerden hangisine dayanıldığı belgeye bağlanmalıdır. Standart sözleşme kullanılıyorsa bunun Kurula bildirilmesi gerektiği unutulmamalıdır.
- Aktarım yapılan ülke ve hizmet sağlayıcı listesi
- Veri işleyen ile imzalanan sözleşmelerin güncel nüshaları
- Aydınlatma metinlerinde aktarımın açıkça yer alıp almadığı
- Veri envanteri ve saklama sürelerine ilişkin kayıtlar
- Erişim kayıtları ve teknik önlemlere ilişkin belgeler
İlgili Kişi Tarafındaki Takvim
Verisi ihlale konu olan kişi bakımından süreç, önce veri sorumlusuna yazılı başvuru ile başlar. Başvuruya kanunda öngörülen süre içinde cevap verilmez veya cevap yetersiz bulunursa, Kurula şikayet yolu açılır; bu şikayet için de kanunda ayrı bir süre bulunur ve bu süre kaçırıldığında şikayet incelenmeyebilir. Bu nedenle başvuru tarihi ile cevabın alındığı tarih ayrı ayrı kayıt altına alınmalıdır.
- Veri sorumlusuna yapılan başvurunun tarihi ve iletim biçimi belgelenir.
- Cevap süresinin son günü takvime işlenir.
- Cevabın alınmasıyla birlikte şikayet için yeni bir kontrol tarihi açılır.
- Maddi veya manevi zarar doğmuşsa tazminat talebi ayrı yolda değerlendirilir.
İnternet Ortamı Boyutu
İhlal sonucu veriler internette yayılmışsa, 5651 sayılı Kanun kapsamındaki içeriğin çıkarılması ve erişimin engellenmesi yolu, idari süreçten bağımsız olarak zararın büyümesini durdurmak için kullanılabilir. Bu adım, ilgili kişi bakımından çoğu zaman en hızlı sonuç veren yoldur.
Yukarıdaki açıklamalar genel niteliktedir. Verinin türü, aktarımın yapısı ve kurum içi süreçler yükümlülükleri değiştirebileceğinden, ihlal anında hukuki ve teknik desteği birlikte almanız uygun olur.