Bir veri ihlali yaşandığında iki soru aynı anda masaya gelir: ihlalin kimlere bildirileceği ve ihlale konu verilerin yurt dışına aktarılıp aktarılmadığı. KVKK (6698) kapsamındaki yükümlülükler ile 5651 sayılı Kanun'un barındırma ve içerik yönündeki gereklilikleri birlikte değerlendirilmediğinde, teknik olarak kapatılmış bir ihlal hukuki olarak açık kalmaya devam eder.
İhlalin Tespitinden Bildirime Giden Zincir
Veri sorumlusu, ihlali öğrendiğinde makul bir gecikme olmaksızın Kurula bildirimde bulunmak ve etkilenen ilgili kişileri bilgilendirmekle yükümlüdür. Bu yükümlülüğün gecikmesi, ihlalin kendisinden bağımsız bir aykırılık olarak değerlendirilebilir. Bu nedenle olay müdahale prosedüründe "teknik kapatma" ile "hukuki bildirim" iki ayrı iş kalemi olarak yürütülmelidir.
- İhlalin ne zaman ve hangi kayıtla öğrenildiği saat bilgisiyle tutanağa bağlanır
- Etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısı ayrıştırılır
- Muhtemel sonuçlar ve alınan teknik-idari tedbirler yazılı hâle getirilir
- Bildirim metinlerinin kim tarafından onaylandığı kayda geçirilir
Aktarım Zincirinin Haritalanması
Veri ihlali dosyalarında sıkça atlanan nokta, verinin nerede tutulduğudur. Bulut hizmeti, analitik araç, müşteri ilişkileri yazılımı veya çağrı merkezi hizmetinin yurt dışında konumlanmış olması, dosyayı doğrudan yurt dışına aktarım rejimine taşır. Envanterde her bir alıcı için aktarımın hukuki dayanağı ayrı ayrı gösterilebilmelidir: yeterlilik kararına dayanan aktarım, uygun güvence sağlayan araçlar veya kanunda sayılan istisnai hâller. Sözleşmesel bir dayanağın varlığı tek başına yeterli sayılmaz; belgelendirme ve bildirim yükümlülükleri de yerine getirilmelidir.
İlgili Kişi Tarafında Doğru Sıra
- Önce veri sorumlusuna yazılı başvuru yapılır; talep açık, veri konusu belirli olmalıdır.
- Yanıt süresi ve içeriği kayda alınır; yanıt verilmemesi de ayrı bir aşama başlatır.
- Yanıtın yetersiz kalması ya da hiç verilmemesi hâlinde Kurula şikâyet yoluna gidilir.
- Zarar doğmuşsa, idari süreçten bağımsız olarak tazminat talebi ayrıca değerlendirilir.
Sürenin Kaybedildiği Tipik Nokta
Hak düşürücü süre riski burada çoğunlukla sıranın bozulmasından doğar. Veri sorumlusuna başvurmadan doğrudan Kurula yapılan şikâyet, usul yönünden geri çevrilebilir ve bu arada başvuru için öngörülen süre işlemeye devam eder. Aynı şekilde, veri sorumlusunun verdiği yanıtın tebliğ tarihi kaydedilmediğinde şikâyet süresinin başlangıcı ispatlanamaz. Yanıtın alındığı e-postanın başlık bilgileriyle birlikte saklanması bu riski büyük ölçüde azaltır.
İhlal Sonrası Kalıcı Düzeltme
Bildirimler tamamlandıktan sonra dosyanın kapatılması yanıltıcıdır. Aynı açığın tekrarı hâlinde önceki ihlal, tedbirlerin yetersizliğine dair bir gösterge olarak değerlendirilir. Bu nedenle erişim yetkilerinin gözden geçirilmesi, saklama sürelerinin kısaltılması, log kayıtlarının bütünlüğünün sağlanması ve aktarım yapılan tedarikçilerle imzalanan metinlerin güncellenmesi ihlal sonrası planın parçası olmalıdır.
Bu içerik genel bilgilendirme amacı taşır. Veri işleme faaliyetinizin yapısı ve aktarım zincirinizin kapsamı yükümlülükleri değiştirebileceğinden, kurumunuza özgü değerlendirmeyi bir hukukçuyla birlikte yapmanız uygun olur.