Bir veri ihlalinin kaynağı çoğu zaman şirketin kendi sunucusu değil, yurt dışındaki bir hizmet sağlayıcısıdır. Bulut altyapısı, pazarlama aracı veya destek yazılımı üzerinden gerçekleşen yurt dışı aktarım, ihlal anında hem sorumluluğu hem de bildirim yükünü karmaşıklaştırır. 6698 sayılı KVKK ve 5651 sayılı Kanun bu tabloda aynı anda devreye girebilir.
İlk 72 Saatin Değil, İlk Kararın Önemi
İhlal öğrenildiğinde verilecek ilk karar teknik değil hukukidir: aktarımın hangi hukuki zemine dayandığı belirlenmeden bildirim metni yazılamaz. Aktarım açık rızaya mı, taahhütnameye mi, yoksa bağlayıcı şirket kurallarına mı dayanıyordu? Bu sorunun cevabı, hem Kurula yapılacak bildirimin içeriğini hem de ilgili kişilere yapılacak duyurunun kapsamını belirler.
Aktarım Zincirini Belgeleyin
- Verinin hangi ülkedeki hangi sağlayıcıya, hangi amaçla aktarıldığını gösteren sözleşme ve ek belgeleri toplayın.
- Alt işleyici kullanılıp kullanılmadığını, kullanıldıysa zincirin nerede kesildiğini tespit edin.
- Veri envanteri ile fiilî akışın örtüşüp örtüşmediğini karşılaştırın; uygulamada bu iki tablo çoğu kez ayrışır.
- Log kayıtlarının hangi tarafta tutulduğunu ve saklama süresini yazılı olarak teyit edin.
İlgili Kişi Başvurusu ve İdari Süreç Ayrı Yürür
Veri sorumlusuna yapılan başvuru ile Kurula yapılacak şikâyet birbirini izleyen iki basamaktır; ikincisi, birincisi tüketilmeden kural olarak işletilemez. Başvurunun ne zaman ulaştığı bu yüzden dosyanın en kritik verisidir. Yanında yürüyen bir tazminat talebi varsa, bu talep ayrı bir hukuk davasının konusudur ve idari sürecin sonucunu beklemek zorunlu değildir.
Tebligat Gecikmesi Zincirin Neresini Kırar?
Yurt dışı unsurlu ihlallerde başvuru ve yanıt yazışmaları çoğu zaman elektronik ortamda başlar, ancak resmî süreç yazılı tebligata bağlıdır. Sağlayıcının Türkiye'de temsilcisi yoksa tebligat aylar alabilir. Bu gecikme sırasında hem log kayıtları silinebilir hem de başvuru sahibinin şikâyet için öngörülen süresi işlemeye devam eder. Bu nedenle başvurunun tarihini ve teslim şeklini ispatlayacak bir kanal seçmek, yazışmanın içeriği kadar önemlidir.
İhlal Sonrası Kalıcı Düzeltme
Bildirim yapılmakla dosya kapanmaz. Aktarımın hukuki dayanağı zayıfsa, aynı yapı kullanılmaya devam ettiği sürece ikinci bir ihlal riski sürer. Sözleşme hükümlerinin yenilenmesi, aydınlatma metinlerinin akışla uyumlu hâle getirilmesi ve saklama sürelerinin gerçekten uygulanması bu aşamanın işidir.
Bu metin genel çerçeveyi anlatır; aktarımın yapıldığı ülke, veri kategorisi ve etkilenen kişi sayısı sonucu değiştirir. Somut olayda değerlendirme için hukuki destek almanız uygun olacaktır.