Bir veri ihlalinin yurt dışındaki sunucu, bulut hizmeti veya grup şirketiyle bağlantılı olması olayı yalnızca teknik bir güvenlik sorunu olmaktan çıkarır. 6698 sayılı KVKK bakımından aynı olay hem ihlal bildirimi hem de aktarımın hukuka uygunluğu yönünden incelenir. Uygulamadaki en sık sorun, ihlal bildirimi hazırlanırken aktarım altyapısının hiç sorgulanmaması ve sonraki incelemede belgesiz bir aktarım tablosuyla karşılaşılmasıdır.
İhlal Anında Yürüyen İki Paralel İş
Birinci iş teknik müdahaledir: etkilenen sistemlerin izole edilmesi, erişim yetkilerinin yenilenmesi ve olay günlüklerinin bozulmadan yedeklenmesi. İkinci iş hukuki değerlendirmedir: hangi veri kategorilerinin, kaç ilgili kişiyi etkileyecek biçimde ve hangi coğrafyadaki hangi işleyene açıldığının belirlenmesi. İkinci iş ertelendiğinde bildirim metni eksik doldurulur; sonradan yapılan düzeltmeler sürecin baştan sorgulanmasına yol açar.
Aktarımın Dayanağını Belgeye Dönüştürmek
Yurt dışına aktarım, mevzuatın öngördüğü mekanizmalardan birine dayanmalıdır: yeterlilik kararı bulunan ülkeye aktarım, uygun güvenceler kapsamında standart sözleşme veya taahhütname, bağlayıcı şirket kuralları ya da sınırlı hâllerde istisnalar. Burada belirleyici olan, mekanizmanın adının sözleşmede yazılı olması değil, fiilî veri akışının o mekanizmayla örtüşmesidir. Destek ekibinin yurt dışından verilen erişimle kayıtları görüntülemesi de bir aktarımdır ve envanterde görünmelidir.
İlgili Kişi Başvurusu ve Şikâyet Zinciri
İhlal duyurusundan sonra gelen başvurular çoğunlukla aynı üç soruyu sorar: hangi verim etkilendi, nereye aktarıldı, ne yapıldı. Bu sorulara verilecek yanıtın tutarlılığı kritiktir; farklı kişilere farklı içerikte yanıt verilmesi, Kurula yapılan şikâyette çelişki olarak değerlendirilebilir. Yanıt metinleri tek elden ve aynı olgusal temele dayanarak hazırlanmalıdır.
Usule Aykırı İşlem Riskini Azaltan Kontroller
- Envanter ile fiilî sistem mimarisinin karşılaştırılması ve farkların yazılı not edilmesi
- İşleyenlerle imzalanan sözleşmelerin aktarım güvenceleri yönünden gözden geçirilmesi
- Bildirim metninde tahmin değil, doğrulanmış bulguların yazılması
- Olay günlüklerinin saklama sürelerinin kontrol edilerek delilin korunması
- İç soruşturma tutanaklarının tarih ve imza ile kayıt altına alınması
Tazminat ve İdari Yaptırımın Ayrı Değerlendirilmesi
Kurul süreci ile ilgili kişilerin açabileceği tazminat davaları farklı ölçütlere tabidir. İdari süreçte tedbirlerin yeterliliği tartışılırken, tazminat davasında somut zarar ve nedensellik bağı öne çıkar. Bu iki hattı aynı savunma metniyle yürütmek, birinde verilen ayrıntılı teknik beyanın diğerinde aleyhe kullanılmasına yol açabilir.
Yukarıdaki çerçeve yol gösterici niteliktedir. Aktarımın yapısı, sektör düzenlemeleri ve ihlalin kapsamı sonucu değiştirebileceğinden, somut olayda hukuki ve teknik değerlendirmenin birlikte yapılması önerilir.