Bir veri ihlali yaşandığında ilk soru genellikle kaç kişinin etkilendiğidir; oysa denetimde belirleyici olan sorulardan biri de verinin nereye aktarıldığıdır. Yurt dışındaki bir sunucuya ya da hizmet sağlayıcıya yapılan aktarımın dayanağı gösterilemediğinde, ihlalin kendisinden bağımsız ikinci bir aykırılık gündeme gelir. KVKK ve 5651 ekseninde hazırlanan bu rehber, konuyu usule aykırı işlem riski açısından ele alır.
İhlal Bildiriminin Zaman Baskısı
Veri sorumlusunun ihlali öğrendikten sonra Kurula ve ilgili kişilere bildirim yapması gerekir ve bu bildirim kısa bir süreye bağlıdır. Uygulamada en sık görülen kusur, bildirimin teknik inceleme tamamlansın diye ertelenmesidir. Bilinmeyen hususların bildirimde açıkça belirtilip sonradan tamamlanması, gecikmeli tek bir bildirimden daha güvenli bir yoldur.
Aktarım Zincirinin Haritasını Çıkarmak
- Bulut depolama, yedekleme ve günlük kayıt hizmetlerinin fiziki konumu
- Analitik, reklam ve müşteri destek araçlarının veri işleme yeri
- Alt yüklenicilerin kendi aktarım zincirleri
- Grup şirketleri arasında paylaşılan personel ve müşteri verileri
- Uzaktan erişimle bakım yapan teknik ekiplerin bulunduğu ülke
Aktarım Dayanağının Belgelenmesi
Yurt dışına aktarımda dayanak, mevzuatta sayılan mekanizmalardan biri olmalı ve bu dayanağın belgesi denetim anında hazır bulunmalıdır. Sözleşmede yer alan tek cümlelik bir izin ifadesi tek başına yeterli sayılmayabilir. Aktarımın kapsamı, süresi, veri kategorileri ve alıcı grubu; işleme envanteri ile birbirini doğrulayacak şekilde kayda geçirilmelidir. Envanterle sözleşme arasındaki çelişki, incelemede ilk fark edilen noktalardan biridir.
İlgili Kişi Başvurusu ve Kurul Aşaması
Verisi ihlalden etkilenen kişi önce veri sorumlusuna başvurur; başvurunun reddedilmesi veya cevapsız kalması hâlinde Kurula şikâyet yolu açılır. Bu sıralamanın atlanması, şikâyetin esasa girilmeden reddine yol açar. Başvurunun hangi tarihte ve hangi kanaldan yapıldığının ispatlanabilir olması gerekir; iletişim yalnızca telefonla yürütüldüğünde süre tartışması doğar.
Yaptırım Kararına Karşı Yol Seçimi
İdari para cezasına veya Kurul kararına karşı başvurulacak merci, mevzuatta zaman içinde değişikliğe uğrayabilen bir konudur. Bu nedenle başvuru yapılmadan önce yürürlükteki düzenlemenin kontrol edilmesi gerekir; yanlış mercie yapılan başvuru, süre işlemeye devam ettiği için ciddi hak kaybı doğurur. Kararın tebliğ tarihi ve tebligat evrakı bu nedenle özenle saklanmalıdır.
Bu içerik genel bilgilendirme amaçlıdır; kurumun veri işleme yapısı ve kullanılan hizmet sağlayıcılar değerlendirmeyi değiştirebilir. Bildirim veya başvuru öncesinde envanter ve sözleşmelerle birlikte hukuki destek alınması önerilir.