Bir veri ihlali yaşandığında incelenen ilk konu genellikle güvenlik tedbirlerinin yeterliliğidir. Ancak ihlale konu verinin bir kısmı yurt dışındaki sunucularda tutuluyor ya da yurt dışındaki bir hizmet sağlayıcıya aktarılmışsa, tablo yalnızca güvenlik değil aktarım hukukuna uygunluk sorunu haline gelir. Bu rehber, ihlal ile aktarım boyutunun birlikte nasıl ele alınacağını konu alır.
Aktarım Zincirini Haritalamak
İhlalin kapsamı belirlenirken verinin nerede işlendiği kadar kimlere aktarıldığı da çıkarılmalıdır. Bulut altyapısı, e-posta pazarlama araçları, analitik hizmetler ve müşteri destek yazılımları çoğu zaman fark edilmeden aktarım halkası oluşturur. 6698 sayılı Kanun kapsamında yurt dışına aktarımın hangi hukuki zemine dayandığı her halka için ayrı ayrı gösterilebilmelidir.
İhlal Bildirimi ile Aktarım Uygunluğu Nasıl Bağlanır
Veri sorumlusunun ihlali Kurula ve ilgili kişilere bildirme yükümlülüğü, aktarım tartışmasını da gündeme taşır. Bildirim metninde ihlalin hangi sistemde yaşandığı belirtilirken, o sistemin yurt dışı bağlantısı olup olmadığı da tutarlı biçimde ifade edilmelidir. Bildirimde eksik veya çelişkili anlatım, sonraki incelemede ayrı bir tartışma başlığı doğurur.
- İhlalden etkilenen veri kategorileri ve kişi grupları
- Verinin bulunduğu sistem ve varsa yurt dışı bileşeni
- Aktarımın dayandığı hukuki zemin ve buna ilişkin belgeler
- Aydınlatma metinlerinin aktarımı kapsayıp kapsamadığı
İlgili Kişi Başvurusu ile Şikâyetin Sırası
Kişisel verisi ihlale konu olan kişi bakımından yol, kural olarak önce veri sorumlusuna başvuru, ardından sonuçtan tatmin olunmaması halinde Kurula şikâyettir. Bu sıranın atlanması başvurunun usulden değerlendirilmemesine yol açabilir. Başvuru metninde talebin ne olduğu (aktarımın durdurulması, silme, bilgi verilmesi) açıkça yazılmalı; genel şikâyet cümleleri yerine somut sonuç istenmelidir.
Uzlaşı Yolu ile Yargıya Gitme Arasındaki Seçim
Veri sorumlusu çoğu zaman ihlali kabul etmeden bir düzeltme paketi önerir: aktarımın sonlandırılması, verinin ülke içine taşınması, ek taahhüt verilmesi gibi. Bu tür bir uzlaşı, ihlalin tekrarını önlemek bakımından yargı sürecinden daha hızlı sonuç verebilir. Buna karşılık kişisel verinin yayılması nedeniyle somut bir zarar doğmuşsa, idari süreçten bağımsız olarak tazminat talebi gündeme gelir ve bu talep uzlaşı metnine dahil edilmediği sürece kapanmış sayılmaz.
Kurumsal tarafta ise erken uzlaşı, envanterdeki eksikliği kabul anlamına gelebileceğinden metnin ifadesi dikkatle kurulmalıdır. Karar verilirken ihlalin tekrar riski, etkilenen kişi sayısı ve düzeltmenin teknik olarak uygulanabilirliği birlikte tartılmalıdır.
Bu metin bilgilendirme amacıyla hazırlanmıştır; her veri ihlali kendi teknik altyapısı, sözleşme yapısı ve kayıt düzeni içinde ayrıca incelenmelidir. Bildirim süresi işlemeye başlamadan hukuki destek alınması sürecin en kritik noktasıdır.