Bir veri ihlali yaşandığında şirketlerin ilk refleksi teknik müdahale olur; hukuki yükümlülük ise çoğu zaman birkaç gün sonra gündeme gelir. Oysa bildirim yükümlülüğü kısa sürelidir ve ihlale konu verilerin yurt dışına aktarılmış olması tabloyu daha da karmaşık hâle getirir. Bu rehber, bildirimin kime yapılacağına ve aktarım boyutunun nasıl ele alınacağına odaklanıyor.
Bildirim Kime Yapılır
6698 sayılı KVKK, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusuna iki yönlü bir bildirim yükümlülüğü getirir:
- Kişisel Verileri Koruma Kuruluna bildirim: Kurulun belirlediği usul ve form üzerinden, en kısa sürede yapılır.
- İlgili kişilere bildirim: Etkilenen kişilere makul yöntemlerle ulaşılması gerekir. Yalnızca internet sitesinde duyuru yapmak her durumda yeterli sayılmaz.
Sık görülen bir yanılgı, grubun yurt dışındaki merkezine yapılan iç bildirimin ya da yurt dışındaki bir denetim otoritesine yapılan başvurunun Türkiye’deki yükümlülüğü karşıladığının düşünülmesidir. Bunlar birbirinin yerine geçmez.
Aktarımın Dayanağı Sorulacaktır
İhlal incelemesinde verinin nerede tutulduğu ve kimlerle paylaşıldığı öne çıkar. Yurt dışına aktarım söz konusuysa aktarımın hangi hukuki zemine dayandığı belgelenmelidir. Mevzuat, yeterlilik kararı bulunan ülkelere aktarım ile uygun güvencelere dayalı aktarım arasında ayrım yapar; standart sözleşme kullanılan hâllerde bunun Kurula bildirilmesi gereken durumlar vardır. Bulut hizmeti kullanımı, çağrı merkezi hizmetinin yurt dışından alınması ya da yazılım sağlayıcısının destek amacıyla veriye erişmesi de aktarım sayılabilir; bu erişimlerin sözleşmelerde nasıl düzenlendiği incelemenin merkezine oturur.
İhlal Anında Kayıt Altına Alınacaklar
- İhlalin öğrenildiği tarih ve saat; öğrenme anını kim, nasıl tespit etti.
- Etkilenen veri kategorileri ve yaklaşık kişi sayısı; özel nitelikli veri bulunup bulunmadığı.
- Verilerin bulunduğu sistemler ve bu sistemlerin fiziksel konumu.
- Alınan teknik ve idari tedbirler ile ihlalin sınırlandırılması için yapılan işlemler.
- Etkilenen kişiler bakımından öngörülen olası sonuçlar.
İşleyen Kayıtlar Bildirimi Kolaylaştırır
Bildirimi zorlaştıran şey çoğunlukla ihlalin kendisi değil, envanterin güncel olmamasıdır. Hangi verinin hangi sistemde tutulduğu ve hangi tedarikçiyle paylaşıldığı önceden kayıtlıysa bildirim saatler içinde tamamlanabilir. Aksi hâlde şirket, süre işlerken kendi altyapısını keşfetmeye çalışır. Aynı şekilde 5651 sayılı Kanun kapsamındaki yükümlülüklere tabi hizmetlerde log yönetiminin düzenli tutulması, olayın kapsamının belirlenmesini hızlandırır.
Bildirim Sonrası Süreç
Bildirim, sürecin kapanışı değil incelemenin başlangıcıdır. Kurul ek bilgi isteyebilir; alınan tedbirlerin yeterliliği ayrıca değerlendirilir. Bu aşamada verilen yanıtların birbiriyle tutarlı olması ve teknik ekiple hukuk biriminin aynı kronolojiyi anlatması önem taşır.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır ve her ihlalin kapsamı farklıdır. Bildirim yapmadan önce olayın niteliğini ve aktarım yapınızı bir hukukçuyla birlikte değerlendirmeniz, sonraki aşamalarda ortaya çıkabilecek uyumsuzlukları önler.