Veri İhlali Bildiriminde 72 Saatin Fiilen Başladığı An

Uygulamada en sık gördüğümüz risk, veri ihlali bildiriminin süre hesabından değil, ihlalin "öğrenildiği an"ın yanlış belirlenmesinden doğuyor. Dosyalarda tipik tablo şu: bir çalışan fark ediyor, iç yazışmayla bir üst birime aktarıyor, teknik ekip inceleme başlatıyor ve kurum içi değerlendirme birkaç gün sürüyor. Bildirim süresi ise kişisel veri koruma mevzuatı bakımından ihlalin öğrenildiği andan itibaren işlemeye başlıyor. Bizim dosyalarda savunma stratejisini belirlerken ilk baktığımız şey, ihlalin ilk fark edildiği an ile resmi bildirimin yapıldığı an arasındaki kronolojinin kurumun kendi kayıtlarıyla ne kadar tutarlı olduğu oluyor.

Pratikte sık yakalandığımız nokta, kurumun "kesinleşmiş ihlal" bekleyerek bildirimi geciktirmesi. Oysa mevzuat, ihlalin makul ölçüde değerlendirilmesini ve bildirimin buna göre yapılmasını öngörüyor. Bu nedenle dosyalarda ihlal tespit tutanağının, olayın ilk fark edildiği saatle uyumlu tutulması ve iç yazışmaların bu tutanakla çelişmemesi kritik hale geliyor. Sonradan düzenlenen tutanaklar, idari para cezası değerlendirmesinde kurumun aleyhine bir karine yaratıyor.

İç Değerlendirme Sürecinin Kayıt Altına Alınmaması

Bir diğer düzenli tekrar eden hata, ihlal sonrası yapılan iç değerlendirmenin yazılı bir karar defterine bağlanmaması. Hangi veri kategorisinin etkilendiği, kaç kişinin etkilendiği, etkinin nasıl sınırlandırıldığı ve hangi teknik tedbirin devreye alındığı çoğu dosyada e-posta zincirlerinde dağınık halde duruyor. Denetim aşamasında bu dağınıklık, kurumun ihlali ciddiyetle ele almadığı yönünde bir yorum riski doğuruyor. Biz büromuzda bu tür dosyalarda önce bir "olay kronolojisi" çıkarıyoruz; her adımın tarih, saat ve sorumlu birimle eşleştiği bir tablo olmadan ne bildirim yazısını ne de savunmayı sağlıklı kuramıyoruz.

Etkilenen Kişi Sayısının Yanlış Hesaplanması

Veri ihlali dosyalarında bildirimin kapsamını belirleyen en somut veri, etkilenen kişi sayısı. Uygulamada sık gördüğümüz hata, kurumun yalnızca ana veri tabanındaki kayıt sayısını esas alması; yedekler, test ortamları, e-posta arşivleri ve tedarikçi sistemlerindeki kopyaların hesaba katılmaması. Bu eksiklik, bildirimin kapsamını daraltıyor ve sonradan ortaya çıkan ek etkilenme iddialarında kurumun tutarsız görünmesine yol açıyor. Dosyalarda savunma hazırlarken veri envanteriyle bildirim metninin birbirini tutmasına özellikle dikkat ediyoruz.

Veri İşleyen Sözleşmelerinde Denetim İzini Kurmamak

Veri işleyenle yapılan sözleşmelerin imzalanmış olması, uygulamada çoğu zaman yeterli sanılıyor. Oysa dosyalarda asıl sorun, sözleşmenin öngördüğü denetim ve bildirim yükümlülüklerinin fiilen işletilip işletilmediğinde çıkıyor. Bir hizmet sağlayıcıda yaşanan sızma, veri sorumlusunun kendi ihlali gibi değerlendirilebiliyor; bu noktada kurumun tedarikçiden ne zaman haberdar olduğu, hangi sözleşme maddesine dayanarak bilgi istediği ve bu talebi yazılı hale getirip getirmediği belirleyici oluyor.

Pratikte sık karşılaştığımız tablo: sözleşmede denetim hakkı var, ancak kurum bu hakkı hiç kullanmamış; tedarikçi alt işleyen kullanmış, bundan veri sorumlusunun haberi yok. Bu durumda savunmayı "sözleşme vardı" üzerine kurmak yerine, fiili denetim izinin ne ölçüde tutulduğunu ortaya koyacak belgeler üzerine kurmak gerekiyor. Denetim raporları, periyodik uyum yazışmaları ve olay bildirim prosedürünün işletildiğine dair kayıtlar, dosyanın seyrini doğrudan etkiliyor.

Alt İşleyen Zincirinin Görünmez Kalması

Veri işleme zincirinde ikinci ve üçüncü halkalar çoğu dosyada haritalanmamış durumda. Bir bulut hizmeti, bir çağrı merkezi ve bir analitik aracı aynı veri setine dokunduğunda, ihlalin kaynağını tespit etmek zorlaşıyor. Uygulamada bu belirsizlik, bildirimin geç yapılmasının gerekçesi olarak sunulmaya çalışılıyor; ancak kurumun veri akış haritasını önceden çıkarmış olması beklenen bir özen ölçütü olarak karşımıza çıkıyor.

Aydınlatma Metni ile Fiili İşleme Arasındaki Kopukluk

Dosyalarda en sık gördüğümüz uyum sorunlarından biri, aydınlatma metinlerinin bir kez hazırlanıp yıllarca güncellenmemesi. Kurum yeni bir pazarlama kanalı açıyor, yeni bir veri kategorisi topluyor veya saklama süresini değiştiriyor; ancak metin eski haliyle kalıyor. İhlal veya denetim dosyasında bu kopukluk, işleme faaliyetinin hukuki dayanağının sorgulanmasına yol açıyor. Biz bu tür dosyalarda önce fiili veri akışını çıkarıp, ardından aydınlatma metni ve saklama politikasıyla karşılaştırıyoruz; fark varsa savunmayı "metin güncellenmemiş" savunması üzerine değil, fiili durumun hukuka uygun hale getirilmesi üzerine kuruyoruz.

Açık Rızanın Sonradan Kurtarıcı Sanılması

Bir başka tipik hata, hukuki dayanağı bulunmayan bir işleme faaliyeti için sonradan açık rıza toplanması. Uygulamada bu, hem geriye dönük bir düzeltme sağlamıyor hem de rızanın özgür iradeye dayanıp dayanmadığı tartışmasını beraberinde getiriyor. Dosyalarda rıza metinlerinin hangi tarihte, hangi kanaldan ve hangi aşamada alındığı; rızanın geri alınması halinde işlemenin nasıl durdurulduğu sorularına yazılı cevap arıyoruz.

Veri Sahibi Başvurularında Cevap Disiplini

İlgili kişi başvurularında uygulamada gördüğümüz en yaygın hata, başvuruların standart şablon cevaplarla geçiştirilmesi. Başvurunun hangi veri kategorisine, hangi işleme amacına ve hangi hukuki dayanağa ilişkin olduğu ayrıştırılmadan verilen cevap, sonraki aşamada kurumun başvuruyu gereği gibi sonuçlandırmadığı iddiasıyla karşılaşmasına neden oluyor. Dosyalarda başvuru-cevap yazışmalarının tarih sırasıyla tam olarak sunulması, savunmanın omurgasını oluşturuyor.

Cevap Süresinin İç Onayda Erimesi

Başvuruların hukuk birimi, bilgi işlem ve ilgili iş birimi arasında dolaşırken sürenin büyük kısmının iç onay aşamasında tükenmesi, sık tekrarlanan bir süreç hatası. Kurum içi iş akışının başvurunun geldiği gün başlatılması ve sorumlunun tek bir noktada belirlenmesi, bu riski büyük ölçüde azaltıyor.

Yurt Dışına Veri Aktarımında Belge Disiplini

Aktarım dosyalarında en çok zorlandığımız nokta, aktarımın hukuki sebebinin ve alıcı tarafın taahhütlerinin yazılı olarak izlenebilir olmaması. Uygulamada kurumlar aktarımı fiilen yapıyor, ancak standart sözleşme metinleri, taraf bilgileri ve aktarımın kapsamı güncel değil. Denetim veya ihlal sonrası incelemede bu eksiklik, aktarımın hukuka uygunluğunun savunulmasını güçleştiriyor. Bu nedenle aktarım envanterinin yıllık olarak gözden geçirilmesini ve her aktarım için dayanak belgenin dosyalanmasını temel bir özen ölçütü olarak görüyoruz.

Sonuç: Dosyayı Kurtaran Şey, Olay Anındaki Kayıt

KVKK ve veri koruma dosyalarında savunmanın gücü, ihlal veya başvuru anından sonra üretilen belgelerden değil, olay anında tutulan kayıtlardan geliyor. Büromuzda bu alandaki dosyalara bakarken önce olay kronolojisini, veri envanteriyle bildirim metninin tutarlılığını ve tedarikçi zincirindeki denetim izini kontrol ediyoruz. Müvekkillerimize önerdiğimiz yaklaşım da aynı: aydınlatma metinlerini fiili işlemeyle eşitleyin, veri işleyen sözleşmelerindeki denetim yükümlülüklerini fiilen işletin, başvuru ve ihlal süreçlerinde tek sorumlu ve tek kayıt düzeni kurun. Bu üç adım, sonradan yapılacak hiçbir açıklamanın telafi edemeyeceği usul risklerini baştan azaltıyor.