Bir siber saldırı, kaybolan bir dizüstü bilgisayar ya da yanlış kişiye gönderilen bir e-posta… Kişisel verilerin hukuka aykırı olarak başkalarının eline geçmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) anlamında veri ihlalidir ve veri sorumlusuna kısa süreli bildirim yükümlülüğü getirir.
Kısaca
- Dayanak
- KVKK m. 12/5 ve Kurul kararı
- Kurula bildirim
- Öğrenmeden itibaren gecikmeksizin, en geç 72 saat
- İlgili kişilere
- Makul en kısa sürede
- Kayıt
- İhlaller ve alınan önlemler belgelenmeli
Veri ihlali nedir?
KVKK’nın 12. maddesine göre, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirmekle yükümlüdür. Kurul, bu sürenin veri sorumlusunun ihlali öğrendiği andan itibaren 72 saat olduğunu kararla belirlemiştir.
İhlal yalnızca dışarıdan yapılan saldırılarla sınırlı değildir: yetkisi olmayan bir çalışanın müşteri kayıtlarına erişmesi, yedekleme ortamının çalınması ya da sistem hatası sonucu verilerin herkese açık hâle gelmesi de ihlal olabilir.
İhlal anında ilk 72 saat
- İhlali durdurun ve kanıtları koruyun
Saldırıya açık sistemleri izole edin; kayıtları ve logları silmeden, değiştirilmeden saklayın.
- Kapsamı belirleyin
Hangi veri kategorileri, kaç kişi, hangi tarihler arasında etkilendi; veriler şifreli miydi?
- Kurula bildirin
Kurulun yayımladığı “Kişisel Veri İhlal Bildirim Formu” ile 72 saat içinde bildirim yapın; tüm bilgiler henüz netleşmemişse ilk bildirimi yapıp sonra güncelleyin.
- İlgili kişileri bilgilendirin
Etkilenen kişilere ihlalin niteliğini, olası sonuçlarını ve alabilecekleri önlemleri (şifre değişikliği gibi) açık bir dille bildirin.
- Kaydedin ve iyileştirin
İhlali, etkilerini ve alınan önlemleri belgeleyin; tekrarını önleyecek teknik ve idari tedbirleri planlayın.
72 saat içinde bildirim yapılamazsa, gecikmenin gerekçesi bildirime eklenmelidir. Kurul kararlarında, ihlalin geç bildirilmesi ve yetersiz teknik tedbirler idari para cezasının artırılmasında dikkate alınan unsurlar arasındadır.
Yaptırımlar
Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi, KVKK m. 18 kapsamında her yıl yeniden değerleme oranında güncellenen idari para cezalarına yol açar. Ayrıca ihlalden zarar gören kişiler tazminat talep edebilir; verileri hukuka aykırı olarak ele geçiren ya da yayan kişiler hakkında ise Türk Ceza Kanunu’nun 135–138. maddeleri kapsamında suç duyurusunda bulunulabilir.
İhlale hazırlıklı olmak
- Yazılı bir veri ihlali müdahale planı ve sorumlu ekip belirleyin,
- Erişim yetkilerini “bilmesi gereken” ilkesine göre sınırlandırın ve log kayıtlarını tutun,
- Veri işleyenlerle (bulut, muhasebe, yazılım firmaları) yapılan sözleşmelere ihlal bildirimi hükümleri ekleyin,
- Çalışanlara düzenli farkındalık eğitimi verin ve tatbikat yapın.
Çok az kişiyi etkileyen ihlaller de bildirilmeli mi?
Kanun etkilenen kişi sayısına göre bir alt sınır öngörmez. Etkilenen kişi sayısı az olsa da ihlalin bildirilmesi ve kayıt altına alınması gerekir.
İhlal veri işleyende (ör. bulut sağlayıcıda) olduysa kim bildirir?
Bildirim yükümlülüğü veri sorumlusuna aittir. Veri işleyen, ihlali öğrenir öğrenmez veri sorumlusuna haber vermelidir; bu nedenle sözleşmelerde bildirim süresi açıkça düzenlenmelidir.
Bu yazı genel bilgi vermek amacıyla hazırlanmıştır; hukuki görüş niteliği taşımaz. Süreler, oranlar ve parasal sınırlar mevzuat değişiklikleriyle güncellenebileceğinden işlem yapmadan önce somut durumunuzu bir avukatla değerlendirin.
Hazırlayan
Candan Hukuk & Danışmanlık Bürosu
1997’den bu yana Ankara’da bireylere, şirketlere ve kamu ihalelerine katılan firmalara avukatlık ve danışmanlık hizmeti veren hukuk bürosu.
