Bir çalışanın yanlış kişiye gönderdiği müşteri listesi, kaybolan bir dizüstü bilgisayar, fidye yazılımıyla şifrelenen bir sunucu veya ele geçirilen bir e-posta hesabı: bunların hepsi, kişisel veri içeriyorsa veri ihlalidir. Kişisel Verilerin Korunması Kanunu, ihlali öğrenen veri sorumlusuna kısa sürede bildirim yükümlülüğü getirir.
Kime, ne zaman bildirilir?
| Kime | Süre | Yöntem |
|---|---|---|
| Kişisel Verileri Koruma Kurulu | Gecikmeksizin, en geç 72 saat içinde | Veri ihlal bildirim formu ile |
| İhlalden etkilenen kişiler | Kimlikleri belirlendikten sonra makul olan en kısa sürede | Doğrudan (e-posta, SMS, mektup) veya ulaşılamıyorsa internet sitesinde duyuru ile |
Süre, veri sorumlusunun ihlali öğrendiği andan başlar. Yetmiş iki saat içinde bildirim yapılamamışsa gecikmenin nedenleri bildirimle birlikte Kurul’a açıklanmalıdır. Bütün bilgiler aynı anda sağlanamıyorsa bildirim aşamalı olarak yapılabilir.
Bildirimde neler yer alır?
- İhlalin ne zaman gerçekleştiği ve ne zaman tespit edildiği,
- İhlalin kaynağı ve nasıl gerçekleştiği,
- Etkilenen kişi grupları ve tahmini sayısı,
- Etkilenen kişisel veri kategorileri (kimlik, iletişim, finans, sağlık vb.),
- İhlalin olası sonuçları,
- Alınan ve alınması planlanan tedbirler,
- İlgili kişilerin bilgi alabileceği iletişim kanalı.
İlk 72 saatte yapılacaklar
- 01Durdur
İhlalin devam etmesini önleyin: hesapları kapatın, şifreleri değiştirin, etkilenen sistemi ağdan ayırın.
- 02Belgele
Sistem kayıtlarını (log) koruyun; kimin, neyi, ne zaman fark ettiğini yazılı hâle getirin. Kayıtları silmek veya sistemi sıfırlamak delilleri yok eder.
- 03Değerlendir
Hangi verilerin, kaç kişiye ait olduğunu ve ilgili kişiler için riskin düzeyini belirleyin.
- 04Bildir
Kurul’a bildirimi yapın; ilgili kişilere sade ve açık bir dille bilgi verin.
- 05Önle
İhlalin kök nedenini giderin; alınan tedbirleri kayıt altına alın.
Veri işleyenlerin yükümlülüğü
Muhasebe bürosu, bulut hizmeti sağlayıcısı veya çağrı merkezi gibi veri işleyenler, kendi nezdlerinde gerçekleşen ihlali gecikmeksizin veri sorumlusuna bildirmek zorundadır. Bu yükümlülüğün ve bildirim süresinin hizmet sözleşmesine açıkça yazılması, veri sorumlusunun 72 saatlik süreyi kaçırmasını önler.
Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi idari para cezası gerektirir. Kurul kararlarında, ihlalin kendisi kadar bildirimin geç yapılması veya hiç yapılmaması da ceza sebebi olarak değerlendirilmektedir.
İhlal gerçekleşmeden önce yazılı bir müdahale planı hazırlamak, bu sürecin en önemli adımıdır. Uyum çalışmaları için Bilişim Hukuku sayfamıza bakabilirsiniz.
İlgili faaliyet alanıBilişim HukukuKişisel verilerin korunması (KVKK), e-ticaret, internet yayınları ve bilişim suçları.
Son güncelleme: · Genç Avukatlık ve Arabuluculuk
Bu yazı genel bilgilendirme amaçlıdır; mevzuat ve içtihat değişebilir. Somut olayınız için bir avukata danışın.
