Veri İhlali Bildirimi: 72 Saatlik Kurul Bildirimi ve İlgili Kişi BildirimiVeri İhlali Bildirimi: 72 Saatlik Kurul Bildirimi ve İlgili Kişi Bildirimi

Veri ihlali nedir

Veri ihlali, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. Bir saldırı sonucunda veri tabanının ele geçirilmesi, yanlış alıcıya gönderilen bir e-posta, kaybolan bir cihaz ya da yetkisiz bir çalışanın verilere erişmesi bu kapsama girebilir.

Her güvenlik olayı otomatik olarak bildirime tabi bir ihlal değildir. Olayda kişisel verilerin yetkisiz kişilerin eline geçip geçmediği veya bunun makul bir ihtimal olup olmadığı değerlendirilir. Bu değerlendirme olayın tüm şartlarına göre yapılır.

İhlal örnekleri arasında kötü amaçlı yazılım saldırısı, kimlik avı sonucu şifrelerin ele geçirilmesi, yanlış kişiye gönderilen kişisel veri içeren belge ve çalınan bilgisayar sayılabilir.

Bildirim yükümlüsü

Kanunun 12. maddesinin beşinci fıkrası bildirim yükümlülüğünü veri sorumlusuna yükler: işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurumun internet sitesinde yayımlanan Kurul kararına göre veri işleyenin ihlali öğrenmesi durumunda gecikmeksizin veri sorumlusuna haber vermesi beklenir. Kanunun 12. maddesine göre veri sorumlusu, verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınması hususunda bu kişilerle birlikte müştereken sorumludur.

Veri işleyen kişi veya kuruluşlarla çalışan işletmelerin, sözleşmelerinde ihlal bildiriminin nasıl ve ne kadar sürede yapılacağını düzenlemesi, süreç açısından önemlidir.

72 saat kuralı

Kanun “en kısa sürede” bildirim yapılmasını öngörür. Kişisel Verileri Koruma Kurulu, 24/01/2019 tarihli ve 2019/10 sayılı kararıyla bildirimin gecikmeksizin ve en geç ihlalin öğrenilmesinden itibaren 72 saat içinde yapılması gerektiğini belirlemiştir. Bu bilgi Kurumun internet sitesinde yayımlanmıştır.

Kurul kararına göre süre, ihlalin veri sorumlusu tarafından öğrenildiği tarihten itibaren işlemeye başlar. Bildirimin haklı bir gerekçeyle 72 saat içinde yapılamaması hâlinde, gecikmenin gerekçesinin de bildirimle birlikte açıklanması gerekir. Tüm bilgiler aynı anda sağlanamıyorsa bilgilerin aşamalı olarak sunulması mümkündür.

Süre hesabında, işletmenin ihlali öğrendiği tarih esas alınır. İşletme içinde ihlali ilk fark eden kişinin bunu yetkili kişiye hızla iletmesi, süre bakımından önem taşır.

Kişisel Veri İhlal Bildirim Formu

Kurum, bildirim için bir form hazırlamış ve internet sitesinde yayımlamıştır. Formda ihlalin ne zaman ve nasıl gerçekleştiği, etkilenen kişi gruplarının ve veri kategorilerinin neler olduğu, olası sonuçlar ve alınan veya alınması planlanan tedbirler gibi bilgiler istenir.

Formu doldururken doğru ve eksiksiz bilgi verilmesi önem taşır. Bilgilerin sonradan değişmesi hâlinde, Kuruma ek bildirim yapılması gerekebilir.

Bildirim formunda istenen bilgilerin tamamı aynı anda sağlanamıyorsa, bilgiler gecikmeksizin aşamalı olarak verilebilir; bilinen bilgilerle bildirim yapılır ve sonradan tamamlanır.

İlgili kişiye bildirim

Kurula bildirimin yanında, ihlalden etkilenen kişilere de bilgi verilmesi gerekir. Bildirimin, ihlalin ne olduğu, hangi verilerin etkilendiği, olası sonuçlar ve kişinin alabileceği önlemler gibi hususları kapsaması beklenir.

Kurul kararına göre ilgili kişiye bildirim, etkilenen kişiler belirlendikten sonra makul olan en kısa süre içinde yapılır. Etkilenen kişilerin iletişim bilgilerine ulaşılabiliyorsa doğrudan bildirim yapılır. Ulaşılamıyorsa veri sorumlusunun kendi internet sitesi üzerinden yayımlanması gibi uygun yöntemler kullanılabilir.

İhlal kayıtlarının tutulması ve kontrol listesi

Veri sorumlusunun, yaşanan ihlalleri, etkilerini ve aldığı önlemleri kayıt altına alması önerilir. Bu kayıtlar, Kurul denetiminde yapılan işlemlerin gösterilmesi bakımından önem taşır. Aşağıdaki başlıklar, hazırlıklı olmak isteyen işletmeler için genel bir kontrol listesi niteliğindedir.

• İhlal durumunda kimin bilgilendirileceğini gösteren yazılı bir iç süreç
• Veri işleyenlerle yapılan sözleşmelerde bildirim süresine dair hüküm
• Kişisel veri envanterinin güncel tutulması
• Kurum internet sitesinde yer alan bildirim formunun önceden incelenmesi
• Çalışanların ihlal belirtilerini tanıması ve bildirmesi için bilgilendirilmesi

Bildirimin içeriği hakkında genel not

Bildirimde tahmin ve varsayımlar yerine, kesinleşmiş bilgilerin yer alması önemlidir. Kesin olmayan hususlar açıkça belirtilerek aşamalı bildirim yapılabilir.

Bu sayfa, bildirim yükümlülüğünü tanıtan genel bir bilgi metnidir. Her ihlal kendine özgü koşullar taşıdığından, uygulanacak usul ve ayrıntılar için Kurumun güncel duyuruları ve ilgili mevzuat esas alınmalıdır.

Yaptırımlar ve ilgili düzenlemeler

Kanunun 18. maddesine göre 12. maddede öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında idari para cezası verilir; güncel tutarlar kanun metninden ve Kurum duyurularından öğrenilir. Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Ayrıca kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu’nun 135 ila 140. madde hükümleri uygulanır (6698, m.17).

Siber güvenlik alanında yürürlüğe giren ayrı düzenlemeler de bulunmaktadır. Bir ihlalin birden fazla mevzuat kapsamında yükümlülük doğurup doğurmadığı olayın niteliğine göre değerlendirilir.