Veri İhlali ve Kurula 72 Saatte Bildirim

İlgili çalışma alanı → Kişisel Verilerin Korunması: Veri güvenliği, ihlal bildirimi, idari para cezası ve Kurul kararları için çalışma alanı.

Veri ihlali, bir işletmenin karşılaşabileceği en yüksek riskli KVKK olaylarından biridir. İhlalin kendisi kadar, sonrasında izlenen usul de belirleyicidir: veri sorumlusu hem gerekli güvenlik tedbirlerini önceden almış olmalı, hem de ihlali öğrendiğinde süresinde bildirmelidir. Bu iki yükümlülüğün ihlali, ayrı ayrı idari para cezasına yol açar.

Veri Güvenliği Yükümlülüğü

6698 sayılı Kanun md. 12, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verileri muhafaza etmek için uygun güvenlik düzeyini sağlamaya yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Bu, ihlal gerçekleşmeden önceki bir yükümlülüktür; ihlalin yaşanmış olması, tedbirlerin yetersizliğine karine oluşturabilir.

Kurul kararları bu yükümlülüğü somutlaştırır. Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 12.03.2020 tarihli ve 2020/213 sayılı kararında, veri güvenliği politikasının ihlalden sonra yürürlüğe girdiği bir olayda md. 12 kapsamında gerekli tedbirleri almayan şirkete md. 18 uyarınca 300.000 TL idari para cezası uyguladı. Tedbirlerin ihlalden önce ve fiilen alınmış olması aranır; kâğıt üzerinde sonradan hazırlanan politika sorumluluğu kaldırmaz.

İhlalin Öğrenilmesinden İtibaren 72 Saat

İhlal gerçekleştiğinde bildirim süresi kritik hale gelir. Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı İlke Kararı, veri ihlalinin veri sorumlusu tarafından öğrenilmesinden itibaren en kısa sürede ve her hâlde 72 saat içinde Kurula bildirilmesini öngörür. İhlalden etkilenen ilgili kişilere de makul en kısa sürede bildirim yapılmalıdır.

Önemli: 72 saatlik süre, ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan başlar. Öğrenme anının belgelenmesi bu nedenle önemlidir. Süre kaçırılırsa, ihlalin kendisinden bağımsız olarak bildirim yükümlülüğünün ihlali gündeme gelir.

Kurul, süresinde yapılan bildirimleri olumlu değerlendirir. Örneğin 09.07.2020 tarihli ve 2020/532 sayılı kararda, ihlalin öğrenilmesinden sonraki 72 saat içinde bildirimde bulunulmuş olması usule uygun bulunmuştur. Buna karşılık geç bildirim, ayrı bir aykırılık olarak ele alınır.

Bildirimin İçeriği ve İlgili Kişiye Bildirim

Kurula yapılan bildirim, ihlalin ne zaman ve nasıl gerçekleştiğini, etkilenen kişisel veri kategorilerini, etkilenen kişi ve kayıt sayısını, olası sonuçlarını ve alınan ya da alınması önerilen tedbirleri içermelidir. İlgili kişilere yapılacak bildirim ise, kişilerin kendi verilerini koruyacak önlemleri alabilmesini sağlayacak açıklıkta olmalıdır.

İdari Para Cezası ve Diğer Sonuçlar

Veri güvenliği tedbirlerinin alınmaması 6698 sayılı Kanun md. 18/1-b uyarınca idari para cezasıyla yaptırıma bağlanır; cezanın alt ve üst sınırları her yıl yeniden değerleme oranında güncellenir. Bunun yanında ilgili kişilerin tazminat talepleri ve kişisel verilere ilişkin suçlar bakımından cezai sorumluluk da gündeme gelebilir. İdari para cezalarının güncel çerçevesi için KVKK idari para cezaları ne kadar sayfasına bakılabilir.¹

Uygulamada

İhlal öncesinde kurulması gereken düzen üç ayaklıdır: yazılı ve fiilen uygulanan bir veri güvenliği politikası, erişim ve yetki kontrolleri ile düzenli sızma ve açık testleri, ve bir ihlal müdahale planı. Plan, ihlalin kimin tarafından, hangi sürede tespit edileceğini ve 72 saatlik bildirimin nasıl işletileceğini önceden tanımlamalıdır.

İhlal anında ise sıralama nettir: ihlali durdurmak ve kapsamı belirlemek, öğrenme anını kayda geçirmek, 72 saat içinde Kurula bildirmek, etkilenen ilgili kişilere en kısa sürede bilgi vermek ve tüm süreci belgelemek. Bildirim usulünün ayrıntısı için KVKK veri ihlali bildirimi nasıl yapılır sayfasında yer alır.

İlgili içerikler için bkz. KVKK Veri İhlali Bildirimi Nasıl Yapılır, KVKK İdari Para Cezaları Ne Kadar ve Kişisel Verilerin Korunması.

Veri güvenliği ve ihlal yükümlülükleri için bkz. KÜZECİ, Elif, Kişisel Verilerin Korunması, 4. Baskı, İstanbul: On İki Levha Yayıncılık, 2024. Genel ilkeler bakımından ayrıca bkz. YÜCEDAĞ, Nafiye, "Kişisel Verilerin Korunması Kanunu Kapsamında Genel İlkeler", Kişisel Verileri Koruma Dergisi, 2019, C. 1, S. 1, s. 47-63. ↩

Veri İhlali ve Kurula 72 Saatte Bildirim