6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, kişisel verilerin hukuka aykırı olarak işlenmesi, yetkisiz erişime uğraması veya kaybedilmesi gibi durumlar "veri ihlali" olarak nitelendirilebilir. Veri sorumlusunun bu tür ihlalleri tespit etmesi halinde belirli bildirim yükümlülükleri söz konusudur. Bu yazıda, veri ihlali bildirim süreçleri hakkında genel bir çerçeve sunulmaktadır.
Hukuki Dayanak
KVKK'nın 12. maddesi, veri sorumlusunun kişisel verilerin kanuna aykırı olarak işlenmesini ve yetkisiz erişimle verilerin elde edilmesini önlemek için gerekli tedbirleri alması gerektiğini belirtmektedir. Aynı madde, ihlal halinde veri sorumlusunun ihlali "en kısa sürede" Kişisel Verileri Koruma Kuruluna bildirmesi ve ilgili kişiyi de bilgilendirmesi yükümlülüğünü düzenlemektedir. Kişisel Verileri Koruma Kurulu tarafından yayımlanan "Veri Sorumluları Sicili Hakkında Yönetmelik" ve ilgili duyurularda bildirim usulleri detaylandırılmış olabilir.
Bildirim Yükümlülüğü
Veri sorumlusu, ihlali tespit ettiği anda veya öğrendiği andan itibaren en kısa sürede Kurula bildirmekle yükümlüdür. "En kısa süre" ifadesi Kurul tarafından genellikle 72 saat gibi somut bir süre ile yorumlanabilmektedir; ancak güncel mevzuat ve Kurul duyuruları kontrol edilmelidir. İhlalin niteliği, etkilenen kişi sayısı ve veri kategorisi gibi unsurlar bildirimin kapsamını etkileyebilir.
Kurula Bildirim İçeriği
Kurula yapılan bildirimde genel çerçevede şu bilgilerin yer alması önerilir: İhlalin niteliği ve tespit tarihi; etkilenen kişi sayısı ve veri kategorileri; olası sonuçlar; alınan veya alınacak önlemler; irtibat bilgileri. Kurulun belirlediği form veya usule uyulması önemlidir. Bildirim, e-posta, VERBİS üzerinden veya Kurulun duyurduğu diğer kanallarla yapılabilir.
İlgili Kişiye Bildirim
Veri sorumlusu, ihlalin ilgili kişilerin haklarını veya özgürlüklerini yüksek düzeyde olumsuz etkileme riski taşıması halinde ilgili kişileri de bilgilendirmekle yükümlüdür. Bildirimde ihlalin niteliği, olası sonuçlar ve alınan tedbirler hakkında açık ve anlaşılır bilgi verilmesi önerilir. İlgili kişiye bildirimin ne zaman ve hangi yöntemle yapılacağı Kurul kararları ve mevzuat ile şekillenmektedir.
İhlal Sonrası Adımlar
İhlal tespit edildiğinde genel çerçevede şu adımların atılması önerilir: İhlalin kapsamının ve kaynağının belirlenmesi; daha fazla veri kaybını önleyecek teknik tedbirlerin alınması; Kurula ve gerekiyorsa ilgili kişilere bildirim; olayın dokümante edilmesi; uzun vadede benzer ihlalleri önleyecek tedbirlerin güçlendirilmesi. Bu süreçte hukuk danışmanı ve siber güvenlik uzmanı ile çalışılması faydalı olabilir.
Veri İşleyen Kaynaklı İhlaller
İhlal, veri işleyen (hosting, bulut sağlayıcısı vb.) tarafından gerçekleşmişse, veri sorumlusu yine de bildirim yükümlülüğü ile karşı karşıyadır. Veri işleyen sözleşmesinde ihlal bildirimi ve iş birliği yükümlülüğünün düzenlenmesi, ihlal anında gerekli bilgilerin hızlı toplanması açısından faydalı olabilir.
Sonuç
Veri ihlali bildirimi, KVKK'nın 12. maddesi kapsamında veri sorumlusunun yükümlülüğüdür. İhlalin Kurula ve gerektiğinde ilgili kişilere en kısa sürede bildirilmesi, mevzuata uyum ve idari yaptırımlardan kaçınma açısından önem taşımaktadır. Somut durumunuzda bildirim süresi, içeriği ve usulü hukuk danışmanınızla netleştirilebilir.