Veri Güvenliği Yükümlülüğü ve İhlali Bildirme Esasları
6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca veri sorumluları, işlenen verilerin hukuka aykırı biçimde işlenmesini ve erişilmesini engellemek ile bunların muhafazasını temin etmek adına uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri eksiksiz almakla yükümlüdür. Verilerin veri sorumlusu adına bir başkası tarafından işlenmesi hâlinde bu güvenlik önlemlerinin eksiksiz yerine getirilmesinden veri sorumlusu veri işleyenle müştereken sorumludur. Ayrıca veri sorumlusunun kendi teşkilatında denetimleri bizzat yapması ya da yaptırması zorunlu olduğu gibi, veri işleme sürecinde görev alanların edindikleri kişisel verileri hukuka aykırı açıklamaması ve işleme gayesi haricinde kullanmaması gerekmektedir; bu yükümlülük görev sona erdikten sonra da varlığını sürdürür. Tüm bu koruma tedbirlerine rağmen işlenen verilerin kanuna aykırı yollarla başkalarının eline geçmesi durumunda, veri sorumlusu gecikmeksizin ilgilisine ve Kişisel Verileri Koruma Kuruluna bilgi vermekle mükelleftir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Bildirim Süreleri ve İlgili Kişilerin Bilgilendirilmesi
Veri sorumluları kişisel veri ihlalini öğrendikleri tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirim yapmak zorundadır. İdari bildirim sürecinin yanı sıra, veri sorumlusu ihlalden etkilenen ilgili kişileri de makul olan en kısa sürede doğrudan veya duruma uygun alternatif yollarla bilgilendirmekle yükümlüdür.
İnternet Sitesinde İlan Usulü ve Değerlendirme Ölçütleri
6698 sayılı Kanun hükümleri doğrultusunda Kişisel Verileri Koruma Kurulu, gerekli görmesi durumunda veri ihlalini kendi internet sitesi üzerinden yahut uygun bulacağı başka bir araçla kamuoyuna duyurma yetkisine sahiptir. Veri ihlaline konu bildirimlerin Kurum internet sitesinde yayımlanması hususunda karar verilirken idarece somut olayın niteliği, ihlalin vuku bulma biçimi, etkilenen kişi topluluğunun kapsamı ile sayısı ve sızan kişisel verilerin niteliksel ve niceliksel boyutları gibi objektif ölçütler dikkate alınır.
İlan Süresinin 60 Günle Sınırlandırılması ve Yayından Kaldırılma Koşulu
Önceki uygulamada internet sitesinde yer verilen bu nitelikteki veri ihlali ilanları herhangi bir süre kısıtlamasına tabi tutulmamaktaydı. Kişisel Verileri Koruma Kurulu kararı uyarınca internet sitesindeki veri ihlali bildirimlerinin belirli bir süreyle ilan edilmesine ve bu sürenin 60 günle sınırlandırılmasına karar verilmiştir. Söz konusu 60 günden daha kısa bir süre içerisinde ilgili kişilere bildirim yapıldığının veri sorumlusunca ispatlanması hâlinde ise ilan internet sitesinden kaldırılır.
Veri ihlali ilanları resmi internet sitesinde en fazla ne kadar kalır?
İhlal duyuruları internet sitesinde azami 60 gün süreyle ilan edilir; veri sorumlusu etkilenen kişilere bildirimi tamamladığını daha erken tevsik ederse duyuru süresinden önce yayından kaldırılır.
Veri sorumlusu ihlali öğrendikten sonra hangi sürede bildirim yapmalıdır?
Veri sorumlusu kişisel veri ihlalini öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunmak zorundadır.
Veri işleyenin sebep olduğu ihlallerde veri sorumlusunun sorumluluğu var mıdır?
Kişisel verilerin veri sorumlusu adına bir başkası tarafından işlendiği durumlarda veri güvenliği tedbirlerinin temin edilmesinden veri sorumlusu diğer tarafla birlikte müştereken sorumludur.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy