Veri İhlali Bildirim Yükümlülüğü ve 72 Saatlik Süre
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin 5. fıkrası uyarınca, işlenen kişisel verilerin kanuna aykırı yollarla başkaları tarafından ele geçirilmesi halinde veri sorumlusu bu durumu gecikmeksizin hem ilgili kişiye hem de Kişisel Verileri Koruma Kurulu'na bildirmekle yükümlüdür. Kanun metninde yer alan en kısa sürede bildirim koşulu idari uygulamada veri ihlalinin öğrenilmesinden itibaren 72 saatlik çerçevede ele alınmaktadır. Kurul, ihtiyaç görmesi durumunda söz konusu veri ihlalini kendi resmi internet sitesinde veya uygun göreceği farklı bir vasıtayla kamuoyuna ilan edebilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Bildirim Süresinin Başlangıcı ve Öğrenme Ölçütü
Kurul'a yapılacak bildirimde esas alınan sürenin teknik olarak ihlalin başladığı andan ziyade, veri sorumlusunun ihlali tespit ettiği ve öğrendiği tarihten itibaren değerlendirilmesi kural olarak kabul edilmektedir. Bununla birlikte şirketin ihlali öğrenmiş sayıldığı anın sadece yönetim kurulunun haberdar olduğu tarihle sınırlı tutularak dar yorumlanmaması gerektiği değerlendirilmektedir.
Veri Güvenliği Tedbirleri ve Müşterek Sorumluluk
6698 sayılı Kanun'un 12. maddesinin 1. fıkrası uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı biçimde erişilmesini önlemek ile muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır. Kanun'un 12. maddesinin 2. fıkrasına göre verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde veri sorumlusu, bu tedbirlerin alınması hususunda veri işleyen kişilerle müştereken sorumludur.
Verilerin harici hizmet sağlayıcılarda barındırılması veri sorumlusunun hukuki sorumluluğunu ortadan kaldırmaz. Bu kapsamda veri işleyenlerle uygun sözleşmeler yapılması, sistem erişimlerinin sınırlandırılması, hızlı bir bildirim düzeneği kurulması ve şüpheli bir hadisede hizmet sağlayıcının veri sorumlusunu derhal haberdar etmesi aranmaktadır. Bunun yanında veri sorumlusu, 6698 sayılı Kanun'un 12. maddesinin 3. fıkrası uyarınca kanun hükümlerinin uygulanmasını sağlamak amacıyla kendi kurumunda gerekli denetimleri yapmak veya yaptırmak mecburiyetindedir. Kanun'un 12. maddesinin 4. fıkrası uyarınca da veri sorumluları ile veri işleyen şahıslar, öğrendikleri kişisel verileri hukuka aykırı şekilde başkasına açıklayamaz ve işleme amacı dışında kullanamazlar; söz konusu sır saklama yükümlülüğü ilgililerin görevlerinden ayrılmalarından sonra da sürer.
Bildirime Konu Olan ve Olmayan Olaylar
Bilişim sistemlerine yönelik gerçekleşen her teknik saldırı veya hadise kendiliğinden bildirim zorunluluğu doğurmaz. Güvenlik duvarının siber girişimleri bertaraf etmesi, yetkisiz sisteme giriş denemelerinin engellenmesi ya da zararlı e-postalarla karşılaşılması gibi haller tek başına ihlal bildirimi mecburiyeti meydana getirmeyebilir. Bildirim yükümlülüğünün söz konusu olabilmesi için hadise neticesinde kişisel verilerin hukuka aykırı şekilde üçüncü şahıslarca ele geçirilmesi, incelenmesi, kopyalanması, kurum dışına aktarılması veya erişilebilir hale getirilmiş olması gerekir.
Teknik İnceleme Devam Ederken Yapılacak Bildirimin Kapsamı
Veri ihlali bildiriminde bulunmak için adli bilişim incelemelerinin ve hadiseye dair tüm ayrıntıların bütünüyle netleşmesini beklemek her zaman doğru kabul edilmez. Zira 72 saatlik bildirim yaklaşımı, şirketin teknik analizinin tamamen sonuçlanması için değil, Kurul'un ve ilgili kişilerin ihlalden haberdar edilmesi amacıyla getirilmiştir. Bu doğrultuda etkilenen kişi sayısı veya veri kategorileri kesinleşmemiş olsa dahi araştırmanın sürdüğü belirtilerek bildirim yapılabilir.
Veri sorumlusu tarafından Kurul'a iletilecek bildirimde; veri sorumlusunun kimliği, ihlalin başlama, bitiş ve tespit zamanları ile nasıl gerçekleştiği yer almalıdır. Ayrıca hadiseden etkilenen sistemler, kişi grupları, veri kategorileri, etkilenen yaklaşık kişi sayısı, alınan veya planlanan önlemler ile ilgili kişilerin nasıl bilgilendirileceği bildirim içeriğine dahil edilmelidir.
İlgili Kişilere Yapılacak Bildirimin Şartları
Veri ihlalinden etkilenen kişilerin belirlenmesinin ardından, bu kişilere de makul olan en kısa sürede bildirim yapılması gerekmektedir. İlgili kişilerin iletişim adresine ulaşılabildiği takdirde bildirim doğrudan iletilir; iletişim bilgisine erişilemeyen durumlarda ise veri sorumlusunun internet sitesinde duyuru yapılması gibi uygun görülebilecek yöntemlerden yararlanılabilir.
İlgili kişilere yöneltilecek bildirimde ihlalin ne zaman gerçekleştiği, ne zaman tespit edildiği ve hangi kişisel verilerin etkilendiği açık ve sade bir dille ifade edilmelidir. Bununla birlikte ihlalin muhtemel neticeleri, veri sorumlusunun hayata geçirdiği teknik ve idari önlemler ile kişilerin detaylı bilgi edinebileceği iletişim yolları metinde belirtilmelidir.
Veri ihlali tespit edildiğinde Kurul'a ne kadar sürede bildirim yapılmalıdır?
6698 sayılı Kanun gereğince kişisel verilerin kanuna aykırı yollarla elde edildiğini öğrenen veri sorumlusu durumu en kısa sürede Kurul'a bildirmekle yükümlüdür; bu bildirim idari uygulamada genel olarak öğrenme anından itibaren 72 saat içinde yapılmalıdır.
Tüm teknik detaylar kesinleşmeden Kurul'a bildirim yapılabilir mi?
Evet, ihlalin bütün teknik ayrıntılarının kesinleşmesini beklemek her zaman zorunlu değildir; etkilenen kişi sayısı veya kategoriler netleşmemiş olsa dahi incelemenin devam ettiği belirtilerek 72 saatlik sürede bildirim yapılabilir.
Güvenlik duvarı tarafından engellenen saldırılar için bildirim zorunlu mudur?
Güvenlik duvarınca engellenen teşebbüsler, zararlı e-postalar veya başarısız giriş denemeleri tek başına bildirim yükümlülüğü doğurmayabilir; kişisel verilerin yetkisizce elde edildiği veya erişilebilir hale geldiği anlaşılırsa bildirim gündeme gelir.
İhlalden etkilenen kişilere bildirim nasıl ve hangi içerikle yapılır?
Etkilenen kişilerin belirlenmesini takiben makul olan en kısa sürede, doğrudan veya iletişim adresine ulaşılamıyorsa internet sitesinde ilan gibi uygun yöntemlerle bildirim yapılabilir; bildirimde ihlal ve tespit tarihleri, etkilenen veriler, olası neticeler, tedbirler ve iletişim yolları belirtilir.
Verilerin dış hizmet sağlayıcıda barındırılması veri sorumlusunu yükümlülükten kurtarır mı?
Hayır, kişisel verilerin dış sağlayıcıda tutulması veri sorumlusunu yükümlülükten kurtarmaz; veri sorumlusu tedbirleri almak, sözleşme yapmak, yetkileri sınırlandırmak ve hızlı bildirim mekanizması kurmakla yükümlüdür.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy