Siber Saldırıya Uğrayan Şirketlerin Hukuki Adımları

Kişisel Veri İhlali Bildirim Süreci ve İlgili Kişilere Bilgilendirme

Siber saldırı sonucunda işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür. Yapılan değerlendirmelerde Kurul bildiriminin gecikmeksizin ve en geç 72 saat içinde iletilmesi gerektiği kabul edilmektedir. İhlal durumunda Kurul, gerekmesi halinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

Sistem üzerindeki teknik inceleme henüz sonuçlanmamış olsa dahi ilk bildirimde mevcut veriler paylaşılabilir; sürecin ilerleyen aşamalarında ek bilgi ve güncellemeler sunulabilir. Belirlenen 72 saatlik sürenin aşılması halinde ise Kuruma geç bildirimin sebebinin açıklanması gerekmektedir.

Veri ihlalinden etkilenen kişilere yapılacak bildirimin açık ve sade bir dille kaleme alınması esastır. Bu bilgilendirmenin ihlalin gerçekleşme zamanını, etkilenen kişisel veri kategorilerini, ihlalin olası sonuçlarını, olumsuz etkilerin azaltılması için alınan ya da tavsiye edilen tedbirleri ve irtibat kişisi veya iletişim yollarını asgari düzeyde içermesi aranır.

Veri Güvenliği, Tedbir ve Denetim Yükümlülükleri

6698 sayılı Kişisel Verilerin Korunması Kanunu m. 12/1 uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı erişilmesini engellemek ve verilerin muhafazasını temin etmek gayesiyle uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri almak zorundadır. Alınması gereken veri güvenliği tedbirleri tek bir kalıptan ibaret olmayıp şirketin büyüklüğüne, faaliyet sahasına ve işlenen verinin yapısına göre belirlenir.

Kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması hususunda veri sorumlusu bu kişilerle birlikte müştereken sorumludur. Veri sorumlusu ayrıca kendi kurum veya kuruluşunda kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri bizzat yapmak veya yaptırmak zorundadır.

Veri sorumluları ve veri işleyen konumundaki kişiler, öğrendikleri kişisel verileri kanuna aykırı şekilde başkasına aktaramaz ve belirlenen işleme amacı dışında kullanamaz. Söz konusu sır saklama yükümlülüğü personelin veya yetkililerin görevden ayrılmalarından sonra da varlığını sürdürür.

Siber Olay Kayıtlarının Muhafazası ve Sektörel Yükümlülükler

Siber olay sonrasında adli bilişim incelemelerinin yürütülebilmesi, veri koruma otoritelerine bildirimlerin temellendirilmesi ve hukuki süreçlerin işletilebilmesi adına delil niteliğindeki sistem kayıtları korunmalıdır. Bu kapsamda log kayıtları, sunucu imajları, güvenlik duvarı kayıtları, VPN kayıtları, e-posta başlık bilgileri, antivirüs ve EDR bildirimleri, veri tabanı erişim logları ile yedekleme dosyaları silinmeksizin muhafaza altına alınmalıdır.

Elektronik haberleşme sektöründe faaliyet yürüten işletmeciler için siber saldırılara karşı önlem alma, Kurumsal SOME teşkil etme ve Sektörel SOME koordinasyonunda hareket etme yükümlülükleri bulunmaktadır. Bu işletmecilerin DoS ve DDoS taarruzları ile zararlı yazılımların yayılmasına karşı USOM koordinasyonunda gerekli tedbirleri almaları gerekir.

Türk Ceza Kanunu Uyarınca Bilişim Suçları ve Yaptırımlar

Siber müdahaleler Türk Ceza Kanunu bakımından cezai yaptırımlara bağlanmıştır. 5237 sayılı Türk Ceza Kanunu m. 243/1 uyarınca, bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak giren ya da orada kalmaya devam eden kişiye bir yıla kadar hapis veya adli para cezası verilir. Bu fiilin bedeli karşılığı yararlanılabilen sistemler hakkında icra edilmesi durumunda ceza yarı oranına kadar indirilir. Eylem sebebiyle sistemin içerdiği verilerin yok olması ya da değişmesi halinde ise fail hakkında altı aydan iki yıla kadar hapis cezasına hükmolunur. Sistem içi veya sistemler arası veri nakillerini sisteme girmeksizin teknik vasıtalarla hukuka aykırı olarak izleyenler ise bir yıldan üç yıla kadar hapis cezası ile cezalandırılır.

5237 sayılı Türk Ceza Kanunu m. 244/1 uyarınca, bir bilişim sisteminin işleyişini engelleyen veya bozan kimse bir yıldan beş yıla kadar hapis cezası ile karşı karşıya kalır. Bilişim sistemindeki verileri bozan, yok eden, değiştiren, erişilmez kılan, sisteme veri yerleştiren veya mevcut verileri başka bir yere gönderen kişi hakkında altı aydan üç yıla kadar hapis cezası verilir. Söz konusu fiillerin banka veya kredi kurumlarına ya da kamu kurum ve kuruluşlarına ait sistemlerde işlenmesi cezanın yarı oranında artırılmasını gerektirir. Bu eylemler vasıtasıyla kişinin kendisi veya başkası lehine haksız menfaat sağlaması durumunda, fiil başka bir suç oluşturmadığı takdirde iki yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezası uygulanır.

Çalışan Eylemleri ve Hukuki Tazminat Sorumluluğu

Çalışanın kötü niyetli olarak veri çalması hâlinde hem suç duyurusu hem iş akdinin feshi hem de tazminat veya rücu talepleri gündeme gelebilir. Ancak çalışan hatası şirketi otomatik olarak sorumluluktan kurtarmaz. Şirketin çalışanlara bilgi güvenliği eğitimi vermemiş olması, çok faktörlü kimlik doğrulama kullanmaması, yetkileri görevle sınırlandırmamış bulunması, eski çalışan erişimlerini kapatmaması veya log kaydı tutmaması durumunda şirketin kendi kusuru da tartışılır.

Siber hadiseler sonrasında müşteriler, çalışanlar veya diğer ilgili kişiler maddi ve manevi tazminat talep edebilir. Örneğin kimlik bilgileri sızan müşterinin dolandırıcılığa uğraması, sağlık verisi ifşa edilen kişinin manevi zarar yaşaması veya çalışanlara ait bordroların yayımlanması durumunda tazminat talepleri gündeme gelebilmektedir.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy