Şirketlerde Siber Güvenlik İhlali ve Hukuki Sorumluluk

Şirket Bilgi Sistemlerinde Siber Güvenlik İhlali ve Kapsamı

Siber güvenlik ihlali; şirketin bilgi sistemlerine, ağlarına, verilerine, yazılımlarına, kullanıcı hesaplarına veya dijital varlıklarına hukuka aykırı, yetkisiz ya da güvenliği bozucu biçimde müdahale edilmesidir. Bu tür müdahaleler sisteme dışarıdan yönelik siber saldırılarla meydana gelebileceği gibi, şirket çalışanları, eski çalışanlar, tedarikçiler, hizmet sağlayıcılar veya yetkisini kötüye kullanan kişiler tarafından da gerçekleştirilebilir.

Meydana gelen her siber güvenlik hadisesi otomatik olarak kişisel veri ihlali şeklinde nitelendirilmez. Kişisel verilerin etkilenmediği kısa süreli hizmet kesintileri gibi durumlar öncelikli olarak sözleşmesel sorumluluk boyutunda ele alınabilir. Buna karşılık ihlalin kişisel verilere temas etmesi durumunda veri koruma mevzuatından doğan özel yükümlülükler devreye girer. Ayrıca siber olaylarda Ulusal Siber Olaylara Müdahale Merkezi bildirim mecburiyeti her özel işletme ve her olay tipi bakımından aynı biçimde uygulanmayıp kuruluşun faaliyet alanı ve tâbi olduğu sektörel kurallara göre şekillenir.

Veri Sorumlusunun Güvenlik Tedbiri ve Denetim Yükümlülüğü

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin birinci fıkrası doğrultusunda veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini ve bu verilere yetkisiz erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli tüm teknik ve idari tedbirleri almak mecburiyetindedir. Bu tedbirlerin belirlenmesinde tek tip ve standart bir yöntem öngörülmemiş olup şirketin kurumsal büyüklüğü, ticari faaliyet alanı, işlenen kişisel verinin türü ve maruz kalınan risk derecesi dikkate alınır.

Kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi durumunda veri sorumlusu, gerekli tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur. Bunun yanında 6698 sayılı Kanun'un 12. maddesi gereğince veri sorumlusu, kendi kurum veya kuruluşunda kanun hükümlerinin uygulanmasını temin etmek gayesiyle gerekli denetimleri yapmak veya yaptırmakla yükümlüdür. Ayrıca veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri kanuna aykırı olarak başkasına açıklayamaz veya işleme amacı dışında kullanamaz; bu yükümlülük ilgililerin görevden ayrılmasından sonra da devam eder.

İhlal Bildirim Süreci ve Kurul İncelemesi

İşlenen kişisel verilerin kanuna aykırı yollarla üçüncü kişilerce ele geçirilmesi hâlinde 6698 sayılı Kanun'un 12. maddesinin beşinci fıkrası uyarınca veri sorumlusu, söz konusu durumu en kısa sürede hem ilgili kişiye hem de Kişisel Verileri Koruma Kurulu'na bildirmekle yükümlüdür. Veri sorumlularının ihlali öğrendikleri andan itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kurul'a başvurmaları gerekir. Kurul, ihtiyaç görmesi durumunda ihlale ilişkin durumu kendi resmî internet sitesinde veya münasip göreceği başka bir vasıtayla kamuoyuna ilan edebilir.

İhlalden etkilenen kimseler netleştirildikten sonra bu kişilere makul olan en kısa sürede açık, anlaşılır ve yol gösterici bir bildirim yapılmalıdır. İlgili kişilere iletilecek bilgilendirmenin; ihlalin gerçekleştiği zaman dilimini, etkilenen kişisel veri türlerini, olayın yaratabileceği muhtemel sonuçları, zararları en aza indirmek için planlanan veya hayata geçirilen önlemleri ve irtibat kurulabilecek yetkilileri ya da iletişim kanallarını içermesi esastır.

Yaşanan güvenlik ihlalinin Kurul'a bildirilmiş olması, şirketin veri güvenliğine dair hukuki sorumluluğunu kendiliğinden sonlandırmaz. Bildirimin ardından Kurul; işletmenin gerekli teknik ve idari tedbirleri vaktinde alıp almadığını, sistemdeki zafiyetleri, olayın büyüklüğünü, etkilenen kişi sayısını, verilerin mahiyetini, krize müdahale hızını ve ilgililere yapılan duyuruların elverişliliğini inceleyebilir.

İdari Para Cezaları ve Yargı Yolu

6698 sayılı Kanun'un 12. maddesinde düzenlenen veri güvenliğine ilişkin yükümlülüklere riayet etmeyenler hakkında aynı Kanun'un 18. maddesinin birinci fıkrasının (b) bendi kapsamında idari para cezası uygulanır. Bu idari para cezaları, veri sorumlusu olan gerçek şahıslar ile özel hukuk tüzel kişileri hakkında tatbik edilir. Kurul tarafından tesis edilen idari yaptırım ve para cezası kararlarına karşı ilgililerce idare mahkemelerinde dava açılabilir.

6698 sayılı Kanun'un 18. maddesinde yer verilen kabahat teşkil eden fiillerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek teşekkülleri bünyesinde vuku bulması hâlinde ise Kurulun bildirimi üzerine, ilgili kamu kurumunda görevli memurlar, diğer kamu görevlileri veya meslek kuruluşu çalışanları hakkında disiplin hükümlerine göre işlem yürütülür ve varılan netice Kurula aktarılır.

Özel Hukuk Boyutunda Tazminat Sorumluluğu

Siber güvenlik ihlali neticesinde maddi veya manevi zarara uğrayan kimseler, Türk Borçlar Kanunu hükümleri ve kişilik haklarının korunmasına dair yasal esaslar dairesinde şirket aleyhine maddi ve manevi tazminat davası açabilir. Bu kapsamdaki yargısal değerlendirmede şirketin kusur durumu, sistemde hayata geçirilen güvenlik önlemleri, atağın öngörülebilir nitelikte bulunup bulunmadığı, maruz kalınan zarar ile ihlal arasındaki illiyet bağı ve şirketin ihlal anındaki müdahale tarzı önem taşır.

Türk Ceza Kanunu Uyarınca Bilişim Suçları

Bilişim sistemlerine yönelik hukuka aykırı fiiller 5237 sayılı Türk Ceza Kanunu'nda bağımsız suç tipleri olarak tanzim edilmiştir. 5237 sayılı Kanun'un 243. maddesinin üçüncü fıkrasına göre bir bilişim sistemine hukuka aykırı biçimde girilmesi neticesinde sistemdeki veriler yok olur veya değişirse, fail hakkında altı aydan iki yıla kadar hapis cezasına hükmedilir. Aynı maddenin dördüncü fıkrası uyarınca bir bilişim sisteminin kendi dahilinde yahut sistemler arasında gerçekleşen veri nakillerini sisteme giriş yapmaksızın teknik araçlarla hukuka aykırı olarak izleyen fail, bir yıldan üç yıla kadar hapis cezası ile tecziye edilir.

5237 sayılı Kanun'un 244. maddesinin birinci fıkrası uyarınca bir bilişim sisteminin işleyişini engelleyen ya da bozan fail, bir yıldan beş yıla kadar hapis cezası ile cezalandırılır. Maddenin ikinci fıkrası gereğince bir bilişim sistemindeki verileri bozan, yok eden, değiştiren, erişilmez kılan, sisteme veri yerleştiren veya mevcut verileri başka bir yere aktaran kişi hakkında altı aydan üç yıla kadar hapis cezası verilir.

TCK m. 244 kapsamında düzenlenen sistemi engelleme, bozma, verileri yok etme, bozma, değiştirme, erişilmez kılma, sisteme veri yerleştirme veya var olan verileri başka bir yere gönderme eylemlerinin bir banka veya kredi kuruluşuna ya da bir kamu kurum ve kuruluşuna ait bilişim sistemi üzerinde gerçekleştirilmesi durumunda verilecek ceza yarı oranında artırılır. Anılan fiiller vasıtasıyla failin kendisi veya başkası yararına haksız çıkar sağlaması ve eylemin başka bir suç oluşturmaması hâlinde ise faile iki yıldan altı yıla kadar hapis ve beş bin güne kadar adlî para cezası uygulanır.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy