Veri İhlali Nedir ve Şirket Sorumluluğunu Hangi Durumlar Tetikler
Bir şirkette kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun m.12/5 hükmü kapsamında veri ihlali sayılır ve veri sorumlusu konumundaki şirket için bildirim ile sorumluluk yükümlülüklerini başlatır. İhlalin kaynağı yalnızca dış siber saldırı değildir; insan hatası, yanlış e-posta gönderimi, zayıf şifre kullanımı, eski çalışan hesaplarının kapatılmaması, bulut sistemlerinin yanlış yapılandırılması, yedeklerin şifresiz tutulması, tedarikçi hatası veya şirket içi kötüye kullanım da ihlale yol açabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
KVKK m.12/1 uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Bu yükümlülüğün yerine getirilmemiş olması hâlinde ihlal doğrudan bir saldırgan ya da kötü niyetli çalışan tarafından gerçekleştirilmiş olsa bile şirketin hukuki sorumluluğu gündeme gelebilir.
Veri Sorumlusunun Temel Güvenlik ve Denetim Yükümlülükleri
KVKK m.12/1, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla gerekli her türlü teknik ve idari tedbirleri alma yükümlülüğü getirmektedir. KVKK m.12/3 uyarınca veri sorumlusu, kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Bu iç denetim yükümlülüğü, veri güvenliğinin kurumsal düzeyde izlenmesini doğrudan bir yasal zorunluluk olarak düzenlemektedir.
Veri Sorumlusu ve Veri İşleyenin Müşterek Sorumluluğu
Kişisel veriler veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işleniyorsa, KVKK m.12/2 veri sorumlusunu birinci fıkrada belirtilen güvenlik tedbirlerinin alınması hususunda bu kişilerle birlikte müştereken sorumlu tutmaktadır. Kanun lafzı bu sorumluluğu güvenlik tedbirlerinin alınması yükümlülüğüne bağlamakta olup her somut durumda yükümlülüğün kapsamı ve yerine getirilip getirilmediği ayrıca değerlendirilmelidir.
Tedarikçi veya veri işleyen nezdinde gerçekleşen ihlaller de KVKK m.12/2 kapsamında değerlendirilebilir; veri sorumlusunun m.12/3 kapsamında gerekli denetimi yapıp yapmadığı da göz önünde bulundurulur.
Veri İhlali Bildirim Yükümlülüğü
KVKK m.12/5 uyarınca işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede hem ilgili kişiye hem de Kişisel Verileri Koruma Kurulu'na bildirmek zorundadır. Kurul, gerekli gördüğü hâlde bu durumu kendi internet sitesinde ya da uygun gördüğü başka bir yöntemle ilan edebilir. Kanun metninde bildirim süresi 'en kısa sürede' ifadesiyle belirlenmiş olup gün sayısına dayalı kesin süre Kurul'un ilgili düzenlemelerine bırakılmıştır.
Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarih ve 2019/10 sayılı kararında 72 saatlik bildirim süresi öngörülmekte; bu sürede bildirim yapılamaması hâlinde gecikmenin nedenlerinin de Kurula açıklanması gerektiği belirtilmektedir. Ayrıca ilk bildirim anında tüm bilgilerin sağlanması mümkün değilse bilgilerin aşamalı olarak sunulabileceği de aynı kararda yer almaktadır.
Kişisel Verileri Koruma Kurulu'nun 18.09.2019 tarih ve 2019/271 sayılı kararında ilgili kişiye yapılacak bildirimde asgari olarak şu unsurların yer alması gerektiği belirtilmektedir: ihlalin gerçekleştiği zaman, etkilenen kişisel veri kategorileri, ihlalin olası sonuçları, olumsuz etkilerin azaltılması için alınan ya da alınması önerilen tedbirler ve ilgili kişilerin bilgi alabileceği iletişim kanalları.
KVKK Kapsamındaki İdari Yaptırımlar
Veri ihlali yaşayan şirketler KVKK m.18 kapsamında idari para cezası riskiyle karşılaşabilir. KVKK m.18/1'in farklı bentleri ayrı yükümlülük ihlallerini kapsamaktadır: m.18/1-(a) aydınlatma yükümlülüğünü, m.18/1-(b) m.12'deki veri güvenliğine ilişkin yükümlülükleri ve m.18/1-(ç) VERBİS yükümlülüklerini yerine getirmeyenler hakkında idari para cezasını düzenlemektedir. KVKK m.18/2 uyarınca bu ceza veri sorumlusu gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanmakta olup ceza bandı kanun metninde belirlenmiş olmakla birlikte yeniden değerleme mekanizması nedeniyle güncel tutarlar değişkenlik göstermektedir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç
Yaptırım değerlendirmesinde ihlalin niteliği, etkilenen kişi sayısı, etkilenen veri kategorileri, özel nitelikli kişisel veri bulunup bulunmadığı, şirketin aldığı teknik ve idari tedbirler, ihlalin tespit süresi, Kurula ve ilgili kişilere bildirim süresi, ihlal sonrası alınan aksiyonlar ile şirketin kusur derecesinin önem taşıdığı değerlendirilmektedir. Bu kriterlerin tamamının her Kurul kararında uygulandığına dair doğrudan bir mevzuat dayanağı gösterilmemiş olup bu değerlendirme ikincil niteliktedir.
KVKK m.18/3 hükmüne göre Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Bu düzenleme 2/3/2024 tarihli ve 7499 sayılı Kanun'un 35. maddesiyle Kanun'a eklenmiştir.
Kişisel Veri İhlalinde Ceza Hukuku Boyutu
5237 sayılı Türk Ceza Kanunu'nun 135. maddesinin 1. fıkrası uyarınca hukuka aykırı olarak kişisel verileri kaydeden kişiye bir yıldan üç yıla kadar hapis cezası verilir. Bu hüküm hukuka aykırı veri kaydetme eylemini kapsamaktadır.
5237 sayılı TÜRK CEZA KANUNU m. 135Kaynağı aç
TCK m.135/2 uyarınca kaydedilen verinin kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması hâlinde birinci fıkra kapsamındaki ceza yarı oranında artırılır.
TCK m.136/1 uyarınca kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. Bu suçun faili gerçek kişidir; tüzel kişi ceza sorumluluğuna ilişkin hükümler ayrıca değerlendirilmesi gereken bir alandır.
5237 sayılı TÜRK CEZA KANUNU m. 136Kaynağı aç
TCK m.136 kapsamındaki suçun konusunun Ceza Muhakemesi Kanunu'nun 236. maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması hâlinde verilecek ceza bir kat artırılır. Bu fıkra 17/10/2019 tarihli 7188 sayılı Kanun'la eklenmiştir.
Şirket tüzel kişiliği hakkında doğrudan hapis cezası uygulanmaz; suçu işleyen gerçek kişiler bakımından ise eylemlerine göre yukarıda belirtilen ceza hükümleri gündeme gelir. Tüzel kişilere yönelik güvenlik tedbirlerine ilişkin hükümler, şartları oluştuğunda ve kanunun öngördüğü hallerde ayrıca değerlendirilen bir alandır.
5237 sayılı TÜRK CEZA KANUNU m. 60Kaynağı aç
Özel Hukuk Kapsamındaki Tazminat Talepleri
KVKK m.11/1-ğ uyarınca kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğrayan ilgili kişi, veri sorumlusundan zararın giderilmesini talep etme hakkına sahiptir. Bu hakkın kullanımına ilişkin usul, zamanaşımı ve ispat yükü kaynak kesitinde düzenlenmemiştir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 11Kaynağı aç
Veri ihlalinden zarar gören kişilerin Türk Borçlar Kanunu kapsamında haksız fiil, sözleşmeye aykırılık veya kişilik haklarının ihlali hükümlerine dayanarak tazminat talep edebileceği değerlendirilmektedir. Bu taleplerde uygulanacak maddeler ve koşullar kaynakta ayrıca belirtilmemiştir.
Gizlilik Yükümlülüğü ve Görevden Ayrılma Sonrası Sorumluluk
KVKK m.12/4 uyarınca veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Kanun bu yükümlülüğün görevden ayrılmadan sonra da devam ettiğini açıkça hükme bağlamaktadır.
İlgili Kişinin KVKK Kapsamındaki Hakları
KVKK m.11/1 kapsamında her ilgili kişi, veri sorumlusuna başvurarak kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve bu amaca uygun kullanılıp kullanılmadığını öğrenme ve yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme haklarına sahiptir.
Bunların yanı sıra ilgili kişi; kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini, KVKK m.7'de öngörülen koşullar çerçevesinde silinmesini veya yok edilmesini, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini, münhasıran otomatik sistemlerle analiz edilerek kendi aleyhine sonuç doğurulmasına itiraz etmeyi ve kanuna aykırı işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına da sahiptir.
Veri İhlali Müdahale Planı
Kişisel Verileri Koruma Kurulu'nun veri ihlali bildirimine ilişkin düzenlemesinde, veri sorumlusunun; kendi nezdinde kimlere raporlama yapılacağını, bildirim sorumluluğunun kimde olduğunu ve ihlalin olası sonuçlarının değerlendirilmesini içeren bir veri ihlali müdahale planı hazırlaması ve bu planı belirli aralıklarla gözden geçirmesi gerektiği belirtilmektedir.
Düzenli tatbikat yapılması, çalışanlara farkındalık eğitimi verilmesi, tedarikçilerle iletişim kanallarının test edilmesi ve kritik sistemlerde olay senaryolarının oluşturulması iyi uygulama önerileri olarak öne çıkmaktadır. Bu öneriler mevzuat yükümlülüğü niteliği taşımamaktadır.
Sık Sorulan Sorular
Veri ihlalini kaç günde bildirmek gerekiyor?
KVKK m.12/5, bildirimin 'en kısa sürede' yapılması gerektiğini düzenlemektedir; kanun metninde gün sayısı belirtilmemiştir. Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarih ve 2019/10 sayılı kararında 72 saatlik bir süre öngörülmekte, bu sürede bildirim yapılamaması hâlinde gecikmenin nedenlerinin de Kurula açıklanması gerektiği belirtilmektedir. İlk bildirim anında tüm bilgilere ulaşılamıyorsa bilgiler aşamalı olarak sunulabilmektedir.
Tedarikçi kaynaklı veri ihlalinde şirketin sorumluluğu var mı?
KVKK m.12/2 uyarınca kişisel veriler veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işleniyorsa, veri sorumlusu güvenlik tedbirlerinin alınması bakımından bu kişilerle birlikte müştereken sorumludur. Tedarikçi veya veri işleyen kaynaklı ihlaller bu hüküm kapsamında değerlendirilir; veri sorumlusunun m.12/3 kapsamındaki denetim yükümlülüğünü yerine getirip getirmediği de göz önünde bulundurulur.
Veri ihlalinde ilgili kişiye nasıl bildirim yapılır?
Kişisel Verileri Koruma Kurulu'nun 18.09.2019 tarih ve 2019/271 sayılı kararında ilgili kişiye yapılacak bildirimde asgari olarak şu unsurların bulunması gerektiği belirtilmektedir: ihlalin gerçekleşme zamanı, etkilenen kişisel veri kategorileri, ihlalin olası sonuçları, olumsuz etkileri azaltmaya yönelik alınan ya da önerilen tedbirler ve bilgi alınabilecek iletişim kanalları.
Şirket çalışanının veri sızdırması hâlinde kim sorumlu olur?
KVKK m.12/4 uyarınca çalışan, kişisel verileri Kanun'a aykırı biçimde başkasına açıklamamak ve işleme amacı dışında kullanmamakla yükümlüdür; bu yükümlülük görevden ayrılmadan sonra da devam eder. TCK m.136/1 kapsamında kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi iki yıldan dört yıla kadar hapis cezasıyla karşılaşabilir. Şirket açısından ise KVKK m.12/1 kapsamında gerekli teknik ve idari tedbirlerin alınıp alınmadığı belirleyici bir etkendir; tedbirlerin eksikliği saptanırsa şirketin de hukuki sorumluluğu gündeme gelebilir.
Kurulun verdiği idari para cezasına itiraz edilebilir mi?
Evet. KVKK m.18/3 uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir.
Kişisel veri ihlali suç mudur?
TCK m.135/1 kapsamında hukuka aykırı olarak kişisel verileri kaydeden kişiye bir yıldan üç yıla kadar hapis cezası verilmektedir. Bu suçta verinin siyasi görüş, ırki köken, sağlık durumu, cinsel yaşam veya sendikal bağlantı gibi özel nitelikli kategorilere ilişkin olması hâlinde ceza yarı oranında artırılmaktadır (TCK m.135/2). Verilerin hukuka aykırı biçimde başkasına verilmesi, yayılması veya ele geçirilmesi ise TCK m.136/1 kapsamında iki yıldan dört yıla kadar hapis cezasını gerektirmektedir. Hapis cezası doğrudan şirket tüzel kişiliğine değil, eylemi gerçekleştiren gerçek kişilere uygulanır.
İlgili kişi veri ihlali nedeniyle tazminat talep edebilir mi?
Evet. KVKK m.11/1-ğ uyarınca kişisel verilerinin kanuna aykırı işlenmesi sebebiyle zarara uğrayan ilgili kişi, veri sorumlusundan zararın giderilmesini talep etme hakkına sahiptir. Bunun yanı sıra Türk Borçlar Kanunu kapsamında haksız fiil, sözleşmeye aykırılık veya kişilik haklarının ihlali hükümleri de gündeme gelebilir; bu taleplerde uygulanacak maddeler ve koşullar olayın hukuki niteliğine göre belirlenmektedir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy