KVKK m. 12/5'e göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirir; Kurul, gerekmesi hâlinde ihlali kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir.
Veri ihlali; işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir: siber saldırı, yanlış alıcıya gönderim, cihaz kaybı, yetkisiz erişim ve içeriden sızdırma tipik örneklerdir.
İhlal, yalnız dış saldırıyla değil; iç süreç hatalarıyla da doğabilir. Yanlış yapılandırılmış sistemler ve geniş tutulmuş erişim yetkileri, en sık ihlal kaynaklarıdır.
İhlalin boyutu, etkilenen kişi sayısı ve veri kategorilerine göre değerlendirilir; özel nitelikli verileri etkileyen ihlaller en yüksek risk sınıfındadır.
Kanun, bildirimin en kısa sürede yapılmasını emreder; Kurulun yerleşik uygulamasında bu süre, ihlalin öğrenilmesinden itibaren yetmiş iki saat olarak somutlaştırılmıştır.
Bildirim hem Kurula hem ihlalden etkilenen ilgili kişilere yapılır; ilgili kişilere bildirim, makul en kısa sürede ve ulaşılabilir kanallardan gerçekleştirilir.
Yurt dışında yaşanan ancak Türkiye'deki ilgili kişileri etkileyen ihlallerde de Kurula bildirim gündeme gelir.
Kurula bildirimde; ihlalin ne zaman ve nasıl gerçekleştiği, etkilenen veri kategorileri ve kişi sayısı, olası sonuçlar ile alınan ve alınması planlanan tedbirler açıklanır; Kurumun yayımladığı bildirim formu kullanılır.
Bilgilerin tamamına aynı anda ulaşılamıyorsa aşamalı bildirim mümkündür; ilk bildirimin gecikmemesi esastır.
Bildirim formunda irtibat kişisinin bilgileri de yer alır; Kurulun ek bilgi taleplerine bu kanaldan hızla dönülmelidir.
Bildirim yükümlülüğü, m. 12'nin genel veri güvenliği yükümlülüklerinin parçasıdır: veri sorumlusu; hukuka aykırı işlemeyi ve erişimi önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır.
İhlal sonrası inceleme, çoğu kez tedbir eksikliğini ortaya çıkarır; bu hâlde ihlal bildirimi yapılmış olsa bile güvenlik yükümlülüğü ihlalinden idari para cezası gündeme gelir.
Tedbirlerin belgelenmesi — sızma testleri, erişim matrisleri, şifreleme politikaları — olası incelemede savunmanın temelidir.
Bildirim yükümlülüğüne aykırılık, veri güvenliği yükümlülükleri kapsamında idari para cezasına yol açar; Kurul, geç bildirimlerde gecikme gerekçesini ayrıca değerlendirir.
İhlalden zarar gören ilgili kişilerin genel hükümlere göre tazminat hakkı saklıdır; ihlalin gizlenmesi, tazminat davalarında kusuru ağırlaştıran bir unsur olarak değerlendirilebilir.
İtibar kaybı da cezai riski aşan bir maliyettir; şeffaf ve hızlı bildirim, güven kaybını sınırlayan en etkili araçtır.
Sigorta poliçeleri, siber olay maliyetlerini karşılayabilir; bildirim disiplini poliçe şartlarının da gereğidir.
Her veri sorumlusunun yazılı bir ihlal müdahale planı olmalıdır: ihlali kim tespit eder, kim değerlendirir, bildirim kararını kim verir ve iletişimi kim yürütür sorularının cevabı önceden belirlenmelidir.
Log kayıtlarının tutulması ve saat damgası, ihlalin öğrenilme anının ispatında belirleyicidir; yetmiş iki saatlik sürenin başlangıcı bu kayıtlarla savunulur.
İhlal sonrası düzeltici aksiyonlar — parola sıfırlama, yetki daraltma, sistem yamaları — belgelenmeli; Kurula sunulacak dosyada yer almalıdır.
Kanun "en kısa sürede" der; Kurul uygulamasında bu süre, öğrenmeden itibaren 72 saat olarak somutlaşmıştır.
Hem Kurula hem ihlalden etkilenen ilgili kişilere; Kurul gerekirse ihlali ilan edebilir.
İhlalin zamanı ve şekli, etkilenen veri kategorileri ve kişi sayısı, olası sonuçlar ve alınan tedbirler; Kurumun formu kullanılır.
Hayır; aşamalı bildirim yapılır. İlk bildirimin gecikmemesi esastır.
Veri güvenliği yükümlülüklerine aykırılıktan idari para cezası uygulanabilir; zarar görenlerin tazminat hakkı saklıdır.
KVKK başvuruları, Kurul şikâyetleri ve tazminat süreçlerinde hukuki destek için bize ulaşın.