Kişisel Veri İhlali Yaşandığında: Şirketlerin 72 Saatlik Bildirim Yükümlülüğü ve Alınması Gereken Önlemler

Siber saldırılar, fidye yazılımları, yanlış alıcıya gönderilen e-postalar, kaybolan cihazlar veya yetkisiz çalışan erişimi; büyüklüğü ne olursa olsun her işletmenin karşılaşabileceği veri ihlali senaryolarıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), böyle bir durumda veri sorumlusuna açık bir bildirim yükümlülüğü yükler.

Kanuni dayanak

KVKK'nın 12. maddesi uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini ve bu verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır. Kişisel verilerin başka bir gerçek veya tüzel kişi tarafından veri sorumlusu adına işlenmesi hâlinde, veri sorumlusu bu tedbirlerin alınması hususunda o kişilerle birlikte müştereken sorumludur.

Aynı maddenin beşinci fıkrasına göre, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.

"En kısa süre" = 72 saat

Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararıyla "en kısa sürede" ifadesi 72 saat olarak yorumlanmıştır. Buna göre:

• Veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunmalıdır.
• İhlalden etkilenen kişiler belirlendikten sonra bu kişilere de makul olan en kısa süre içinde, iletişim adreslerine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa internet sitesinde yayımlama gibi uygun yöntemlerle bildirim yapılmalıdır.
• Haklı bir gerekçeyle 72 saat içinde bildirim yapılamazsa, bildirimle birlikte gecikmenin nedenleri de açıklanmalıdır.
• Bildirimde Kurul'un "Kişisel Veri İhlal Bildirim Formu" kullanılmalı; tüm bilgiler aynı anda sağlanamıyorsa aşamalı olarak iletilmelidir.
• İhlallere ilişkin bilgiler, etkileri ve alınan önlemler kayıt altına alınmalı ve Kurul incelemesine hazır tutulmalıdır.
• Veri işleyen nezdinde bir ihlal yaşanırsa, veri işleyen bunu gecikmeksizin veri sorumlusuna bildirmelidir.
• Veri sorumlularının bir veri ihlali müdahale planı hazırlaması ve bu planı belirli aralıklarla gözden geçirmesi gerekir.

Kurul kararlarından bir örnek

Kurul'un 17.09.2020 tarihli ve 2020/715 sayılı kararına konu olayda, internette daha önce ifşa olmuş e-posta ve şifre bilgileri robot bir uygulamayla bir internet sitesinin giriş ekranında denenmiş ve 832 kullanıcının hesabına yetkisiz erişim sağlanmıştır. Veri sorumlusu ihlali 72 saat içinde bildirmiş olsa da Kurul, aynı IP adresinden yapılan başarısız giriş denemelerinin sınırlandırılması gibi önlemlerin ihlalden önce alınmadığını tespit ederek veri güvenliğine ilişkin tedbirleri almadığı gerekçesiyle idari para cezası uygulamıştır. Bu karar, zamanında bildirimin tek başına yeterli olmadığını, ihlal öncesi güvenlik önlemlerinin de denetlendiğini göstermektedir.

Yaptırımlar

Veri güvenliğine ilişkin yükümlülükleri yerine getirmeyen veri sorumluları hakkında KVKK'nın 18. maddesi uyarınca idari para cezası uygulanabilir; cezaların tutarları her yıl yeniden değerleme oranında güncellenmektedir. Ayrıca kişisel verilerin hukuka aykırı olarak ele geçirilmesi veya yayılması, Türk Ceza Kanunu'nun 135 ve 136. maddeleri kapsamında suç da oluşturabilir. İhlalden zarar gören kişilerin tazminat talepleri de saklıdır.

İhlale hazırlık için temel adımlar

• Hangi verilerin nerede ve kimler tarafından işlendiğini gösteren güncel bir veri envanteri tutun.
• Erişim yetkilerini görev bazlı sınırlandırın; erişim ve işlem kayıtlarını (log) tutun.
• Çok faktörlü kimlik doğrulama, şifreleme, güncel yazılım ve düzenli yedekleme gibi teknik önlemleri uygulayın.
• Veri işleyenlerle (bulut, yazılım, muhasebe hizmeti sağlayıcıları vb.) yaptığınız sözleşmelere ihlal bildirimi ve güvenlik yükümlülüklerine ilişkin hükümler ekleyin.
• Yazılı bir veri ihlali müdahale planı hazırlayın; kimin karar vereceğini, kimin bildirim yapacağını ve iletişim sürecini önceden belirleyin.
• Çalışanları kimlik avı (oltalama) saldırıları ve güvenli veri kullanımı konusunda düzenli olarak eğitin.

Sonuç

Veri ihlalinde ilk 72 saat kritik önemdedir. Ancak Kurul uygulaması, yalnızca bildirimin değil, ihlal öncesinde alınan teknik ve idari tedbirlerin de değerlendirildiğini göstermektedir. Bu nedenle ihlal yaşanmadan önce hazırlık yapılması, hem yaptırım riskini hem de zararı azaltır.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki görüş niteliği taşımaz.