Kişisel Veri İhlali ve Bildirimi
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu, bu durumu en kısa sürede ilgilisine ve Kurul'a bildirir (KVKK m. 12/5). Kurul kararına göre "en kısa süre" ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat olarak yorumlanır. Bildirim Kurul'un internet sitesindeki veri ihlali bildirim formuyla yapılır.
İhlal halinde ne yapılmalı?
- İhlalin kapsamını ve etkilenen veri kategorilerini belirlemek.
- İhlali durdurmak ve tekrarını önleyecek teknik tedbirleri almak.
- İhlali en geç 72 saat içinde Kurul'a bildirmek; gecikme varsa gerekçesini açıklamak.
- Etkilenen kişilere makul sürede ve uygun iletişim kanalıyla bildirim yapmak.
- İhlali, etkilerini ve alınan tedbirleri kayıt altına almak.
Veri güvenliği yükümlülüklerini yerine getirmeyen veri sorumlularına Kurul tarafından idari para cezası verilebilir (KVKK m. 18).
Veri ihlali bildiriminde hangi bilgiler yer alır?
| Bilgi | Açıklama |
|---|---|
| İhlalin tarihi ve tespit tarihi | İhlalin ne zaman gerçekleştiği ve ne zaman öğrenildiği |
| İhlalin kaynağı | Siber saldırı, cihaz kaybı, personel hatası gibi |
| Etkilenen veri kategorileri | Kimlik, iletişim, finans, sağlık verileri gibi |
| Etkilenen kişi sayısı | Tahmini veya kesin sayı |
| Muhtemel sonuçlar | Dolandırıcılık veya itibar kaybı riski gibi |
| Alınan tedbirler | İhlali durdurmak ve tekrarını önlemek için yapılanlar |
| İrtibat kişisi | Kurul ve ilgili kişilerle iletişim için yetkili |
İlgili kişilere nasıl bildirim yapılır?
Veri sorumlusu, ihlalden etkilenen kişileri tespit ettikten sonra makul en kısa sürede, ilgili kişinin iletişim adresine ulaşabiliyorsa doğrudan, ulaşamıyorsa kendi internet sitesinde yayımlamak gibi uygun yöntemlerle bilgilendirir. Bildirimde ihlalin ne zaman ve nasıl gerçekleştiği, hangi verilerin etkilendiği, muhtemel sonuçları, alınan tedbirler ve ilgili kişinin iletişime geçebileceği kanallar açık ve sade bir dille yer alır.
İhlalden etkilenen kişi ne yapabilir?
Verileri sızan kişi, veri sorumlusuna başvurarak ihlalin kapsamı hakkında bilgi isteyebilir, Kurul'a şikâyette bulunabilir ve uğradığı zarar için tazminat davası açabilir. Banka veya kart bilgileri etkilenmişse bankayla iletişime geçilmesi ve şifrelerin değiştirilmesi gerekir. Kişisel verilerin hukuka aykırı olarak ele geçirilmesi suç olduğundan savcılığa suç duyurusunda da bulunulabilir (TCK m. 136).
Dilekçe rehberleri
Sık sorulan sorular
Her veri ihlali Kurul'a bildirilmeli mi?
Kanun, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde bildirimi zorunlu tutar; ihlalin küçük olması tek başına bildirimi ortadan kaldırmaz.
72 saat geçerse ne olur?
Bildirim yine yapılmalı ve gecikmenin gerekçesi açıklanmalıdır; gecikme yaptırım değerlendirmesinde dikkate alınabilir.
Veri işleyen ihlali kime bildirir?
Veri işleyen, ihlali gecikmeksizin veri sorumlusuna bildirir; Kurul'a bildirim yükümlülüğü veri sorumlusundadır.
Kaynakça
Bu sayfadaki bilgiler genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz.