KVKK'da Veri İhlali Bildirimi: 72 Saat Kuralı ve İşletmelerin Yükümlülükleri

Kişisel Verileri Koruma Kanunu kapsamında veri ihlalinin Kurul'a ve ilgili kişilere bildirilmesi, 72 saatlik süre, ihlal kaydı tutma ve alınacak tedbirler.

Kişisel verilerin yetkisiz kişilerce ele geçirilmesi, yanlış kişiye gönderilmesi veya kaybolması gibi durumlar, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında "veri ihlali" olarak değerlendirilir. İhlali fark eden veri sorumlusunun yükümlülükleri, Kanun m.12 ve Kişisel Veri İhlali Bildirimi Rehberi ile düzenlenmiştir.

Kimler veri sorumlusudur?

Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişi veri sorumlusudur. Bir şirket, esnaf, site yönetimi, kooperatif veya serbest meslek sahibi, müşteri, çalışan ya da sakin bilgilerini işliyorsa, kural olarak veri sorumlusu sıfatıyla bu yükümlülüklere tabidir.

72 saatlik bildirim süresi

Kanun'un 12. maddesi uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu bunu en kısa sürede ilgili kişiye ve Kurul'a bildirmek zorundadır. Kurul'un yayımladığı karar ve rehbere göre, ihlalin öğrenildiği andan itibaren 72 saat içinde Kurul'a bildirim yapılması gerekir. Bu süreye uyulamaması halinde, gecikmenin gerekçesinin de bildirimle birlikte açıklanması beklenir.

İlgili kişilere bildirim

İhlalden etkilenen kişilere de en kısa sürede, açık ve anlaşılır bir dille bildirim yapılmalıdır. Bildirimde ihlalin ne zaman gerçekleştiği, hangi verilerin etkilendiği, olası sonuçlar ve alınan tedbirler ile iletişim noktası yer almalıdır.

İhlal kaydı tutmak

Bildirim yapılması gereken bir durum doğsun veya doğmasın, veri sorumlusunun yaşanan ihlalleri, etkilerini ve alınan tedbirleri kayıt altına alması gerekir. Bu kayıtlar, Kurul tarafından talep edildiğinde sunulabilecek şekilde saklanmalıdır.

Önleyici tedbirler

• Erişim yetkilerinin kişi ve görev bazında sınırlandırılması,
• Güçlü parola ve çok faktörlü doğrulama kullanılması,
• Düzenli yedekleme ve güncelleme,
• Çalışanlara yönelik farkındalık eğitimi,
• Üçüncü kişilerle (yazılım sağlayıcı, muhasebe, bulut hizmeti) yapılan sözleşmelerde veri güvenliği hükümlerine yer verilmesi,
• İhlal halinde izlenecek adımları içeren yazılı bir prosedür hazırlanması.

Yaptırımlar

Veri güvenliğine ilişkin yükümlülükleri yerine getirmeyen veri sorumluları hakkında Kurul idari para cezası verebilir. Cezaların tutarları her yıl yeniden değerleme oranında güncellenmektedir; güncel miktarlar Kurul'un ve ilgili mevzuatın yayımladığı duyurulardan takip edilmelidir.

Sonuç

Veri ihlalleri çoğu zaman teknik saldırılardan değil, insan hatasından doğar. Süreci önceden yazılı hale getiren, sorumluları belirleyen ve düzenli kayıt tutan işletmeler, hem cezai riski azaltır hem de olası itibar kaybını sınırlar.