Veri İhlali Bildirimi: Kime, Ne Kadar Sürede Yapılır?

Kısa Cevap

Veri ihlali, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. Kanun, veri sorumlusuna bunu en kısa sürede hem Kurula hem ilgilisine bildirme yükümlülüğü yükler. Kişisel Verileri Koruma Kurulu bu ifadeyi 72 saat olarak yorumlamıştır: süre ihlalin gerçekleştiği andan değil, veri sorumlusunun öğrendiği tarihten itibaren işler. İlgili kişilere bildirim ise etkilenenler belirlendikten sonra makul olan en kısa sürede yapılır.

Bu Durumda mısınız?

• Sisteminize yetkisiz erişim olduğunu fark ettiniz ve saatlerin işlediğini biliyorsunuz.
• Bir çalışanınız müşteri listesini yanlış alıcıya gönderdi ya da şifresiz bir cihaz kayboldu.
• Yedekleme veya yapılandırma hatası nedeniyle veriler internete açık hâle geldi.
• Hizmet aldığınız yurt dışı merkezli bir sağlayıcıda ihlal yaşandığı size bildirildi.
• Kurumdan ihlalle ilgili bilgi ve belge istenen bir yazı aldınız.

Bu yazı genel çerçeveyi verir; ihlalin niteliği, öğrenme anı ve aldığınız tedbirler sonucu doğrudan değiştirdiğinden somut durumunuz için bir avukata danışmanız önemlidir.

Veri İhlali Nedir?

Tanım kanunun kendi ifadesinden çıkar: kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi. Uygulamada en sık görülen hâller siber saldırı ve fidye yazılımı, çalışan eliyle yetkisiz erişim veya sızdırma, verinin yanlış alıcıya gönderilmesi, şifrelenmemiş cihazın kaybı ya da çalınması ve sunucu yapılandırma hatası nedeniyle verilerin dışarıya açılmasıdır.

Ölçüt zararın gerçekleşmiş olması değildir; verinin yetkisiz kişilerce elde edilmiş olması yeterlidir.

Kanuni Dayanak

Veri güvenliği yükümlülüğü ihlal bildiriminden önce gelir:

Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.12)

Bildirim yükümlülüğü ise aynı maddenin beşinci fıkrasındadır:

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.12)

Dikkat edilmesi gereken nokta: kanun metninde 72 saat yazmaz. Kanun yalnızca “en kısa süre” der.

AYM: Bildirim ile Veri Güvenliği Aynı Şey Değildir

Veri ihlalini süresinde bildirmek, ihlalden önce alınması gereken teknik ve idari tedbirlerin yeterli olduğu anlamına gelmez. Anayasa Mahkemesi Genel Kurulu, geniş ölçekli bir konaklama veri ihlaline ilişkin idari para cezasını incelerken iki kavramı açıkça ayırmıştır:

Bu noktada kişisel verilerin korunması ile veri güvenliğinin korunmasının birbirinden farklı olduğunun altı çizilmelidir. Kişisel verilerin korunması ile asıl olarak kişisel verilerin işlenmesi sırasında temel hak ve özgürlüklerin korunması ile verilerin işlenmesi sırasındaki hukuki sınırlar ifade edilirken veri güvenliğinin korunmasında ise verilerin bizzat kendisinin korunması için alınması gereken teknik ve idari tedbirler anlaşılmaktadır. Veri güvenliği ile hukuka uygun bir biçimde işlenen ve depolanan kişisel verilere tesadüfen veya yetkisiz kişilerce ulaşılması, bu verilerin değiştirilmesi veya alenileştirilmesi gibi risklere karşı uygun güvenlik önlemleriyle bu verilerin korunması amaçlanmaktadır.

(Anayasa Mahkemesi Genel Kurulu, B. No: 2020/7518, T. 12.10.2023, § 58 — ihlal)

AYM, uygun güvenlik seviyesinin belirlenmesinde işleme faaliyetinin doğurduğu risklerin, işletmenin büyüklüğü ve mali yapısının, yapılan işin ve korunan verinin niteliğinin birlikte değerlendirilmesi gerektiğini belirtmiştir. Buna göre 72 saat içinde bildirim yapılmış olması yalnız bildirim yükümlülüğü bakımından önem taşır; erişim yetkileri, şifreleme, loglama, ağ güvenliği, yedekleme ve olay müdahale düzeni gibi önlemlerin yeterliliği ayrıca incelenir.

Kararın sonucu da dikkatle sınırlandırılmalıdır. AYM, idari para cezasını esastan kaldırmamış; veri sorumlusu sıfatı, cezanın zaman bakımından uygulanması, bildirimin süresi, kusur ve ölçülülük gibi sonuca etkili itirazların yargı merciince karşılanmaması nedeniyle mülkiyet hakkının ihlal edildiğine ve yeniden yargılama yapılmasına karar vermiştir. Bu nedenle karar “bildirim yapılırsa ceza verilemez” şeklinde okunamaz; hem güvenlik tedbirlerinin hem de bildirim zaman çizelgesinin ayrı ayrı belgelenmesi gerektiğini gösterir.

72 Saat Kuralı Nereden Geliyor?

Süre, Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin Kararı ile belirlenmiştir. Kurul bu kararında, Kanunun 12. maddesinin beşinci fıkrasındaki “en kısa sürede” ifadesinin 72 saat olarak yorumlanmasına ve veri sorumlusunun bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesine karar vermiştir. Aynı kararda, ihlalden etkilenen kişilerin belirlenmesinden sonra ilgili kişilere de makul olan en kısa süre içinde bildirim yapılması öngörülmüştür.

Kararın bağlayıcı süre ölçütü şöyledir:

Kanunun 12 nci maddesinin (5) numaralı fıkrasının “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir….” hükmünde yer alan “en kısa sürede” ifadesinin 72 saat olarak yorumlanmasına ve bu kapsamda veri sorumlusunun bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesine, veri sorumlusunca söz konusu veri ihlalinden etkilenen kişilerin belirlenmesini müteakip ilgili kişilere de makul olan en kısa süre içerisinde, ilgili kişinin iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi web sitesi üzerinden yayımlanması gibi uygun yöntemlerle bildirim yapılmasına,

(Kişisel Verileri Koruma Kurulu, 24.01.2019 tarihli ve 2019/10 sayılı karar)

Kurul ayrıca haklı bir gerekçeyle 72 saat içinde bildirim yapılamamışsa, gecikme nedenlerinin bildirimle birlikte açıklanmasını ister. Bu hüküm süreyi kendiliğinden uzatmaz; gecikmenin gerekçelendirilmesini ve kayıt altına alınmasını gerektirir.

Bu ayrımın pratik önemi büyüktür: süre, ihlalin gerçekleştiği an değil öğrenildiği an başlar. Bu nedenle şirket içi olay müdahale kaydının, ihlalin hangi birimce ne zaman fark edildiğini ve yönetime ne zaman raporlandığını göstermesi gerekir. Öğrenme anını belgeleyemeyen veri sorumlusu, süreyi tuttuğunu da ispatlayamaz.

Yer bakımından uygulama da gündeme gelir. Kurumun Kişisel Verilerin Yurt Dışına Aktarılması Rehberi, 2019/10 sayılı Karara atıfla, ihlalin yurt dışında yerleşik bir veri sorumlusu nezdinde yaşanması hâlinde bile, sonuçlarının Türkiyede yerleşik ilgili kişileri etkilemesi ve bu kişilerin sunulan ürün ve hizmetlerden Türkiyede yararlanması durumunda aynı esaslar çerçevesinde Kurula bildirimde bulunulacağı yönündeki değerlendirmeye yer verir. Yurt dışı merkezli bir sağlayıcıda yaşanan ihlali otomatik olarak kapsam dışı saymamak gerekir.

Geç Bildirimin Sonucu Ne Oluyor?

Kurul kararları bu noktada oldukça somuttur. Süresinde yapılan bildirimlerde Kurul, veri sorumlusu hakkında bu kapsamda yapılacak bir işlem bulunmadığı yönünde karar verebilmektedir; örneğin ihlalin tespit edildiği tarihten üç gün içinde bildirim yapılan bir dosyada bu sonuca varılmıştır (Kişisel Verileri Koruma Kurulu, 17.09.2020 tarihli ve 2020/715 sayılı karar).

Buna karşılık, ihlalin öğrenilmesinden itibaren 72 saatlik süre geçirildiğinde Kurul bildirim koşulunun sağlanmadığını tespit etmektedir; bir bankaya ilişkin dosyada ihlalin kurum içi tespitinden yaklaşık bir ay sonra yapılan bildirim bu şekilde değerlendirilmiştir (Kişisel Verileri Koruma Kurulu, 29.09.2020 tarihli ve 2020/744 sayılı karar).

Kısacası aynı ihlal, yalnızca bildirim zamanlaması nedeniyle iki farklı sonuca gidebilmektedir.

İhlal Anında Adım Adım

1. Öğrenme anını kayda geçirin. Tarih, saat, fark eden kişi ve bildirim zinciri yazılı olsun; 72 saat buradan işler.
2. İhlali sınırlayın. Erişimi kesin, oturumları sonlandırın, şifreleri değiştirin, kanıtları koruyun.
3. Kapsamı belirleyin. Hangi veri kategorileri, kaç kişi ve kaç kayıt etkilendi?
4. Kurula bildirin. Öğrenmeden itibaren en geç 72 saat içinde, Kurumun öngördüğü form ve asgari unsurlarla.
5. İlgili kişilere bildirin. Etkilenenler belirlendikten sonra makul olan en kısa sürede, doğrudan ve anlaşılır biçimde.
6. Tedbirleri belgeleyin. Alınan teknik ve idari önlemler, sonraki incelemede lehinize değerlendirilebilecek tek somut malzemedir.
7. Kayıt altına alın. İhlal, etkileri ve alınan aksiyonlar iç kayıtta saklanmalıdır.

VERBİS ve Diğer Yükümlülükler

İhlal yönetimi tek başına yeterli değildir; sicil yükümlülüğü ayrıca işler:

Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.16)

İhlale konu verilerin arasında sağlık, biyometrik veya inanç bilgisi gibi hassas veriler varsa ek yükümlülükler doğar; bu verilerin rejimi için özel nitelikli kişisel veri yazımıza bakabilirsiniz.

Yaptırım

a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar, b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar, c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar, ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar,

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.18)

Bildirim yükümlülüğü m.12 kapsamında olduğundan, geç veya hiç yapılmayan bildirim (b) bendindeki kademeyi gündeme getirir. Bu tutarlar maktu olup her takvim yılı başında yeniden değerleme oranında artırılarak uygulanır; kanun metnindeki rakam ile o yıl uygulanan rakam bu nedenle farklıdır.

Sık Yapılan Hatalar

• Süreyi ihlal tarihinden saymak. 72 saat, ihlalin öğrenildiği andan işler; öğrenme anı belgelenmelidir.
• Sadece Kurula bildirmek. İlgili kişilere bildirim ayrı bir yükümlülüktür ve atlanması sık rastlanan eksikliktir.
• İncelemeyi tamamlamayı beklemek. Kapsam netleşmeden de bildirim yapılabilir; süre soruşturmanın bitişini beklemez.
• Yurt dışı sağlayıcıyı kapsam dışı saymak. Sonuçları Türkiyedeki kişileri etkiliyorsa bildirim yükümlülüğü doğar.
• Bildirimi itiraf sanmak. Bildirim kanuni yükümlülüktür; asıl risk bildirimden kaçınmaktır.
• Belge tutmamak. Alınan tedbirler yazılı değilse, incelemede lehe değerlendirilecek bir dayanak da kalmaz.

Özet

• 72 saat kanunda yazmaz: Kanun “en kısa sürede” der; 72 saat Kurulun 24.01.2019 tarihli ve 2019/10 sayılı Kararından gelir.
• Süre ihlalin gerçekleştiği andan değil, veri sorumlusunun öğrendiği tarihten işler.
• Bildirim hem Kurula hem ilgili kişilere yapılır; biri diğerinin yerine geçmez.
• Süresinde ve eksiksiz bildirim Kurul incelemesinde lehe değerlendirilebilir; bildirimden kaçınmak ayrı bir aykırılık doğurur.
• Bildirim kusurun kabulü değildir; kanuni bir yükümlülüğün yerine getirilmesidir.
• Süresinde bildirim, veri güvenliği tedbirlerinin yeterli olduğunu tek başına göstermez; iki yükümlülük ayrı ayrı incelenir.
• Ölçüt, kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmiş olmasıdır.
• Yaptırım kademesi m.18/1-b olup tutarlar her yıl yeniden değerlemeye tabidir.

İlgili yazılar: Veri Sorumlusu Kimdir? Veri İşleyenden Farkı ve Yükümlülükleri · KVKK Kuruluna Şikâyet: Süre, Usul ve Kurul Kararına İtiraz · VERBİS Kaydı: Kimler Zorunlu, Süresi ve Kaydetmemenin Yaptırımı · Özel Nitelikli Kişisel Veri Nedir? İşleme Şartları · TCK 136 Kişisel Verileri Hukuka Aykırı Ele Geçirme ve Yayma Suçu · Bilişim Suçları Nelerdir? Türleri ve Cezaları