KVKK Veri İhlali ve Veri Sızıntısında Haklar

Veri ihlali; kişisel verilerin hukuka aykırı biçimde elde edilmesi, açıklanması, değiştirilmesi, kaybolması veya erişilemez hâle gelmesi gibi olayları kapsayabilir. Bir sızıntı bildirimi alındığında önce hangi verilerin etkilendiği ve olayın devam edip etmediği belirlenmeli; hesap güvenliği ile hukuki başvuru adımları birlikte planlanmalıdır.

Veri ihlali öğrenildiğinde ilk adımlar

1. Veri sorumlusunun bildirimini, olay tarihini ve açıklanan veri kategorilerini saklayın.

2. Etkilenen hesabın parolasını değiştirin; aynı parola kullanılan diğer hesapları da güvene alın.

3. Kimlik, finans veya iletişim verisi sızdıysa olağan dışı işlem ve mesajları takip edin.

4. Veri sorumlusundan olayın kapsamı, alınan tedbirler ve haklarınız hakkında yazılı bilgi isteyin.

5. Zarar, kimlik kötüye kullanımı veya suç şüphesi varsa ilgili kayıtları koruyarak diğer hukuki yolları değerlendirin.

Veri sorumlusunun yükümlülükleri

KVKK m.12 uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde durumun en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kuruluna bildirilmesi gerekir.

Bildirim yapılması tek başına bütün yükümlülüklerin yerine getirildiği anlamına gelmez. İhlalin kaynağının belirlenmesi, etkisinin sınırlandırılması, delillerin ve kayıtların korunması, etkilenen kişilere anlaşılır bilgi verilmesi ve benzer olayların önlenmesine yönelik tedbirler ayrıca önem taşır.

72 saatlik bildirim süresi ne anlama gelir?

Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı kararı, KVKK m.12/5'teki “en kısa sürede” ifadesini veri sorumlusunun ihlali öğrendiği tarihten itibaren en geç yetmiş iki saat olarak yorumlamıştır. Kurula bildirim bu süre içinde yapılmalı; haklı bir nedenle gecikme varsa gerekçesi de bildirimle açıklanmalıdır.

Karara göre etkilenen kişilere de ihlalin öğrenilmesinden sonra makul olan en kısa sürede bildirim yapılması gerekir. Yetmiş iki saat, ilgili kişinin başvuru süresi değil; veri sorumlusunun Kurula bildirim yükümlülüğüne ilişkin ölçüdür.

İlgili kişinin KVKK m.11 kapsamındaki hakları

• Kişisel verilerinin işlenip işlenmediğini öğrenme,

• işlenmişse buna ilişkin bilgi talep etme,

• işlenme amacı ile amacına uygun kullanılıp kullanılmadığını öğrenme,

• verilerin aktarıldığı yurt içi veya yurt dışındaki üçüncü kişileri bilme,

• eksik veya yanlış işlenen verilerin düzeltilmesini isteme,

• kanuni şartları varsa silme veya yok etme talep etme,

• bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

• kanuna aykırı işleme sebebiyle zarara uğranması hâlinde giderim talep etme.

Veri sorumlusuna başvuru nasıl yapılır?

KVKK m.13 uyarınca ilgili kişi taleplerini önce veri sorumlusuna iletir. Başvuruda kimlik ve iletişim bilgileri, talebin konusu, ihlalle bağlantı ve istenen sonuç açıkça belirtilmelidir. Veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır; işlemin ayrıca maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret gündeme gelebilir.

Başvuruya cevap verilmemesi, cevabın yetersiz bulunması veya başvurunun reddedilmesi hâlinde KVKK'daki süre ve usul şartlarına göre Kurula şikâyet yolu değerlendirilebilir. Ceza şikâyeti, tazminat veya sözleşmesel talepler ise olayın niteliğine göre ayrıca gündeme gelebilir.

Hangi kayıtlar korunmalı?

• Veri ihlali bildiriminin aslı, e-posta üstbilgileri ve tarih-saat kayıtları,

• veri sorumlusuna yapılan başvuru ve teslim/ileti kayıtları,

• hesap giriş uyarıları, parola sıfırlama ve şüpheli işlem bildirimleri,

• kimlik veya finans verisinin kötüye kullanıldığını gösteren mesaj, işlem ve başvurular,

• Kurul veya diğer kurumlarla yapılan yazışmalar.

Dijital kayıtların değiştirilmeden ve bağlamıyla korunması için dijital delilin korunması ve mahkemeye sunulması rehberi incelenebilir.

Sık yapılan hatalar

• Yetmiş iki saati ilgili kişinin başvuru süresi sanmak,

• başvuruyu veri sorumlusu yerine ilgisiz bir birime göndermek,

• hangi verinin ve hangi talebin söz konusu olduğunu açıklamamak,

• bildirim e-postasını ve teslim kayıtlarını silmek,

• yalnız parola değiştirip kimlik veya finans verisinin kötüye kullanım riskini izlememek.

Emsal Kurul kararı neden önemlidir?

Kişisel Verileri Koruma Kurulunun 2019/10 sayılı kararı; Kurula bildirim için yetmiş iki saatlik ölçüyü, ilgili kişilere makul olan en kısa sürede bildirim yapılmasını, gecikme gerekçesinin açıklanmasını ve veri ihlallerine ilişkin kayıt ile müdahale planı tutulmasını ortaya koyar. Somut olayda bildirim zamanı ve içeriği bu ölçütlerle birlikte değerlendirilir.

Resmî kaynaklar ve ilgili hizmet

İlgili kişinin hakları bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu m.11; veri güvenliği ve ihlal bildirimi bakımından m.12; veri sorumlusuna başvuru bakımından m.13 esas alınır. Somut olayın veri, ceza ve tazminat boyutlarının değerlendirilmesi için Bilişim Hukuku hizmeti sayfasına bakabilirsiniz.