Verileriniz sızdıysa önce veri sorumlusuna yazılı başvurun; şirket en geç 30 gün içinde, kural olarak ücretsiz cevap vermek zorundadır (KVKK m.13). Cevap yetersizse veya hiç gelmezse, cevabı öğrendiğiniz tarihten itibaren 30 gün, her hâlde başvurudan itibaren 60 gün içinde Kişisel Verileri Koruma Kuruluna şikâyet edebilirsiniz (m.14). Veri sorumlusu ihlali size ve Kurula bildirmek zorundadır; Kurul kararına göre bu bildirim öğrenmeden itibaren 72 saat içinde yapılmalıdır. Uğradığınız zarar için ayrıca tazminat istenebilir.
İçindekiler · 16 bölüm
Durumunuza göre seçenekler
- Veri sorumlusunun cevap süresi: En geç 30 gün, kural olarak ücretsiz (KVKK m.13/2).
- Kurula şikâyet: Cevaptan itibaren 30 gün, her hâlde başvurudan itibaren 60 gün (m.14).
- Doğrudan Kurula gidilebilir mi?: Hayır; önce veri sorumlusuna başvurulmalıdır.
- Şirketin bildirim yükümü: Sızıntıyı size ve Kurula bildirir; Kurula 72 saat içinde (m.12/5).
- Zarar oluştuysa: Maddi ve manevi tazminat istenebilir (m.11).
- Hesabınıza girildiyse: Bilişim sistemine girme suçu için savcılığa şikâyet (TCK m.243).
Veri ihlali; kişisel verilerin hukuka aykırı biçimde elde edilmesi, açıklanması, değiştirilmesi, kaybolması veya erişilemez hâle gelmesi gibi olayları kapsayabilir. Bir sızıntı bildirimi alındığında önce hangi verilerin etkilendiği ve olayın devam edip etmediği belirlenmeli; hesap güvenliği ile hukuki başvuru adımları birlikte planlanmalıdır.
Verileriniz sızdığında ilk ne yapılmalı?
Veri sorumlusunun bildirimini, olay tarihini ve açıklanan veri kategorilerini saklayın.
Etkilenen hesabın parolasını değiştirin; aynı parola kullanılan diğer hesapları da güvene alın.
Kimlik, finans veya iletişim verisi sızdıysa olağan dışı işlem ve mesajları takip edin.
Veri sorumlusundan olayın kapsamı, alınan tedbirler ve haklarınız hakkında yazılı bilgi isteyin.
Zarar, kimlik kötüye kullanımı veya suç şüphesi varsa ilgili kayıtları koruyarak diğer hukuki yolları değerlendirin.
Şirketin veri ihlalinde yükümlülükleri nelerdir?
KVKK m.12 uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde durumun en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kuruluna bildirilmesi gerekir.
Bildirim yapılması tek başına bütün yükümlülüklerin yerine getirildiği anlamına gelmez. İhlalin kaynağının belirlenmesi, etkisinin sınırlandırılması, delillerin ve kayıtların korunması, etkilenen kişilere anlaşılır bilgi verilmesi ve benzer olayların önlenmesine yönelik tedbirler ayrıca önem taşır.
72 saatlik bildirim süresi ne anlama gelir?
Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı kararı, KVKK m.12/5'teki “en kısa sürede” ifadesini veri sorumlusunun ihlali öğrendiği tarihten itibaren en geç yetmiş iki saat olarak yorumlamıştır. Kurula bildirim bu süre içinde yapılmalı; haklı bir nedenle gecikme varsa gerekçesi de bildirimle açıklanmalıdır.
Karara göre etkilenen kişilere de ihlalin öğrenilmesinden sonra makul olan en kısa sürede bildirim yapılması gerekir. Yetmiş iki saat, ilgili kişinin başvuru süresi değil; veri sorumlusunun Kurula bildirim yükümlülüğüne ilişkin ölçüdür.
KVKK başvuru ve şikâyet süreleri kaç gündür?
| Aşama | Süre | Dayanak |
|---|---|---|
| Veri sorumlusuna yazılı başvuru | — | KVKK m.13/1 |
| Veri sorumlusunun cevabı | En geç 30 gün, kural olarak ücretsiz | KVKK m.13/2 |
| Kurula şikâyet | Cevabın öğrenilmesinden itibaren 30 gün, her hâlde başvurudan itibaren 60 gün | KVKK m.14/1 |
| Şikâyet ön şartı | Veri sorumlusuna başvuru yolu tüketilmeden şikâyet yapılamaz | KVKK m.14/2 |
| Tazminat | Kişilik hakkı ihlalinde genel hükümlere göre saklı | KVKK m.14/3 |
| Veri sızıntısında bildirim | Veri sorumlusu en kısa sürede ilgilisine ve Kurula bildirir | KVKK m.12/5 |
Veri sızıntısı suç mudur?
| Fiil | Ceza | Dayanak |
|---|---|---|
| Bilişim sistemine hukuka aykırı girme | 1 yıla kadar hapis veya adli para | TCK m.243/1 |
| Verileri başka yere gönderme | 6 aydan 3 yıla kadar hapis | TCK m.244/2 |
| Veri nakillerini hukuka aykırı izleme | 1 yıldan 3 yıla kadar hapis | TCK m.243/4 |
Sık yapılan hatalar
Veri sorumlusuna başvurmadan doğrudan şikâyet etmek.
Yalnız genel bir sızıntı haberiyle kişisel etkilenmeyi açıklamamak.
Parola ve hesap güvenliği önlemlerini geciktirmek.
İlgili kişinin KVKK m.11 kapsamındaki hakları
Kişisel verilerinin işlenip işlenmediğini öğrenme,
işlenmişse buna ilişkin bilgi talep etme,
işlenme amacı ile amacına uygun kullanılıp kullanılmadığını öğrenme,
verilerin aktarıldığı yurt içi veya yurt dışındaki üçüncü kişileri bilme,
eksik veya yanlış işlenen verilerin düzeltilmesini isteme,
kanuni şartları varsa silme veya yok etme talep etme,
bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
kanuna aykırı işleme sebebiyle zarara uğranması hâlinde giderim talep etme.
Veri sorumlusuna başvuru nasıl yapılır?
KVKK m.13 uyarınca ilgili kişi taleplerini önce veri sorumlusuna iletir. Başvuruda kimlik ve iletişim bilgileri, talebin konusu, ihlalle bağlantı ve istenen sonuç açıkça belirtilmelidir. Veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır; işlemin ayrıca maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret gündeme gelebilir.
Başvuruya cevap verilmemesi, cevabın yetersiz bulunması veya başvurunun reddedilmesi hâlinde KVKK'daki süre ve usul şartlarına göre Kurula şikâyet yolu değerlendirilebilir. Ceza şikâyeti, tazminat veya sözleşmesel talepler ise olayın niteliğine göre ayrıca gündeme gelebilir.
Hangi kayıtlar korunmalı?
Veri ihlali bildiriminin aslı, e-posta üstbilgileri ve tarih-saat kayıtları,
veri sorumlusuna yapılan başvuru ve teslim/ileti kayıtları,
hesap giriş uyarıları, parola sıfırlama ve şüpheli işlem bildirimleri,
kimlik veya finans verisinin kötüye kullanıldığını gösteren mesaj, işlem ve başvurular,
Kurul veya diğer kurumlarla yapılan yazışmalar.
Dijital kayıtların değiştirilmeden ve bağlamıyla korunması için dijital delilin korunması ve mahkemeye sunulması rehberini inceleyebilirsiniz.
Sık yapılan hatalar
Yetmiş iki saati ilgili kişinin başvuru süresi sanmak,
başvuruyu veri sorumlusu yerine ilgisiz bir birime göndermek,
hangi verinin ve hangi talebin söz konusu olduğunu açıklamamak,
bildirim e-postasını ve teslim kayıtlarını silmek,
yalnız parola değiştirip kimlik veya finans verisinin kötüye kullanım riskini izlememek.
Emsal Kurul kararı neden önemlidir?
Kişisel Verileri Koruma Kurulunun 2019/10 sayılı kararı; Kurula bildirim için yetmiş iki saatlik ölçüyü, ilgili kişilere makul olan en kısa sürede bildirim yapılmasını, gecikme gerekçesinin açıklanmasını ve veri ihlallerine ilişkin kayıt ile müdahale planı tutulmasını ortaya koyar. Somut olayda bildirim zamanı ve içeriği bu ölçütlerle birlikte değerlendirilir.
Resmî kaynaklar ve ilgili hizmet
İlgili kişinin hakları bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu m.11; veri güvenliği ve ihlal bildirimi bakımından m.12; veri sorumlusuna başvuru bakımından m.13 esas alınır. Somut olayın veri, ceza ve tazminat boyutlarının değerlendirilmesi için Bilişim Hukuku hizmeti sayfasına bakabilirsiniz. Bakırköy ve çevresindeki bilişim ve kişisel veri dosyalarında nasıl çalıştığımızı Bakırköy avukat sayfamızda anlattık.
İhlalin nedeni bir hesabın ele geçirilmesi ise sosyal medya hesabı ele geçirildiğinde yapılması gerekenleri de inceleyebilirsiniz.
Okumaya devam edin
Sık sorulan sorular
Veri ihlali kaç saat içinde Kurula bildirilmelidir?
Kişisel Verileri Koruma Kurulunun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kurula bildirim yapmalıdır. Haklı bir gecikme varsa gerekçesi bildirimle birlikte açıklanmalıdır.
72 saat ilgili kişinin KVKK başvuru süresi midir?
Hayır. 72 saat, veri sorumlusunun veri ihlalini Kurula bildirmesine ilişkin ölçüdür. İlgili kişinin veri sorumlusuna başvuru ve Kurula şikâyet süreçleri KVKK'daki ayrı süre ve usul kurallarına tabidir.
Veri sorumlusu başvuruma kaç günde cevap vermelidir?
KVKK m.13 uyarınca veri sorumlusu başvuruyu en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. Cevap verilmez, başvuru reddedilir veya cevap yetersiz kalırsa Kurula şikâyet yolu değerlendirilebilir.
Veri sızıntısında tazminat istenebilir mi?
KVKK m.11, kişisel verilerin kanuna aykırı işlenmesi sebebiyle zarara uğrayan kişinin zararın giderilmesini talep etme hakkını düzenler. Talebin şartları, zarar ile ihlal arasındaki bağlantı ve görevli yol somut olaya göre incelenir.
Veri sorumlusu başvuruma ne kadar sürede cevap vermeli?
En kısa sürede ve en geç 30 gün içinde, kural olarak ücretsiz cevap verilmelidir (KVKK m.13/2).
KVKK Kuruluna ne zamana kadar şikâyet edilir?
Veri sorumlusunun cevabını öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde; önce veri sorumlusuna başvurulmuş olması şarttır (KVKK m.14).
Veri sızıntısında şirket bana bildirmek zorunda mı?
Evet. İşlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusu bunu en kısa sürede ilgilisine ve Kurula bildirir (KVKK m.12/5).
Soru ve yorumlar
Yorumlar, moderasyon onayından sonra yayımlanır.
Henüz yayımlanmış yorum bulunmuyor.