Personal Data Breach

Also known as: Data Breach, Data Leak, Kişisel Veri İhlali

In short

Processed personal data being obtained by others through unlawful means; the controller must notify the Board within 72 hours of becoming aware of it and data subjects within the shortest reasonable time.

Kişisel veri ihlali, KVKK’nın 12. maddesinin beşinci fıkrasına göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. Bir siber saldırı, fidye yazılımı, ele geçirilen bir e-posta hesabı, yanlış kişiye gönderilen bir dosya, kaybolan bir cihaz veya yetkisiz bir çalışanın verilere erişmesi ihlale yol açabilir.

Bildirim Yükümlülüğü

Veri sorumlusu, ihlali en kısa sürede Kurul’a ve ilgili kişilere bildirmek zorundadır. Kurul, 24.01.2019 tarihli ve 2019/10 sayılı kararında bu süreyi şöyle yorumlamıştır:

Kurul’a bildirim: İhlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde, Kurul’un Kişisel Veri İhlal Bildirim Formu ile. Bilgiler henüz tamamlanmamışsa bildirim eldeki bilgilerle yapılır; gecikme olursa gerekçesi açıklanır.
İlgili kişilere bildirim: Etkilenen kişiler tespit edildikten sonra makul olan en kısa sürede; iletişim bilgileri biliniyorsa doğrudan, bilinmiyorsa uygun yollarla.

İhlal bir veri işleyende yaşanmışsa da bildirim yükümlülüğü veri sorumlusuna aittir.

Siber Güvenlik Kanunu ile İlişkisi

Her kişisel veri ihlali aynı zamanda bir siber olaydır. 7545 sayılı Siber Güvenlik Kanunu kapsamındaki şirketler, aynı olayı gecikmeksizin Siber Güvenlik Başkanlığı’na da bildirmekle yükümlü olabilir.

Adım Adım Ne Yapılmalı?

İlk saatlerde olayın saatiyle kayıt altına alınması, ihlalin sınırlanması, delillerin korunması, etkilenen verilerin ve kişilerin belirlenmesi ve bildirim kararının verilmesi gerekir. Hazırlıktan bildirimlere kadar bütün süreç ve yazdırılabilir bir kontrol listesi için Kişisel Veri İhlalinde İlk 72 Saat rehberimize bakabilirsiniz.

Yaptırım

Veri güvenliği yükümlülüklerine aykırılık KVKK’da en yüksek tutarlı idari para cezalarından birine tabidir. İhlal öncesinde alınan teknik ve idari tedbirler ve ihlalden sonraki müdahale, Kurul’un değerlendirmesinde belirleyicidir.

Frequently Asked Questions

Is an e-mail sent to the wrong person a breach?

Yes. Sending a file or e-mail containing personal data to an unauthorised person means the data has been obtained by someone else through unlawful means, and it must be assessed for notification.

Must low-risk breaches also be notified?

Unlike the GDPR, the KVKK provides no notification exemption for low-risk breaches. The decision on whether to notify should be taken on the basis of legal advice before the 72 hours expire.

← Glossary A–Z