Kişisel Veri İhlali

Kişisel veri ihlali, KVKK’nın 12. maddesinin beşinci fıkrasına göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. Bir siber saldırı, fidye yazılımı, ele geçirilen bir e-posta hesabı, yanlış kişiye gönderilen bir dosya, kaybolan bir cihaz veya yetkisiz bir çalışanın verilere erişmesi ihlale yol açabilir.

Bildirim Yükümlülüğü

Veri sorumlusu, ihlali en kısa sürede Kurul’a ve ilgili kişilere bildirmek zorundadır. Kurul, 24.01.2019 tarihli ve 2019/10 sayılı kararında bu süreyi şöyle yorumlamıştır:

• Kurul’a bildirim: İhlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde, Kurul’un Kişisel Veri İhlal Bildirim Formu ile. Bilgiler henüz tamamlanmamışsa bildirim eldeki bilgilerle yapılır; gecikme olursa gerekçesi açıklanır.
• İlgili kişilere bildirim: Etkilenen kişiler tespit edildikten sonra makul olan en kısa sürede; iletişim bilgileri biliniyorsa doğrudan, bilinmiyorsa uygun yollarla.

İhlal bir veri işleyende yaşanmışsa da bildirim yükümlülüğü veri sorumlusuna aittir.

Siber Güvenlik Kanunu ile İlişkisi

Her kişisel veri ihlali aynı zamanda bir siber olaydır. 7545 sayılı Siber Güvenlik Kanunu kapsamındaki şirketler, aynı olayı gecikmeksizin Siber Güvenlik Başkanlığı’na da bildirmekle yükümlü olabilir.

Adım Adım Ne Yapılmalı?

İlk saatlerde olayın saatiyle kayıt altına alınması, ihlalin sınırlanması, delillerin korunması, etkilenen verilerin ve kişilerin belirlenmesi ve bildirim kararının verilmesi gerekir. Hazırlıktan bildirimlere kadar bütün süreç ve yazdırılabilir bir kontrol listesi için Kişisel Veri İhlalinde İlk 72 Saat rehberimize bakabilirsiniz.

Yaptırım

Veri güvenliği yükümlülüklerine aykırılık KVKK’da en yüksek tutarlı idari para cezalarından birine tabidir. İhlal öncesinde alınan teknik ve idari tedbirler ve ihlalden sonraki müdahale, Kurul’un değerlendirmesinde belirleyicidir.