Kişisel veri ihlali nedir?

İhlal hangi olaylarda gündeme gelir?

Müşteri listesinin yanlış alıcıya gönderilmesi, çalışan dosyasına yetkisiz erişim veya veri tabanının dışarı sızması kişisel veri sorunu oluşturabilir. Her teknik kesinti otomatik aynı tür bildirim yükümlülüğü doğurmaz; hangi verinin etkilendiği ve başkalarınca elde edilme durumu araştırılır. Kasıt bulunmaması ihlalin önemsiz olduğu anlamına gelmez. Yanlış e-posta gibi insan hataları da kişilerin haklarını etkileyebilir ve somut inceleme gerektirir.

Hukuka aykırı işleme ve sızıntı ayrımı

Veri için uygun hukuki sebep bulunmaması, gereğinden fazla saklama veya aydınlatma eksikliği de ihlal iddiası yaratabilir. Kanunun 12/5 maddesindeki özel bildirim ise kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesine ilişkindir. Bu ayrım her KVKK sorununa aynı yetmiş iki saat kuralını uygulamayı önler. Olayın niteliği doğru konulmalı; bildirim yapılıp yapılmayacağı belirsiz diye araştırma gereksiz geciktirilmemelidir.

İhlal, risk ve kesin zarar

Bir olayda kişiye henüz para kaybı doğmamış olması verisinin etkilenmediğini göstermez. Kimlik dolandırıcılığı, itibar kaybı veya mahremiyet etkisi ileride ortaya çıkabilir. Buna karşılık sadece sistemde zafiyet bulunması ile gerçek kişisel veri elde edilmesi aynı olgu değildir. Etkilenen veri türü, kişi sayısı, erişenler ve erişimin süresi araştırılır. Bilinen olgular ile henüz doğrulanmamış teknik ihtimaller raporda ayrı gösterilmelidir.

Yetmiş iki saatlik bildirim

Kurulun 24 Ocak 2019 tarihli 2019/10 kararı, en kısa süre ifadesini Kurula bildirim yönünden öğrenmeden itibaren en geç yetmiş iki saat olarak yorumlar. Bildirim gecikmeksizin yapılmalıdır; son saate kadar beklemek amaç değildir. Haklı nedenle geç bildirimde gecikme sebepleri açıklanır. Tüm bilgiler henüz tamamlanmamışsa kararın aşamalı bilgi sunmaya ilişkin düzeni değerlendirilir. Öğrenme anının ve ilk değerlendirmenin kaydı özellikle önemlidir.

İlgili kişilere haber verilmesi

Kurula bildirim ile etkilenen kişiye bilgi verme ayrı yükümlülüklerdir. Kişiler belirlendikten sonra makul olan en kısa sürede uygun yöntemle bilgilendirilir. Her durumda kişiye de sabit yetmiş iki saat anlatımı doğru değildir. Bildirim, hangi verilerin etkilendiği ve olası sonuçlar bakımından anlaşılır olmalıdır. Olayı önemsiz gösterecek muğlak cümleler kişinin gerekli önlemi değerlendirmesini engelleyebilir; doğrulanmamış ağır sonuçlar da kesin gerçekleşmiş gibi yazılmamalıdır.

Veri sorumlusu ve veri işleyen

Sistemi dışarıdan hizmet sağlayanın işletmesi, veri sorumlusunun yükümlülüğünü kendiliğinden ortadan kaldırmaz. Veri işleyenin ihlali öğrendiğinde veri sorumlusunu gecikmeksizin bilgilendirmesi önemlidir. Sözleşmede bildirim ve işbirliği düzeni bulunması sürecin yürütülmesini kolaylaştırabilir. Ancak tarafların özel anlaşması kanuni sorumluluğu bütünüyle başkasına devretmez. Hangi şirketin amaç ve araçları belirlediği, hangi şirketin onun adına işlem yaptığı gerçek faaliyet üzerinden saptanmalıdır.

Olay kayıtları ve inceleme

Tespit zamanı, etkilenmiş sistem, veri grupları, alınan ilk önlemler ve araştırma adımları kayıt altına alınır. Mevcut loglar ve deliller korunurken gereksiz yeni veri ifşası yaratılmamalıdır. Teknik raporun hukukçu tarafından uydurulması yerine yetkili uzmanların bulguları kullanılır. Kesin kişi sayısı bilinmiyorsa tahminin dayanağı açıklanır ve güncelleme yapılır. İlk haber ile sonradan doğrulanan kapsam arasındaki farkın belgelenmesi, değerlendirmeyi denetlenebilir kılar.

Etkilenen kişinin başvurusu

Kişi hangi verilerinin etkilendiğini, olayın kapsamını ve kendisine ilişkin işlemleri veri sorumlusuna sorabilir. Şirketin genel kamuoyu duyurusu her bireysel soruyu cevaplamayabilir. Başvuruda kimlik ve olay bağlantısı ölçülü biçimde gösterilir. Veri sorumlusu en geç otuz gün içinde cevaplar. Kurula şikâyet için cevabın öğrenilmesinden itibaren otuz ve ilk başvurudan itibaren her halde altmış günlük sınırlar önemlidir; belgeler saklanmalıdır.

Kurul kararı ve yaptırım

Kurul olayın kanuni yükümlülükler bakımından incelenmesi sonucunda talimat veya idari yaptırım uygulayabilir. Bildirim yapılmış olması, olayın oluşumundaki yükümlülüklerin yerine getirildiğini otomatik kanıtlamaz. Bildirim yapılmaması da ayrıca değerlendirilir. 9 Mayıs 2024 tarihli 2024/728 karar özetinde hem önlemler hem bildirim gecikmesi yönünden inceleme görülür. O karardaki para tutarları başka yıl veya dosyaya doğrudan taşınmamalıdır; güncel miktar ve somut ihlal ayrıdır.

Tazminat ve ceza yolları

Kurula şikâyet kişiye otomatik tazminat ödenmesi anlamına gelmez. Zarar ve sorumluluk koşulları varsa ilgili yargısal yol ayrıca değerlendirilir. Verinin hukuka aykırı verilmesi veya ele geçirilmesi gibi suç iddialarında ceza hukuku gündeme gelebilir. Her veri ihlalinin aynı suçu oluşturduğu söylenemez; fiil, fail, kast ve kanuni unsurlar araştırılır. İdari, özel hukuk ve ceza sonuçları birbirine karıştırılmadan takip edilmelidir.

Temsili örnek

İnsan kaynaklarının çalışan sağlık belgesini yanlış kişiye göndermesi, yalnız teknik saldırılarda ihlal olur düşüncesinin yanlışlığını gösterir. Alıcının kim olduğu, belgeye erişilip erişilmediği ve sonraki işlemler araştırılır. Buna karşılık sistemin kısa süre kesilmesi tek başına dışarı veri sızdığını kanıtlamaz. Her iki durumda da olayın kapsamı olgularla belirlenmelidir. Amaç ne ihlali küçümsemek ne de doğrulanmamış sızıntıyı kesin ilan etmektir.

Sürecin doğru kapanması

Olayın öğrenilmesi, kapsamın belirlenmesi, gerekli bildirimler ve ilgili kişilere verilen yanıtlar tutarlı izlenmelidir. Şirketin kamuya söylediğiyle Kurula sunduğu bilgi arasında açıklanmayan fark bulunması yeni uyuşmazlık doğurabilir. Kişi yönünden ise somut zarar ve talepler ayrı kaydedilir. Olaydan sonra alınan önlem geçmiş ihlali kendiliğinden yok etmez; fakat devam eden etkilerin azaltılmasında önem taşıyabilir. İnceleme sonuçları doğrulanmış bulgulara dayanmalıdır.

Sık sorulan sorular