Kısa cevap
Veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kurul'a bildirmelidir. İhlalden etkilenen kişiler de makul olan en kısa sürede bilgilendirilmelidir.
Veri ihlali, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesidir. KVKK m. 12/5'e göre veri sorumlusu, bu durumu en kısa sürede ilgilisine ve Kurula bildirmek zorundadır. Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararına göre "en kısa sürede" ifadesi yetmiş iki saat olarak yorumlanmakta; veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kurul'a bildirmekle yükümlü olmaktadır. Haklı bir gerekçeyle bu sürede bildirim yapılamazsa, bildirimle birlikte gecikmenin nedenleri Kurul'a açıklanır. Bildirimde Kurul'un yayımladığı Kişisel Veri İhlal Bildirim Formu kullanılır; formdaki bilgilerin aynı anda sağlanamadığı hâllerde bunlar gecikmeksizin aşamalı olarak verilir. Veri işleyen nezdinde ihlal yaşanırsa, veri işleyen gecikmeksizin veri sorumlusuna bildirimde bulunur. İhlalden etkilenen kişilere ise, etkilenenlerin belirlenmesini müteakip makul olan en kısa sürede, iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun web sitesi gibi uygun yöntemlerle bildirim yapılır.
Veri sorumlusu, ihlalin ne zaman ve nasıl gerçekleştiğini, hangi veri kategorilerinin etkilendiğini, olası sonuçlarını ve alınan tedbirleri bildirir. Kişilere yapılan bildirimde de ihlalin muhtemel sonuçları açık bir dille anlatılmalıdır. Kurul, gerekmesi hâlinde ihlali internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir (m. 12/5).
Veri sorumlusu, ihlalin kapsamını sınırlamak ve zararı en aza indirmek için gerekli teknik ve idari tedbirleri almalıdır. Bunlar arasında sistem erişimlerinin kapatılması, şifrelerin değiştirilmesi ve güvenlik açığının giderilmesi yer alır. Veri sorumlusunun ihlallere ilişkin bilgileri, etkilerini ve alınan önlemleri kayıt altına alması ve Kurul'un incelemesine hazır bulundurması, ayrıca bir veri ihlali müdahale planı hazırlaması Kurul kararında öngörülmüştür.
Veri güvenliğine ilişkin yükümlülüklerini (m. 12) yerine getirmeyen veri sorumluları hakkında idari para cezası uygulanabilir (m. 18/1-b). İhlal müdahale planlarının önceden hazırlanması bu nedenle önemlidir.
İlgili mevzuat: KVKK m. 12, 18; Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez.
