İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12 nci maddesinin beşinci fıkrasında ayrıca düzenlenir. Bu fıkraya göre veri sorumlusu, durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirir. Kurul, gerekmesi hâlinde durumu kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir.
Kanun metninde “72 saat” ibaresi yoktur. Sürenin nasıl anlaşılacağı, Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı kararında açıklanmıştır. Bu yazı, m.12/5 ile anılan karar çerçevesinde bildirimin kime, ne zaman ve nasıl yapılacağını; ilgili kişiye açıklamayı ve olay sonrası tutulması gereken kayıtları genel olarak ele alır. Somut olayın niteliği, etkilenen veri kategorileri ve zaman çizelgesi, uygulanacak usulü belirler.
Kalemci Hukuk Bürosu, İzmir’de kişisel verilerin korunması ve bilişim hukuku alanındaki işleri yürütmektedir. Aşağıdaki açıklamalar genel niteliktedir; bir süre veya sonuç vaadi içermez.
Kanun’daki yükümlülük ile 72 saat yorumu
Kanun’un 12 nci maddesinin birinci fıkrası, veri sorumlusuna üç temel güvenlik ödevi yükler: kişisel verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak. Bu amaçla uygun güvenlik düzeyini temin edecek teknik ve idari tedbirler alınmak zorundadır. Aynı maddenin ikinci fıkrası, verilerin başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde bu tedbirlerden müştereken sorumluluğu; üçüncü fıkrası, kurum içi denetimi düzenler.
Beşinci fıkra, tedbirlerin yetersiz kaldığı veya aşılması hâlinde devreye giren bildirim rejimidir. “Kanuni olmayan yollarla başkaları tarafından elde edilme”, yalnızca dışarıdan yapılan bir siber saldırıyı değil; yetkisiz erişim, kayıp veya çalıntı cihaz, yanlış kişiye gönderim, yetki aşımı suretiyle iç erişim gibi, verinin hukuka uygun olmayan biçimde üçüncü kişilerin eline geçmesi sonuçlarını da kapsayacak biçimde okunur. Her teknik olayın otomatik olarak bu fıkra anlamında ihlal sayılıp sayılmadığı, somut olgulara göre değerlendirilir.
2019/10 sayılı Karar, m.12/5’teki “en kısa sürede” ifadesini 72 saat olarak yorumlar. Karara göre veri sorumlusu, bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirir. 72 saat içinde bildirim yapılamaması hâlinde, yapılacak bildirimle birlikte gecikmenin nedenleri de açıklanır. Süre, ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan işlemeye başlar. Öğrenme anının tespiti, izleme kayıtları, ihbar, veri işleyenin bildirimi ve iç incelemenin hangi aşamada makul bir kesinlik kazandığı birlikte değerlendirilerek yapılır.
Karar, Avrupa Birliği Genel Veri Koruma Tüzüğü’ndeki ihlal bildirimi rejimine uyum kaygısını gerekçesinde açıkça zikreder. Bununla birlikte Tüzük’teki bazı ayrıntılar, Kanun ve 2019/10 sayılı kararda birebir tekrar edilmemiştir. Özellikle Tüzük’ün 33 üncü maddesindeki, ihlalin gerçek kişilerin hak ve özgürlükleri bakımından bir riske yol açmasının muhtemel olmadığı hâllerde denetim otoritesine bildirim zorunluluğunun kalkmasına ilişkin kural, KVKK m.12/5’te yer almaz. Bu nedenle “düşük riskli olayda bildirim yapılmayabilir” varsayımı, Kanun ve anılan karar metnine dayandırılamaz.
Kime, nasıl ve hangi içerikle bildirim yapılır
Kurula bildirimde, Kurum tarafından yayımlanan Kişisel Veri İhlal Bildirim Formu kullanılır. Formda yer alan bilgilerin aynı anda sağlanmasının mümkün olmadığı hâllerde, 2019/10 sayılı Karar, bu bilgilerin gecikmeye yer verilmeksizin aşamalı olarak sağlanabileceğini kabul eder. İlk bildirimin eksik kalması, süreyi bekletme gerekçesi değildir; bilinenler bildirilir, tamamlayıcı bilgiler sonra iletilir.
Bildirim kural olarak veri sorumlusu tarafından yapılır. Veri işleyen nezdinde gerçekleşen bir elde edilmede, 2019/10 sayılı Karar, veri işleyenin bu durumu herhangi bir gecikmeye yer vermeksizin veri sorumlusuna bildirmesini ister. Veri işleyen ile veri sorumlusu arasındaki sözleşmede bildirim süresi, kanalı ve asgari içerik önceden kararlaştırılmamışsa, 72 saatlik sürenin fiilen işlemesi zorlaşır.
Karar, ihlalin yurt dışında yerleşik bir veri sorumlusu nezdinde yaşanması hâlinde de, sonuçların Türkiye’de yerleşik ilgili kişileri etkilemesi ve bu kişilerin sunulan ürün ve hizmetlerden Türkiye’de yararlanması durumunda, aynı esaslar çerçevesinde Kurula bildirim yapılacağını belirtir.
Formun güncel teslim usulü Kurum tarafından yayımlanır. Teslim yolunun ve form sürümünün, bildirim yapılacağı tarihteki Kurum duyurusuna göre belirlenmesi gerekir.
İlgili kişiye açıklama
Kurula bildirim ile ilgili kişiye bildirim, aynı anda yerine getirilmesi zorunlu iki işlem değildir. 2019/10 sayılı Karar, etkilenen kişilerin belirlenmesini müteakip, ilgili kişilere de makul olan en kısa süre içinde bildirim yapılmasını öngörür. İlgili kişinin iletişim adresine ulaşılabiliyorsa bildirim doğrudan; ulaşılamıyorsa veri sorumlusunun kendi internet sitesi üzerinden yayımlama gibi uygun yöntemlerle yapılır.
İlgili kişiye yapılacak açıklamanın amacı, Kanun’un 12 nci maddesinin genel yapısı ve Kararın gerekçesiyle uyumlu olarak, ortaya çıkabilecek olumsuz sonuçların önlenmesi veya azaltılması için kişinin kendi önlemini alabilmesini sağlamaktır. Bu nedenle açıklamanın, ihlalin niteliğini, etkilenen veri türlerini, olası sonuçları ve veri sorumlusunca alınan önlemleri, ilgili kişinin anlayabileceği bir dille içermesi beklenir. Eksik, geç veya yalnızca genel nitelikli bir duyuru, bildirimin amacını karşılamayabilir.
Kurul, m.12/5’in ikinci cümlesi uyarınca, gerekmesi hâlinde ihlali kendi internet sitesinde veya başka bir yöntemle ilan edebilir. Veri sorumlusunun bildirimi, Kurul’un ilan yetkisini ortadan kaldırmaz.
Kayıt tutma ve müdahale planı
2019/10 sayılı Karar, veri sorumlusunun ihlallere ilişkin bilgileri, etkilerini ve alınan önlemleri kayıt altına almasını ve Kurulun incelemesine hazır bulundurmasını ister. Bu kayıt, yalnızca ceza veya idari yaptırım ihtimaline karşı bir dosya değil; 12 nci maddenin üçüncü fıkrasındaki denetim ödevinin somut görünümüdür. İncelemede, ihlalin ne zaman tespit edildiği, hangi adımların hangi saatte atıldığı ve bildirimin neden o içerikle yapıldığı sorulur.
Karar ayrıca, ihlal hâlinde kendi nezdinde kime raporlama yapılacağı, Kanun kapsamındaki bildirimlerin kim tarafından yürütüleceği ve olası sonuçların kimin tarafından değerlendirileceği konularını içeren bir veri ihlali müdahale planı hazırlanmasını ve bu planın belirli aralıklarla gözden geçirilmesini öngörür. Planın kâğıt üzerinde kalması, ihlal anında sürelerin işlemesini durdurmaz.
Teknik ve idari tedbirler, ihlal olduktan sonra devreye giren bir ek yükümlülük değildir. Parola politikası, erişim yetkisi, kayıt (log) tutulması, yedekleme, sızma testleri, çalışan eğitimi ve tedarikçi sözleşmeleri, ihlalin önlenmesi kadar, öğrenme anının ispatı bakımından da önem taşır. Bilişim hukuku alanındaki işlerde olduğu gibi, olayın aynı zamanda bir ceza soruşturmasına konu olması mümkündür; bu hâlde delil bütünlüğünün korunması, bildirim yükümlülüğüyle birlikte değerlendirilir.
Yaptırım ve diğer sonuçlar
Kanun’un 18 inci maddesinin birinci fıkrasının (b) bendi, 12 nci maddedeki veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında, Kanun metninde 15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası öngörür. Bu tutarlar, Kabahatler Kanunu’nun 17 nci maddesinin yedinci fıkrası uyarınca her takvim yılı başında yeniden değerleme oranında artırılarak uygulanır. Kurum’un 31 Aralık 2025’te yayımladığı 2017–2026 tablosuna göre, 2026 yılı için bu aralık 256.357 Türk lirasından 17.092.242 Türk lirasına kadardır.
Bildirim yükümlülüğünün hiç veya süresinde yerine getirilmemesi, tedbir alınmamasından bağımsız olarak aynı bent kapsamında değerlendirilebilir. Kurul, şikâyet üzerine veya resen inceleme yapabilir (m.15). İnceleme sonucunda hukuka aykırılıkların giderilmesine karar verebilir; bu karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir. Telafisi güç veya imkânsız zarar ve açık hukuka aykırılık hâlinde, verilerin işlenmesinin veya yurt dışına aktarılmasının durdurulmasına da karar verilebilir (m.15/7).
İdari yaptırımın yanında, ilgili kişinin 11 inci madde çerçevesindeki hakları ve 14 üncü maddenin üçüncü fıkrasında saklı tutulan tazminat yolu da açıktır. Kişisel verilere ilişkin bazı fiiller, 5237 sayılı Türk Ceza Kanunu’nun 135 ila 140 ıncı maddeleri kapsamında ayrıca ceza hukuku yönünden değerlendirilebilir (KVKK m.17).
Sıkça sorulan sorular
72 saat Kanun’da mı yazıyor? Hayır. Kanun m.12/5 “en kısa sürede” der. 72 saatlik süre, Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı kararındaki yorumdur. Süre, ihlalin öğrenildiği tarihten itibaren, gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapılması biçiminde uygulanır.
72 saat kaçırılırsa bildirim yapılmaz mı? Yapılır. Karar, haklı bir gerekçeyle süre içinde bildirim yapılamaması hâlinde, bildirimle birlikte gecikme nedenlerinin de açıklanmasını ister. Süreden sonra susmak, yükümlülüğü ortadan kaldırmaz.
Yalnızca Kurula bildirim yeterli midir? Değildir. Etkilenen kişiler belirlendikten sonra, ilgili kişilere de makul olan en kısa süre içinde, mümkünse doğrudan, değilse uygun başka yöntemlerle bildirim yapılır.
Veri işleyen mi, veri sorumlusu mu bildirir? Kurula bildirim yükümlülüğü veri sorumlusundadır. Veri işleyen, ihlali gecikmeksizin veri sorumlusuna bildirir. Sözleşmede bu akışın önceden kurgulanması, sürenin işlemesi bakımından önem taşır.
Küçük bir olayda bildirim zorunlu değil midir? Kanun m.12/5 ve 2019/10 sayılı Karar, GDPR m.33’teki risk eşiğine benzer açık bir istisna cümlesi içermez. Somut olayın “kanuni olmayan yollarla elde edilme” kapsamında olup olmadığı hukuken değerlendirilir; “önemsizdir” varsayımı tek başına dayanak olmaz.