Merkez Veri İhlali Bildirimi Avukatları

Bu rehber, Merkez (Uşak) bölgesindeki işletmeler ve kişiler için veri ihlali bildirimi sürecini; 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki bildirim yükümlülüğü, 72 saat kuralı, Kişisel Verileri Koruma Kurulu süreci, idari para cezası riski, tazminat ve ceza boyutu başlıklarıyla ayrıntılı biçimde ele alır. Amaç, bir ihlal anında hangi adımların hangi sırayla atılacağını baştan doğru kurgulamanıza ve uyuşmazlığınıza uygun avukatı sayfadaki listeden bilinçli şekilde seçmenize yardımcı olmaktır.

Veri ihlali bildirimi, işlenmekte olan kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu resmî olarak Kişisel Verileri Koruma Kurulu'na ve durumdan etkilenen ilgili kişilere haber verme yükümlülüğüdür. Bu yükümlülüğün hukuki temeli, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinde düzenlenen veri güvenliğine ilişkin yükümlülüklerdir. Kanun, veri sorumlusuna hem verileri korumak için gerekli teknik ve idari tedbirleri alma hem de bir ihlal gerçekleştiğinde şeffaf biçimde bildirimde bulunma ödevi yükler.

Buradaki "veri ihlali" kavramı yalnızca dışarıdan yapılan siber saldırılarla sınırlı değildir. Bir çalışanın yetkisiz erişimi, verilerin yanlış kişiye e-posta ile gönderilmesi, kayıp bir dizüstü bilgisayar veya harici bellek, hatalı yapılandırılmış bir sunucu nedeniyle verilerin internete açık kalması gibi durumlar da ihlal kapsamına girebilir. Önemli olan, kişisel verilerin gizliliğinin, bütünlüğünün veya erişilebilirliğinin hukuka aykırı biçimde zarar görmüş olmasıdır.

Veri ihlali bildirimi, cezalandırıcı bir mekanizma olmaktan çok, hem denetim otoritesinin durumu değerlendirebilmesini hem de etkilenen kişilerin kendilerini koruyabilmesini sağlayan koruyucu bir araçtır. Bu nedenle bildirimin zamanında, doğru ve eksiksiz yapılması, işletmenin hem hukuki hem de itibar riskini yönetmesinin temel unsurudur. Aşağıda bir ihlalin tetikleyebileceği tipik veri kategorileri özetlenmiştir:

Bir veri ihlalinin doğru yönetilmesi için önce türünün ve etkilediği güvenlik boyutunun belirlenmesi gerekir. Uygulamada ihlaller genellikle üç temel boyutta değerlendirilir: gizlilik ihlali (verilerin yetkisiz kişilerce görülmesi veya ele geçirilmesi), bütünlük ihlali (verilerin izinsiz değiştirilmesi veya bozulması) ve erişilebilirlik ihlali (verilere erişimin engellenmesi ya da verilerin kaybı). Bir olayda bu boyutların biri veya birkaçı aynı anda gerçekleşebilir.

Sürecin tarafları bakımından da bazı kavramların netleşmesi önemlidir. Veri sorumlusu, kişisel verilerin işleme amaç ve araçlarını belirleyen taraftır ve bildirim yükümlülüğünün asıl muhatabıdır. Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen taraftır. İlgili kişi ise kişisel verisi işlenen gerçek kişidir ve ihlalden etkilenen kişi konumundadır.

• Dış kaynaklı ihlaller: Fidye yazılımı, kimlik avı (phishing), yetkisiz sızma gibi kötü niyetli üçüncü kişilerin eylemleri.
• İç kaynaklı ihlaller: Çalışanın yetkisiz erişimi veya veriyi dışarı sızdırması, dikkatsizlik sonucu yanlış alıcıya gönderim.
• Teknik/organizasyonel kusurlar: Yanlış yapılandırılmış sunucu, güncellenmeyen yazılım, zayıf erişim yönetimi.
• Fiziksel ihlaller: Kayıp veya çalınan cihazlar, evrakların uygunsuz imhası, güvenli olmayan arşivleme.

Uygulamada en çok karşılaşılan ihlal senaryoları ve öne çıkan hukuki noktalar aşağıda özetlenmiştir. Bu örnekler, bir işletmenin hangi durumlarda bildirim sürecini işletmesi gerektiğini somutlaştırmaya yardımcı olur:

• E-ticaret sitesinden müşteri verisi sızması: Sitedeki bir açık üzerinden müşteri ad, adres, sipariş ve ödeme bilgilerinin ele geçirilmesi. Finansal veri içerdiğinden yüksek riskli kabul edilir.
• Fidye yazılımı saldırısı: İşletmenin sistemlerinin şifrelenmesi ve verilere erişimin engellenmesi. Erişilebilirlik ihlali oluşturur; veri kopyalanmışsa gizlilik ihlali de eklenir.
• Yanlış alıcıya toplu e-posta: Bir bültenin alıcı listesinin gizli yerine açık alanda gönderilmesiyle tüm alıcıların e-posta adreslerinin ifşa olması.
• Çalışanın veri sızdırması: Ayrılan bir çalışanın müşteri listesini veya çalışan özlük verilerini yetkisiz biçimde kopyalaması.
• Kayıp cihaz: Şifrelenmemiş bir dizüstü bilgisayarın veya telefonun kaybolması ya da çalınması.
• Sağlık kuruluşunda hasta verisi ihlali: Özel nitelikli veri içerdiğinden bu tür ihlaller daha yüksek risk taşır ve genellikle ilgili kişilere bildirimi gerektirir.

Veri ihlali sürecinde birden çok merci devreye girer; her birinin işlevi farklıdır. Doğru merciye, doğru zamanda başvurmak sürecin sağlıklı yürümesi için belirleyicidir:

Görüldüğü üzere veri ihlali süreci tek bir mahkemeye değil, idari, hukuk ve ceza yargısı ile denetim otoritesine yayılan çok katmanlı bir yapıya sahiptir. Bir işletme aynı olay nedeniyle hem Kurul denetimiyle, hem tazminat davasıyla, hem de cezai soruşturmayla karşılaşabilir. Bu nedenle sürecin başında bütüncül bir strateji kurulması önemlidir.

Veri ihlali süreçlerinde ispat iki yönlüdür. Bir yandan ihlalden zarar gören kişi, zararını ve bunun ihlalle bağlantısını ortaya koymak durumundadır; diğer yandan veri sorumlusu, gerekli teknik ve idari tedbirleri aldığını ve bildirim yükümlülüğünü zamanında yerine getirdiğini belgelemek zorundadır. Bu ikinci yön, işletmenin idari para cezasını azaltması veya sorumluluktan kurtulması bakımından hayati önem taşır.

Bu nedenle bir ihlal anında yapılan her işlemin kayıt altına alınması esastır. İhlalin tespit edildiği tarih ve saat, alınan aksiyonlar, bilgilendirilen taraflar ve süreç kronolojisi belgelenmelidir. Bu belgeler, hem Kurul bildiriminin dayanağı hem de olası bir denetimde işletmenin özenini gösteren delil niteliğindedir.

Veri ihlalinden etkilenen bir kişi ile bir ihlal yaşayan işletmenin izleyebileceği yollar farklıdır. Etkilenen kişi açısından öncelikle veri sorumlusuna başvuru, ardından Kurul'a şikâyet ve tazminat davası gündeme gelirken; işletme açısından Kurul'a bildirim ve gerekirse cezaya itiraz süreçleri söz konusudur:

Bir ihlal fark edildiğinde izlenecek yol, 72 saatlik sürenin doğru yönetilmesi etrafında kurgulanır. Aşağıda tipik aşamalar ve süre notları yer alır:

Bir veri ihlalinden zarar gören kişi, kişilik haklarının ve kişisel verilerinin hukuka aykırı işlenmesi nedeniyle Türk Borçlar Kanunu'nun ilgili hükümleri çerçevesinde tazminat talep edebilir. Bu talepler maddi ve manevi olmak üzere iki ana başlıkta toplanır:

Tazminat talebinin kabulü için ihlalin varlığı, bir zararın doğması ve zarar ile ihlal arasında nedensellik bağının bulunması gerekir. İşletmenin gerekli tedbirleri aldığını ve kusursuz olduğunu ispatlaması, sorumluluğunu etkileyebilir. İdari para cezası ise tazminattan bağımsızdır; biri diğerinin yerine geçmez, aynı olay her iki sonucu birlikte doğurabilir.

Hem tazminat miktarı hem de Kurul'un uygulayacağı idari para cezası, sabit bir rakama bağlı değildir; olayın somut özelliklerine göre değişir. Miktarı etkileyen başlıca etkenler:

• Etkilenen kişi sayısı ve veri hacmi: İhlalin kapsamı genişledikçe hem risk hem de yaptırımın ağırlığı artar.
• Verinin niteliği: Özel nitelikli (sağlık, biyometrik gibi) veya finansal verilerin ele geçirilmesi daha ağır sonuç doğurur.
• Alınan tedbirlerin yeterliliği: Verilerin şifreli olması, güçlü erişim yönetimi gibi tedbirler işletme lehine değerlendirilir.
• Bildirimin zamanında yapılıp yapılmadığı: 72 saatlik sürenin aşılması veya bildirim yapılmaması ağırlaştırıcı etkendir.
• İhlalin sonuçlarının ağırlığı: Etkilenen kişilerin uğradığı somut zararın büyüklüğü.
• İşletmenin iş birliği ve iyileştirme çabası: Kurul ile iş birliği ve tekrarı önleyici adımlar hafifletici olabilir.

Süreler olayın niteliğine göre değişebildiğinden ve hak kaybına yol açabildiğinden, somut sürelerin bir avukatla teyit edilmesi önemlidir.

Bazı ihlaller ek değerlendirme gerektirir. Kişisel verilerin yurt dışına aktarıldığı hâllerde, ihlal yurt dışındaki bir hizmet sağlayıcıda gerçekleşmiş olsa dahi Türkiye'deki veri sorumlusunun bildirim yükümlülüğü devam eder; bu nedenle aktarım sözleşmelerinde ihlal bildirim mekanizmasının açıkça düzenlenmesi gerekir. Özel nitelikli kişisel veriler (sağlık, biyometrik, din, siyasi görüş gibi) etkilendiğinde ihlalin riski daha yüksek kabul edilir ve ilgili kişilere bildirim çoğu kez zorunlu hâle gelir.

Grup şirketlerinde veya ortak veri işleme yapılarında, ihlalin hangi tüzel kişinin veri sorumlusu sıfatıyla bildirilmesi gerektiği bazen karmaşıklaşır. Farklı şirketlerin ortak bir sistemi kullandığı hâllerde, her birinin kendi veri sorumlusu sorumluluğunu değerlendirmesi ve iş bölümünü önceden belirlemesi gerekir. Bu tür yapılarda tek bir olay, birden çok veri sorumlusu için ayrı bildirim yükümlülüğü doğurabilir.

Sürecin sağlıklı yürütülmesi ve işletmenin özeninin ortaya konması için aşağıdaki belge ve kayıtların hazır bulundurulması önemlidir:

• İhlalin tespit tarihi ve saatini gösteren kayıtlar (olay kronolojisi)
• Etkilenen kişisel veri kategorileri ve yaklaşık kişi sayısını gösteren envanter
• Alınan teknik ve idari tedbirlerin dökümü (müdahale kayıtları)
• Varsa adli bilişim (forensic) inceleme raporu
• Sistem ve erişim logları
• Veri işleme envanteri ve kişisel veri işleme politikaları
• Veri işleyenlerle imzalanmış veri işleme/gizlilik sözleşmeleri
• İlgili kişilere yapılan bildirimin içeriği ve iletim kaydı

Belgelerin bir kısmına ihlal anında ulaşmak zor olabileceğinden, önceden hazırlanmış bir ihlal müdahale planı ve envanter süreci belirgin biçimde hızlandırır.

Veri ihlali süreçleri hem teknik hem de hukuki yönü olan, süreye duyarlı dosyalardır; bu nedenle avukat seçimi sürecin sonucunu doğrudan etkiler. Değerlendirmede öne çıkan ölçütler:

• KVKK ve veri hukuku deneyimi: Bildirim süreçlerine, Kurul kararlarına ve uyum çalışmalarına hâkimiyet.
• Kriz yönetimi yetkinliği: 72 saatlik süre baskısı altında hızlı ve doğru yönlendirme yapabilme.
• Teknik ekiplerle çalışabilme: Bilişim uzmanları ve adli bilişim raporlarıyla koordineli hareket edebilme.
• Bildirim metni hazırlama tecrübesi: İşletmeyi gereksiz risk altına sokmayacak, hukuka uygun ve eksiksiz metin oluşturabilme.
• Denetim ve dava temsili: Kurul nezdinde savunma ve idari para cezasına karşı iptal davası yürütebilme.
• Yerel yargı bilgisi: Uşak Adliyesi ve bölge mahkemelerinin uygulamalarına aşinalık.

İlk görüşmede avukata sorabileceğiniz sorular

• Yaşadığım olay gerçekten bildirim gerektiren bir veri ihlali mi?
• 72 saatlik süreyi kaçırdıysam ne yapmalıyım; nasıl bir yol izlenir?
• İlgili kişilere bildirim yapmam gerekiyor mu, içeriği nasıl olmalı?
• İdari para cezası riski nedir, cezaya nasıl itiraz edebilirim?
• Gelecekteki ihlalleri önlemek için hangi uyum çalışmalarını yapmalıyım?

• Kişisel Verilerin Korunması Kanunu (6698)
  Veri güvenliği yükümlülükleri ve ihlal bildirimi (m.12)
• KVKK m.18 — Kabahatler
  Yükümlülüklere aykırılık hâlinde idari para cezaları
• Türk Borçlar Kanunu (6098)
  Haksız fiil, kişilik hakkı ihlali, maddi ve manevi tazminat
• Türk Ceza Kanunu (5237)
  Kişisel verilerin hukuka aykırı ele geçirilmesi ve yayılması (m.135-140)
• Kurul İlke Kararları
  72 saat kuralı ve ihlal bildirim usul ve içeriğine ilişkin kararlar

Kişisel Verileri Koruma Kurulu kararları ve yargı içtihatlarında istikrar kazanmış başlıca ilkeler:

Veri ihlali yönetiminin en etkili aşaması, ihlal yaşanmadan önceki hazırlıktır. İşletmelerin bir olay anında 72 saatlik süreyi doğru yönetebilmesi, ancak önceden kurgulanmış bir yapıyla mümkündür. Bu kapsamda; kişisel veri işleme envanterinin çıkarılması, aydınlatma ve açık rıza metinlerinin güncellenmesi, veri işleyenlerle imzalanan sözleşmelerde ihlal bildirim mekanizmasının düzenlenmesi ve bir ihlal müdahale planının hazırlanması temel adımlardır.

Ayrıca çalışanların düzenli olarak bilgilendirilmesi ve farkındalık eğitimleri, iç kaynaklı ihlallerin önlenmesinde belirleyicidir; ihlallerin önemli bir bölümü teknik açıklardan değil, insan hatasından kaynaklanır. Erişim yetkilerinin sınırlandırılması, güçlü kimlik doğrulama ve şifreleme gibi teknik tedbirler ise dış kaynaklı saldırıların etkisini azaltır. Bu önleyici çalışmalar, hem bir ihlal olasılığını düşürür hem de olay gerçekleştiğinde işletmenin özenini ortaya koyarak yaptırım riskini hafifletir.