KVKK m. 12 — Veri Güvenliği Yükümlülüğü ve Veri İhlali Bildirimi: 72 Saat Kuralı ve Yaptırımlar

Kısa Özet

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12. maddesi, veri sorumlularına kişisel verilerin hukuka aykırı işlenmesini önleme, verilere hukuka aykısız erişimi engelleme ve verilerin muhafazasını sağlama yükümlülüğü getirir. Aynı madde, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na (Kurul) bildirmesini zorunlu kılar. Uygulamada "72 saat kuralı" olarak bilinen bu süre, Kurul'a yapılacak bildirim için öngörülmüş olup, ihlalin öğrenilmesinden itibaren işlemeye başlar. Bu makalede, veri güvenliği yükümlülüğünün kapsamı, veri ihlali bildiriminin usul ve esasları, 72 saat kuralının hukuki dayanağı ve bu yükümlülüklere aykırılık halinde uygulanacak idari para cezaları detaylı biçimde incelenecektir.

Detaylı Açıklama

1. KVKK m. 12: Veri Güvenliği Yükümlülüğü

KVKK'nın 12. maddesi, veri sorumlusunun veri güvenliğini sağlamaya yönelik yükümlülüklerini düzenler. Maddenin ilk fıkrasına göre veri sorumlusu;

• Kişisel verilerin hukuka aykırı işlenmesini önlemek,
• Kişisel verilere hukuka aykırı erişimi önlemek,
• Kişisel verilerin muhafazasını sağlamak

amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almakla yükümlüdür. Bu yükümlülük, veri sorumlusunun veri işleme faaliyetlerinin niteliği, kapsamı ve risklerine uygun olarak belirlenmelidir. Kişisel Verileri Koruma Kurumu (KVKK) tarafından yayımlanan rehberlerde, alınması gereken tedbirler arasında şifreleme, erişim kontrolü, log kayıtları, sızma testleri, personel eğitimi ve sözleşmelere gizlilik hükümleri eklenmesi gibi önlemler sayılmıştır.

Ayrıca, maddenin ikinci fıkrası, veri sorumlusunun işlediği kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, bu durumu en kısa sürede ilgili kişiye ve Kurul'a bildirmekle yükümlü olduğunu hükme bağlar. Bu bildirim yükümlülüğü, veri ihlali olarak adlandırılan olayların yönetiminde kritik bir rol oynar.

2. Veri İhlali Kavramı ve Bildirim Yükümlülüğünün Kapsamı

Veri ihlali, kişisel verilerin gizliliğinin, bütünlüğünün veya erişilebilirliğinin ihlal edilmesi sonucunu doğuran güvenlik olayıdır. Bu ihlal; siber saldırılar, veri kaybı, yetkisiz erişim, çalınma veya kazara imha gibi çeşitli şekillerde gerçekleşebilir. KVKK m. 12/2, ihlalin "kanuni olmayan yollarla başkaları tarafından elde edilmesi" şeklinde bir ifade kullanmakla birlikte, Kurul uygulaması ve doktrinde, veri ihlali kavramının geniş yorumlandığı ve her türlü güvenlik ihlalini kapsadığı kabul edilmektedir.

Veri sorumlusu, bir veri ihlali tespit ettiğinde, ihlalin niteliğine göre iki ayrı bildirim yükümlülüğü altına girer:

• Kurul'a Bildirim: İhlalin öğrenilmesinden itibaren en geç 72 saat içinde Kurul'a bildirim yapılmalıdır. Bu süre, uygulamada "72 saat kuralı" olarak anılır ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlu bir yaklaşımı yansıtır.
• İlgili Kişiye Bildirim: İhlal sonucunda ilgili kişilerin haklarına ciddi bir zarar verme riski ortaya çıkmışsa, bu kişilere de en kısa sürede bildirim yapılmalıdır. Bildirimde, ihlalin muhtemel sonuçları ve alınan önlemler hakkında bilgi verilmelidir.

3. 72 Saat Kuralı ve Bildirim Usulü

KVKK m. 12/2'de "en kısa sürede" ifadesi yer almakla birlikte, Kurul tarafından yayımlanan "Veri İhlali Bildirimi Usul ve Esasları"na ilişkin duyuruda, bildirimin ihlalin öğrenilmesinden itibaren 72 saat içinde yapılması gerektiği belirtilmiştir. Bu süre, veri sorumlusunun ihlali tespit ettiği andan itibaren işlemeye başlar. İhlalin gerçekleştiği an değil, öğrenildiği an esas alınır. Ancak, veri sorumlusunun ihlali öğrenmesine rağmen gerekli araştırmayı yapmaması veya ihlali gizlemesi durumunda, sürenin başlangıcı ihlalin gerçekleştiği tarih olarak kabul edilebilir.

Bildirim, KVKK'nın resmi internet sitesi üzerinden "Veri İhlali Bildirim Formu" kullanılarak yapılır. Formda şu bilgilerin yer alması gerekir:

• İhlalin niteliği ve kapsamı,
• İhlalden etkilenen kişi grupları ve sayıları,
• İhlalin muhtemel sonuçları,
• İhlalin giderilmesi için alınan önlemler,
• Gerekirse, ihlalin nedenleri ve gecikme sebepleri.

Kurul, bildirimi aldıktan sonra gerekli incelemeyi yapar ve ihlalin ciddiyetine göre kamuoyunu bilgilendirme veya ek tedbirler alma kararı alabilir. Ayrıca, veri sorumlusunun 72 saat içinde bildirim yapamaması halinde, gecikme nedenlerini de bildirimle birlikte Kurul'a açıklaması gerekir.

4. İhlal Bildiriminin İlgili Kişiye Yapılması

KVKK m. 12/2, veri sorumlusunun ihlali ilgili kişiye de bildirmesini öngörür. Ancak bu bildirim, yalnızca ihlalin ilgili kişilerin haklarına ciddi bir zarar verme riski oluşturması durumunda zorunludur. Bildirimde, ihlalin muhtemel sonuçları ve alınan önlemler hakkında bilgi verilmelidir. Bu sayede ilgili kişiler, kendilerini korumak için gerekli adımları atabilirler.

Kurul, ilgili kişiye bildirim yapılmasına gerek olmayan durumları da belirleyebilir. Örneğin, ihlalin etkisinin ortadan kalkmış olması veya teknik önlemlerle riskin bertaraf edilmiş olması halinde bildirim yapılmayabilir.

5. Yaptırımlar ve İdari Para Cezaları

KVKK m. 12'deki yükümlülüklere aykırı davranılması halinde, KVKK m. 18 uyarınca idari para cezası uygulanır. Buna göre:

• Veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 TL'den 1.500.000 TL'ye kadar idari para cezası verilir.
• Veri ihlalini Kurul'a bildirmeyen veya geç bildirenler hakkında ise 50.000 TL'den 1.500.000 TL'ye kadar idari para cezası öngörülmüştür.

Cezanın miktarı; ihlalin niteliği, veri sorumlusunun kusuru, alınan tedbirler ve ihlalin etkileri gibi faktörler dikkate alınarak belirlenir. Ayrıca, veri ihlali nedeniyle kişilerin uğradığı zararlar için hukuk davası açma hakkı da saklıdır.

6. Güncel Gelişmeler ve Kurul Kararları

Kurul, veri ihlali bildirimlerine ilişkin kararlarında, ihlalin tespit edilmesi ve bildirilmesi sürecinde veri sorumlusunun gösterdiği özen ve aldığı tedbirleri yakından değerlendirmektedir. Özellikle, ihlal sonrası yapılan ilk müdahale ve etkilenen kişilere yapılan bildirimler, ceza miktarının belirlenmesinde etkili olmaktadır. Kurul, ihlal bildirimlerinde 72 saatlik sürenin aşılması halinde, gecikme gerekçelerini dikkate almakta ve haklı bir gerekçe sunulmaması durumunda idari para cezası uygulamaktadır.

Sonuç olarak, KVKK m. 12, veri sorumlularının veri güvenliği konusunda proaktif davranmasını ve olası ihlallerde hızlı ve şeffaf bir bildirim süreci yürütmesini zorunlu kılar. 72 saat kuralı, bu sürecin en kritik unsuru olup, ihlalin etkilerinin azaltılması ve ilgili kişilerin haklarının korunması açısından büyük önem taşır.

Sıkça Sorulan Sorular

1. Veri ihlali durumunda 72 saatlik süre ne zaman başlar?

72 saatlik süre, veri sorumlusunun ihlali öğrendiği andan itibaren işlemeye başlar. İhlalin gerçekleştiği an değil, tespit edildiği an esas alınır. Ancak, veri sorumlusunun ihlali öğrenmesine rağmen gerekli araştırmayı yapmaması veya ihlali gizlemesi durumunda, sürenin başlangıcı ihlalin gerçekleştiği tarih olarak kabul edilebilir.

2. 72 saat içinde bildirim yapılmazsa ne olur?

72 saat içinde bildirim yapılmaması halinde, veri sorumlusu hakkında KVKK m. 18 uyarınca idari para cezası uygulanabilir. Ayrıca, gecikme nedenlerinin haklı bir gerekçeye dayanmaması durumunda ceza miktarı artırılabilir. Bu nedenle, ihlal tespit edildiğinde vakit kaybetmeden bildirim sürecinin başlatılması büyük önem taşır.

Kanun Referansları

• Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu

Madde: 12

Not: Veri güvenliği yükümlülüğü ve veri ihlali bildirimini düzenleyen temel madde.

Kaynak: https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5

• Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu

Madde: 18

Not: Veri güvenliği yükümlülüklerine aykırılık halinde uygulanacak idari para cezalarını düzenler.

Kaynak: https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5