Veri İhlali Bildirimi: Yetmiş İki Saat Kuralı

Bir şirketin sistemlerinden kişisel veri sızdığında işleyen süre yetmiş iki saattir. Bu süre kanunda yazmaz; kanun yalnızca bildirimin "en kısa sürede" yapılacağını söyler. Yetmiş iki saat, Kişisel Verileri Koruma Kurulunun bir kararıyla belirlenmiştir.

Bu ayrım yalnızca teorik bir ayrıntı değildir: idari para cezasına itiraz edilecekse ilk tartışılacak konulardan biri budur. Bu yazı, sürenin kaynağını, ne zaman işlemeye başladığını, iki ayrı muhataba yapılacak iki ayrı bildirimi, bildirim formunun içeriğini ve ceza kararına hangi mahkemede itiraz edileceğini ele almaktadır.

Kanun "En Kısa Sürede" Der, Kurul "Yetmiş İki Saat"

6698 sayılı Kişisel Verilerin Korunması Kanunu m. 12/5 uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.

Madde metninde saat veya gün cinsinden bir sınır bulunmaz. Süreyi somutlaştıran, Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı kararıdır. Kurul bu kararla, "en kısa süre" ifadesinin Kurula bildirim bakımından karşılığını yetmiş iki saat olarak belirlemiş ve bildirim formunun standartlarını ortaya koymuştur.

Normlar hiyerarşisi bakımından bu yapı, ceza kararına karşı açılacak davada ileri sürülebilecek bir tartışmayı da beraberinde getirir. Anayasa m. 13 uyarınca temel hak ve hürriyetler ancak kanunla sınırlanabilir ve yaptırımın dayanağının belirli olması gerekir. Kanunun ucu açık bıraktığı bir ifadenin idari bir kararla saat bazında kesinleştirilmesi, savunmada belirlilik yönünden değerlendirilebilecek bir noktadır.

İki Ayrı Muhatap, İki Ayrı Süre

KVKK m. 12/5 iki ayrı bildirim yükümlülüğü öngörür: Kurula ve ilgili kişiye. Kanun her ikisi için de "en kısa süre" dediğinden, aralarındaki farkı Kurul kararı belirler.

Uygulamadaki en sık hata buradadır. Şirketler kriz anında Kurula bildirimi yetiştirir, verisi sızan kişilere bildirimi ise atlar veya belirsiz bir tarihe erteler. Bu ihmal, ilk aykırılıktan bağımsız ikinci bir aykırılık oluşturur. Aşağıdaki tablo iki bildirimi karşılaştırmaktadır.

Sürenin Başlangıcı: Öğrenme Anı Nedir?

Yetmiş iki saatlik süre ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlalin varlığından haberdar olduğu andan itibaren işler. Bu ayrım, aylar önce başlamış ancak yeni fark edilmiş sızıntılarda belirleyici olur.

İhlal, veri sorumlusunun kendi sistemlerinde değil bir veri işleyen tarafında gerçekleşmişse başlangıç anı değişir. Altyapı veya yazılım sağlayıcısı konumundaki veri işleyenin durumu veri sorumlusuna bildirdiği an, yetmiş iki saatlik sayacı tetikler. Veri işleyenin geç bildirmesi veri sorumlusunun süresini uzatmaz; yalnızca başlangıç anını kaydırır.

Bu nedenle veri işleyenlerle yapılan sözleşmelerde, ihlalin veri sorumlusuna hangi süre içinde bildirileceğinin yazılı olarak düzenlenmesi gerekir. Sözleşmede böyle bir hüküm yoksa, veri sorumlusu kendi kontrolü dışındaki bir gecikme yüzünden süreyi kaçırma riskiyle karşılaşır.

Kademeli Bildirim: Yetmiş İki Saatte Her Şey Bilinemez

Siber saldırı veya sızıntı anında, yetmiş iki saat içinde ihlalin boyutunu, sızan veri miktarını ve etkilenen kişi sayısını tam olarak tespit etmek çoğu zaman mümkün olmaz. Kurul bu gerçeği kabul etmiş ve kademeli bildirime olanak tanımıştır.

Kademeli bildirimde veri sorumlusu, süresi içinde elindeki bilgilerle bildirimi yapar; eksik kalan hususları gecikme gerekçesiyle birlikte Kurula sunar ve tespitler netleştikçe bilgileri parça parça iletir. Bu, süreyi kaçırmanın mazereti değil, kanunen tanınmış bir usuldür.

Pratik sonucu şudur: tam bilgiye ulaşılamadığı gerekçesiyle bildirimi geciktirmek yanlıştır. Yetmiş iki saat içinde eldeki bilgiyle bildirim yapılır, kalanı sonradan tamamlanır. Bekleyerek yapılan eksiksiz bir bildirim, süresinde yapılmış eksik bir bildirimden daha zayıf bir konumdur.

İlgili Kişiye Bildirim: Makul Olan En Kısa Süre

Verisi sızan kişilere yapılacak bildirim için Kurul, saat bazında bir sınır belirlememiştir. Ölçüt, ihlalin niteliğine göre değişebilecek makul olan en kısa süredir.

Esnek ölçüt, yükümlülüğün hafif olduğu anlamına gelmez. İhlalin ilgili kişi üzerindeki riski ne kadar yüksekse, makul sürenin de o kadar kısa olması beklenir; finansal veri veya kimlik bilgisi sızan bir olayda beklenen hız, düşük riskli bir olaydakinden farklıdır. Bildirimin hangi tarihte ve hangi yolla yapıldığı kayıt altına alınmalıdır.

Bildirimde Ne Yazılır?

Kurulun belirlediği bildirim formunda yer alması gereken başlıklar aşağıdaki tabloda gösterilmiştir. Bu başlıklardan birinin boş bırakılması, bildirimin eksik sayılmasına yol açabilir.

Kriz anında bu bilgileri toplamak zaman aldığından, formun boş bir örneğinin önceden hazırlanması ve hangi bilginin şirket içinde kimden temin edileceğinin belirlenmiş olması, yetmiş iki saatlik süreyi yönetmenin en pratik yoludur.

Bildirmemenin Yaptırımı

KVKK m. 12/1 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı olarak erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır.

KVKK m. 18/1-b uyarınca, m. 12'de öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında idari para cezası uygulanır. İhlalin kendisi ile bildirim yükümlülüğünün ihlali ayrı ayrı değerlendirilebilir; bu nedenle bir sızıntıda birden fazla aykırılık gündeme gelebilir.

İdari Para Cezasına Karşı Dava: Görevli Mahkeme

İdari para cezasına karşı hangi yargı yoluna başvurulacağı 2024 yılında değişmiştir. Bu değişiklik bilinmediğinde dava yanlış yargı kolunda açılır ve süre işlemeye devam eder.

KVKK m. 18/3 uyarınca, Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Bu fıkra 6698 sayılı Kanun'a 7499 sayılı Kanun'un 35. maddesiyle eklenmiş ve 1 Haziran 2024 tarihinde yürürlüğe girmiştir.

Fıkranın eklenmesinden önce, yalnızca idari para cezası içeren kararlar bakımından Kabahatler Kanunu m. 27 uyarınca sulh ceza hâkimliğine başvurulmaktaydı. Bugün böyle bir ayrım yapılmaz: Kurul kararında yalnızca para cezası bulunsun ya da yanında bir yükümlülük veya tedbir de öngörülsün, idari para cezası yönünden görevli yargı kolu idari yargıdır.

Dava açma süresi, 2577 sayılı Kanun m. 7 uyarınca kararın tebliğini izleyen günden itibaren altmış gündür; 6698 sayılı Kanun'da bu süre için özel bir hüküm bulunmaz. 1 Haziran 2024 öncesine ait kaynaklarda geçen on beş günlük sulh ceza süresine göre hareket edilmesi, hem yanlış yargı koluna başvurulması hem de altmış günlük sürenin bu arada işlemeye devam etmesi sonucunu doğurur.

Yönetim Kurulunun Özen Yükümlülüğü

Veri ihlali bildiriminin süresinde yapılmaması, sonuçları şirketin idari para cezasıyla sınırlı kalmayan bir ihmaldir.

Türk Ticaret Kanunu m. 369 uyarınca yönetim kurulu üyeleri ve yönetimle görevli üçüncü kişiler, görevlerini tedbirli bir yöneticinin özeniyle yerine getirmek ve şirketin menfaatlerini dürüstlük kurallarına uyarak gözetmek yükümlülüğü altındadır.

Kanunen öngörülmüş, süresi belirli ve formu hazır bir bildirimin yapılmaması sonucu şirketin idari para cezasına muhatap olması, bu özen yükümlülüğü bakımından değerlendirilebilecek bir ihmaldir. Bu nedenle veri ihlali süreci yalnızca bilgi işlem biriminin değil, yönetim organının da takip etmesi gereken bir konudur.

Kişisel verilerin silinmesi ve arama sonuçlarından çıkarılmasına ilişkin talepler için Unutulma Hakkı: Google Sonuçlarından Çıkarılma yazımızı, şirket yönetimi ve kanuni temsilci sorumluluğu için Şirketler ve Ticaret Hukuku sayfamızı, bilişim hukukundaki uyuşmazlıkların tamamı için Bilişim Hukuku sayfamızı inceleyebilirsiniz.

Dava süreçleri ve hukuki danışmanlık talepleriniz için iletişim formumuz üzerinden bilgi iletebilir veya Kadıköy'deki büromuzdan randevu oluşturabilirsiniz.

Bu yazıdaki bilgiler genel niteliktedir ve somut bir uyuşmazlığa ilişkin hukuki görüş yerine geçmez.