Özet
Kişisel Verileri Koruma Kurumu (KVKK), veri ihlali durumlarında veri sorumlularının uyması gereken bildirim sürelerini ve yükümlülüklerini güncellemiştir. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi kapsamında, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde Kurul’a bildirim yapılması zorunludur. Bu süre, ihlalin tespit edildiği an değil, ihlalin farkına varıldığı andan itibaren başlar. Ayrıca, ihlalin ilgili kişilere de bildirilmesi gerekmektedir. KVKK, bu süreçte kullanılacak güncel bildirim formunu yayımlamış ve sürelere ilişkin net açıklamalar getirmiştir.
Kimleri Etkiliyor
Bu duyuru, başta veri sorumluları olmak üzere tüm kişisel veri işleyen gerçek ve tüzel kişileri etkilemektedir. Özellikle:
- Şirketler ve kurumlar: Müşteri, çalışan veya iş ortağı verilerini işleyen tüm işletmeler.
- Kamu kurumları: Vatandaş verilerini işleyen resmi kuruluşlar.
- Veri işleyenler: Sözleşmeli olarak veri sorumlusu adına veri işleyen üçüncü taraflar.
- İlgili kişiler: Verileri ihlal edilen bireyler (müşteriler, çalışanlar vb.).
İhlal bildirim sürelerine uyulmaması, KVKK tarafından idari para cezalarına (2025 yılı için güncellenmiş tutarlar) ve diğer yaptırımlara yol açabilir. Ayrıca, ihlalin etkileri sadece hukuki değil, itibar kaybı gibi ticari sonuçlar da doğurabilir.
Ne Yapılmalı
Veri ihlali durumunda izlenmesi gereken adımlar şunlardır:
- İhlali tespit edin: İhlalin ne zaman ve nasıl gerçekleştiğini belirleyin. İhlal tespiti, farkındalık anı olarak kabul edilir.
- 72 saat içinde bildirim yapın: KVKK’nın güncel Veri İhlali Bildirim Formu’nu doldurarak Kurul’a iletin. Bildirim, ihlalin türü, etkilenen kişi sayısı, alınan önlemler gibi bilgileri içermelidir.
- İlgili kişilere haber verin: İhlalin yüksek risk oluşturması halinde, ilgili kişileri en kısa sürede bilgilendirin.
- Dokümantasyon yapın: Tüm süreci belgeleyin. İhlal kayıtlarını en az 3 yıl saklayın.
- Önlemleri artırın: Gelecekteki ihlalleri önlemek için güvenlik politikalarınızı güncelleyin.
KVKK, bildirim sürelerine uyulmaması durumunda cezai işlem uygulayabilir. Bu nedenle, veri sorumlularının acil eylem planları oluşturması ve personelini eğitmesi kritik önem taşır.