Kişisel Verileri Koruma Kurumu (KVKK), kişisel veri ihlali yaşayan kurum ve şirketlerin bildirimlerinde bulunması gereken bilgileri belirliyor. Veri ihlalinin gerçekleştiği tarih, etkilenen kişisel bilgiler, olası sonuçlar ve alınan güvenlik önlemleri bildirimde yer alması gereken temel unsurlar arasında bulunuyor.
Kişisel verilerin yetkisiz kişilerin eline geçmesi durumunda uygulanacak bildirim süreci, hem şirketleri hem de vatandaşları yakından ilgilendiriyor. 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlularının, belirli ihlalleri Kişisel Verileri Koruma Kuruluna ve etkilenen kişilere bildirmesi gerekiyor. Kurulun 2019/271 sayılı kararı, vatandaşlara yapılacak bildirimlerde bulunması gereken asgari bilgileri düzenliyor. Peki, kişisel veri ihlali bildiriminde hangi bilgiler yer almalı, KVKK'ya kaç saat içinde bildirim yapılmalı ve veri ihlali yaşayan kişiler nasıl bilgilendirilmeli?
Kişisel veri ihlali bildiriminde bulunması gereken bilgiler
Kişisel Verileri Koruma Kurulunun 18 Eylül 2019 tarihli ve 2019/271 sayılı kararına göre veri sorumlularının ihlalden etkilenen kişilere yapacağı bildirimlerin açık ve sade bir dille hazırlanması gerekiyor.
Bildirimde bulunması gereken beş temel bilgi şöyle:
Kişisel veri ihlalinin ne zaman gerçekleştiği.
İhlalden etkilenen kişisel verilerin kategorileri ve özel nitelikli kişisel veri ayrımı.
Veri ihlalinin ilgili kişiler açısından doğurabileceği olası sonuçlar.
İhlalin olumsuz etkilerini azaltmak amacıyla alınan veya alınması önerilen tedbirler.
İhlal hakkında bilgi alınabilecek yetkililerin isimleri, iletişim bilgileri veya şirketin internet sitesi ve çağrı merkezi gibi iletişim kanalları.
Bu bilgiler, kişilerin yaşanan ihlalin kapsamını öğrenmesini ve kendilerini ilgilendiren risklere karşı gerekli önlemleri değerlendirmesini amaçlıyor.
KVKK veri ihlali bildirimi kaç saat içinde yapılmalı?
Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararına göre veri sorumlularının, kişisel veri ihlalini öğrendikleri tarihten itibaren en geç 72 saat içerisinde Kurula bildirim yapması gerekiyor.
Bildirim süresi, ihlalin meydana geldiği tarihten değil, veri sorumlusunun ihlali öğrendiği tarihten itibaren hesaplanıyor. Bildirimin 72 saatlik süre içerisinde yapılamaması durumunda gecikmenin gerekçesinin Kurula açıklanması gerekiyor.
İhlalden etkilenen kişilere yapılacak bildirimler için ise aynı 72 saatlik süre uygulanmıyor. İlgili kişilerin belirlenmesinin ardından makul olan en kısa süre içerisinde bilgilendirme yapılması gerekiyor.
Kişisel veri ihlali KVKK'ya nasıl bildirilir?
Veri sorumluları, kişisel veri ihlallerini Kişisel Verileri Koruma Kurumunun belirlediği bildirim usulleri doğrultusunda Kurula iletiyor. Kurumun yayımladığı Kişisel Veri İhlali Bildirim Formu, ihlalin niteliği ve kapsamına ilişkin bilgilerin aktarılmasını sağlıyor.
Kurula yapılan bildirimde veri sorumlusunun kimlik ve iletişim bilgileri, ihlalin başlangıç ve tespit zamanı, olayın gerçekleşme şekli, etkilenen veri kategorileri ve ilgili kişi grupları gibi ayrıntılar isteniyor.
Ayrıca etkilenen kişi sayısı, alınan tedbirler ve ilgili kişilere bildirim yapılıp yapılmadığına ilişkin bilgiler de form kapsamında değerlendiriliyor. İlk bildirim sırasında bütün bilgilerin elde edilememesi durumunda takip bildirimi yapılabiliyor.
Veri ihlalinden etkilenen kişilere nasıl bildirim yapılır?
KVKK düzenlemelerine göre kişisel veri ihlalinden etkilenen kişilere öncelikle doğrudan ulaşılması esas alınıyor. İletişim bilgileri mevcut olan kişilere e-posta, kısa mesaj veya uygun diğer iletişim yöntemleriyle bilgilendirme yapılabiliyor.
İlgili kişilere doğrudan ulaşılamaması durumunda ise veri sorumlusunun internet sitesi üzerinden duyuru yayımlanması gibi uygun yöntemler kullanılabiliyor.
Bildirim metninde yalnızca bir güvenlik olayının yaşandığının belirtilmesi yeterli görülmüyor. Hangi verilerin etkilendiği, ihlalin olası sonuçları ve başvurulabilecek iletişim kanallarının da açıklanması gerekiyor.
Kişisel veri ihlalinde hangi bilgiler risk altında olabilir?
Kişisel veri ihlalleri, olayın niteliğine göre farklı veri kategorilerini etkileyebiliyor. Kimlik bilgileri, telefon numaraları, e-posta adresleri, adres kayıtları, kullanıcı hesap bilgileri ve finansal veriler ihlalden etkilenebilecek bilgiler arasında bulunuyor.
Sağlık verileri ve biyometrik veriler gibi özel nitelikli kişisel verilerin etkilenmesi durumunda, bu bilgilerin bildirimde ayrıca belirtilmesi gerekiyor.
Kişisel Verileri Koruma Kurumu, kendisine iletilen veri ihlali bildirimlerini değerlendirerek gerekli gördüğü durumlarda kamuoyuna duyuru yapabiliyor.
