Veri ihlali bildirimi 72 saat: KVKK ihlal bildirimi nasıl yapılır

Veri ihlali nedir, bildirim yükümlülüğü ne zaman doğar?

KVKK m.12/5'e göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurul'a bildirir; Kurul gerekirse durumu kendi internet sitesinde ilan edebilir. İhlal veri işleyen nezdinde gerçekleşmişse veri işleyen bunu gecikmeksizin veri sorumlusuna bildirir (Kurul kararı 2019/10).

72 saat kuralı nereden geliyor?

Kanundaki "en kısa süre" ifadesini Kurul, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla somutlaştırdı: veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirir. Süre ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan başlar.

Kurul'a veri ihlali bildirimi nasıl yapılır?

Bildirim, Kurul'un yayımladığı Kişisel Veri İhlali Bildirim Formu ile yapılır. Formdaki bilgilerin tamamı 72 saat içinde sağlanamıyorsa bilgiler gecikmeye yol açmadan aşamalı olarak verilir. 72 saatlik süre aşılırsa gecikmenin nedenleri Kurul'a açıklanır.

İlgili kişilere bildirim nasıl yapılır?

İhlalden etkilenen kişiler belirlendikten sonra onlara da makul olan en kısa sürede bildirim yapılır: iletişim adresi biliniyorsa doğrudan, bilinmiyorsa veri sorumlusunun web sitesinde yayımlama gibi uygun yöntemlerle (Kurul kararı 2019/10). Kurul'un 18.09.2019 tarihli, 2019/271 sayılı kararına göre bu bildirim açık ve sade bir dille yapılır ve en az şunları içerir: ihlalin ne zaman gerçekleştiği, hangi kişisel veri kategorilerinin etkilendiği (özel nitelikli veri ayrımıyla), ihlalin olası sonuçları, olumsuz etkileri azaltmak için alınan ya da önerilen tedbirler ve bilgi alınabilecek irtibat kişileri ya da iletişim yolları.

İhlal kayıtları ve yurt dışında yerleşik veri sorumluları

Veri sorumlusu ihlallere ilişkin bilgileri, etkilerini ve alınan tedbirleri kayıt altına alır ve Kurul'un incelemesine hazır tutar. Yurt dışında yerleşik veri sorumluları da Türkiye'de yerleşik ilgili kişileri etkileyen ihlalleri Kurul'a bildirir.

Sık sorulanlar

Veri ihlali kaç saat içinde bildirilir?

İhlalin öğrenildiği tarihten itibaren en geç 72 saat içinde Kurul'a bildirilir.

72 saat içinde bütün bilgiler toplanamazsa ne olur?

Bildirim eldeki bilgiyle yapılır, kalan bilgiler gecikmeksizin aşamalı olarak verilir. Süre aşılmışsa gecikme nedeni açıklanır.

İlgili kişilere de bildirim zorunlu mu?

Evet. Makul olan en kısa sürede, iletişim adresi biliniyorsa doğrudan, bilinmiyorsa web sitesinde yayımlama gibi uygun yollarla bildirilir.