Kişisel verilerin izinsiz ele geçirilmesi ya da açığa çıkması, veri sorumlusu için hem bildirim hem de sorumluluk doğuran bir olaydır. Veri ihlali özellikle verilerin yurt dışına aktarıldığı durumlarda ek yükümlülükler barındırır. Bu rehber, KVKK (6698) ve 5651 sayılı Kanun çerçevesinde ihlal ve aktarım boyutunu ele alır.
İhlalin Tespiti ve Bildirim
Bir veri ihlali gerçekleştiğinde veri sorumlusunun, durumu Kurul'a ve etkilenen ilgili kişilere bildirme yükümlülüğü doğar. Bildirimin geç yapılması ya da hiç yapılmaması ayrı bir ihlal oluşturabilir. Bu nedenle ihlalin fark edildiği an, tüm sürecin başlangıç noktası olarak kayıt altına alınmalıdır.
Yurt Dışı Aktarımın Özel Rejimi
Kişisel verilerin yurt dışına aktarılması, KVKK kapsamında yurt içi aktarımdan farklı ve daha sıkı şartlara bağlıdır. Aktarımın hukuki dayanağı, alıcı ülkedeki koruma düzeyi ve gerekli güvencelerin sağlanıp sağlanmadığı belirleyicidir. İhlal, yurt dışına aktarılmış veriler üzerinden gerçekleştiyse sorumluluk daha karmaşık hale gelir.
Sorumluluğun Kapsamı
Veri ihlalinde sorumluluk yalnızca teknik açıkla sınırlı değildir. Değerlendirmede şu unsurlar öne çıkar:
- Alınması gereken idari ve teknik tedbirlerin yeterliliği
- Aktarım öncesi gerekli güvencelerin sağlanıp sağlanmadığı
- İhlal sonrası bildirim ve zarar azaltıcı adımların zamanında atılması
İlgili Kişinin Başvuru Yolu
Verisi ihlale uğrayan kişi, önce veri sorumlusuna başvurabilir; yanıt alamaz veya yanıt yetersiz kalırsa Kurul'a şikâyette bulunabilir. 5651 sayılı Kanun kapsamındaki içeriğe erişimin engellenmesi ise, verinin bir platformda yayılması halinde ayrı bir hat olarak devreye girebilir.
Değerlendirme
Her ihlalin kapsamı ve aktarım yapısı farklı olduğundan izlenecek yol da değişir. Bildirim sürelerinin ve yurt dışı aktarım şartlarının titizlikle değerlendirilmesi için hem veri sorumlusu hem ilgili kişi açısından hukuki destek alınması önerilir.