Kişisel Veri İhlallerinin Kurum’a Bildirilmesi Yükümlülüğü

6698 sayılı Kişisel Verilerin Korunması Kanununun “veri güvenliğine ilişkin yükümlülükler” maddesi altında, veri sorumlusunun; amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorunda olduğu düzenlenmiştir. Aynı madde kapsamında, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurula bildirme yükümlülüğü bulunmaktadır ve Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir. Bu madde kapsamında veri sorumluluklarına atfedilen yükümlülük veri sorumlusunun ihlali tespit etmesi ile başlar. Kanunda yer alan “ en kısa sürede” bildirim yükümlülüğünün ne şekilde uygulanması gerektiğine ilişkin ise Kurul 6698 sayılı Kanuna kaynak teşkil eden AB 95/46/EC sayılı Direktifini ilga eden Avrupa Genel Veri Koruma Tüzüğünde (GDPR) de veri ihlal bildirimlerine ilişkin olarak Direktifin aksine detaylı düzenlemelere yer verildiğini de dikkate alarak, Kurul tarafından bu konuda alınacak kararlar arasında herhangi bir uyumsuzluğa mahal verilmemesi ve uygulamada bir standartlaşma sağlanabilmesi amacı ile; 24.01.2019 tarih ve 2019/10 sayılı Kararı ile ilgili hükümde yer alan “en kısa sürede” ifadesinin 72 saat olarak yorumlanmasına ve bu kapsamda veri sorumlusunun bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesine, veri sorumlusunca söz konusu veri ihlalinden etkilenen kişilerin belirlenmesini müteakip ilgili kişilere de makul olan en kısa süre içerisinde, ilgili kişinin iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi web sitesi üzerinden yayımlanması gibi uygun yöntemlerle bildirim yapılmasına karar vererek Kanun maddesi detaylandırılmıştır.