Madde 33

Kişisel veri ihlali, iletilen, saklanan veya başka biçimde işlenen kişisel verilerin kazara ya da hukuka aykırı olarak yok edilmesine, kaybına, değiştirilmesine, yetkisiz biçimde açıklanmasına veya erişilmesine yol açan güvenlik ihlalidir.1 Kavram yalnız verilerin üçüncü kişiye açıklanmasını kapsamaz. Verinin bütünlüğünü kaybetmesi veya gerektiği halde erişilemez hale gelmesi de kişisel veri ihlali oluşturabilir.2

Her güvenlik olayı kişisel veri ihlali değildir. Olayın GDPR m.4/12'de sayılan sonuçlardan birini kişisel veriler bakımından doğurması gerekir. Bir hizmet kesintisi kişisel verilere erişimi etkilemiyorsa m.33 kapsamına girmeyebilir. Buna karşılık verinin dışarı sızmadığı bir olay, verilerin kaybolmasına veya hukuka aykırı biçimde değiştirilmesine yol açmışsa kapsamda kalabilir.3

Uygun güvenlik tedbirlerinin alınmış olması, ihlalin gerçekleşmesini hukuken olanaksız hale getirmez. Hangi tedbir uygulanırsa uygulansın gerçekleşen olay önce kişisel veri ihlali tanımına göre belirlenir. Tedbirlerin yeterliliği ve m.32'ye uyum ise ayrı bir inceleme gerektirir.4

Veri sorumlusu, kişisel veri ihlalini öğrendiğinde hak ve özgürlükler bakımından risk doğurmasının muhtemel olmadığı durumlar dışında yetkili denetim makamına bildirim yapmalıdır.1 Bildirimin gerekip gerekmediği değerlendirilirken ihlalin niteliği, etkilenen veri ve kişi çevresi, olası sonuçlar ile alınmış koruyucu tedbirler birlikte ele alınır.2

Bildirim gecikmeksizin ve uygulanabildiği ölçüde ihlalin öğrenilmesinden sonra en geç yetmiş iki saat içinde yapılmalıdır.3 Süre, olayın teknik olarak ilk başladığı tarihten değil, veri sorumlusunun kişisel veri ihlalini öğrendiği andan itibaren işler. Bununla birlikte kuruluş, zayıf tespit düzeninden yararlanarak öğrenme anını geciktiremez. Gerekçe 87, ihlalin meydana gelip gelmediğini hemen belirlemeye ve denetim makamını zamanında bilgilendirmeye elverişli tedbirlerin bulunmasını arar.4

Yetmiş iki saat geçtikten sonra bildirim yapılması, bildirim yükümlülüğünü ortadan kaldıramaz. Veri sorumlusu gecikmenin nedenlerini bildirimle birlikte açıklamalıdır.5 Bildirim, bütün bilgiler hazırsa haklı bir neden olmadan yetmiş ikinci saatin sonuna kadar bekletilmemeli ve gecikmeksizin yapılmalıdır.6

Veri işleyen, kişisel veri ihlalini öğrendiğinde veri sorumlusuna gecikmeksizin bildirim yapmalıdır.1 Bu bildirim denetim makamına yapılan bildirimden farklıdır. Veri işleyen kural olarak kendi adına denetim makamına m.33/1 bildirimi yapmak yerine, veri sorumlusunun risk değerlendirmesi ile bildirim yükümlülüğünü yerine getirebilmesi için onu bilgilendirir.2

GDPR m.33/2, veri işleyen için ayrı bir yetmiş iki saatlik süre belirlemez. Ölçüt gecikmeksizin bildirimdir.3 Taraflar sözleşmede daha kısa bir iç bildirim süresi kararlaştırabilir. Bu süre veri işleyenin olayı saklamasına veya ilk bilgileri vermek için bütün incelemenin tamamlanmasını beklemesine dayanak olamaz.4

İlk bildirim, olayın kişisel veri ihlali olup olmadığını ve muhtemel etkilerini değerlendirmeye yetecek mevcut bilgileri içermelidir. Veri işleyen yeni bilgi edindikçe bunu veri sorumlusuna iletmelidir. İşlemenin niteliği ile veri işleyenin elindeki bilgiler, GDPR m.28/3-f uyarınca sağlanacak yardımın kapsamını belirler.5

Veri sorumlusu, veri işleyenin bildirimini aldıktan sonra kendi m.33/1 yükümlülüğünü ayrıca değerlendirir. Sözleşmede bildirim işinin veri işleyene bırakılması, veri sorumlusunun denetim makamına karşı sorumluluğunu kendiliğinden kaldıramaz.6

Denetim makamına yapılacak bildirim, ihlalin niteliğini açıklamalıdır. Olanaklı olduğu ölçüde etkilenen ilgili kişi kategorileri ve yaklaşık kişi sayısı ile kişisel veri kaydı kategorileri ve yaklaşık kayıt sayısı belirtilmelidir.1

Bildirimde daha fazla bilgi alınabilecek veri koruma görevlisinin veya başka bir iletişim noktasının adı ve iletişim bilgileri yer alır. İhlalin muhtemel sonuçları ile veri sorumlusunun ihlali gidermek ve olumsuz etkileri azaltmak için aldığı veya almayı önerdiği tedbirler de açıklanmalıdır.2

Bu unsurlar, yalnız başlıkların tekrar edilmesiyle karşılanamaz. Örneğin itibar zararı olabileceğini belirtmek yerine hangi veri ve kişi çevresinin hangi sonuçla karşılaşabileceği mevcut bilgiler ölçüsünde gösterilmelidir. Aynı şekilde giderici tedbirin adı değil, olayın etkisini nasıl sınırladığı açıklanmalıdır.3

Bütün bilgiler aynı anda sağlanamıyorsa veri sorumlusu ilk bildirimi geciktirmek yerine bilgileri aşamalı olarak verebilir. Eksik bilgiler gecikmeyi artırmadan tamamlanmalıdır.4 Aşamalı bildirim olanağı, eldeki temel bilgilerin ilk bildirimde açıklanmamasına veya incelemenin belirsiz süreyle açık bırakılmasına izin vermez.5

Veri sorumlusu, gerçekleşen bütün kişisel veri ihlallerini belgelemelidir. Belge, ihlale ilişkin olguları, etkileri ve alınan giderici tedbirleri içermelidir. Denetim makamı bu kayıt üzerinden m.33'e uyulup uyulmadığını inceleyebilmelidir.1

Belgelendirme yükümlülüğü, denetim makamına bildirim eşiğinden daha geniştir. Hak ve özgürlükler bakımından risk doğurmasının muhtemel olmadığı için bildirim yapılmayan ihlal de kayda alınmalıdır. Böyle bir kayıtta bildirimin neden gerekli görülmediğini açıklayan değerlendirme de bulunmalıdır.2

İhlal kaydı, GDPR m.30'daki işleme faaliyetleri kaydından farklıdır. İşleme faaliyetleri kaydı kuruluşun olağan işleme kategorilerini gösterir. İhlal kaydı ise belirli olayın ne olduğunu, kimi ve hangi verileri etkilediğini, sonuçlarını ve müdahale adımlarını açıklar.3

Belgenin sonradan olayın gerçek akışına göre güncellenmesi gerekebilir. İlk anda yaklaşık verilen sayılar veya muhtemel sonuçlar değişmişse önceki kayıt silinmeden yeni bilgi eklenmelidir. Böylece denetim makamı hem kararın hangi bilgiyle verildiğini hem de olayın nasıl geliştiğini inceleyebilir.4

Kişisel veri ihlali bildirimi, işleme güvenliği yükümlülüğünden farklıdır. GDPR m.32 ihlalden önce ve işleme sürdükçe riskle uyumlu tedbir alınmasını düzenler. GDPR m.33 ise kişisel veri ihlali gerçekleştikten ve veri sorumlusu bunu öğrendikten sonra denetim makamına yapılacak bildirimi ve olayın belgelendirilmesini düzenler.1

Bildirim yapılması, güvenlik tedbirlerinin yetersiz olduğunu kendiliğinden kabul etmek anlamına gelmez. Tersine bildirim yapılmaması da m.32'ye uyulduğunu gösteremez. Güvenlik tedbirlerinin uygunluğu, ihlal bildiriminin zamanında ve eksiksiz olup olmadığıyla bağlantılı fakat ayrı değerlendirmeler gerektirir.2

Denetim makamına bildirim ile ilgili kişiye bildirim de aynı değildir. GDPR m.33/1, risk doğurması muhtemel ihlallerin denetim makamına bildirilmesini düzenler. GDPR m.34/1 ise yüksek risk doğurması muhtemel ihlallerin ilgili kişiye gecikmeksizin bildirilmesini arar. Denetim makamına bildirim yapıldığı için ilgili kişiye ayrıca bilgi verilmesine gerek olmadığı sonucu çıkarılamaz.3

İlgili kişiye bildirimin istisnaları GDPR m.34/3'te ayrıca düzenlenmiştir. Bu istisnalar denetim makamına bildirim eşiğine aynen uygulanamaz.4 Şifreleme gibi bir tedbir, ilgili kişi bakımından yüksek riski ortadan kaldırabilir. Aynı tedbirin m.33/1 kapsamında denetim makamına bildirim gereğini etkileyip etkilemediği ise somut risk değerlendirmesiyle belirlenecektir.5

KVKK m.12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kurula bildirmesini zorunlu kılar. Kurul gerektiğinde olayı kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir.1

GDPR m.33 daha geniş bir kişisel veri ihlali tanımına dayanır. Yok etme, kayıp ve değiştirme ile yetkisiz açıklama veya erişim bu kavram içinde yer alabilir. Denetim makamına bildirim, ihlalin hak ve özgürlükler bakımından risk doğurmasının muhtemel olmadığı durumlar dışında gecikmeksizin ve uygulanabildiği ölçüde yetmiş iki saat içinde yapılmalıdır.2

KVKK m.12/5 kanuni olmayan yollarla başkaları tarafından elde edilme halini düzenler. Kanun metni, kişisel verilerin kaybı veya erişilemez hale gelmesi gibi gizlilik dışındaki ihlalleri aynı bildirim hükmünde açıkça saymaz. Ayrıca bildirim için sayısal bir saat sınırı değil en kısa süre ölçütünü kullanır.3

Muhataplar da farklıdır. KVKK m.12/5 aynı hüküm içinde ilgili kişi ile Kurula bildirimi düzenler. GDPR m.33 denetim makamına bildirimi, m.34 ise yüksek risk eşiğiyle ilgili kişiye bildirimi ayrı maddelerde ele alır.4 Bu nedenle GDPR'daki yetmiş iki saatlik süre ve risk eşikleri KVKK m.12/5'e doğrudan aktarılamaz. Türk hukukundaki süre ve bildirim kapsamı KVKK m.12/5 çerçevesinde belirlenecektir.5