GDPR İlgili Dibaceler 4 dibace
Recital 85
A personal data breach may, if not addressed in an appropriate and timely manner, result in physical, material or non-material damage to natural persons such as loss of control over their personal data or limitation of their rights, discrimination, identity theft or fraud, financial loss, unauthorised reversal of pseudonymisation, damage to reputation, loss of confidentiality of personal data protected by professional secrecy or any other significant economic or social disadvantage to the natural person concerned. Therefore, as soon as the controller becomes aware that a personal data breach has occurred, the controller should notify the personal data breach to the supervisory authority without undue delay and, where feasible, not later than 72 hours after having become aware of it, unless the controller is able to demonstrate, in accordance with the accountability principle, that the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons. Where such notification cannot be achieved within 72 hours, the reasons for the delay should accompany the notification and information may be provided in phases without undue further delay.
Recital 86
The controller should communicate to the data subject a personal data breach, without undue delay, where that personal data breach is likely to result in a high risk to the rights and freedoms of the natural person in order to allow him or her to take the necessary precautions. The communication should describe the nature of the personal data breach as well as recommendations for the natural person concerned to mitigate potential adverse effects. Such communications to data subjects should be made as soon as reasonably feasible and in close cooperation with the supervisory authority, respecting guidance provided by it or by other relevant authorities such as law-enforcement authorities. For example, the need to mitigate an immediate risk of damage would call for prompt communication with data subjects whereas the need to implement appropriate measures against continuing or similar personal data breaches may justify more time for communication.
Recital 87
It should be ascertained whether all appropriate technological protection and organisational measures have been implemented to establish immediately whether a personal data breach has taken place and to inform promptly the supervisory authority and the data subject. The fact that the notification was made without undue delay should be established taking into account in particular the nature and gravity of the personal data breach and its consequences and adverse effects for the data subject. Such notification may result in an intervention of the supervisory authority in accordance with its tasks and powers laid down in this Regulation.
Recital 88
In setting detailed rules concerning the format and procedures applicable to the notification of personal data breaches, due consideration should be given to the circumstances of that breach, including whether or not personal data had been protected by appropriate technical protection measures, effectively limiting the likelihood of identity fraud or other forms of misuse. Moreover, such rules and procedures should take into account the legitimate interests of law-enforcement authorities where early disclosure could unnecessarily hamper the investigation of the circumstances of a personal data breach.
Dibace 85
Kişisel veri ihlali, uygun bir şekilde ve zamanında ele alınmadığı takdirde, gerçek kişilere, kişisel verileri üzerindeki kontrolü kaybetmeleri veya haklarının sınırlandırılması, ayrımcılık, kimlik hırsızlığı veya kimlikte sahtecilik, takma adın izinsiz şekilde geri getirilmesi, itibarın zedelenmesi, mesleki sır saklama ile korunan kişisel verilerin gizliliğinin kaybedilmesi veya söz konusu gerçek kişiye yönelik diğer önemli ekonomik veya sosyal dezavantajlar gibi fiziksel, maddi veya manevi zarara neden olabilir. Bu sebeple, hesap verebilirlik ilkesi doğrultusunda kişisel veri ihlalinin gerçek kişilerin hakları ve özgürlükleri açısından riske sebebiyet vermesinin muhtemel olmadığını kanıtlayabildiği haller hariç olmak üzere, veri sorumlusu, kişisel veri ihlali olduğunu fark eder etmez fazla gecikmeksizin ve uygun olması hâlinde, ihlalden haberdar olduktan itibaren en geç 72 saat içinde, söz konusu kişisel veri ihlalini denetim makamına bildirmelidir. Bu bildirimin 72 saat içinde yapılamadığı hallerde, bu bildirimde gecikme sebeplerine de yer verilir ve bilgiler, daha fazla gecikmeksizin aşamalı olarak sağlanabilir.
Dibace 86
Kişisel veri ihlalinin gerçek kişinin hakları ve özgürlükleri açısından yüksek bir riske sebebiyet vermesinin muhtemel olduğu hallerde, veri sorumlusu, söz konusu kişinin gerekli tedbirleri alabilmesini teminen, fazla gecikmeksizin, veri öznesini kişisel veri ihlaline ilişkin bilgilendirmelidir. Söz konusu bilgilendirmede, kişisel veri ihlalinin mahiyetinin yanı sıra olası olumsuz etkilerin hafifletilmesi için söz konusu gerçek kişiye yönelik tavsiyeler yer almalıdır. Veri öznelerine yönelik söz konusu bilgilendirmeler, mantıken mümkün olan en kısa sürede ve denetim makamı ile yakın iş birliği içinde, denetim makamının kendisi veya kolluk makamları gibi ilgili diğer makamlar tarafından hazırlanan kılavuz ilkelere riayet edilerek yapılmalıdır. Örneğin, ani bir zarar riskinin azaltılmasına yönelik ihtiyaç, veri öznelerine hızlı bir şekilde bilgilendirme yapılmasını gerektirirken, devamlılık arz eden veya benzer nitelikli kişisel veri ihlallerine karşı uygun tedbirlerin uygulanmasına yönelik ihtiyaç, bilgilendirmenin daha uzun bir sürede yapılmasını haklı gösterebilir.
Dibace 87
Kişisel veri ihlalinin gerçekleşip gerçekleşmediğinin hızla tespit edilmesi ve denetim makamı ile veri öznesine gecikmeksizin bilgi verilmesi amacıyla uygun tüm teknolojik koruma tedbirlerinin ve kurumsal tedbirlerin uygulandığından emin olunmalıdır. Bildirimin fazla gecikmeksizin yapıldığı hususu, özellikle kişisel veri ihlalinin mahiyeti ve ağırlığı ile bunun veri öznesi açısından sonuçları ve olumsuz etkileri dikkate alınarak belirlenmelidir. Söz konusu bildirim, bu Tüzük'te yer alan görev ve yetkilerine uygun olarak denetim makamının müdahalesi ile sonuçlanabilir.
Dibace 88
Kişisel veri ihlallerinin bildirilmesinde uygulanacak format ve usullere ilişkin ayrıntılı kuralların belirlenmesinde, kişisel verilerin kimlikte sahtecilik veya diğer suiistimallerin gerçekleşme olasılığını etkili bir şekilde sınırlandıran uygun teknik koruma tedbirleriyle korunup korunmadığı da dâhil olmak üzere, ihlalin gerçekleştiği koşullar dikkate alınmalıdır. Ayrıca, erken açıklamanın kişisel veri ihlaline ilişkin koşulların soruşturulmasını gereksiz yere engelleyebileceği durumlarda, söz konusu kurallar ve usuller, kolluk makamlarının meşru menfaatlerini göz önünde bulundurmalıdır.
İlgili kişiye bildirim eşiği
Kişisel veri ihlalinin gerçek kişilerin hak ve özgürlükleri bakımından yüksek risk doğurmasının muhtemel olması halinde veri sorumlusu, ihlali ilgili kişiye bildirmelidir.1 Bu eşik, denetim makamına bildirimi düzenleyen GDPR m.33/1'deki risk eşiğinden daha yüksektir. Denetim makamına bildirim gerekmesi, ilgili kişiye de mutlaka bildirim yapılacağı anlamına gelmez.2
Değerlendirme, ihlalden etkilenmesi muhtemel kişiler esas alınarak yapılacaktır. İhlalin niteliği, verilerin hassasiyeti ve miktarı, kişilerin belirlenebilme kolaylığı, muhtemel sonuçların ağırlığı ve bu sonuçların gerçekleşme ihtimali birlikte ele alınmalıdır.3 Yüksek risk değerlendirmesi, yalnız maddi zararla sınırlı değildir. Ayrımcılık, kimlik hırsızlığı, itibar kaybı, mesleki sır kapsamındaki verilerin gizliliğinin bozulması ve kişinin verileri üzerindeki denetimini kaybetmesi de değerlendirmeye dahildir.4
Bildirimin zamanı ve koruyucu işlevi
Bildirim gereksiz gecikmeye yer verilmeksizin yapılmalıdır.1 GDPR m.34, denetim makamına bildirim için öngörülen yetmiş iki saatlik süreyi ilgili kişiye yapılacak bildirim bakımından tekrarlamaz. Sürenin makul olup olmadığı, ihlalin niteliği, ağırlığı ve ilgili kişi üzerindeki muhtemel sonuçları gözetilerek belirlenecektir.2
Bildirimin amacı, ilgili kişinin zararı azaltacak önlemleri zamanında alabilmesidir. Devam eden veya hemen gerçekleşebilecek bir zarar tehlikesinde bildirim daha hızlı yapılmalıdır.3 Buna karşılık veri sorumlusunun devam eden ihlali durdurmak ve benzer ihlalleri önlemek için önlem alması, somut olayda bildirimin hazırlanması için belirli bir süre gerektirebilir. Ancak bu durum, bildirimin belirsiz bir tarihe kadar ertelenmesini haklı göstermez.4
Bildirimin içeriği ve anlatım biçimi
Bildirim, ihlalin niteliğini açık ve sade bir dille anlatmalıdır. Ayrıca veri koruma görevlisinin veya bilgi alınabilecek başka bir temas noktasının iletişim bilgilerini, ihlalin muhtemel sonuçlarını ve veri sorumlusunun aldığı ya da almayı önerdiği önlemleri içermelidir.1 Bu son unsur, ihlalin olumsuz etkilerini azaltmaya yönelik tedbirleri de kapsar.
İlgili kişiye yalnız ihlalin gerçekleştiğini bildirmek yeterli değildir. Açıklama, kişinin hangi riskle karşı karşıya olduğunu ve kendisini korumak için hangi adımları atabileceğini anlayabilmesine imkan vermelidir.2 Somut ihlalle ilgisi bulunmayan teknik ayrıntılarla yüklü veya genel güvenlik ifadelerinden oluşan bir metin bu işlevi yerine getiremez.3
Bildirim için tek bir araç öngörülmemiştir. Seçilen iletişim yolu, bildirimin etkili biçimde ilgili kişiye ulaşmasına ve diğer duyurular arasında kaybolmamasına elverişli olmalıdır.4
Bildirim istisnaları
GDPR m.34/3, ilgili kişiye bildirim yükümlülüğü bakımından üç istisna öngörür. İlk olarak, ihlalden etkilenen verilere uygun teknik ve kurumsal koruma tedbirleri uygulanmış olabilir. Yetkisiz kişilerin verileri anlayamamasını sağlayan şifreleme bu tedbirlere örnektir. Tedbirin ihlal anında gerçekten etkili olup olmadığı ayrıca belirlenmelidir.1
İkinci olarak, ihlalden sonra alınan önlemler yüksek riskin artık gerçekleşmesinin muhtemel olmamasını sağlamış olabilir.2 Riskin yalnızca azalması, bu istisnanın uygulanması için yeterli değildir. Üçüncü olarak, kişilere tek tek ulaşmak orantısız çaba gerektiriyorsa kamuya açık bir duyuru veya kişileri aynı ölçüde etkili biçimde bilgilendirecek benzer bir yöntem kullanılmalıdır.3
Bu istisnalar, ihlali değerlendirme yükümlülüğünü ortadan kaldırmaz. Yalnızca bireysel bildirimin gerekmemesine veya bildirimin başka bir yöntemle yapılmasına imkan verir. Veri sorumlusu, dayandığı koşulun somut ihlalde gerçekleştiğini gösterebilmelidir.4
Denetim makamının yetkisi ve sorumluluk ayrımı
Veri sorumlusu bildirim yapmamışsa denetim makamı, ihlalin yüksek risk doğurma ihtimalini değerlendirerek ilgili kişilere bildirim yapılmasını isteyebilir. Denetim makamı, GDPR m.34/3'teki koşullardan birinin gerçekleştiğine de karar verebilir.1 Bu yetki, bildirimin gerekip gerekmediğini ilk aşamada değerlendirme sorumluluğunu veri sorumlusundan almaz.2
Veri işleyen, ihlalin bildirilmesiyle ilgili yükümlülüklerin yerine getirilmesinde veri sorumlusuna yardımcı olmalıdır.3 İlgili kişiye bildirim yükümlülüğü ise veri sorumlusuna aittir. Sözleşmeyle veri işleyene fiili görev verilmesi, veri sorumlusunun GDPR m.34'ten doğan sorumluluğunu ortadan kaldırmaz.4
KVKK ile karşılaştırma
KVKK m.12/5, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kurula bildirmesini öngörür.1 GDPR m.34 ise ilgili kişiye bildirimi yüksek risk eşiğine bağlar ve denetim makamına bildirimi GDPR m.33'te ayrı bir yükümlülük olarak düzenler.2
KVKK m.12/5'in lafzında, GDPR m.34/2'deki ayrıntılı asgari içerik şartları ile m.34/3'teki şifreleme, sonraki önlemler ve orantısız çaba halleri yer almaz.3 Bu fark, GDPR'deki istisnaların Türk hukukunda kendiliğinden uygulanabileceği anlamına gelmez. Türk hukukunda bildirimin kapsamı ve yöntemi, KVKK m.12/5 ile Kurulun bu hükme dayanan düzenleme ve kararları çerçevesinde belirlenmelidir.4