Madde 34

Kişisel veri ihlalinin gerçek kişilerin hak ve özgürlükleri bakımından yüksek risk doğurmasının muhtemel olması halinde veri sorumlusu, ihlali ilgili kişiye bildirmelidir.1 Bu eşik, denetim makamına bildirimi düzenleyen GDPR m.33/1'deki risk eşiğinden daha yüksektir. Denetim makamına bildirim gerekmesi, ilgili kişiye de mutlaka bildirim yapılacağı anlamına gelmez.2

Değerlendirme, ihlalden etkilenmesi muhtemel kişiler esas alınarak yapılacaktır. İhlalin niteliği, verilerin hassasiyeti ve miktarı, kişilerin belirlenebilme kolaylığı, muhtemel sonuçların ağırlığı ve bu sonuçların gerçekleşme ihtimali birlikte ele alınmalıdır.3 Yüksek risk değerlendirmesi, yalnız maddi zararla sınırlı değildir. Ayrımcılık, kimlik hırsızlığı, itibar kaybı, mesleki sır kapsamındaki verilerin gizliliğinin bozulması ve kişinin verileri üzerindeki denetimini kaybetmesi de değerlendirmeye dahildir.4

Bildirim gereksiz gecikmeye yer verilmeksizin yapılmalıdır.1 GDPR m.34, denetim makamına bildirim için öngörülen yetmiş iki saatlik süreyi ilgili kişiye yapılacak bildirim bakımından tekrarlamaz. Sürenin makul olup olmadığı, ihlalin niteliği, ağırlığı ve ilgili kişi üzerindeki muhtemel sonuçları gözetilerek belirlenecektir.2

Bildirimin amacı, ilgili kişinin zararı azaltacak önlemleri zamanında alabilmesidir. Devam eden veya hemen gerçekleşebilecek bir zarar tehlikesinde bildirim daha hızlı yapılmalıdır.3 Buna karşılık veri sorumlusunun devam eden ihlali durdurmak ve benzer ihlalleri önlemek için önlem alması, somut olayda bildirimin hazırlanması için belirli bir süre gerektirebilir. Ancak bu durum, bildirimin belirsiz bir tarihe kadar ertelenmesini haklı göstermez.4

Bildirim, ihlalin niteliğini açık ve sade bir dille anlatmalıdır. Ayrıca veri koruma görevlisinin veya bilgi alınabilecek başka bir temas noktasının iletişim bilgilerini, ihlalin muhtemel sonuçlarını ve veri sorumlusunun aldığı ya da almayı önerdiği önlemleri içermelidir.1 Bu son unsur, ihlalin olumsuz etkilerini azaltmaya yönelik tedbirleri de kapsar.

İlgili kişiye yalnız ihlalin gerçekleştiğini bildirmek yeterli değildir. Açıklama, kişinin hangi riskle karşı karşıya olduğunu ve kendisini korumak için hangi adımları atabileceğini anlayabilmesine imkan vermelidir.2 Somut ihlalle ilgisi bulunmayan teknik ayrıntılarla yüklü veya genel güvenlik ifadelerinden oluşan bir metin bu işlevi yerine getiremez.3

Bildirim için tek bir araç öngörülmemiştir. Seçilen iletişim yolu, bildirimin etkili biçimde ilgili kişiye ulaşmasına ve diğer duyurular arasında kaybolmamasına elverişli olmalıdır.4

GDPR m.34/3, ilgili kişiye bildirim yükümlülüğü bakımından üç istisna öngörür. İlk olarak, ihlalden etkilenen verilere uygun teknik ve kurumsal koruma tedbirleri uygulanmış olabilir. Yetkisiz kişilerin verileri anlayamamasını sağlayan şifreleme bu tedbirlere örnektir. Tedbirin ihlal anında gerçekten etkili olup olmadığı ayrıca belirlenmelidir.1

İkinci olarak, ihlalden sonra alınan önlemler yüksek riskin artık gerçekleşmesinin muhtemel olmamasını sağlamış olabilir.2 Riskin yalnızca azalması, bu istisnanın uygulanması için yeterli değildir. Üçüncü olarak, kişilere tek tek ulaşmak orantısız çaba gerektiriyorsa kamuya açık bir duyuru veya kişileri aynı ölçüde etkili biçimde bilgilendirecek benzer bir yöntem kullanılmalıdır.3

Bu istisnalar, ihlali değerlendirme yükümlülüğünü ortadan kaldırmaz. Yalnızca bireysel bildirimin gerekmemesine veya bildirimin başka bir yöntemle yapılmasına imkan verir. Veri sorumlusu, dayandığı koşulun somut ihlalde gerçekleştiğini gösterebilmelidir.4

Veri sorumlusu bildirim yapmamışsa denetim makamı, ihlalin yüksek risk doğurma ihtimalini değerlendirerek ilgili kişilere bildirim yapılmasını isteyebilir. Denetim makamı, GDPR m.34/3'teki koşullardan birinin gerçekleştiğine de karar verebilir.1 Bu yetki, bildirimin gerekip gerekmediğini ilk aşamada değerlendirme sorumluluğunu veri sorumlusundan almaz.2

Veri işleyen, ihlalin bildirilmesiyle ilgili yükümlülüklerin yerine getirilmesinde veri sorumlusuna yardımcı olmalıdır.3 İlgili kişiye bildirim yükümlülüğü ise veri sorumlusuna aittir. Sözleşmeyle veri işleyene fiili görev verilmesi, veri sorumlusunun GDPR m.34'ten doğan sorumluluğunu ortadan kaldırmaz.4

KVKK m.12/5, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kurula bildirmesini öngörür.1 GDPR m.34 ise ilgili kişiye bildirimi yüksek risk eşiğine bağlar ve denetim makamına bildirimi GDPR m.33'te ayrı bir yükümlülük olarak düzenler.2

KVKK m.12/5'in lafzında, GDPR m.34/2'deki ayrıntılı asgari içerik şartları ile m.34/3'teki şifreleme, sonraki önlemler ve orantısız çaba halleri yer almaz.3 Bu fark, GDPR'deki istisnaların Türk hukukunda kendiliğinden uygulanabileceği anlamına gelmez. Türk hukukunda bildirimin kapsamı ve yöntemi, KVKK m.12/5 ile Kurulun bu hükme dayanan düzenleme ve kararları çerçevesinde belirlenmelidir.4