Şirketlerde Veri İhlali Sonrasında Yapılması Gerekenler

Her şirket, büyüklüğü ne olursa olsun bir gün veri ihlali riskiyle karşı karşıya kalabilir. Siber saldırılar, çalışan hataları, yanlış e-posta gönderimleri, kaybolan cihazlar veya yetkisiz erişimler; müşteri bilgilerinin, çalışan verilerinin ve ticari sırların üçüncü kişilerin eline geçmesine neden olabilir. Ancak veri ihlalinin yaşanması kadar, ihlal sonrasında izlenecek yol da büyük önem taşır. Çünkü yanlış veya gecikmiş bir müdahale yalnızca maddi kayıplara değil; idari para cezalarına, tazminat davalarına ve şirket itibarının ciddi şekilde zedelenmesine de yol açabilir. Bu nedenle veri ihlali sonrasında atılacak hukuki, teknik ve idari adımların doğru planlanması, şirketlerin zararlarını en aza indirebilmesi açısından kritik bir süreçtir.

Veri İhlali Nedir?

Veri ihlali; kişisel verilerin hukuka aykırı olarak yetkisiz kişiler tarafından ele geçirilmesi, ifşa edilmesi, değiştirilmesi, silinmesi veya erişilemez hâle gelmesi anlamına gelir. KVKK kapsamında veri sorumluları, işledikleri kişisel verilerin güvenliğini sağlamakla yükümlüdür. Bu yükümlülüğün ihlali, veri ihlali olarak değerlendirilir.

Hangi Olaylar Veri İhlali Sayılır?

Her güvenlik olayı veri ihlali olmayabilir. Ancak aşağıdaki durumlar çoğunlukla veri ihlali kapsamında değerlendirilir:

• Müşteri bilgilerinin siber saldırı sonucu ele geçirilmesi,
• Yanlış kişiye e-posta gönderilmesi,
• Şirket bilgisayarının veya taşınabilir cihazların çalınması,
• Çalışan bilgilerinin yetkisiz kişilerle paylaşılması,
• Fidye yazılımı (ransomware) saldırıları nedeniyle verilere erişilememesi,
• Yetkisiz kullanıcıların şirket sistemlerine erişim sağlaması.

Yargıtay da kişisel verilerin korunmasına ilişkin kararlarında, cep telefonu numarası gibi bilgilerin dahi kişisel veri niteliğinde olduğunu açıkça kabul etmektedir. Nitekim Yargıtay 12. Ceza Dairesi’nin 18.04.2018 tarihli, 2017/11534 E., 2018/4606 K. sayılı kararında, mağdura ait cep telefonu numarasının rızası olmaksızın ele geçirilmesinin TCK m. 136 kapsamında “verileri hukuka aykırı olarak ele geçirme” suçunu oluşturduğu belirtilmiş ve beraat kararı bozulmuştur. Bu karar, şirketlerin yalnızca hassas verileri değil, telefon numarası, e-posta adresi ve benzeri kişisel verileri de gerekli teknik ve idari tedbirlerle koruma yükümlülüğü altında olduğunu göstermektedir.

Veri İhlali Tespit Edildiğinde İlk Yapılması Gerekenler

Veri ihlali fark edildiği anda öncelikle ihlalin devam edip etmediği tespit edilmelidir. Yetkisiz erişim sürüyorsa sistem güvenli hâle getirilmeli, erişimler sınırlandırılmalı ve gerekli teknik önlemler alınmalıdır. Ardından olay kayıtları korunmalı, deliller silinmeden inceleme başlatılmalıdır. Bu aşamada bilgi işlem, hukuk ve üst yönetimin koordineli hareket etmesi önem taşır.

Veri İhlalinin Kaynağının ve Kapsamının Belirlenmesi

İhlalin hangi sistemden kaynaklandığı, hangi verilerin etkilendiği ve kaç kişinin verisinin ihlal edildiği mümkün olan en kısa sürede belirlenmelidir. Ayrıca ihlalin hâlen devam edip etmediği ve üçüncü kişilerin verilere erişip erişmediği araştırılmalıdır. Bu analiz, hem hukuki bildirimler hem de teknik iyileştirmeler açısından yol gösterici olacaktır.

Delillerin Korunması

Veri ihlali sonrasında log kayıtları, sunucu kayıtları, e-posta trafiği ve diğer dijital deliller muhafaza edilmelidir. Delillerin silinmesi veya değiştirilmesi hem olayın aydınlatılmasını güçleştirebilir hem de olası hukuki süreçlerde şirketin aleyhine sonuç doğurabilir. Gerekli hâllerde dijital bilişim uzmanlarından destek alınması faydalı olacaktır.

KVKK’ya Bildirim Süreci

6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca veri sorumluları, kişisel verilerin hukuka aykırı olarak elde edildiğini öğrendiklerinde durumu gecikmeksizin Kişisel Verileri Koruma Kurulu’na bildirmelidir. Bildirimde ihlalin niteliği, etkilenen kişi sayısı, alınan tedbirler ve planlanan önlemler hakkında bilgi verilmesi gerekir. Gecikmeli veya eksik bildirim yapılması idari yaptırımlara neden olabilir.

İlgili Kişilere Bildirim Yapılması

Veri ihlali, ilgili kişilerin hak ve özgürlüklerini etkileyebilecek nitelikteyse, yalnızca Kurul’a değil, ilgili kişilere de uygun yöntemlerle bilgi verilmelidir. Bildirimde hangi verilerin etkilendiği, olası riskler ve kişilerin alabileceği önlemler açık ve anlaşılır bir şekilde belirtilmelidir.

Veri İhlali Sonrasında Alınması Gereken Önlemler

İhlal kontrol altına alındıktan sonra benzer olayların tekrar yaşanmaması için gerekli teknik ve idari tedbirler uygulanmalıdır. Güçlü parola politikaları oluşturulması, çok faktörlü kimlik doğrulama kullanılması, sistem güncellemelerinin yapılması, çalışanlara düzenli KVKK ve siber güvenlik eğitimleri verilmesi ile düzenli sızma testleri gerçekleştirilmesi veri güvenliğinin artırılmasına katkı sağlar.

Veri İhlalinin Hukuki Sonuçları

Veri ihlali yaşayan şirketler yalnızca idari para cezalarıyla karşılaşmaz. İhlal nedeniyle zarara uğrayan kişiler maddi ve manevi tazminat talebinde bulunabilir. Ayrıca somut olayın özelliklerine göre Türk Ceza Kanunu kapsamında kişisel verilerin hukuka aykırı olarak kaydedilmesi, ele geçirilmesi veya yayılması suçları bakımından cezai sorumluluk da gündeme gelebilir.

Yargıtay Kararları Işığında Veri Güvenliği

Yargıtay kararlarında kişisel verilerin korunmasının Anayasa ile güvence altına alınan temel haklardan biri olduğu vurgulanmaktadır. Özellikle kişisel verilerin hukuka aykırı şekilde paylaşılması veya ifşa edilmesi hâlinde kişilik haklarının ihlal edildiği ve manevi tazminata hükmedilebileceği kabul edilmektedir. Bunun yanında işverenlerin çalışanlara ait kişisel verileri işlerken ölçülülük, hukuka uygunluk ve veri güvenliği ilkelerine uygun hareket etmeleri gerektiği de Yargıtay içtihatlarında belirtilmektedir.

Sonuç ve Değerlendirme

Veri ihlali, yalnızca bilgi teknolojileri departmanını ilgilendiren teknik bir sorun değil; hukuki, mali ve kurumsal sonuçları bulunan önemli bir krizdir. Bu nedenle şirketlerin olay müdahale planına sahip olması, çalışanlarını düzenli olarak eğitmesi ve KVKK kapsamında gerekli teknik ve idari tedbirleri sürekli güncellemesi büyük önem taşır. Hızlı müdahale, doğru bildirim ve etkin kriz yönetimi sayesinde hem hukuki riskler azaltılabilir hem de şirketin itibarı korunabilir.

Sık Sorulan Sorular

Öğr. Stj. Av. Derya KAYAR & Av. Ahmet EKİN