Makale

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi uyarınca veri sorumlusu olan dijital platformlar, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır. Dijitalleşme ile birlikte kişilerin hayatlarına dokunan platformların işlediği verilerin hacmi ve niteliği genişledikçe, siber tehditlerin de aynı hızda geliştiği görülmektedir. Kanun koyucu, veri güvenliğine ilişkin tedbirleri sabit kurallarla sınırlamayarak, veri sorumlusuna düzenli denetim yükümlülüğü getirmiş ve esnek bir yapı kurmuştur. Bu noktada veri sorumlularının kendi veri işleme süreçlerini analiz ederek potansiyel risk yaratan noktaları tespit etmeleri ve bu riskleri bertaraf edecek aksiyonları almaları hukuki bir gerekliliktir. Kurul tarafından yayınlanan Kişisel Veri Güvenliği Rehberi ile başta ISO 27001 ve ISO 29100 standartları, bu güvenlik ve gizlilik çerçevesinin oluşturulmasında yol gösterici temel kaynaklardır. Bu gerekliliklerin ihlali, veri sorumluları açısından ağır idari para cezaları ve ciddi itibar kayıplarına yol açabilmektedir.

İdari Tedbirlerin Kurumsal Yapıya Entegrasyonu

Veri sorumlularının güvenlik sistemini inşa edebilmeleri için öncelikle mevcut risk ve tehditleri eksiksiz bir şekilde belirlemeleri gerekmektedir. Bu kapsamda, işlenen kişisel verilerin niteliğini, saklama sürelerini ve aktarım süreçlerini detaylandıran bir kişisel veri işleme envanteri oluşturulması en temel idari tedbirdir. Envanter, veri sorumlusunun faaliyet haritasını çizerek alınacak tedbirlerin zeminini oluşturur. Bununla birlikte, kurum içerisinde kişisel veri saklama ve imha politikası ile olası bir kriz durumunda devreye sokulacak veri ihlali müdahale planının hazırlanması zorunludur. Ayrıca veri işleyen pozisyonundaki üçüncü taraflarla yapılacak veri aktarım sözleşmelerinde güvenlik hükümlerinin açıkça düzenlenmesi ve çalışanlar ile imzalanacak gizlilik taahhütnamelerinin sürece entegre edilmesi hukuki güvenliği tahkim eden unsurlardır. Çalışanlara verilecek düzenli farkındalık eğitimleri de Kurul tarafından veri güvenliğinin tesisinde aranan temel idari yükümlülüklerdendir.

Siber Tehditlere Karşı Teknik Tedbirler

Hukuki yükümlülüklerin teknik altyapı ile desteklenmesi, veri ihlallerinin önüne geçilmesinde kritik bir role sahiptir. Bu bağlamda, dijital platformların bilgi teknolojileri ekipleriyle iş birliği içinde çalışarak siber güvenliği sağlayıcı araçları sisteme entegre etmesi gerekmektedir. Özellikle ağ güvenliğinin sağlanması, siber saldırıları tespit eden güvenlik duvarlarının kurulması ve sistemdeki açıkların tespiti için düzenli sızma testlerinin gerçekleştirilmesi hayati öneme sahiptir. Veri tabanlarına yönelik yetkisiz erişimleri izlemek amacıyla erişim loglarının düzenli tutulması ve yetki kontrollerinin katı bir şekilde sınırlandırılması şarttır. Ayrıca, kişisel verilerin muhafaza edildiği ortamlarda veri maskeleme ile veri kaybı önleme yazılımlarının aktif olarak kullanılması gerekmektedir. Bulut teknolojilerinden faydalanan platformlar açısından ise verilerin aktarılmadan önce güçlü şifreleme yöntemleriyle korunması, hukuka uygunluğun teknik teminatıdır.

Kişisel Veri İhlali Yönetimi

Dijital platformların aldığı tüm tedbirlere rağmen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda, hukuki bir süreç olan ihlal yönetimi mekanizması devreye girmelidir. Kanunun 12. maddesi gereği, veri sorumlusu bu ihlali tespit ettiği andan itibaren süreci yönetmek ve gerekli yasal bildirimleri yapmak zorundadır. Kurul kararları çerçevesinde, veri sorumlusu ihlali öğrendiği tarihten itibaren en geç yetmiş iki saat içinde Kişisel Verileri Koruma Kuruluna resmi bir bildirimde bulunmak zorundadır. Eğer belirlenen süre içinde bildirim yapılamıyorsa, bu gecikmenin haklı nedenlerini açıklayan gerekçeli bir bildirim sunulmalıdır. Eş zamanlı olarak, veri ihlalinden etkilenen ilgili kişilere de makul olan en kısa sürede doğrudan veya platform üzerinden duyuru yoluyla şeffaf bir bildirim yapılması yasal zorunluluktur.

Veri İhlali Durumunda İzlenecek Hukuki Adımlar

Kişisel veri ihlalinin gerçekleştiği durumlarda, işletmenin teknik ve idari açıdan hazırlıklı olması, idari para cezalarının ve hukuki sorumlulukların en aza indirilmesi açısından belirleyicidir. Veri sorumlusu olan dijital platformların, ihlali fark etmelerinin ardından önceden hazırlanmış olan veri ihlali müdahale planını derhal uygulamaya koymaları şarttır. Bu süreçte hem şeffaf bir kurumsal iletişim yürütülmeli hem de idari otoritelerle olan ilişkiler hukuki sınırlar çerçevesinde yönetilmelidir. Mevzuatın aradığı şartlara göre, bir veri ihlali yaşandığında sırasıyla yerine getirilmesi gereken yasal aşamalar ve bildirim yükümlülükleri aşağıda sıralanmaktadır:

• İhlalin tespitinden itibaren en geç yetmiş iki saat içerisinde Kişisel Verileri Koruma Kuruluna resmi bildirim formunun iletilmesi.
• İhlalden olumsuz etkilenen kullanıcılara zaman kaybetmeksizin e-posta, SMS veya kamuoyu duyurusu yöntemleriyle şeffaf bir bildirim yapılması.
• Süresi içinde Kurula başvuru yapılamaması halinde, gecikmenin makul ve hukuki dayanaklarını gösteren ek bir raporun sunulması.
• Tüm ihlal sürecinin, alınan tedbirlerin ve hasar kontrol adımlarının ilerideki denetimler için eksiksiz biçimde raporlanarak arşivlenmesi.