Makale

Dijitalleşme ile birlikte kurumların işlediği verilerin hacmi ve niteliği büyük bir hızla artarken, kişisel veri ihlalleri de çağımızın en büyük hukuki ve teknik risklerinden biri haline gelmiştir. Kişisel veri ihlali genel olarak; depolanan, iletilen veya işlenen verilerin kazara ya da kanuna aykırı yollarla yetkisiz kişilerin erişimine açılması, değiştirilmesi, kaybolması veya imha edilmesi durumudur. Bu tür ihlaller, sadece teknik bir güvenlik açığı olmanın ötesinde, hukuki açıdan telafisi güç zararlar doğuran ciddi sonuçlar yaratmaktadır. Şirketler ve kurumlar, işledikleri verileri korumak adına mevzuata tam anlamıyla entegre olmuş bir hukuki uyum süreci yürütmek mecburiyetindedir. Aksi takdirde, ilgili mevzuat kapsamında veri sorumlularını bekleyen oldukça ağır idari ve mali yaptırımlar söz konusu olmaktadır. Günümüzde bir kurumun itibarını ve ekonomik devamlılığını koruyabilmesi, yürürlükteki yasal mevzuatın emrettiği uyum stratejilerini ne kadar etkili ve şeffaf bir biçimde hayata geçirdiğine bağlıdır.

Kişisel Veri İhlalleri ve Hukuki Sorumluluklar

Bir kurumun veri kayıt sisteminde yer alan kişisel verilerin, istem dışı veya yasa dışı yollarla ifşa edilmesi, kaybolması ya da değiştirilmesi durumu veri güvenliği ihlali olarak tanımlanmaktadır. Gerek kasten yapılan siber saldırılar gerekse personel hataları ve kusurları veri ihlallerinin en yaygın nedenleri arasında yer almaktadır. Mevzuat uyarınca, veri sorumlusu sıfatına sahip gerçek veya tüzel kişiler, kişisel verilere hukuka aykırı erişimi önlemekle ve bu verilerin muhafazasını sağlamakla yükümlüdür. Olası bir ihlal durumunda, ilgili kurumun durumu derhal saptaması ve gerekli bildirimleri yapması yasal bir zorunluluktur. Örneğin, elektronik haberleşme sektöründe yaşanan bir ihlalde, işletmecilerin bu riski yetkili mercilere ve gerektiğinde kullanıcılara hızla bildirmesi emredilmektedir. Dolayısıyla, hukuki sorumluluk sadece ihlali önlemeyi değil, aynı zamanda ihlal sonrası kriz yönetimini ve yasal bildirimleri usulüne uygun şekilde yerine getirmeyi de kapsamaktadır.

İdari Yaptırımlar ve Mali Sonuçları

Kişisel verilerin korunması mevzuatı ve uluslararası alanda uygulanan Genel Veri Koruma Tüzüğü gibi düzenlemeler, verilerin korunması yükümlülüğünün ihlal edilmesi durumunda oldukça sert cezalar öngörmektedir. Yapılan yasal uyum araştırmaları, kurumların büyük bir kısmının idari ve mali yaptırımlar konusunda yeterli farkındalığa sahip olmadığını göstermektedir. Avrupa Birliği mevzuatına bakıldığında, dosyalama sistemlerinin hukuka aykırı tutulması halinde on milyon Euro'ya kadar veya işletmenin dünya çapındaki yıllık cirosunun yüzde ikisine kadar ulaşan ağır idari para cezaları ile karşılaşıldığı görülmektedir. Ülkemizde de yasa koyucu, veri güvenliği yükümlülüklerine aykırı davranan kurumlar için ciddi idari para cezaları uygulamaktadır. Bu cezalar sadece idari yaptırımlarla sınırlı kalmayıp, ihlalin ve ihmalin niteliğine göre cezai yaptırımları da gündeme getirebilmektedir. Bu durum, veri güvenliğini sağlamamanın kurumlar açısından ne denli yıkıcı sonuçlar doğurabileceğini açıkça ortaya koymaktadır.

Başarılı Bir Hukuki Uyum Süreci İçin Adımlar

Kurumların, yasal düzenlemelerin getirdiği yaptırımlardan kaçınmak ve güvenlik ihlallerini asgari düzeye indirmek için kapsamlı bir hukuki uyum süreci planlaması şarttır. Bu uyum sürecinin salt teknik bir altyapı meselesi olmadığı, hukukçular ve bilişim uzmanlarının multidisipliner bir yaklaşımla çalışması gerektiği unutulmamalıdır. Yasal mevzuat ve yetkili kurullar tarafından belirlenen ilke ve yönergelere uygun hareket etmek, uyum sürecinin temelini oluşturmaktadır. Bir kurumda hukuki uyumun başarıyla tamamlanabilmesi için veri kayıt sistemlerinin usulüne uygun yapılandırılması, süreçlerin kayıt altına alınması ve personelin bilinçlendirilmesi gerekmektedir. Sürecin işleyişine ve denetimine dair atılması gereken temel adımları şu şekilde sıralamak mümkündür:

• Veri Sorumluları Siciline kayıt yükümlülüğünün eksiksiz bir biçimde yerine getirilmesi ve güncel tutulması.
• İlgili kişilere yönelik aydınlatma yükümlülüğü süreçlerinin ilgili hukuki metinlerle şeffaf bir şekilde tasarlanması ve uygulanması.
• Mevzuata uygun olarak belirlenmiş bir saklama ve imha politikası hazırlanması; verilerin yasal sürelere uygun şekilde silinmesi, yok edilmesi veya anonim hale getirilmesi.
• Kurum içi farkındalık eğitimleri düzenlenerek personel hatalarından kaynaklanabilecek potansiyel güvenlik ihlallerinin önlenmesi.