Soru & Cevap
İnternetten alışveriş yaptığım sitenin hacklendiğini haftalar sonra öğrendim. Şirketin bu durumu bana veya devlete hemen bildirmesi gerekmiyor muydu?
Yaşadığınız bu mağduriyet karşısında, veri işleyen şirketin söz konusu siber saldırıyı ilgili makamlara ve yüksek tehlike arz ediyorsa tarafınıza vakit kaybetmeksizin bildirmesi gerekirdi. Düzenlemelere göre, bir kişisel veri ihlali meydana geldiğinde veri sorumlusu, ihlalin gerçek kişilerin hakları ve özgürlükleri açısından bir riske sebebiyet vermediği haller dışında, haberdar olduğu andan itibaren en geç 72 saat içinde durumu yetkili denetim makamına bildirmekle yükümlüdür. Denetim makamına yönelik bildirimin 72 saat içinde yapılmadığı hallerde, gecikme sebeplerinin de makul bir şekilde açıklanması aranır. Ayrıca verilerinizin ele geçirilmesi sizin açınızdan yüksek bir risk oluşturuyorsa, şeffaflık ilkesi gereği size de gecikmeden açık ve net bir dille bilgi verilmesi hukuki bir zorunluluk olarak değerlendirilir. Şirketin haftalarca sessiz kalması, gizlilik ve hesap verebilirlik ilkelerinin ihlali boyutunda yasal yaptırımların temelini oluşturabilecek niteliktedir.