Yazar ve hukuk bürosu hakkında
Avukat Emirhan Keskin
Türkiye’deki hukuki süreçlere ilişkin içerikler hazırlar ve Mersin’den hukuki hizmet sunar. Yayınlar güncel resmî kaynaklar üzerinden denetlenir.
Hukuki bilgilendirme
Bu yayın, belirtilen kontrol tarihi itibarıyla Türk hukuku hakkında genel bilgi verir. Avukat–müvekkil ilişkisi kurmaz; belge, süre, görev, yetki ve güncel mevzuat somut dosyada ayrıca incelenir.
İletişime geçinMüşteri bilgilerini içeren USB belleğin kaybolması, yalnız cihaz kaybı olarak değerlendirilmez. Bellekteki verinin niteliği, şifreleme ve erişim ihtimali araştırılır; uygun durumda veri ihlali bildirimi gerekir. İlgili müşteri, kendi verisinin kayıptan etkilenip etkilenmediğini ve alınan önlemleri öğrenmek için şirketten bilgi isteyebilir.
Bellek kaybı ile veri kaybı arasındaki fark
USB bellek ucuz bir cihaz olabilir fakat içinde kimlik, adres, hesap veya sipariş kayıtları bulunabilir. Cihazın parasal değeri, kişisel verinin önemini göstermez. Kaybın tarihi, nerede yaşandığı ve üzerinde hangi dosyaların bulunduğu araştırılır. Boş bir bellekle bütün müşteri listesini taşıyan bellek aynı hukuki sonuçlara sahip değildir. Veri sorumlusu, kaybın kapsamını varsayımla değil eldeki kayıtlarla belirlemelidir.
Bellekte güçlü şifreleme bulunması erişim riskini azaltabilir. Bununla birlikte şifre aynı çantada yazılı bulunuyorsa veya dosyalar açık kopya olarak başka bölümdeyse korumanın etkisi değişir. “USB şifreliydi” açıklaması teknik yöntemi belirsiz bırakmamalıdır. Erişim anahtarlarının durumu, yedekler ve kopyalar değerlendirilir. Her şifreleme bütün hukuki sonuçları otomatik ortadan kaldıran bir güvence değildir.
Şirketin temel yükümlülüğü
6698 sayılı Kanunun 12. maddesi kişisel verilerin hukuka aykırı işlenmesini ve erişimini önleme, muhafazasını sağlama yükümlülüğü getirir. Taşınabilir ortamlara veri kopyalama politikası, yetkilendirme, şifreleme, cihaz envanteri ve çalışan eğitimi bu değerlendirmeye dahil olabilir. Şirketin verileri işlemek için geçerli hukuki sebebi olması, onları her cihazda sınırsız biçimde taşımasına izin vermez.
Verinin işlenmesi için gerekli olmayan geniş müşteri listesinin dışarı çıkarılması ayrı bir ölçülülük sorunu oluşturabilir. Örneğin tek teslimat için bütün müşterilerin kimlik dökümünün taşınması gereksiz olabilir. Kaybın çalışan hatasıyla gerçekleşmesi şirketin güvenlik tedbirlerinin incelenmesini engellemez. Çalışanın bireysel davranışı ile veri sorumlusunun kurumsal tedbirleri ayrı fakat bağlantılı değerlendirilir.
İhlal bildirimi ve yetmiş iki saat
Kanuni olmayan yollarla başkalarınca verilerin elde edilmesi durumunda bildirim yükümlülüğü gündeme gelir. Kurulun 2019/10 sayılı kararı, veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kurula bildirim yapılmasını öngörür. İhlalden etkilenen ilgili kişilere ise tespitlerini takiben makul olan en kısa sürede bildirim yapılır. Bu iki bildirimin süresi ve muhatabı aynı değildir.
Bu süre müşterinin bireysel şikâyet süresi değildir. Şirketin olay incelemesini tamamlayana kadar hiç bildirim yapmaması her durumda kabul edilemez; mevcut bilgiler ve sonraki güncellemelerle usul değerlendirilir. Belleğin kaybolması fakat üçüncü kişinin erişiminin belirlenememesi gibi durumlarda teknik ve hukuki inceleme önemlidir. Her boş veya güvenli bellek kaybına aynı sonuç verilmez; olayın gerçek risk ve erişim boyutu belirlenir.
Müşteri hangi bilgileri isteyebilir?
Müşteri kendi verisinin kayıptan etkilenip etkilenmediğini sorabilir. Etkilenen veri kategorileri, olay tarihi, muhtemel sonuçlar ve alınan önlemler anlaşılır şekilde açıklanmalıdır. “Verileriniz güvende, endişelenmeyin” cevabı somut soruların yerine geçmez. Buna karşılık müşteriye diğer bütün kişilerin kimlik listesi veya güvenlik sistemi şifreleri verilmesi gerekmez. Bilgi hakkı gerekli kapsamda kullanılır.
- Bellekte kendi kaydınız bulunup bulunmadığı.
- Kimlik, iletişim, finans veya hassas veri kategorileri.
- Belleğin şifreleme ve erişim korumasının niteliği.
- Kayıp, öğrenme ve müdahale tarihleri.
- Kendinizi korumak için önerilen somut işlemler.
Bazı müşteriler yalnız kampanya e-posta listesinde bulunabilir; bazıları kimlik belgesi kopyası vermiş olabilir. Şirketin bütün müşterilere aynı belirsiz mesajı göndermesi, her kişinin etkisini açıklamayabilir. İlgili kişi kendi kaydının kapsamını sorarak değerlendirmeyi somutlaştırabilir. İşlem numarası ve müşteri ilişkisinin belgelenmesi yeterliyken yeniden bütün kimlik dosyasını göndermek gereksiz veri yayılımı yaratabilir.
Bireysel başvuru ve şikâyet
Şirkete kayıtlı başvuruda olayla ilgili açıklama ve kişisel verilerin korunmasına ilişkin talepler sunulur. İhlal sonrası hukuka aykırı kullanım devam ediyorsa bunun durdurulması, şartları varsa silme ve diğer alıcılara bildirim istenebilir. Veri saklama yükümlülüğü nedeniyle bütün müşteri kaydının silinmesi mümkün olmayabilir; ancak gereksiz taşınabilir kopyaların muhafaza edilmesi ayrıca sorgulanabilir.
Kurula bireysel şikâyet için önce veri sorumlusuna başvuru gerekir. Ret veya yetersiz cevap öğreniminden otuz gün ve her halde başvurudan altmış günlük üst sınır uygulanır. Otuz gün cevap verilmemesi de şikâyet imkânı doğurur. Şirketin kendi ihlal bildirimi yapmış olması, müşterinin sorularını yanıtlama ve başvurusunu değerlendirme yükümlülüğünü ortadan kaldırmaz.
Kayıp sonrası güvenlik ve zarar belgeleri
Veri kategorisine göre farklı önlemler gerekebilir. Parola veya hesap bilgisi etkilenmişse ilgili erişimler güvenli kanaldan güncellenebilir. Kimlik bilgilerinin kullanıldığı dolandırıcılık şüphesinde banka ve adli mercilere olay ayrıca bildirilir. Her müşteri, kendisine gelen veri ihlali mesajının gerçekliğini doğrulamalıdır. İhlal duyurusu bahanesiyle gönderilen sahte bağlantıya kimlik ya da hesap şifresi girilmesi yeni risk yaratabilir.
Olay sonrasında doğan somut mali kayıp varsa belge ve işlem tarihleri saklanır. Her istenmeyen telefonun kayıp USB'den kaynaklandığı kesin kabul edilmez; nedensellik araştırılır. Tazminat talebi, veri güvenliği ihlaliyle zarar arasındaki bağlantıya göre kurulur. Kurulun verebileceği idari ceza şirketten devlete tahsil edilir; müşteriye otomatik sabit tazminat sağlamaz.
Varsayımsal örnek: Şifrelenmemiş müşteri tablosu
Bir satış çalışanının çantasındaki USB belleğin kaybolduğunu ve bellekte müşteri isimleri, adresleri ile sipariş bilgileri bulunduğunu düşünelim. Şirket cihazda hiçbir koruma olmadığını belirliyor. Müşteri, kendi kaydının kapsamını ve bildirimin nasıl yapıldığını sorabilir. İncelemede yalnız çalışanın dikkatsizliği değil, böyle bir listenin neden taşındığı ve hangi kurumsal güvenlik önlemlerinin bulunduğu araştırılır.
Bellek daha sonra bulunsa bile arada kopyalanıp kopyalanmadığı kesin bilinmeyebilir. Bulunması önemli bir gelişmedir, fakat olayın bütün sonuçlarını geriye dönük yok etmez. Sık hata, cihaz geri geldi diye incelemeyi hiçbir kayıt tutmadan kapatmaktır. Olay kronolojisi, veri kategorileri ve müdahale belgeleri saklanmalıdır. İlgili müşterinin hukuki başvurusu da somut duruma ve sürelerine göre devam edebilir.
Bildirimdeki bağlantıyı doğrulamak
İhlal bilgilendirmesi aldığı iddiasıyla arayan kişinin gerçek şirket görevlisi olduğu varsayılmamalıdır. İlgili kişi şirketin daha önce bilinen iletişim kanalından bildirimi doğrulayabilir. Hukuki başvuru veya güvenlik işlemi için banka parolası ve doğrulama kodunun üçüncü kişiye açıklanması gerekli değildir.
Sık sorulan sorular
Yetmiş iki saat benim Kurula şikâyet sürem mi?
Hayır. Bu, veri sorumlusunun ihlali öğrenmesinden itibaren Kurula yapacağı bildirime ilişkindir. İlgili kişinin başvuru ve şikâyet süreleri ayrı düzenlenmiştir.
Bellek şifreliyse şirket hiçbir şey yapmak zorunda değil mi?
Bu sonuç otomatik çıkarılamaz. Şifreleme düzeyi, anahtar güvenliği, veri niteliği ve erişim ihtimali somut incelenir.
USB sonradan bulunursa olay tamamen kapanır mı?
Bulunması riski azaltabilir; arada kopyalama veya erişim olup olmadığı ayrıca değerlendirilir. Olayın ve müdahalenin kayıt altına alınması önemlidir.
Dosyanın değerlendirilmesi
Şirketin ihlal bildirimi, müşteri ilişkinize ait kayıtlar ve olay sonrası şüpheli işlemler birlikte incelenerek etkilenme kapsamı ve hukuki talepler belirlenebilir. Mersin merkezdeki ofisimizden Türkiye genelindeki dosyaların hukuki değerlendirmesi ve sürecin yönetilmesi için iletişim sayfamız üzerinden başvurabilirsiniz. Sonuç yetkili makamın incelemesine ve dosyaya bağlıdır.
Bağlantılı konular: KVKK şikâyet süreleri; Kişisel veri ihlalinde tazminat; Veri düzeltmenin diğer şirketlere bildirilmesi.
Resmî kaynaklar: Türk Borçlar Kanunu (6098)