- Konu sahibi
- #1
Kişisel verilerin kanuna aykırı biçimde başkaları tarafından elde edildiği bir ihlalde veri sorumlusu, etkilenen kişileri belirledikten sonra onları makul olan en kısa sürede bilgilendirmelidir. Kişinin iletişim adresine ulaşılabiliyorsa bildirim doğrudan yapılır; ulaşılamıyorsa veri sorumlusunun internet sitesinde yayımlanması gibi uygun bir yöntem kullanılır. Bildirim, kişinin ne olduğunu anlamasını ve kendisini korumak için ne yapabileceğini öğrenmesini sağlamalıdır.
Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve araçlarını belirleyen gerçek veya tüzel kişidir. Önce ihlalden hangi kişilerin ve veri kategorilerinin etkilendiğini eldeki kayıtlarla belirlemeli, ardından ulaşabildiği kişilere doğrudan bildirim göndermelidir. Örneğin kayıtlı e-posta adresi uygun bir doğrudan iletişim kanalı olabilir. Adrese ulaşılamıyorsa internet sitesinde duyuru gibi uygun bir yöntem seçilmelidir; duyuruda başka kişilerin verileri ifşa edilmemelidir.
Kurula ve ilgili kişilere bildirim ayrı yükümlülüklerdir. Kurula bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılır. Haklı bir nedenle bu süre aşılırsa gecikmenin nedeni bildirimle birlikte açıklanır. İlgili kişilere yönelik süre ise etkilenen kişilerin belirlenmesini izleyen makul olan en kısa süredir; 72 saat sınırı doğrudan bu bildirimin süresi olarak anlaşılmamalıdır.
Kurula bildirim gönderilmiş olması, etkilenen kişilerin ayrıca bilgilendirildiği anlamına gelmez. Benzer şekilde Kurumun bir ihlali kendi sitesinde ilan etmesi de veri sorumlusunun kişilere bildirim yükümlülüğünün yerine geçtiği varsayımıyla değerlendirilmemelidir.
Bildirim açık ve sade bir dille yazılmalı; kişinin ayrıca ayrıntı istemesini beklemeden şu asgari bilgileri içermelidir:
Varsayımsal bir forum ihlalinde kullanıcıların e-posta adresleri ve parola bilgileri yetkisiz kişilerin eline geçmiş olsun. Forum işletmecisi, ilgili üyelere olayın bilinen zamanını, etkilenen veri türlerini ve olası hesap ele geçirme riskini açıklayabilir. Kendi aldığı güvenlik önlemlerini belirtirken kullanıcıdan da parolasını değiştirmesini ve aynı parolayı kullandığı diğer hesaplarda yenilemesini isteyebilir. Parola bilgisinin etkilenmiş olması, her hesabın ele geçirildiğini tek başına kanıtlamaz; yine de önlem önerisinin nedenini açıklar.
Bildirim metnini hazırladıktan sonra doğrulanmış iletişim bilgilerine gönderin; ulaşılamayan kişiler için seçilen uygun duyuru yöntemini uygulayın. Gönderim tarihini, kullanılan kanalı, duyuru metnini ve varsa başarısız teslim sonuçlarını güvenli biçimde kaydedin. Başarısız teslim, kişinin bilgilendirildiğini göstermediğinden iletişim bilgisini yeniden kontrol edip uygun başka bir yolla ulaşmayı değerlendirin.
İhlale ilişkin bilgileri, etkilerini ve alınan önlemleri de Kurulun incelemesine hazır olacak şekilde kayıt altına alın. Kişilerden gelen sorular için bildirimde belirtilen iletişim yolunu takip edin; bir kişi hangi verilerinin etkilendiğini sorarsa mevcut kayıtları inceleyip bilinen durumu ve varsa devam eden belirsizliği açıklayın.
Kişilere ne zaman ve hangi yolla ulaşılır?
Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve araçlarını belirleyen gerçek veya tüzel kişidir. Önce ihlalden hangi kişilerin ve veri kategorilerinin etkilendiğini eldeki kayıtlarla belirlemeli, ardından ulaşabildiği kişilere doğrudan bildirim göndermelidir. Örneğin kayıtlı e-posta adresi uygun bir doğrudan iletişim kanalı olabilir. Adrese ulaşılamıyorsa internet sitesinde duyuru gibi uygun bir yöntem seçilmelidir; duyuruda başka kişilerin verileri ifşa edilmemelidir.
Kurula ve ilgili kişilere bildirim ayrı yükümlülüklerdir. Kurula bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılır. Haklı bir nedenle bu süre aşılırsa gecikmenin nedeni bildirimle birlikte açıklanır. İlgili kişilere yönelik süre ise etkilenen kişilerin belirlenmesini izleyen makul olan en kısa süredir; 72 saat sınırı doğrudan bu bildirimin süresi olarak anlaşılmamalıdır.
Kurula bildirim gönderilmiş olması, etkilenen kişilerin ayrıca bilgilendirildiği anlamına gelmez. Benzer şekilde Kurumun bir ihlali kendi sitesinde ilan etmesi de veri sorumlusunun kişilere bildirim yükümlülüğünün yerine geçtiği varsayımıyla değerlendirilmemelidir.
Bildirimde hangi bilgiler bulunmalı?
Bildirim açık ve sade bir dille yazılmalı; kişinin ayrıca ayrıntı istemesini beklemeden şu asgari bilgileri içermelidir:
- İhlalin ne zaman gerçekleştiği.
- İhlalden etkilenen verilerin kategorileri; kişisel veri ile özel nitelikli kişisel veri ayrımı.
- İhlalin olası sonuçları.
- Olumsuz etkileri azaltmak için alınan veya kişiye alması önerilen önlemler.
- Bilgi alınabilecek irtibat kişilerinin adları ve iletişim bilgileri ya da veri sorumlusunun internet sayfasının tam adresi, çağrı merkezi gibi iletişim yolları.
Varsayımsal bir forum ihlalinde kullanıcıların e-posta adresleri ve parola bilgileri yetkisiz kişilerin eline geçmiş olsun. Forum işletmecisi, ilgili üyelere olayın bilinen zamanını, etkilenen veri türlerini ve olası hesap ele geçirme riskini açıklayabilir. Kendi aldığı güvenlik önlemlerini belirtirken kullanıcıdan da parolasını değiştirmesini ve aynı parolayı kullandığı diğer hesaplarda yenilemesini isteyebilir. Parola bilgisinin etkilenmiş olması, her hesabın ele geçirildiğini tek başına kanıtlamaz; yine de önlem önerisinin nedenini açıklar.
Gönderimi ve geri dönüşleri nasıl izlemeli?
Bildirim metnini hazırladıktan sonra doğrulanmış iletişim bilgilerine gönderin; ulaşılamayan kişiler için seçilen uygun duyuru yöntemini uygulayın. Gönderim tarihini, kullanılan kanalı, duyuru metnini ve varsa başarısız teslim sonuçlarını güvenli biçimde kaydedin. Başarısız teslim, kişinin bilgilendirildiğini göstermediğinden iletişim bilgisini yeniden kontrol edip uygun başka bir yolla ulaşmayı değerlendirin.
İhlale ilişkin bilgileri, etkilerini ve alınan önlemleri de Kurulun incelemesine hazır olacak şekilde kayıt altına alın. Kişilerden gelen sorular için bildirimde belirtilen iletişim yolunu takip edin; bir kişi hangi verilerinin etkilendiğini sorarsa mevcut kayıtları inceleyip bilinen durumu ve varsa devam eden belirsizliği açıklayın.
