16. Veri ihlali ve müdahale

Bir veri ihlaline müdahale, olayın adını koymaktan bildirimin tamamlanmasına kadar farklı hukuki değerlendirmeler gerektirir. Etkilenen verinin ve öğrenme zamanının belirlenmesi, uygun önlemin seçilmesini ve muhatabın doğru bilgilendirilmesini sağlar. Olayın sona erdirilmesiyle bildirim, denetim ve zarar iddialarına ilişkin işlerin tamamlanması da ayrı izlenmelidir.

16.1. Güvenlik olayı, kişisel veri ihlali ve hukuka aykırı işleme ayrımı

Bir hastanenin sağlık dosyasını yanlış alıcıya göndermesiyle, kurum bilgisayarındaki başarısız bir oturum açma girişimi aynı olay değildir. İlkinde kişisel veri yetkisiz kişiye açıklanmış olabilir; ikincisinde ise erişimin engellenmiş olması mümkündür. Olayın teknik adı, kişisel verinin gerçekten etkilenip etkilenmediğini tek başına göstermez. İnceleme, hangi verinin hangi güvenlik özelliğinin etkilendiğini ve bunun ilgili kişi bakımından ne doğurduğunu belirlemelidir.

Güvenlik olayı burada, verinin veya onu işleyen sistemin korunmasını etkileyen ya da etkileyebilecek olayı anlatır. Kişisel veriyle bağlantısı bulunmayan bir sistem kesintisi de teknik müdahale gerektirebilir; fakat bundan kendiliğinden kişisel veri ihlali sonucu çıkmaz. Buna karşılık bir olayda kişisel verinin yetkisiz kişiye açıklanması, değiştirilmesi, kaybolması veya kullanılamaması farklı koruma sorunları doğurur. Kanun’un 12. maddesindeki önleme ve muhafaza yükümlülükleri yalnız dışarıdan veri çalınmasına indirgenemez.¹

Hukuka aykırı işleme ise güvenlik olayından daha geniş bir değerlendirmedir. Verinin geçerli bir işleme şartı bulunmadan toplanması, amacıyla bağdaşmayan biçimde kullanılması veya gerekli süreden fazla saklanması, sistemde sızma olmasa da Kanun’a aykırı olabilir. Tersine, bir saldırı girişiminin başarıyla engellenmesi, hukuka aykırı erişimin gerçekleştiğini göstermez. Dolayısıyla işlemenin hukuki dayanağı, güvenlik tedbirinin uygunluğu ve meydana gelen olayın niteliği ayrı sorulardır; bunlardan birinin cevabı diğerlerinin yerine geçmez.²

Bildirim yönünden ayrıca kanuni eşik incelenir. 12. maddenin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesini esas alır. Bu ifade, her hukuka aykırı işleme iddiasının aynı zamanda ihlal bildirimi olduğu anlamına gelmez. Bununla birlikte “başkaları” yalnız kurum dışındaki saldırgan şeklinde anlaşılmamalıdır: görev sınırını aşan iç erişim veya yetkisiz alıcıya açıklama da olayın fiilî özelliklerine göre incelenir. Dışarıya dosya indirildiğine ilişkin iz bulunmaması, yetkisiz erişimin gerçekleşmediğini kendiliğinden kanıtlamaz.³

Kurulun 2024/790 sayılı karar özetinde bu son ayrım belirgindir. Veri sorumlusu, verilerin bütünlüğünün bozulmadığını ve kopyalama sorgusu yapılmadığını bildirime karşı gerekçe olarak ileri sürmüştür. Kurul ise kişisel verilerin bulunduğu veri tabanına yetkisiz erişimi değerlendirmiş; veri ihlalinin yalnız bütünlüğün bozulmasıyla değil, gizlilik ve erişilebilirliğin ihlaliyle de meydana gelebileceğini belirtmiştir. Bu karar özeti, “veri değişmedi” savunmasının tek başına yeterli olmadığını gösterir. Bununla birlikte olayda yetkisiz erişim de bulunduğundan, özetten her türlü kısa teknik kesintinin aynı bildirim sonucunu doğurduğu çıkarılamaz.⁴

Öğretide de kanun lafzıyla güvenliğin koruma amacı arasındaki ilişki tartışılmaktadır. Sevindi ve Ordu, başkalarınca elde edilme koşulunun dar okunmasıyla ortaya çıkabilecek koruma boşluğuna dikkat çekerek bütünlük ve erişilebilirlik kayıplarını da kapsayan geniş yorumu savunur. Bu görüş, güvenliğin yalnız gizlilikten ibaret olmadığını gösteren güçlü bir gerekçeye dayanır. Uygulamada ise olayın niteliği, m.12’nin ilgili fıkrası ve Kurulun somut ölçütleri birlikte gösterilmelidir. Bildirim gerekip gerekmediği yalnız “sızıntı yok” ifadesiyle kapatılamayacağı gibi, bütün güvenlik sorunları da gerekçesiz biçimde tek tür ihlal sayılmamalıdır.⁵

AB düzenlemesi karşılaştırma için daha açık bir tanım sunar. GDPR’ın 4. maddesinin 12. bendinde, kişisel verinin kazara veya hukuka aykırı imhası, kaybı, değiştirilmesi, yetkisiz açıklanması ya da ona yetkisiz erişimle sonuçlanan güvenlik ihlali tanımlanır. Burada ihlalin varlığı ile otoriteye veya kişiye bildirim koşulları ayrıca düzenlenmiştir. Bu sistem, Türk hükmünü anlamaya yardımcı olabilir; ancak GDPR’ın risk esaslı bildirim istisnaları, Türk hukukunda aynı ifadelerle varmış gibi uygulanamaz.⁶

Şifrelenmiş bir cihazın kaybı örneğinde de yalnız “şifre vardı” bilgisiyle sonuç kurulamaz. Hangi verinin cihazda bulunduğu, şifrelemenin gerçekten uygulanıp uygulanmadığı, anahtarın korunması, başka kopyaya ulaşılabilirlik ve yetkisiz erişim bulguları araştırılmalıdır. Şifreleme gizlilik tehlikesini azaltabilir; gerekli tek kopyanın kaybını veya verinin kullanılamamasını kendiliğinden gidermez. Yanlış alıcıya gönderilmiş sağlık dosyasında ise açıklanan içeriğin, alıcının ve alınabilecek sınırlama önlemlerinin belirlenmesi gerekir. Bu iki olay aynı inceleme başlığı altında kaydedilebilir, fakat aynı gerekçeyle sonuçlandırılamaz.⁷

Ayrımların uygulamadaki değeri, ilk müdahaleyi geciktirmeden doğru soruların sorulmasını sağlamasıdır. Olayın güvenlik boyutu giderilirken etkilenen veriler ve kişiler belirlenir; bildirim şartı, öğrenme zamanı ve korunan kayıtlar ayrı izlenir. Bir zarar henüz görünür hâle gelmemiş olsa da Kanun’un öngördüğü bildirim şartı oluşmuş olabilir. Olayın öğrenilmesi ve belirsiz kapsamla nasıl hareket edileceği ise bir sonraki alt bölümün konusudur.⁸

16.2. İhlalin öğrenilmesi, kapsamın belirlenmesi ve delillerin korunması

Bir müşterinin, kendisine başka bir kişinin dosyasının gönderildiğini bildirdiğini düşünelim. Mesajın kuruma ulaşması, olayın hangi tarihte başladığı ve kaç kişinin etkilendiği aynı anda anlaşılmayabilir. İlk yapılacak iş, gelen bilgiyi kaybetmeden doğru görevliye ulaştırmak ve kişisel verinin etkilenip etkilenmediğini gecikmeden incelemektir. Dosyanın yanlış alıcıya gönderildiği anlaşılmışsa, bütün geçmiş yazışmaların taranması bitmedi diye bu bilgi yok sayılmaz. Kurulun 2019/10 sayılı düzeninde öğrenme, bildirim ve eksik bilgilerin aşamalı tamamlanması birlikte ele alınır.⁹

Olayın gerçekleştiği zaman ile öğrenildiği zaman ayrı tutulmalıdır. Kurumun bildirim formu kılavuzu, ihlalin başlama ve sona erme tarihlerini, veri sorumlusunun ihlalden ilk haberdar olduğu tespit tarihinden ayırır. Bu nedenle olay kaydında tek bir “tarih” alanı yeterli olmayabilir. Ne zaman hangi bilginin kuruma ulaştığı ve ilk değerlendirmenin hangi bulguya dayandığı gösterilebilirse, hem olayın süresi hem de bildirim için başlangıç kabul edilen an incelenebilir. Sonradan öğrenilen bir başlangıç tarihi, öğrenme tarihini kendiliğinden geçmişe taşımaz; önceki uyarıların nasıl değerlendirildiği ayrıca önem taşır.¹⁰

İlk uyarı ile doğrulanmış ihlalin her olayda aynı şey olduğu da söylenemez. Yanlış alıcıdan gelen dosya örneği doğrudan kanıt sağlayabilirken, olağan dışı trafik uyarısı önce kişisel verinin etkilenip etkilenmediğinin araştırılmasını gerektirebilir. AB bakımından EDPB, öğrenmeyi kişisel veriyi etkileyen bir güvenlik ihlalinin gerçekleştiğine ilişkin makul kesinlikle ilişkilendirir; kısa ön inceleme ile sonraki ayrıntılı araştırmayı ayırır. Bu açıklama Türk hukukunda yeni bir süre muafiyeti değildir. Türkiye bakımından 2019/10 sayılı kararın öğrenmeden itibaren gecikmeksizin bildirim ve aşamalı bilgi kuralları esas alınmalıdır.¹¹

Nitekim Kurulun 2020/359 sayılı karar özetinde, hangi bilgilerin paylaşıldığının net olmaması, eldeki delillerin yetersizliği, müşteri şikâyeti bulunmaması ve kurum içinde bütün birimlerin görüşünün alınması gibi açıklamalar geç bildirime yeterli mazeret sayılmamıştır. Kurul, bilgilerin aşamalı sağlanabilmesini özellikle dikkate almıştır. Buradan çıkan uygulama sonucu, araştırmadan bildirim yapmak değil; mevcut ihlal bilgisiyle henüz bilinmeyen kapsamı ayırarak ilerlemektir. Nihai inceleme raporunun bitişi, öğrenilmiş bir olayı bildirmek için genel bekleme koşuluna dönüştürülmemelidir.¹²

Kapsam incelemesinde veri kategorisi, kişi grubu, etkilenen kişi ve kayıt sayısı, erişimin yolu ve süresi ayrı değerlendirilir. Kılavuz da veri kategorilerini ve etkilenen kişi gruplarını ayrı alanlarda sorar; sayı belirlenemiyorsa bunun nedeninin açıklanmasını ister. Örneğin aynı kişiye ait birden çok veri alanının etkilenmesi, kişi sayısıyla kayıt sayısının farklı olmasına yol açabilir. Henüz bilinmeyen bir sayıyı kesinmiş gibi yazmak yerine, bilginin sınırı ve araştırmanın hangi noktada olduğu gösterilmelidir.¹³

Bu incelemeyi mümkün kılan kayıtların korunması da önemlidir. Yanlış gönderimin ilk mesajı, alıcı bilgisi, teslim zamanı ve ilgili işlem kaydı, sonradan oluşturulmuş kısa bir olay özetinden farklı bilgi taşır. Uygulamada kaydın hangi sistemden, kim tarafından ve ne zaman alındığı; asıl kayda erişimin kimlerle sınırlandığı belirtilebilir. Bunlar her olayda aynı araçla uygulanacak ayrı bir kanuni delil şekli değil, olay ve önlem kaydının incelenebilirliğini sağlayan düzenlemelerdir. Kurulun 2024/790 sayılı karar özeti de yetersiz log yapısının, yetkisiz erişimin nasıl gerçekleştiğinin belirlenmesini güçleştirdiğini gösterir.¹⁴

Delili koruma ihtiyacı, yeni bir sınırsız veri toplama yetkisi yaratmaz. Olayla ilgisiz bütün çalışan yazışmalarını çoğaltmak, araştırma için gerekmeyen üçüncü kişi verilerini yaymak veya inceleme kopyasını herkese açık klasöre koymak yeni riskler doğurabilir. Gereken veriye erişim ve saklama, olayın açıklanması ve hakların korunması amaçlarıyla sınırlı tutulmalıdır. Kanun’un genel ilkeleri ve güvenlik yükümlülüğü, olay araştırması için yapılan işlemlerde de uygulanır.¹⁵

Sonuçta ilk olay kaydı, kesinleşmiş bilgilerle araştırılacak noktaları birbirinden ayırmalıdır. Gelen uyarı, öğrenme değerlendirmesi, etkilenen sistem ve veriler, korunan kayıtlar, ilk müdahale ve bekleyen doğrulamalar birlikte izlenebilir. Böyle bir kayıt, hem yanlış kesinlikten hem de belirsizliği hareketsizlik gerekçesi yapmaktan kaçınmayı sağlar. Olay hizmet sağlayıcıda gerçekleşmişse, bilginin veri sorumlusuna nasıl ve ne zaman ulaştığı ayrıca belirlenir; bu bildirim ilişkisi bir sonraki alt bölümde açıklanmaktadır.¹⁶

16.3. Veri sorumlusu ile veri işleyenin bildirim ilişkisi

Bir bulut sağlayıcısının, müşterilerine ait dosyaların bulunduğu alana yetkisiz erişim tespit ettiğini düşünelim. Olayın sağlayıcının sisteminde gerçekleşmesi, müşterinin kendi veri sorumluluğu bakımından değerlendirme yapmasını gereksiz kılmaz. Önce hangi tarafın hangi işlem bakımından veri sorumlusu, hangisinin onun adına veri işleyen olduğu belirlenmelidir. Hizmet sözleşmesindeki unvan, bu fiilî rol incelemesinin yerine geçmez; aynı sağlayıcı farklı işlemleri için farklı sıfatlar taşıyabilir.¹⁷

Kurulun 2019/10 sayılı düzeni, veri işleyen nezdindeki kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde işleyenin, herhangi bir gecikmeye yer vermeksizin veri sorumlusuna bildirimde bulunmasını öngörür. Bu görev, veri sorumlusunun Kurula ve ilgili kişiye yapacağı bildirimin aynısı değildir. İşleyenin kendi değerlendirmesini tamamlamak için ayrıca 72 saat kullanabileceği biçiminde genel bir süre çıkarılamaz. İlk bilginin hızla iletilmesi, veri sorumlusunun kendi yükümlülüklerini zamanında değerlendirebilmesini sağlar.¹⁸

Bildirim ilişkisinin işlemesi için ulaşılabilir muhatap ve kullanılacak kanal önceden belirlenmelidir. Olağan müşteri desteği sırasına bırakılan bir güvenlik bildirimi, olayın hukuki değerlendirmeye ulaşmasını geciktirebilir. Sözleşme ve müdahale planında olayın hangi görevliye, hangi iletişim yoluyla iletileceği; alınan bildirimin nasıl teyit edileceği ve ek bilgilerin kimden isteneceği gösterilebilir. Bu düzen, tarafların kanuni sıfatını değiştiren bir sorumluluk devri değil, yükümlülüklerin fiilen yerine getirilmesini sağlayan iş bölümüdür.¹⁹

İlk iletimde bilinen olay, etkilenen hizmet ve veri, öğrenme zamanı, alınan önlemler ve henüz bilinmeyen kapsam açıkça ayrılmalıdır. İşleyen bütün müşteri ilişkisini veya ilgili kişinin hangi riskle karşılaşacağını her zaman bilemeyebilir; veri sorumlusu da sağlayıcının sistem kayıtlarına doğrudan erişemeyebilir. Bu nedenle tek yönlü kısa bir “sorun giderildi” mesajı yerine, olayın anlaşılmasını ve bilginin tamamlanmasını sağlayan bir akış gerekir. Kurumun kılavuzunun işleyenden sorumluya bildirim tarihini ve bildirim belgesini ayrı istemesi de zamanın ve haberleşmenin kayda alınmasının önemini gösterir.²⁰

Veri sorumlusu açısından olayın dışarıda gerçekleşmesi, güvenlik ve denetim görevlerini ortadan kaldırmaz. Kanun’un 12. maddesinin ikinci fıkrası, sorumlu adına işlem yapan kişilerle birinci fıkradaki tedbirler bakımından müşterek sorumluluk öngörür. Kurulun 2020/466 sayılı karar özetinde de acentedeki bilgisayarın veri işleyene ait olması ve kayıtların onun tarafından yönetilmesi açıklamaları, veri sorumlusunun denetim ve uygun güvenlik düzeyi sorununu kapatmamıştır. Bununla birlikte bu müştereklik, bütün bildirim ve özel hukuk sonuçlarının iki taraf için her koşulda aynı olduğu şeklinde genişletilmemelidir.²¹

Öğretide Sevindi ve Ordu da işleyen nezdindeki tespitle veri sorumlusuna bildirimin farklı anlar olabileceğini vurgular. Bu ayrım, olayın başlangıcı, işleyenin öğrendiği an ve sorumlunun öğrendiği anın tek tarihe indirilmemesini gerektirir. Kılavuzdaki alan başlıkları doldurulurken de gerçekte bilinen zaman çizelgesi korunmalıdır. Veri sorumlusu başka bir kaynaktan daha önce bilgi edinmişse, sağlayıcının daha sonraki yazısı önceki öğrenmeyi kendiliğinden ortadan kaldırmaz.²²

AB bakımından GDPR’ın 33. maddesi de işleyenden sorumluya gecikmeksizin bildirimi ayrı düzenler. EDPB, işleyenin önce ilgili kişi bakımından risk değerlendirmesini bitirmesinin gerekmediğini; olay bilgisi ile ayrıntıların aşamalı iletilebileceğini açıklar. Aynı sağlayıcı birden çok veri sorumlusuna hizmet veriyorsa, etkilenen her sorumluya ilişkin bilgi akışı kurulmalıdır. Bu karşılaştırma Türkiye bakımından yararlı bir çalışma düzeni sunar; diğer müşterilerin verilerinin gereksiz biçimde açıklanmasına veya GDPR hükümlerinin doğrudan Türk yükümlülüğü sayılmasına dayanak olmaz.²³

Son olarak, bildirimin hazırlanmasına veya iletilmesine destek verilmesiyle kanuni görevin kime ait olduğu ayrılmalıdır. Veri sorumlusu adına yetkilendirilmiş bir kişinin formu hazırlaması mümkün olsa da bu iş bölümü, sorumlunun 12. maddenin beşinci fıkrasındaki konumunu kaldırmaz. İşleyenin haberi, veri sorumlusunun gerekli dış bildirimi yaptığı anlamına da gelmez. Her aşamanın muhatabı ve tamamlandığını gösteren kayıt ayrı izlenmelidir. Kurula ve ilgili kişilere yapılacak bildirimin süre ve içeriği bu ayrım üzerine kurulmaktadır.²⁴

16.4. Kurula ve ilgili kişilere bildirim; süre, içerik ve aşamalı tamamlama

Bir veri ihlali öğrenildiğinde tek bir açıklama metni hazırlamak, bütün bildirim görevlerinin yerine getirildiği anlamına gelmez. Kurulun olayı denetleyebilmesi için ihtiyaç duyduğu bilgiyle, ilgili kişinin kendisini korumak için bilmesi gerekenler farklıdır. Kanun’un 12. maddesinin beşinci fıkrası her iki muhataba bildirimi öngörür; Kurulun 2019/10 sayılı düzeni ise süre ve yöntemi muhataplara göre açıklamıştır. Bu nedenle olay planında Kurula bildirim, ilgili kişiye bildirim ve Kurumun yapabileceği ilan ayrı izlenmelidir.²⁵

Kurula bildirim, veri sorumlusunun durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır. Bu süre, her olayda son saate kadar bekleme hakkı değildir; “gecikmeksizin” koşulu ayrıca korunur. İlgili kişilere bildirim içinse aynı 72 saatlik süre aynen tekrarlanmaz. Etkilenen kişiler belirlendikten sonra makul olan en kısa sürede, iletişim adresine ulaşılabiliyorsa doğrudan; ulaşılamıyorsa veri sorumlusunun internet sitesinde yayımlama gibi uygun yöntemlerle bildirim öngörülür. Böylece bir muhataba zamanında haber verilmesi, diğerine ilişkin görevi kendiliğinden karşılamaz.²⁶

Bütün bilgiler aynı anda hazır değilse, 2019/10 sayılı düzen aşamalı bilgi verilmesine imkân tanır. İlk bildirimde bilinen olay ve mevcut bulgular açıklanmalı, kesinleşmeyen kapsam kesinmiş gibi gösterilmemelidir. Eksik bilgilerin neden henüz sağlanamadığı ve sonraki incelemenin neye yöneldiği belirtilerek, yeni bilgiler gecikmeye yol açmadan tamamlanır. Bu yöntem, ilk bildirimi nihai teknik raporun bitişine bağlamadan olayın anlaşılmasını sağlar. Kurumun form kılavuzu da kişi veya kayıt sayısı belirlenemiyorsa nedeninin açıklanmasını ister.²⁷

72 saat içinde haklı bir gerekçeyle bildirim yapılamamışsa, gecikmenin nedenleri bildirimle birlikte Kurula açıklanmalıdır. Ancak neden yazılması, gecikmenin kendiliğinden haklı kabul edileceği anlamına gelmez. Öğretide Sevindi ve Ordu, sürenin somut olayda esnek değerlendirilmesini vurgular. Kurulun 2020/934 sayılı resmî karar özeti de çok uluslu yapıdaki etkilenen ülkelerin ve yükümlülüklerin belirlenmesi için gereken süreyi o olayda makul kabul etmiştir. Buna karşılık 2020/359 sayılı özette kapsamın netleşmemesi ve kurum içi görüş alınması yeterli mazeret sayılmamıştır. Dolayısıyla çok sayıda birimden görüş beklemek veya araştırmanın sürmesi genel bir süre uzatımı değildir.²⁸

Kurula sunulan bildirimin olayın nasıl anlaşıldığını gösterebilmesi gerekir. Kılavuz; veri sorumlusunun ve bildirimi hazırlayanın kimliğini, olayın tarihlerini, kaynağını, etkilenen veri ve kişi gruplarını, olası sonuçları, önceki ve sonraki tedbirleri ve destekleyici belgeleri ayrı ele alır. Bir formun kurum içinde kaydedilmesiyle Kuruma gönderilmesi de aynı değildir. Kılavuzda taslağın kaydı ile “Kaydet ve Kuruma Gönder” işlemi farklı gösterilir. Uygulamada gönderim ve sonradan tamamlama kayıtlarının korunması, yalnız hazırlanmış bir form bulunduğuna dayanılmasını önler.²⁹

İlgili kişiye yapılacak bildirimin içeriği ise 2019/271 sayılı kararla açık ve sade anlatım koşuluna bağlanmıştır. Bildirim en azından olayın ne zaman gerçekleştiğini, veri kategorileri bakımından hangi verilerin etkilendiğini, olası sonuçları, olumsuz etkileri azaltmak için alınan veya önerilen tedbirleri ve bilgi alınabilecek iletişim yolunu içermelidir. Kişisel ve özel nitelikli veri ayrımı da gösterilmelidir. Örneğin yalnız “sistemimizde teknik sorun yaşandı” denilmesi, kişinin kendisi bakımından hangi tehlikeyi değerlendireceğini veya hangi önlemi alabileceğini açıklamayabilir.³⁰

Kişiye yönelik metin, kurumun itibarını savunan genel bir basın açıklamasıyla da özdeş değildir. İlgili kişinin verisinin etkilenip etkilenmediğini anlayabilmesi, gerekli adımı belirleyebilmesi ve sorusunu yöneltebileceği kanala ulaşabilmesi gerekir. Bildirim sırasında başka kişilerin dosyalarının yeniden açıklanmaması da gözetilmelidir. Kurulun 2020/934 sayılı özetinde, şifre değiştirme uyarısı yapılmış olsa bile olay zamanı ve olası sonuçlar hakkında yeterli bilgi verilmemesi ayrıca değerlendirilmiştir. Bir önlem tavsiyesi, bildirimin diğer zorunlu unsurlarını ortadan kaldırmaz.³¹

Kurumun kendi internet sitesinde ilan kararı ise ayrı bir değerlendirmedir. Kurumun 2025/2451 sayılı karara ilişkin duyurusunda, ilan seçiminde etkilenen kişi grubu ve sayısı, verinin niteliği ve miktarı, olayın gerçekleşme şekli, sektör ve kişilere bildirim yapılıp yapılmadığı gibi unsurlar sayılmaktadır. Aynı duyuru ilan süresini 60 günle sınırlar; bu süreden önce ilgili kişilere bildirim yapıldığının veri sorumlusunca kanıtlanması hâlinde ilanın kaldırılmasını öngörür. Buradaki 60 gün, ihlali Kurula veya kişiye bildirmek için tanınmış yeni bir süre değildir. İlanın süresi ile bildirim görevinin başlangıcı ve yerine getirilmesi farklı konulardır.³²

Bildirim böylece olay yönetiminin tamamı değil, ilgili kişiyi korumaya ve denetimi mümkün kılmaya yönelik bir parçasıdır. Kurula form gönderilmiş olması, yetkisiz erişimin durduğunu veya gerekli düzeltmenin yapıldığını kanıtlamaz. İlgili kişiye açıklama yapılması da zarar azaltma tedbirinin yerine geçmez. Bildirimler sürerken olayın etkisini sınırlama ve hizmeti güvenli biçimde sürdürme işleri ayrıca yürütülmelidir.³³

16.5. Zararın azaltılması, hizmetin sürdürülmesi ve iletişim

Yanlış kişiye gönderilen bir sağlık dosyasında ilk ihtiyaç, açıklamanın yayılmasını sınırlamak ve etkilenen kişinin karşılaşabileceği sonuçları değerlendirmektir. Olay bir uygulamaya yetkisiz erişimse, erişim yolunun kapatılması da gerekir. Bu iki durumda aynı genel “önlem alındı” cümlesi yeterli açıklama sağlamaz. Tedbir, olayın nasıl gerçekleştiği ve hangi verinin hangi tehlikeyle karşılaştığıyla bağlantılı olmalıdır. Bildirimin amacı da bu kişiler bakımından olumsuz sonuçların önüne geçilmesini veya azaltılmasını sağlayacak önlemleri mümkün kılmaktır.³⁴

İlk sınırlama, olayın sürmesine yol açan imkânı ortadan kaldırmaya yönelir. Somut duruma göre yanlış paylaşım bağlantısının kapatılması, ihlal edilmiş hesabın erişiminin durdurulması veya yetkisiz oturumun sonlandırılması gerekebilir. Bunlar her olayda aynı sırayla uygulanacak değişmez bir reçete değildir. Örneğin alıcıdan dosyayı kullanmamasının ve silmesinin istenmesi yayılmayı azaltmaya yardım edebilir; fakat böyle bir isteğin gönderilmesi, dosyanın hiç görülmediğini veya başka kopyasının bulunmadığını kendiliğinden kanıtlamaz. Yapılan işlemle doğrulanmış sonuç ayrı kaydedilmelidir.

Hizmeti yeniden çalıştırma ihtiyacı ile olayın anlaşılmasını sağlayan kayıtların korunması birlikte düşünülmelidir. Sistemi hemen silip yeniden kurmak bazı işlevleri geri getirebilirken, erişimin yolunu ve kapsamını belirlemeyi güçleştirebilir. Kurulun 2020/466 sayılı karar özetinde de olay sonrasında bilgisayarın formatlanması nedeniyle araştırma yapılamadığı açıklaması değerlendirilmiştir. Kurumun güvenlik rehberi, istenmeyen olaylarda delillerin toplanıp güvenli saklanmasını ayrıca vurgular. Bu nedenle müdahalenin kim tarafından, hangi amaçla ve hangi kayıt korunarak yapıldığı izlenebilir olmalıdır.³⁵

Hizmetin sürekliliği, yalnız uygulama ekranının açılması değildir. Geri getirilen verinin doğru, tam ve yetkili kişilerce kullanılabilir olması da önemlidir. Yedeğin varlığı bu sonucun kendiliğinden gerçekleştiğini göstermez; hangi verinin hangi zamana kadar geri getirilebildiği ve etkilenen işlemlerin sürdürülüp sürdürülemediği anlaşılmalıdır. Rehberin yedekleme açıklaması, zarar, kayıp veya kötü amaçlı yazılım sonrası faaliyete dönüşle; yedeklerin ayrıca korunmasını birlikte ele alır. Geri dönüş, hukuken sona ermiş saklamayı süresiz yenileme gerekçesi de değildir.³⁶

İlgili kişiye önerilen tedbir de tehlikenin türüne uygun olmalıdır. Erişim bilgileri etkilenmişse şifre değiştirme veya hesabın güvenliğini yeniden kurma önem taşıyabilir; açıklanan sağlık bilgisinde aynı öneri tek başına sorunu karşılamaz. Bildirim, kişinin ne yapabileceğini anlaşılır biçimde açıklamalı, kurumun kendi yapması gereken işi belirsiz biçimde kişiye yüklememelidir. 2019/271 sayılı düzenin alınan veya önerilen önlemleri ve iletişim yolunu ayrı unsurlar olarak istemesi bu işlevle bağlantılıdır.³⁷

Kurum içi iletişimde teknik ekip, hukuk birimi, ilgili hizmet birimi ve karar vermeye yetkili kişi aynı olay bilgisine ulaşabilmelidir. Bunun için olayla ilgisi olmayan bütün çalışanlara kişisel veri içeren dosyalar dağıtılması gerekmez. Dış iletişimde de bilinen kapsam, araştırılan husus ve alınan tedbir ayrılmalıdır. Kesinleşmemiş bir tahmini “hiçbir veri etkilenmedi” diye sunmak, kişilerin kendi önlemlerini zamanında almasını güçleştirebilir. Buna karşılık belirsizliği açıklamak, araştırma ve uygun tedbiri sürdürme görevinin yerine geçmez.³⁸

Bu işler bildirim tamamlandıktan sonra başlayacak ardışık bir ikinci süreç olarak görülmemelidir. Olayın sınırlandırılması, kayıtların korunması, gerekli bildirim ve güvenli hizmetin sürdürülmesi birbirini besleyen işlerdir. AB rehberinde de önleme ve iletişimin gecikmeden yürütülmesi birlikte ele alınır; bu karşılaştırma Türk hukukundaki her bildirim ve önlem koşulunun ayrıca değerlendirilmesini ortadan kaldırmaz. İlk etki kontrol altına alındıktan sonra, aynı olayın tekrarını önlemek için nedeninin ve kalıcı düzeltmenin incelenmesi gerekir.³⁹

16.6. Olay kaydı, kök neden analizi ve düzeltici tedbirler

Bir hesabın şifresinin değiştirilmesiyle yetkisiz erişim durmuş olabilir. Bununla birlikte şifrenin nasıl ele geçirildiği veya aynı erişim yolunun başka hesaplarda sürüp sürmediği henüz bilinmeyebilir. Olayın ilk etkisini durdurmakla, tekrarına yol açabilecek nedeni gidermek bu bakımdan farklıdır. Kurulun 2019/10 sayılı düzeni, ihlale ilişkin bilgilerin, etkilerin ve alınan önlemlerin kaydedilmesini; müdahale planının da belirli aralıklarla gözden geçirilmesini öngörür. Kayıt, yalnız olayın meydana geldiğini bildiren kısa bir tutanak olarak kalmamalıdır.⁴⁰

Kök neden incelemesi, görünen hatanın hangi işleyiş içinde ortaya çıktığını anlamaya yönelir. Yanlış alıcıya gönderim örneğinde dosyayı son gönderen kişinin belirlenmesi başlangıç olabilir; fakat alıcı seçiminin neden denetlenmediği, dosyada neden gereğinden çok veri bulunduğu veya onay düzeninin nasıl işlediği de önem taşıyabilir. Bu sorular her olayda mutlaka aynı hataların bulunduğunu varsaymaz. İnsan davranışı, yetki, araç ve kurum içi görev düzeni birlikte incelendiğinde, yalnız belirtinin giderilmesiyle yetinilip yetinilmediği anlaşılır.

İncelemenin kesinliği mevcut bulguyla sınırlıdır. Kurulun 2024/790 sayılı karar özetinde yeterli log yapısının bulunmaması, yetkisiz erişimin nasıl sağlandığının kesin belirlenememesiyle birlikte değerlendirilmiştir. Kayıt eksikliği, bilinmeyen nedeni biliniyormuş gibi yazmayı haklı kılmaz. Olay kaydında doğrulanmış bulgu, olası açıklama ve giderilemeyen belirsizlik ayrılmalıdır. Bu ayrım, hem düzeltmenin hangi varsayıma dayandığını hem de hangi ek kontrolün gerektiğini görünür kılar.⁴¹

Düzeltici tedbir, belirlenen neden veya riskle ilişkilendirilmelidir. Örneğin görev sınırını aşan erişim sorunu saptanmışsa, yalnız yeni bir eğitim duyurusu yayımlamak yeterli çözüm olmayabilir; yetki düzeninin de incelenmesi gerekir. Buna karşılık teknik yetki uygun olduğu hâlde görev değişikliği bilgisinin sisteme ulaşmaması sorun yaratmışsa, kurum içi haberleşme akışı önem kazanır. Kurumun rehberi, politikaların işleyişe entegre edilmesini, kontrollerin belgelenmesini ve gerekli güncellemelerden sonra da kontrole devam edilmesini birlikte ele alır. Kurulun 2020/466 sayılı özetinde de hazırlanmış güvenlik belgeleriyle fiilî uygulama arasındaki ayrılık değerlendirilmiştir.⁴²

Bu nedenle düzeltme kaydı, hangi işin kime verildiğini ve uygulandığının nasıl sınanacağını gösterebilmelidir. “Yetkiler gözden geçirilecek” cümlesiyle, belirli görevlere ait gereksiz erişimlerin kapatıldığına ve sonrasında kontrol edildiğine ilişkin kayıt aynı bilgi değerini taşımaz. Somut işin tamamlanması, uygun bir kontrolle birlikte değerlendirilmelidir. Burada bütün kuruluşlara aynı test sıklığını veya aynı teknik yöntemi yükleyen yeni bir kural kurulmamaktadır; esas olan, Kanun’un denetim ödevinin işleme bağlamında işler hâle getirilmesidir.⁴³

Olay dosyasının kendisi de korunması gereken kişisel veriler içerebilir. Çalışan hareketleri, etkilenen kişilerin listesi veya destekleyici yazışmalar, yalnız inceleme dosyasına konuldukları için süresiz ve sınırsız erişilebilir hâle gelemez. 2019/10 sayılı düzenin kayıtları Kurulun incelemesine hazır bulundurma gereği, saklama amacı ve erişim sınırının belirlenmesiyle birlikte uygulanmalıdır. Hangi kaydın olayın anlaşılması veya bir hakkın korunması için gerekli olduğu ayrı değerlendirilir; saklama ve imha ilkeleri olay kayıtlarında da korunur.⁴⁴

Son değerlendirmede ilk olay, alınan önlem, doğrulanan uygulama ve açık kalan risk birlikte görülebilmelidir. Böylece bir olayın teknik bakımdan sona erdiği anlaşılırken, hukuki bildirim veya ilgili kişi başvurusu bakımından süren iş de kaybolmaz. Kalıcı düzeltmenin yapılması geçmişteki yükümlülüklerin değerlendirilmesini kendiliğinden ortadan kaldırmadığı gibi, olayın yaşanmış olması da bütün yaptırım ve tazminat koşullarının gerçekleştiğini göstermez. Bu sonuçların her biri ayrı hukuki sorudur.

16.7. İhlal bildirimiyle yaptırım ve tazminat süreçlerinin ilişkisi

Bir veri sorumlusunun olayı süresinde bildirmesi, bütün güvenlik tedbirlerini yeterince almış olduğunu göstermez. Aynı şekilde bildirim yapılmış olması da hangi tedbirin eksik kaldığını veya bir kişinin ne kadar zarar gördüğünü tek başına açıklamaz. Bildirim, olayın değerlendirilmesini ve olumsuz sonuçların azaltılmasını sağlayan kanuni bir görevdir. Güvenliğe ilişkin ödev, bildirim ödevi ve bunlara aykırılığın sonuçları ayrı şartlarıyla incelenmelidir.⁴⁵

Kurulun karar özetlerinde bu ayrılık somutlaşır. 2020/359 sayılı özette güvenlik takibinin ve tedbirlerin yetersizliği ile geç bildirim ayrı değerlendirilmiştir. 2020/934 sayılı özette ise olay sonrası önlemler ve somut koşullar dikkate alınarak güvenlik yükümlülüğü bakımından o aşamada işlem yapılmaması sonucuna ulaşılmış; bildirim süresi ve kişiye sunulan bilginin eksikliği ayrıca ele alınmıştır. Bu örnekler, olayın tek bir “uyumlu” veya “uyumsuz” etiketiyle kapatılamayacağını gösterir. Özetlerde aktarılan sonuçlar, bütün benzer olaylar için otomatik sonuç veya yargısal kesinleşme bilgisi değildir.⁴⁶

Yaptırımın konusu bakımından da yükümlülüğe aykırılıkla gerçekleşmiş zarar ayrılmalıdır. Kanun’un 18. maddesinin birinci fıkrasının (b) bendi, 12. maddedeki veri güvenliği yükümlülüklerinin yerine getirilmemesine yönelir. Akgün ve Akıncı, tedbir alma yükümlülüğünün ihlali için ayrıca bir neticenin ortaya çıkmasının aranmadığını vurgular. Bu nedenle “kimse maddi zarar bildirmedi” açıklaması, gerekli tedbirin alınıp alınmadığı sorusunu tek başına kapatmaz. Ancak yaptırımın muhatabı, fiil, kusur ve diğer şartları değerlendirilmeden her olaydan otomatik ceza sonucu da çıkarılamaz. Bu şartların ayrıntılı incelenmesi 20. bölümün konusudur.⁴⁷

Tazminat talebi ise kişinin uğradığı zararın giderilmesine yönelir. Kanun’un 11. maddesinin birinci fıkrasının (ğ) bendi, kanuna aykırı işleme nedeniyle zarara uğrayan kişiye giderim talep etme hakkı tanır; 14. maddenin üçüncü fıkrası genel hükümlere göre tazminat hakkını saklı tutar. Dolayısıyla Kurulun idari yaptırım uygulayıp uygulamadığı ile kişinin tazminat isteğinin şartları aynı soru değildir. İdari para cezasının tutarı, kişinin uğradığı zararın veya kendisine ödenecek tazminatın ölçüsü olarak kullanılamaz.⁴⁸

Özel hukuk bakımından genel haksız fiil düzeni esas alındığında, Türk Borçlar Kanunu’nun 49. maddesindeki hukuka aykırı ve kusurlu fiil ile zarar arasındaki ilişki incelenir. 50. madde zarar ve kusurun ispatını, 51. madde tazminatın kapsamının belirlenmesini düzenler. Kişilik hakkının zedelenmesinden doğan manevi zarar bakımından da 58. madde ayrı bir dayanak sunar. Bu hükümler, yalnız ihlal bildirimi bulunduğu için her kişiye aynı tutarda ödeme yapılacağı anlamına gelmez. Somut olayın sözleşme, başka bir sorumluluk sebebi veya kamu hukuku ilişkisi içinde değerlendirilmesi gereken yönleri 21. bölümde ayrıca ele alınmalıdır.⁴⁹

Bildirimin gecikmesiyle başlangıçtaki açıklama veya erişim olayının sonuçları da birbirinden ayrılabilir. Örneğin erişim bilgilerinin etkilenmesi sonrasında kişinin zamanında uyarılmaması nedeniyle önlem alamadığı ileri sürülüyorsa, gecikmenin iddia edilen ek zararla bağlantısı ayrıca incelenmelidir. Olayın yaşanması, ilk bilginin öğrenilmesi, yapılan bildirim ve sonraki zarar aynı zaman çizelgesinde gösterilmelidir. Bu anlatım, her gecikmenin mutlaka ek zarar doğurduğu veya zamanında bildirimin bütün zararı önleyeceği varsayımına dayanmaz; hangi davranışın hangi sonuca bağlandığını açıklama ihtiyacını gösterir.⁴⁹

Bu nedenle olay dosyası yalnız kurumun savunması için değil, hukuki değerlendirmenin doğruluğu için de önemlidir. Doğrulanmış bulgunun tahminden ayrılması, ilk ve sonraki bildirimlerin korunması ve düzeltmenin uygulanmasının kaydedilmesi, farklı süreçlerde aynı olayın hangi yönünün tartışıldığını ortaya koyar. Buna karşılık Kurul özeti, olay bildirimi veya basın açıklaması, kendi başına bütün özel hukuk ve ceza hukuku sorularını çözmüş sayılmamalıdır. Her sürecin konusu ve uygulanacak hükümler ayrıca belirlenir.

İhlal sonrasında öğrenilenlerin kurumun genel çalışma düzenine dönmesi de bu ayrılıklara bağlıdır. Bildirim yapmak, zarar azaltmak, kalıcı düzeltmeyi uygulamak ve sorumluluk iddialarına cevap vermek farklı fakat bağlantılı işlerdir. Bunların görev ve kayıt düzeni kurulmadığında aynı eksiklik sonraki olayda tekrar edebilir. Bir sonraki bölüm, bu nedenle tek olayın ötesine geçerek kurumsal görev dağılımını, veri akışlarını, envanteri ve Sicil işlemleriyle fiilî uygulama arasındaki ilişkiyi ele almaktadır.

Dipnotlar