Veri güvenliği ihlalinde gerekli teknik ve idari tedbirlerin alınmaması ve ihlalin geç bildirilmesi

Veri sorumlusu, kişisel verilerin hukuka aykırı erişimini önlemek için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almakla yükümlüdür. Yaşanan veri ihlalini en kısa sürede ve en geç yetmiş iki saat içinde Kurula bildirmemesi ile yeterli tedbiri almaması idari para cezasını gerektirir.

İnceleme, veri sorumlusunun bilişim sistemleri üzerinden yetkisiz erişim sonucu çok sayıda kişiye ait kişisel verinin ele geçirilmesine ilişkin veri ihlali bildirimi üzerine yürütülmüştür. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ile kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu ilgili kişiye ve Kurula en kısa sürede bildirir; Kurulun belirlediği süre en geç yetmiş iki saattir. Yapılan incelemede, veri sorumlusunun güncel güvenlik yamalarını uygulamadığı, erişim yetkilendirme ve loglama süreçlerini gereği gibi yürütmediği, dolayısıyla uygun güvenlik düzeyini sağlayacak tedbirleri almadığı ve ihlali öngörülen sürede bildirmediği tespit edilmiştir. Bu tespitler karşısında veri güvenliğine ilişkin yükümlülüklerin ihlal edildiği sonucuna varılmıştır. Kanun'un 18. maddesi uyarınca veri sorumlusu hakkında idari para cezası uygulanmasına ve tespit edilen eksikliklerin giderilmesine karar verilmiştir.