AB ve Türk Hukukunda Veri İhlalinin Tespiti ve Bildirim Süresinin Karşılaştırmalı Değerlendirmesi

Öz

Veri ihlal bildirimi, kişisel veri ihlalinin gerçekleşmesini takiben veri koruma otoritelerine yapılmak üzere; veri sorumlularına getirilmiş olan bir yükümlülüktür. Bildirimin yapılması otoritelerin kendi formatlarına ve yasal süreye tâbidir. Ancak hem bildirim kaynaklarının hem de sürenin başlangıcının tayini için, veri ihlalinin doğru tespit edilmesi ve kategorilendirilmesi önem arz etmektedir. Veri ihlal türlerinin belirli olmaması ve somut olaya göre değişkenliği sebebiyle, veri ihlal bildirim yükümlülüğü ve süresi; veri sorumluları nezdinde soru işareti uyandırmaktadır. Veri ihlalinin tespitine ilişkin çözüm önerilerinin tartışıldığı bu çalışmada, veri ihlal bildirimi ve veri koruma otoritelerine yapılacak bildirim süreleri; 6698 sayılı Kişisel Verilerin Korunması Kanunu ile Avrupa Birliği Genel Veri Koruma Tüzüğü düzenlemeleri kapsamında karşılaştırmalı olarak ele alınacaktır.

Anahtar Kelimeler

• veri ihlal bildirimi
• veri güvenliği
• veri ihlal bildirim süresi

Comparative Evaluation of Data Breach Detection and Notification Period in the EU and Turkish Law

Öz

Data breach notification to data protection authorities is a legal obligation of data processors which starts from the occurrence of a data breach. The notification is subjected to the legal time period and format of the authorities. However; it is crucial to detect and categorize the data breach correctly in order to identify the beginning of the notification documents and time period. Due to the fact that the types of data breach are not specific and vary according to the concrete case, the data breach notification obligation and its duration raise a question mark among data controllers. In this study, in which the solutions for the detection of data breach will be discussed, data breach notification and notification periods to data protection authorities will be evaluated comparatively within the scope of the Personal Data Protection Law No. 6698 and the European Union General Data Protection Regulation.

Anahtar Kelimeler

• data breach notification
• data security
• data breach notification period

Kaynakça

1. Article 29 Data Protection Working Party (Çalışma Grubu), Opinion 1/2010 on the concepts of “controller” and “processor”, 00264/10/EN WP 169, Şubat 2010, https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_en.pdf adresinden erişilmiştir. (13.04.2023)
2. Avcı, Y. (2019). Kişisel Verilerin Korunması. (Yüksek Lisans Tezi, Selçuk Üniversitesi), Konya.
3. Bakırel, N.B. (2021). Veri Sorumlusu ve Veri İşleyen Arasındaki Sorumluluk Paylaşımı. Ankara: Seçkin.
4. Burton, C. (2020). The EU General Data Protection Regulation (GDPR): A Commentary. Article 33 Notification of a personal data breach to the supervisory authority. New York: Oxford Academic.
5. Carey, P. (2020). Data Protection: A Practical Guide to UK and EU Law. 5th Edition. Oxford University Press.
6. Çekin, M. S. (2020). Avrupa Birliği Hukukuyla Mukayeseli Olarak 6698 Sayılı Kanun Çerçevesinde Kişisel Verilerin Korunması Hukuku. İstanbul: On İki Levha Yayıncılık.
7. Dülger, M. V. (2019). Kişisel Verilerin Korunması Hukuku. İstanbul: Hukuk Akademisi. Avrupa Veri Koruma Kurulu, (2022). Guidelines 9/2022 on personal data breach notification under GDPR, Ekim 2022, https://edpb.europa.eu/system/files/2022-10/edpb_guidelines_202209_personal_data_breach_notification_targetedupdate_en.pdf adresinden erişilmiştir. (22.04.2023)
8. Kaya, M. (2015). Elektronik Ortamda Kişilik Hakkının Korunması. Ankara: Seçkin. Kişisel Verileri Koruma Kurumu, Kişisel Veri İhlali Bildirim Formu Kılavuzu, https://kvkk.gov.tr/SharedFolderServer/CMSFiles/369d954a-aaee-44ca-9ca6-105e8b4102f9.pdf adresinden erişilmiştir. (24.04.2023)

9. Kişisel Verileri Koruma Kurumu, Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin KVKK’nın T.24.01.2019, 2019/10 K. Sayılı Kararına İlişkin Duyuru, https://www.kvkk.gov.tr/Icerik/5362/Veri-Ihlali-Bildirimi adresinden erişilmiştir. (20.04.2023)
10. Kişisel Verileri Koruma Kurumu, 2020/201 Sayılı 03.03.2020 Tarihli Kararı, https://www.lexpera.com.tr/ictihat/kisisel-verileri-koruma-kurumu/karar-no-2020-201-t-3-3-2020 adresinden erişilmiştir. (29.04.2023)
11. Kişisel Verileri Koruma Kurumu, 2020/934 Sayılı 08.12.2020 Tarihli Kararı, https://www.lexpera.com.tr/ictihat/kisisel-verileri-koruma-kurumu/karar-no-2020-934-t-8-12-2020 adresinden erişilmiştir. (19.04.2023)
12. Korucu, O. (2021). Veri Güvenliğinin İyileştirilmesi Sürecinde Küresel Standart, Çerçeve ve En İyi Uygulamalarının Hukuki Uyuma Desteği. Ankara: Adalet Yayınevi.
13. Küzeci, E. (2010). Kişisel Verilerin Korunması. Ankara: Turhan Kitabevi.
14. Reinke, G. (2020). Blue Paper on Data Protection- A Data Breach Accountability Framework: How to reduce the risk of GDPR sanctions. London: Goldrush Publishing.
15. Room, S. (2019) European Data Protection Law and Practice. Security of Personal Data. New Hampshire: International Association of Privacy Professionals.
16. Tosoni, L. (2020). The EU General Data Protection Regulation (GDPR): A Commentary. Article 4(12). Personal data breach. New York: Oxford Academic.
17. Veri Koruma Komisyonu, (2019). Guidance Note: A Practical Guide to Personal Data Breach Notifications under the GDPR, Ekim 2019, https://www.dataprotection.ie/sites/default/files/uploads/2019-10/Data%20Breach%20Notification_Practical%20Guidance_Oct19.pdf web sitesinden edinilmiştir. (22.04.2023)
18. Yörük, Onur Doğan. (2019). (AB) 2016/679 Sayılı Avrupa Birliği Genel Veri Koruma Tüzüğü Doğrultusunda Kişisel Verilerin Korunması. (Yüksek Lisans Tezi, İzmir Ekonomi Üniversitesi). İzmir.