İngiltere UK GDPR Veri İhlali 2026: ICO’ya 72 Saat Bildirim, Müşteriler ve Türk Şirketlerin Hakları

Kişisel veri ihlali ile siber güvenlik olayı aynı mıdır?

UK GDPR madde 4(12) bakımından kişisel veri ihlali, güvenlik ihlalinin kişisel verilerin kazara veya hukuka aykırı imhasına, kaybına, değişmesine, yetkisiz ifşasına veya erişimine yol açmasıdır. Şirkete gelen her sahte e-posta kişisel veri ihlali değildir; buna karşılık yanlış kişiye gönderilmiş maaş bordrosu, silinen hasta kayıtları ve yetkisiz erişim somut duruma göre ihlal sayılabilir. Uygulamaya çalışan yöneticiler yalnız bilgisayar sisteminin çökmesine odaklanmamalı, gizlilik, bütünlük ve erişilebilirlik risklerini ayrı değerlendirmelidir. Hukuki nitelendirmeden önce olayın gerçek sınırları ve hangi kişilerin verilerinin etkilendiği belgelendirilmelidir.

ICO’ya bildirim zorunluluğunun yasal eşiği

UK GDPR madde 33(1) uyarınca veri sorumlusu, ilgili kişilerin hak ve özgürlükleri için risk doğurması muhtemel bir kişisel veri ihlalini gecikmeksizin ve mümkün olduğunda haberdar olmayı izleyen 72 saati aşmadan ICO’ya bildirir. Bütün teknik saldırılar veya şüpheli girişimler otomatik bildirim gerektirmez. Riskin doğmasının olası olmadığı gerekçesiyle bildirim yapılmıyorsa bu değerlendirmenin nasıl yapıldığı olay dosyasına yazılmalıdır. Etkilenen kayıt sayısı, kimlik hırsızlığı ihtimali, açıklanan bilginin duyarlılığı, şifreleme ve olası zararlar birlikte incelenir. Salt müşterinin yabancı olması da bu eşikleri değiştirmez.

72 saat ne zaman işlemeye başlar?

Başlangıç için olayın gerçekten gerçekleştiği tarih ile veri sorumlusunun ihlalden haberdar olduğu an ayırt edilmelidir. Güvenlik ekibinin yalnızca bir anomali işareti gördüğü dakika ile kişisel verinin ihlal edildiğine ilişkin makul güvenceye ulaştığı an farklı olabilir. Yine de şirketlerin kasıtlı olarak soruşturmayı yavaşlatması süreyi uzatmaz. Günlük tutanağına ilk alarmın zamanı, teyit için yapılan kontroller, yönetim bildirimleri ve risk kararının saati yazılmalıdır. Hafta sonları veya resmî tatiller, 72 saatlik sürekli zaman hesabının kendiliğinden durduğu günler değildir. Özellikle Türk merkez ile Londra ofisinin saat farkı kayıt altına alınmalıdır.

Veri sorumlusu ile veri işleyenin ayrımı

UK GDPR madde 4(7) ve 4(8), veri sorumlusu ile işleyen ayrımında verilerin işlenme amaç ve araçlarını kimin belirlediğine odaklanır. Türk yazılım şirketinin İngiltere’deki perakendecinin müşteri verisini yalnız talimatla barındırması, işleyen rolünü gösterebilir. Bu durumda madde 33(2) işleyenin veri sorumlusuna ihlali gereksiz gecikme olmadan bildirmesini öngörür; her işleyenin aynı olay için bağımsız olarak ICO’ya sorumlu sıfatıyla 72 saatlik bildirimde bulunması gerektiği söylenemez. Ancak işleyenin bağımsız karar verdiği başka faaliyetleri olabilir. Sözleşmedeki sıfat ile fiili veri akışının uyuşup uyuşmadığı mutlaka kontrol edilmelidir.

Dış hizmet sağlayıcının olayı saklaması

Bulut sağlayıcısı veya çağrı merkezi olayı fark edip ana müşterisine geç haber verirse, asıl veri sorumlusunun ICO bildirimi ve hesap verebilirlik yükümlülüğü ciddi biçimde zorlaşabilir. Madde 28 kapsamındaki veri işleme sözleşmesinde ihlal bildirim kanalı, ilk temas kişisi, adli bilişim kaydı koruma, alt işleyenler ve yanıt süresi açıkça düzenlenmelidir. Sözleşmede işleyene 48 saat verilmesi, veri sorumlusunun madde 33 kapsamındaki kendi yasal yükümlülüğünü kendiliğinden ertelemez. Sözleşmelerde hızlı eskalasyon hedefi konmalı; bu hedefin teknik olarak karşılanıp karşılanmadığı yıllık tatbikatlarla sınanmalıdır. Yanıt vermeyen tedarikçiyle iletişim girişimleri tarihli dosyada saklanmalıdır.

ICO’ya bildirimin asgari içeriği

Madde 33(3), olayın türünü, ilgili kişi kategorilerini ve yaklaşık sayılarını, etkilenen kayıt kategorilerini ve yaklaşık sayılarını, veri koruma görevlisinin veya diğer irtibat noktasının bilgilerini, muhtemel sonuçları ve alınan veya önerilen düzeltici önlemleri sayar. Şirket yalnızca ‘sistemimiz hacklendi’ diyerek dosyayı tamamlayamaz. Bilinenlerle henüz araştırılan unsurlar birbirinden ayrılmalı; henüz kesinleşmeyen rakamlar tahmin olarak işaretlenmelidir. Hangi ülkelerin kullanıcılarının etkilendiği ve kredi kartı, kimlik, sağlık veya çalışan dosyalarının bulunup bulunmadığı somut şekilde açıklanmalıdır. Bütün teknik ayrıntıları kamuya açık biçimde ifşa etmek de güvenli değildir.

Eksik bilgiyle aşamalı bildirim yapılabilir mi?

UK GDPR madde 33(4), bilgilerin aynı anda temin edilemediği durumda gereksiz ek gecikme olmaksızın aşamalı sunuma izin verir. Bu hüküm, soruşturma bitene dek ilk bildirimi bekletme hakkı vermez. İlk bildirime eldeki olgular, erken risk sınıflandırması, temas kişisi ve izlenecek inceleme takvimi eklenebilir. Sonraki bildirimlerde yeni öğrenilen veri türleri, etkilenen kişi sayısı, olay kökeni ve telafi önlemleri güncellenir. İlk metin ile sonraki raporların farklılaşması saklanmamalı; değişikliğin hangi yeni delile dayandığı gösterilmelidir. Delil belirsizliğini açıkça belirtmek, doğrulanmamış kesin ifadeler kullanmaktan daha güvenlidir.

İlgili kişilere açıklama eşiği daha yüksektir

UK GDPR madde 34, ihlalin gerçek kişilerin hak ve özgürlükleri bakımından yüksek risk doğurması muhtemel olduğunda ilgili kişilere gereksiz gecikme olmaksızın anlaşılır bildirim yapılmasını gerektirir. Bu, ICO’ya her bildirim yapılan olayda otomatik toplu e-posta gönderileceği anlamına gelmez. Şifrelenmiş ve anahtarı korunmuş bir dizüstü bilgisayarın kaybı ile açık metin banka girişlerinin ifşası farklı riskler taşır. Bildirimde olayın niteliği, ulaşılabilir irtibat, olası etkiler ve alınan önlemler açıklanmalı; kişilere parola değiştirme, dolandırıcılığa karşı dikkat veya finans kuruluşuna bildirim gibi uygulanabilir öneriler verilmelidir.

İlgili kişiye bildirim yapılmayabilen durumlar

Madde 34(3), etkili kriptografik koruma nedeniyle verinin yetkisiz kişiye anlaşılmaz olması, sonradan alınan önlemlerle yüksek riskin artık oluşmasının muhtemel olmaması veya bireysel bildirimin orantısız çaba gerektirmesi gibi istisnalar içerir. İstisna otomatik uygulanmaz; şifreleme anahtarının da saldırganın eline geçtiği olayda başlangıçtaki koruma iddiası zayıflar. Orantısız çaba hâlinde kamuya açık bilgilendirme veya eşdeğer yöntem gerekebilir. Veri sorumlusu neden hangi istisnayı kullandığını kanıtlayabilmeli, ICO’nun sonradan bildirim talep etme yetkisini hesaba katmalıdır. ‘Müşterileri paniğe sürüklemeyelim’ tek başına hukuki istisna değildir.

Risk değerlendirmesinde kimlik ve finans verileri

Çalınan kimlik numarası, adres, hesap bilgisi veya parola başka bilgilerle birleşerek kimlik taklidi, dolandırıcılık veya hesap ele geçirme riski yaratabilir. Yönetim, yalnız tek bir veri alanına bakmadan birleştirme olasılığını değerlendirmelidir. Maaş bordrosu kaybı çalışanların gelir ve özel hayat bilgilerini; sağlık verisi açıklanması daha hassas bilgileri içerebilir. Risk analizinde erişimin gerçek olup olmadığı, veri kopyalanıp kopyalanmadığı, kötüye kullanım göstergeleri, hedef kitlede çocuklar veya kırılgan kişiler bulunup bulunmadığı kaydedilir. Anlık kötüye kullanım bulunmaması, ilerideki bütün zararların imkânsız olduğunu göstermeyeceği için değerlendirme düzenli güncellenmelidir.

İlk altı saatte operasyonel ve hukuki koordinasyon

Bilgi güvenliği birimi saldırgan erişimini kesmeye, yedekleri korumaya ve logları güvenli kopyalamaya çalışırken hukuk ve veri koruma ekipleri olası kişisel veri kategorileri, etkilenen ülke ve hukuki rolü tespit etmelidir. Delillerin üstüne yazan otomatik temizleme işlemleri gerekirse kontrollü durdurulmalıdır. Sistem kapatma kararı kritik hizmeti kesebileceği için teknik, operasyonel ve hukuki etkileri birlikte değerlendirmek gerekir. İlk toplantıda tek olay numarası, sorumlu kişi, karar defteri, sonraki kontrol saati ve hangi iş ortağına bildirim gerektiği belirlenmelidir. Erken belirsizlik gerçekleri saklamak için değil, delil toplamayı düzenlemek için kullanılmalıdır.

Olay müdahale kaydı ve madde 33(5)

UK GDPR madde 33(5), bildirime tabi olup olmamasına bakılmaksızın ihlallerin olgularını, etkilerini ve iyileştirici eylemleri belgelemeyi öngörür. Dolayısıyla ICO’ya bildirilmeyen olayların kayıt dışı tutulması doğru değildir. Dosyada olay başlangıç ve fark etme saatleri, çalışan uyarıları, veri envanteri, etkilenen sistem, risk matrisi, alınan yönetim kararları ve sonradan tespit edilen hususlar bulunmalıdır. Logların kaynağı, erişim yetkileri ve saklama süresi ayrıca tanımlanmalıdır. Kişisel verinin kendisini delil diye gereksiz kopyalamak ikinci bir veri ihlali riskini büyütebilir. Sadece denetime yarayacak sınırlı bilgi korunmalıdır.

Yedeklerden geri dönme ve erişilebilirlik kaybı

Veri ihlali yalnız çalınma anlamına gelmez. Fidye yazılımının hastane randevu sistemini erişilemez kılması veya şirketin ücret kayıtlarını geri getirilemez şekilde silmesi, kişisel verinin erişilebilirliği ve bütünlüğü yönünden ihlal oluşturabilir. Madde 32’nin uygun teknik ve organizasyonel önlemleri arasında risk düzeyine uygun güvenlik ve gerektiğinde veriyi zamanında geri yükleyebilme becerisi önem taşır. Yedeklerin var olması kadar güvenilir biçimde test edilmesi, ana sistemden yeterince ayrılması ve yetkisiz kişilerin yedeklere erişememesi de incelenir. En çok işlem kaybı yaşanan dönem için çalışan ve müşteri haklarının etkisi belirlenmelidir.

Çalışan verilerinin sızdırılmasında ayrı hassasiyet

İngiltere şubesindeki çalışanların bordro, banka, disiplin, performans veya hastalık kayıtları ifşa edilmişse veri koruma yanında iş hukuku, sır saklama ve işverenin güven ilişkisi tartışmaları doğabilir. Çalışanların olayı yöneticilerine bildirme yolu açık olmalı, olay incelemesi işyerindeki kişi suçlamasına dönüşmemelidir. İnsan kaynakları verileri özellikle sınırlı erişimle saklanmalı ve olay raporunda sadece gerekli personel bilgilerine yer verilmelidir. Sağlık ve benzeri özel kategorideki veriler madde 9 kapsamında farklı korumalar gerektirebilir. İşten ayrılmış çalışanların dosyaları da sistemde saklanıyorsa saklama amacı ve süresi yeniden değerlendirilmelidir.

Türkiye’deki şirketin UK GDPR kapsamı

Bir Türk şirketinin İngiliz müşteriyle ticaret yapması tek başına UK GDPR’ın her işleme faaliyetine otomatik uygulanacağı anlamına gelmez. Birleşik Krallıkta kuruluş bulunması, oradaki kişilere mal veya hizmet sunma ya da davranış izleme gibi bağlantılar somut UK GDPR madde 3 bakımından incelenir. İngiltere bağlı ortaklığı ile Türk ana şirketin ortak veri sorumlusu olup olmadığı veri işleme amaçlarının kim tarafından belirlendiğine göre araştırılır. Teknik sunucunun Türkiye’de tutulması hukuki sorumluluğu kendiliğinden kaldırmaz. Aynı olay hem UK hem Türk mevzuatı ve başka ülkelerdeki yükümlülüklere yol açabileceğinden veri haritası hazırlanmalıdır.

KVKK madde 12 ile Türkiye’deki ihlal bildirimi

6698 sayılı Kişisel Verilerin Korunması Kanunu madde 12, veri güvenliğine ilişkin tedbirleri ve işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde ilgilisine ve Kurula en kısa sürede bildirim esasını içerir. Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli 2019/10 sayılı kararı, bu bildirim için veri sorumlusunun öğrenmesinden itibaren gecikmeksizin ve en geç 72 saat ölçütünü benimsemiştir. Ancak UK GDPR kapsamındaki ICO risk eşiği ile Türkiye’deki uygulanabilir bildirim koşullarını tek metne indirgemek doğru değildir. Türk şirketi olay bazında hangi veri sorumlusu sıfatıyla hangi makama ne bildireceğini belirlemelidir.

Çifte bildirim ve yabancı ülkelerle ilişki

İngiltere merkezli veri işleme faaliyeti Türkiye’deki kişileri de etkiliyor olabilir; benzer şekilde Türkiye merkezli işleme Birleşik Krallık kişilerini etkileyebilir. ICO’ya bildirim yapılması otomatik olarak Türkiye Kişisel Verileri Koruma Kurumuna bildirim yapıldığı anlamına gelmez. Her ülkenin maddi ve coğrafi uygulama koşulları ayrıca kontrol edilmelidir. Grup şirketlerindeki bir olayda aynı veri setinin iki farklı kuruluşta bulunması bile sorumluluk dağılımını değiştirebilir. İhlal bildirimi, yabancı ülkeye düzenli veri aktarımının hukuki dayanağını da geriye dönük olarak sağlamaz. Veri aktarımı için ayrı sözleşme, güvence ve ülke değerlendirmesi gerekebilir.

Uluslararası veri aktarımıyla karıştırılmamalı

Türkiye’deki destek ekibinin Londra müşterilerinin kayıtlarına erişimi, bazı hâllerde UK GDPR Chapter V anlamında uluslararası aktarım değerlendirmesi doğurabilir. IDTA veya uygun sözleşmesel güvenceler bu noktada önemli olabilir; ancak geçerli aktarım mekanizmasına sahip olmak, ihlal olursa ICO’nun bilgilendirilmesi yükümlülüğünü ortadan kaldırmaz. Aynı şekilde ihlal bildirimi yapılmış olması da yıllardır devam eden uluslararası veri erişimini kendiliğinden hukuka uygun hâle getirmez. Uyum dosyaları bu iki alanı ayrı başlıkta düzenlemelidir. Türk destek sağlayıcısının veri işleyen mi bağımsız veri sorumlusu mu olduğu aktarım belgeleriyle tutarlı olmalıdır.

Fidye yazılımı ve saldırganla iletişim

Fidye talebi, şifre çözme vaadi ve sözde veri silme taahhütleri hukuki risk değerlendirmesini basitleştirmez. Saldırganın ‘verileri sildik’ demesi tek başına bunun doğrulandığı anlamına gelmez. Polis, siber güvenlik uzmanı ve gerektiğinde yaptırım hukuku konusunda uzmanlarla koordinasyon gereklidir. Ransomware olayı sırasında şüpheli ödemeler, finansal yaptırım riskleri veya suç teşkil eden işlemler gündeme gelebilir. Şirket iletişim planında neyin kesinleştiğini, neyin iddia olarak kaldığını ayırmalıdır. Adli bilişim incelemesi ile kişisel veri riski değerlendirmesi birbirini desteklemeli, fakat ikisi de diğerinin tamamlanmasını belirsiz süre beklememelidir.

Veri ihlalinde sözleşmesel tazminat ve sigorta

İngiliz müşteriyle yapılan veri işleme sözleşmesi, ihlal bildirimini kime kimin yapacağını, savunma masraflarını, sorumluluk sınırını ve sigorta bildirim şartlarını düzenleyebilir. Fakat özel sözleşme kamu hukukundan doğan veri koruma yükümlülüklerini bütünüyle ortadan kaldırmaz. Ticari sözleşmedeki tazminat hükümleri ile UK GDPR madde 82 kapsamında ilgili kişilerin zarar talebi ayrı hukuki temellerdir. Sigorta poliçesinin olay gerçekleşince belirli süre içinde bildirim istemesi ayrıca kontrol edilmelidir. Maddi zarar kanıtları, gider faturaları ve kişilerin başvuru kayıtları düzenli tutulmalıdır. Her saldırının otomatik ceza veya kesin tazminata dönüşeceği iddiasından kaçınılmalıdır.

ICO denetimi ve idari yaptırım riski

ICO, olayın bildirildiği tarihe değil, temel güvenlik eksikliği, risk yönetimi, işbirliği ve uyum çabalarının bütününe bakabilir. UK GDPR madde 58 denetim ve düzeltici yetkiler; madde 83 idarî para cezalarının değerlendirilmesi açısından önem taşır. Bildirimde gecikmek veya kayıt tutmamak ayrı hukuki sorunlar yaratabilir. Bununla birlikte her bildirim sonunda para cezası verileceği doğru değildir. Sorumlular olaydan önceki denetim raporlarını, çalışan eğitimlerini, erişim kontrol politikalarını ve olay sonrasında hızla alınan önlemleri korumalıdır. Mevzuattaki teorik azami ceza tutarlarını somut dosyada ödenecek kesin rakam gibi göstermek yanıltıcı olur.

ICO’ya iletilen metnin doğrulanması

Bildirim taslağı hazırlanırken teknik ekip, veri koruma görevlisi ve varsa dış danışman aynı olgu tablosu üzerinden çalışmalıdır. Belgede hangi sunucunun etkilendiği, tarihlerin yerel saat dilimleri, kişi ve kayıt sayılarının yaklaşık olup olmadığı, verinin şifreli tutulup tutulmadığı ve henüz araştırılan konular ayrı yazılır. Basın açıklaması ile resmi ICO bildirimindeki farklılıklar yanlış anlamalara neden olabileceğinden yayın süreci tek merkezden yürütülmelidir. Kişilere gönderilen metinde korunması gereken güvenlik bilgileri gereksiz açıklanmamalıdır. ICO’ya bildirim sonrasında yanıt alındığında dosya kapatılmadan düzeltici eylemlerin tamamlanma kayıtları tutulmalıdır.

Bireysel hak talepleri ve Subject Access Request

İhlalden etkilenen kişiler, UK GDPR madde 15 kapsamındaki erişim hakkı ve somut duruma uygun diğer veri sahibi haklarını kullanabilir. Kuruluş, talebi sırf güvenlik soruşturması devam ediyor diye belirsiz süre cevapsız bırakamaz; ayrıca geçerli istisnalar, üçüncü kişi verilerinin korunması ve uygun kimlik doğrulaması değerlendirilmelidir. Kişinin erişim hakkı, saldırganın teknik yöntemlerini veya başka kişilerin gizli bilgilerini sınırsız öğrenme hakkıyla aynı değildir. Gelen talepler ayrı kayıt numarasıyla ele alınmalıdır. Delil zincirini korumak için orijinal e-posta, talep tarihi, verilen yanıt ve kimlik doğrulama adımları hukuka uygun saklanmalıdır.

Müşteri bildirimlerinde dil ve kimlik hırsızlığı

Türkçe konuşan müşterinin İngilizce metni anlamaması, risk azaltıcı tedbirlerin etkisini zayıflatabilir. UK GDPR madde 34 bakımından gerekli açıklamalar anlaşılır ve açık dille yapılmalıdır. Kritik olayda Türkçe destekli bilgilendirme ve güvenilir irtibat kanalı sağlanması pratik yarar taşıyabilir; ancak kurumun bütün müşterilere her dilde çeviri yapma yükümlülüğü bulunduğu varsayılmamalıdır. Kimlik avı saldırganlarının ihlal haberini fırsata çevirmesi önlenmeli, müşteriden şifre veya tek kullanımlık kod isteyen sahte mesajlara karşı uyarı verilebilir. Gerçek bildirimde kişisel veriler tekrar açıkça yazılarak yeni sızıntı yaratılmamalıdır.

Bordro sistemi ve veri envanteri uygulaması

Örneğin İngiliz işverenin kullandığı Türkiye merkezli bordro yazılımında yetkisiz erişim belirlenirse önce yazılım sağlayıcısının işleyen rolü, İngiliz işverenin veri sorumluluğu ve olayın gerçekten kişisel veri ihlali olup olmadığı saptanır. Çalışanların banka hesapları, maaş, vergi ve hastalık verileri farklı risk düzeyindedir. İşleyen veri sorumlusuna gecikmeden haber vermeli; veri sorumlusu ICO için 72 saatlik bildirim eşiğini değerlendirmelidir. Aynı dosyada Türkiye yönünden KVKK yükümlülüğü ve üçüncü ülke aktarımının hukuki durumu ayrıca kontrol edilir. Bu varsayımsal örnek, her dosyada iki ülkeye de bildirim zorunluluğu olduğu sonucunu doğurmaz.

2026 uygulama kontrol listesi

Olayı tespit et, etkilenen kişisel veriyi belirle, gerçek zaman çizelgesini kaydet, sistemleri ölçülü biçimde izole et ve logları muhafaza et. Ardından veri sorumlusu ile işleyenleri ayır, UK GDPR madde 33 için riski, madde 34 için yüksek riski ayrıca tart, 72 saatin başlangıcını netleştir ve gerekiyorsa ilk bildirimi yap. Bilgi eksikse aşamalı güncelleme planı hazırla. Türkiye bağlantısı için KVKK 12 ve Kurul 2019/10 başlığını bağımsız kontrol et. Bildirilmeyen olaylarda da madde 33(5) olay kaydını tut; çalışanları ve tedarikçileri suçlamadan öğrenilen güvenlik açığını kalıcı biçimde düzelt.

İlgili makaleler

UK GDPR Türkiye veri aktarımı ve IDTA · İngiltere Subject Access Request ve Türk mahkemesinde delil · İngiltere ECCTA 2023 fraud önleme yükümlülüğü · İngiltere modern slavery uyum zorunluluğu · İngiltere ticari acentelik sözleşmesi feshi

Birincil ve resmî hukuk kaynakları

ICO resmî kişisel veri ihlali rehberi · UK GDPR (UK legislation) · Data Protection Act 2018 · 6698 sayılı KVKK · KVKK resmî veri ihlali açıklamaları

Sık sorulan sorular

Her siber saldırı ICO’ya bildirilir mi?

Hayır, UK GDPR madde 33 bakımından kişisel veri ihlali bulunmalı ve hak ve özgürlükler yönünden risk doğması muhtemel olmalıdır.

ICO’ya bildirim süresi kaç saattir?

Bildirimi gerektiren ihlalde haberdar olma anından itibaren gecikmeksizin ve mümkün olduğunda en geç 72 saattir.

72 saat hafta sonu da işler mi?

Evet, süre saat bazında değerlendirilir; normal tatil günleri hesabı kendiliğinden durdurmaz.

Müşterilere de her zaman bildirmek gerekir mi?

Hayır, UK GDPR madde 34 uyarınca yüksek risk değerlendirmesi ve istisnalar ayrıca incelenir.

Şifreli dosya çalınırsa bildirim şart mı?

Şifreleme etkili ve anahtar güvenli ise risk azalabilir; madde 34 istisnaları somut delille değerlendirilmelidir.

Eksik bilgilerle ICO bildirimi yapılabilir mi?

Evet, madde 33(4) aşamalı bildirim imkânı verir; bilinenler süresinde iletilmeli, sonradan güncellenmelidir.

Türkiye’deki veri işleyenin görevi nedir?

Madde 33(2) uyarınca işleyen, veri sorumlusunu ihlalden haberdar olduğunda gereksiz gecikme olmaksızın bilgilendirir.

ICO’ya bildirilmeyen olay kaydedilir mi?

Evet, madde 33(5) uyarınca ihlalin olguları, etkileri ve alınan önlemleri belgelemek gerekir.

Türk şirketi hem KVKK hem ICO bildirimi yapar mı?

Bu ihtimal vardır, fakat ilgili ülke kurallarının kapsamı ve bildirim koşulları ayrı ayrı incelenmelidir.

KVKK Kuruluna bildirim süresi nedir?

6698 m.12 ve Kurulun 2019/10 sayılı kararı kapsamında öğrenmeden itibaren en geç 72 saat ölçütü esas alınır.

İhlal bildirimi kesin idari para cezası doğurur mu?

Hayır, olayın ağırlığı, uyum önlemleri, ihlalin niteliği ve denetim sonucuna göre karar verilir.

İhlal sonrası müşteriler erişim talebi yapabilir mi?

Evet, UK GDPR madde 15 ve ilgili koşullar çerçevesinde veri sahibi hakları ayrı değerlendirilebilir.