Soru & Cevap
Şirketimizin veri tabanı hacklendi ve müşterilerimize ait kişisel bilgiler çalındı. Bu durumu resmi kurumlara bildirmek zorunda mıyız ve ceza alma riskimiz var mı?
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından ele geçirilmesi halinde, bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu'na bildirmek yasal bir zorunluluktur. Kanunumuz uyarınca veri sorumlusu sıfatını taşıyan şirketiniz, kişisel verilerin muhafazasını sağlamak ve hukuka aykırı erişilmesini önlemek amacıyla gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. Meydana gelen siber saldırı veya veri sızıntısı sonrasında ihlalin öğrenilmesinden itibaren en geç yetmiş iki saat içerisinde ilgili makamlara bildirim yapılmaması, hukuki bir yaptırımla ve yüksek idari para cezalarıyla karşılaşmanıza neden olabilecek ciddi bir ihmal olarak değerlendirilir. Örnek olaylarda görüldüğü üzere, bulut sistemlerindeki veya sunuculardaki veri tabanlarına saldırganlarca erişilmesi durumunda, zafiyet testlerinin yetersiz olması veya güvenlik önlemlerinin zamanında alınmaması sebebiyle kurumlara çok yüksek miktarlarda idari para cezaları uygulanabilmektedir.