Kişisel veri ihlali, kişisel verilerin kazara veya yasa dışı olarak yok edilmesine, kaybolmasına, değiştirilmesine, yetkisiz olarak ifşa edilmesine veya bunlara erişilmesine yol açan bir güvenlik ihlalidir. Her olayın bildirilmesi gerekmez, ancak bu sonuca nasıl ulaştığınızı kanıtlayabilmeniz gerekir.
Yasal dayanak
Tanım, GDPR Madde 4(12)'de yer almaktadır. Madde 33, veri sorumlusunun, bireylerin hak ve özgürlükleri için risk oluşturması muhtemel olmadığı durumlar dışında, ihlalin farkına varılmasından itibaren en geç 72 saat içinde Hollanda Veri Koruma Kurumu'na gecikmeksizin bildirimde bulunmasını gerektirir. Madde 34, riskin yüksek olduğu durumlarda bireyleri bilgilendirme yükümlülüğünü ekler. Veri işleyenler, düzenleyici kurumu değil, veri sorumlusunu bilgilendirir ve bunu gecikmeksizin yapmak zorundadır. Madde 33(5), bildirilmemiş olanlar da dahil olmak üzere tüm ihlallerin kaydını tutmayı gerektirir.
Pratikte nasıl çalışır
72 saatlik süre, soruşturma tamamlandığında değil, kişisel verileri içeren bir güvenlik olayının meydana geldiğine dair makul bir kesinliğe sahip olduğunuz anda başlar. Bu nedenle bildirim aşamalar halinde yapılabilir: önce bilinenler, sonra eklemeler. Değerlendirme, birey üzerindeki sonuçlara bağlıdır: özel kategori verileri, kimlik sahtekarlığına olanak sağlayan kombinasyonlar, büyük sayılar veya savunmasız konumdaki kişiler söz konusu mu? Şifrelenmiş diske sahip kayıp bir dizüstü bilgisayar genellikle bildirilmesi gereken bir durum değildir; sağlık verilerini içeren yanlış adrese gönderilmiş bir posta ise neredeyse her zaman bildirilmesi gereken bir durumdur.
İşlerin ters gittiği yer
Yaptırım uygulamalarının çoğu, ihlalin kendisinden ziyade sonrasıyla ilgilidir. Kuruluşlar, öncelikle kimin suçlu olduğunu belirlemek istedikleri için geç bildirimde bulunurlar veya risk yeterince yüksek olsa bile itibar kaybından korktukları için bireyleri bilgilendirmekten kaçınırlar. Üçüncü bir tuzak ise eksik iç kayıt defteridir: Bu defter olmadan, bir olayın neden bildirilmediğini kanıtlayamazsınız ve değerlendirmeniz geçerli sayılmaz.
İlgili terimler
Veri ihlali , tedarikçinizin bildirim süresini belirtmesi gereken veri işleme sözleşmesi ve belirli sektörler için daha kısa bir süre öngören Hollanda Siber Güvenlik Yasası ile doğrudan bağlantılıdır.
Bir olayın bildirilmesi gerekip gerekmediğinden emin değil misiniz? Bilişim hukuku uzmanlarımız , 72 saatlik süre de dahil olmak üzere, sizinle birlikte durumu değerlendirecektir.
