Sabah ekibinizden gelen bir mesajla öğreniyorsunuz: sistemlere yetkisiz erişim olmuş, müşteri verileri sızmış olabilir. Bu haber, herhangi bir işletme sahibi için kabus gibi. Ama panik yerine hızlı ve doğru adımlar, hem hukuki sorumluluğunuzu sınırlar hem de müşterilerinizin güvenini korumanıza yardımcı olur.

GDPR Kapsamında 72 Saat Kuralı

Avrupa Genel Veri Koruma Tüzüğü (GDPR/DSGVO), kişisel veri ihlali tespit edildiğinde şirketlere 72 saat içinde yetkili veri koruma otoritesine (Almanya’da ilgili eyaletin Landesdatenschutzbeauftragte’si) bildirim yapma yükümlülüğü getirir. Bu süre kaçırılırsa, ihlalin kendisinden bağımsız olarak ayrıca idari para cezası riski doğar.

İlk Yapmanız Gerekenler

1. İhlali durdurun: Etkilenen sistemleri izole edin, erişimi kapatın, IT ekibinizle veya dış uzmanla acil müdahale başlatın.
2. Kapsamı belirleyin: Hangi veriler, kaç kişiyi, ne ölçüde etkiledi — bu, bildirim yükümlülüğünün kapsamını belirler.
3. Yetkili otoriteye bildirin: İhlalin niteliği, etkilenen veri kategorileri, alınan önlemler gibi bilgileri içeren resmi bildirimi hazırlayın.
4. Etkilenen kişileri bilgilendirin: Eğer ihlal, kişilerin hak ve özgürlükleri için yüksek risk oluşturuyorsa, müşterilerinizi de doğrudan bilgilendirmeniz gerekebilir.

Bildirim Yapmazsanız Ne Olur?

GDPR ihlalleri için öngörülen idari para cezaları oldukça ağırdır — şirketin küresel cirosunun belirli bir yüzdesine kadar çıkabilir. Bildirimi geciktirmek veya hiç yapmamak, ihlalin kendisinden bağımsız olarak ayrı bir ihlal sayılır ve cezayı katlayabilir.

Sorumluluk Kimde?

• Veri sorumlusu (Verantwortlicher) olarak şirketiniz, verinin işlenme amacını ve araçlarını belirlediğiniz için doğrudan sorumludur.
• Eğer ihlal bir dış hizmet sağlayıcı (veri işleyen/Auftragsverarbeiter) üzerinden gerçekleştiyse, sözleşmenizdeki sorumluluk paylaşımı maddeleri devreye girer.
• Müşteriler, ihlal nedeniyle uğradıkları zarar için doğrudan tazminat talep edebilir.

Uzun Vadeli Önlemler

İhlal sonrası, veri güvenliği politikalarınızı gözden geçirmek, şifreleme ve erişim kontrollerini güçlendirmek, düzenli sızma testleri yaptırmak hem tekrar riskini azaltır hem de olası bir denetimde iyi niyetinizi gösteren somut kanıt oluşturur.

Parlar Partner Avukatlık Bürosu Olarak Yanınızdayız

Almanya ve Türkiye arasında yaşanan hukuki meselelerde, iki ülkenin hukuk sistemini de bilen bir ekiple çalışmak sürecin sonucunu doğrudan etkiler. Gelsenkirchen merkezli büromuz, Türkçe ve Almanca iletişim kurabilen avukatlarıyla durumunuzu değerlendirip size somut bir yol haritası sunabilir. Yaşadığınız sorunu bize anlatın, birlikte en doğru adımı belirleyelim.

Sık sorulan sorular

Şirketimin müşteri verileri Almanya’da çalındı, ilk olarak ne yapmalıyım?

Önce etkilenen sistemleri izole ederek ihlali durdurmalı, ardından hangi verilerin ve kaç kişinin etkilendiğini belirlemelisiniz; bu adımlar hem hukuki sorumluluğunuzu sınırlar hem de sonraki bildirim yükümlülüğünün kapsamını netleştirir.

GDPR kapsamında bildirim için süre sınırı var mı?

Evet. GDPR/DSGVO, kişisel veri ihlali tespit edildiğinde yetkili veri koruma otoritesine 72 saat içinde bildirim yapılmasını şart koşar; bu süre kaçırılırsa ihlalin kendisinden bağımsız olarak ayrı bir idari para cezası riski doğar.

Bildirim yapmazsam ne olur ve etkilenen müşterileri bilgilendirmem gerekir mi?

GDPR ihlalleri için öngörülen idari para cezaları şirketin küresel cirosunun belirli bir yüzdesine kadar çıkabilir; ayrıca ihlal kişilerin hak ve özgürlükleri için yüksek risk oluşturuyorsa etkilenen müşterileri doğrudan bilgilendirmeniz de gerekebilir.