Bir işletmenin sistemlerinde tutulan kişisel verilerin yetkisiz kişilerce ele geçirilmesi (veri ihlali/veri sızıntısı) halinde, KVKK kapsamında belirli bildirim yükümlülükleri devreye girer.
Veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirimde bulunmalıdır. Bildirimde; ihlalin niteliği, etkilenen kişi ve kayıt sayısı, olası sonuçları ve alınan/alınacak önlemler yer almalıdır.
Eğer ihlal, ilgili kişilerin (verisi ele geçirilen kişilerin) mağduriyetine yol açabilecek nitelikteyse, veri sorumlusu bu kişileri de makul en kısa sürede doğrudan bilgilendirmekle veya kamuoyu aracılığıyla duyuru yapmakla yükümlüdür.
Bildirimin geç yapılması veya hiç yapılmaması, doğrudan idari para cezası riski doğurur; ayrıca ihlalden zarar gören kişilerin ayrıca maddi/manevi tazminat talep etme hakları saklıdır.
İşletmenizde bir veri ihlali şüphesi oluştuğunda, 72 saatlik süreyi kaçırmamak için derhal hukuki ve teknik değerlendirme sürecini başlatmanız kritik önem taşır.