Veri İhlal Bildirimi ve Sorumluluk

Veri İhlal Bildirimi ve Sorumluluk​

Kişisel verilerin korunması, bireylerin özel yaşamına saygının sağlanması ve temel hak ve özgürlüklerin güvence altına alınması açısından kritik bir öneme sahiptir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye’de veri sorumlularının uyması gereken kuralları düzenlerken aynı zamanda kişisel verilerin işlenmesinde ortaya çıkabilecek ihlaller karşısında hak sahiplerinin korunmasını hedeflemektedir. Veri ihlali durumlarında uygulanacak bildirim yükümlülüğü ve sorumluluk rejimi, kişisel verilerin korunması hukukunda hem ulusal hem de uluslararası arenada yoğun şekilde tartışılmaktadır.

Veri ihlallerinin önlenememesi veya geç tespit edilmesi durumunda, etkilenen bireylerin ciddi zararlar görme riski bulunmaktadır. Örneğin bir siber saldırı sonucunda ifşa edilen kişisel veriler, kimlik hırsızlığı, mali kayıplar veya itibar zedelenmesi gibi uzun vadeli olumsuz sonuçlar doğurabilir. Bu nedenle veri sorumlularının, veri işleme süreçlerinde yeterli idari ve teknik tedbirleri alması, ihlal gerçekleştiğinde ise ilgili kişilere ve Kurula zamanında bildirimde bulunması, hukukun aradığı temel gereklilikler arasındadır.

Bildirimin niteliği, süresi ve içeriği, ihlalin potansiyel etkilerine göre farklılık gösterebilir. Bazı durumlarda, etkilenen kişi sayısının çokluğu veya ihlalin niteliği nedeniyle kamuoyuna da duyuru yapılması gerekebilir. Veri ihlal bildirimi yükümlülüğüne aykırı davranış, idari yaptırımlara yol açabilmektedir. Bu yaptırımlar, para cezalarından veri işleme faaliyetlerinin kısıtlanmasına kadar uzanabilmektedir. Ayrıca veri sorumluları, hukuki sorumluluğun yanı sıra cezai sorumlulukla da karşılaşabilir.

Veri ihlal bildirimini düzenleyen kurallar, sadece KVKK ile sınırlı kalmamakta; Avrupa Birliği’nde Genel Veri Koruma Tüzüğü (GDPR) başta olmak üzere çeşitli uluslararası düzenlemeler de benzer yükümlülükler öngörmektedir. Bu bağlamda, yurt dışı uygulamalar ile Türkiye’deki düzenlemelerin karşılaştırılması hem mevzuatın anlaşılması hem de uygulamada öngörülebilirliği artırmak bakımından önemlidir. Türkiye’deki yargı kararları ve Kişisel Verileri Koruma Kurulu (Kurul) tarafından verilen kararlar, veri sorumlusunun somut olayda nasıl bir özen göstermesi gerektiğine ilişkin rehberlik sunar.

Kişisel Verilerin Korunmasında Veri İhlalinin Rolü​

Veri ihlali, genel olarak kişisel verilerin güvenlik önlemleri ihlal edilerek yetkisiz üçüncü kişilerin eline geçmesi veya verilerin yetkisiz şekilde ifşa edilmesi olarak tanımlanmaktadır. Bu kapsamda, siber saldırılar, veri tabanlarına yapılan izinsiz erişimler, kayıp veya çalıntı cihazlar üzerinden verilerin ifşa olması, fiziksel belgelerin yanlış kişilere gönderilmesi gibi pek çok senaryo veri ihlali olarak nitelendirilebilir.

Veri ihlalinin temel unsurları şunları içermektedir:

• Kişisel verilerin varlığı
• Yetkisiz erişim, değişiklik veya yok etme
• Veri güvenliğini sağlamaya yönelik tedbirlerin yetersizliği veya uygulanmaması
• İlgili kişilerin zarar görme ihtimali

KVKK ve ilgili ikincil mevzuat, veri işleme faaliyetlerini belli ilkelere bağlamış olup bu ilkelerden biri de “veri güvenliğinin sağlanması” yükümlülüğüdür. Veri güvenliğinin sağlanması, teknik ve idari tedbirlerin alınmasıyla mümkündür. Ancak birçok durumda, alınan tedbirlere rağmen çeşitli nedenlerle veri ihlali yaşanabilmektedir. Örneğin, bir bankanın sunucularına yönelik siber saldırı sonucunda milyonlarca müşterinin kimlik ve finansal bilgileri kötü niyetli kişilerin eline geçebilir. Aynı şekilde, bir hastanenin hasta kayıt sisteminde yaşanacak bir veri sızıntısı, kişiler hakkında son derece hassas sağlık bilgilerini ifşa edebilir.

Veri ihlalleri, bireylerin hak ve özgürlüklerini tehlikeye attığından, yalnızca veri sorumlularının değil, aynı zamanda kamu makamlarının ve düzenleyici otoritelerin de gündemindedir. Kişisel verilerin korunması hukukunun temel prensibi olan “amacın sınırlılığı” ve “veri minimizasyonu” gibi ilkeler, olası ihlallerin etkisini azaltmak için alınması gereken önlemler arasında yer almaktadır. Örneğin, bir kurum, gereğinden fazla veri toplamamayı ve işleme faaliyetlerinde yalnızca amaca uygun verileri kullanmayı benimserse, olası ihlallerde ifşa olacak veri hacmi de azalacaktır.

Veri ihlalinin ortaya çıkması durumunda uygulanacak prosedürler ve bildirim yükümlülüğü, her hukuk sisteminde farklılık göstermekle birlikte, uluslararası normlar göz önüne alındığında belli başlı standartlar oluşmuştur. Bu standartlar arasında “ihlalin tespiti,” “ilgili kişi ve düzenleyici kuruma bildirim,” “ihlale yönelik düzeltici ve önleyici tedbirlerin alınması” gibi aşamalar yer almaktadır. Türkiye’de KVKK ve ilgili Kurul kararları, veri sorumlularına ayrıntılı rehberler sunarak mevzuatın somut uygulamasını şekillendirmektedir.

Veri Sorumlusunun Yükümlülükleri​

Kişisel verileri işleyen gerçek veya tüzel kişiler, KVKK’da “veri sorumlusu” olarak tanımlanmaktadır. Veri sorumlusunun, veri işleme faaliyetinin her aşamasında belirli yükümlülükleri mevcuttur. Bu yükümlülükler, hem kanun hem de Kurul kararları ve ikincil düzenlemelerle açıklanmıştır. Veri ihlali ile ilgili yükümlülükler, aşağıdaki başlıklar altında incelenebilir:

• Teknik Tedbirler: Veri sorumluları, sistem güvenliği, şifreleme, erişim kontrolü, veri yedekleme ve izleme gibi teknik önlemleri alarak veri işleme faaliyetlerinin güvenliğini temin etmelidir.
• İdari Tedbirler: Kurum içi politika ve prosedürlerin oluşturulması, çalışanların bilinçlendirilmesi, düzenli denetimlerin yapılması, sözleşmesel yükümlülükler vb. yöntemler, veri işleme süreçlerinde olası zafiyetlerin önüne geçmeye yardımcı olur.
• Kayıt Tutma Yükümlülüğü: Veri sorumluları, veri işleme faaliyetleri ve güvenlik tedbirleriyle ilgili gerekli kayıtları düzenli olarak tutmalıdır. Ayrıca olası bir ihlal durumunda, hangi verilerin etkilendiği ve bu verilerin kimler tarafından erişilebilir hale geldiği gibi bilgiler kayıt altına alınmalıdır.
• Veri İşleyen ile İlişkiler: Veri sorumlusu, veri işleyen tarafların (hizmet sağlayıcılar, alt yükleniciler vb.) güvenlik tedbirlerini de denetlemekle yükümlüdür. Sözleşme yoluyla veri işleyenlerin uyması gereken standartlar belirlenmelidir.
• Otomatik Karar Sistemleri ve Profil Oluşturma: Veri sorumluları, otomatik karar verme süreçlerinde ayrımcılığa yol açabilecek, bireyin temel haklarını zedeleyebilecek uygulamalardan kaçınmalı ve bu konudaki riskleri yönetmelidir.

Veri ihlali meydana geldiğinde, veri sorumlusunun ilk yapması gereken, ihlali kontrol altına almak ve zararların büyümesini engellemektir. Ardından, ilgili kişilere ve Kurula yapılacak bildirim süreci başlamaktadır. İhlal bildirimi, yalnızca bir formalite değil; veri sorumlusunun şeffaflığı ve hesap verebilirliği açısından da büyük önem taşımaktadır. Bu bildirimin içeriği ve zamanlaması, genellikle ihlalin niteliğine, etkilenen kişi sayısına ve veri kategorilerinin hassasiyet derecesine göre farklılık göstermektedir.

Veri İhlalinin Belirlenmesi ve Bildirim Süreci​

Bir veri ihlalinin tespiti, çoğu zaman teknik sistemlerin izlenmesine ve kurum içindeki kontrol mekanizmalarına bağlıdır. İhlalin siber saldırı kaynaklı olması durumunda, güvenlik yazılımları veya sızma tespit sistemleri üzerinden uyarılar alınabilir. Fiziksel belgelerin kaybı veya çalışanların hataları sonucunda gerçekleşen ihlallerde ise kurum içi denetim mekanizmaları ve bildirim prosedürleri devreye girer.

Veri sorumlusu, ihlali öğrendiği andan itibaren olayı mümkün olan en kısa süre içinde analiz etmelidir. Bu analiz aşamasında:

• İhlalin kaynağı ve kapsamı
• Etkilenen veri türleri
• İlgili kişi sayısı ve kategorileri
• İhlalin olası sonuçları
• Gerekli güvenlik önlemlerinin alınıp alınmadığı

gibi unsurlar değerlendirilir. Bu değerlendirme, bildirim yükümlülüğünün doğup doğmadığını ve bildirimin içeriğini belirlemek açısından önemlidir.


Bu tabloda görüldüğü gibi, özellikle hassas nitelikli verilerin ifşa olması, hem hukuki hem de idari açıdan kritik sonuçlar doğurabilir. Sağlık bilgileri, biyometrik veriler, ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler gibi özel nitelikli kişisel verilerin sızdırılması durumunda veri ihlalinin sonuçları çok daha ağır olabilir.

Bildirim süresi, KVKK’nın 12. maddesi ve Kurul tarafından yayımlanan rehberler doğrultusunda belirlenir. Uluslararası düzenlemelerde bu süre genellikle mümkün olan en kısa süre olarak ifade edilir ve bazı mevzuatlarda 72 saatlik bir süre öngörülür (GDPR madde 33). Türkiye’de uygulamada, “en kısa sürede” veya “makul süre” şeklinde esnek ifadeler benimsenmiştir. Ancak Kurul kararlarında, 72 saatlik bir süre referans alınarak olayın niteliğine göre bu sürenin aşılmaması gerektiği vurgulanmaktadır.

Bildirim yapılırken dikkat edilecek noktalar şunlardır:

• İhlalin ne zaman, nasıl ve hangi sebeple gerçekleştiği
• Hangi veri kategorilerinin etkilendiği
• Etkilenen kişi sayısının tahmini
• Alınan veya alınacak önlemler
• İlgili kişilerin kendilerini korumak için yapabileceği işlemler

İlgili kişilerin ihlalin sonuçlarından haberdar edilmesi, ortaya çıkabilecek zararların önüne geçilmesi için önemlidir. Örneğin, finansal bilgiler sızdırılmışsa, ilgili kişiler banka hesaplarını veya kartlarını hızlı bir şekilde kapatarak ek zararları engelleyebilir. Aynı şekilde, kimlik hırsızlığı riski varsa, resmi makamlara veya kredi bürolarına gerekli uyarıları yaparak tedbir alabilirler.

Sorumluluk Türleri ve Yaptırımlar​

Veri ihlal bildirim yükümlülüğü, KVKK’nın getirdiği sorumluluk rejiminin önemli bir parçasıdır. Veri sorumluları, veri güvenliği önlemlerini almamaları, ihlal durumunda gecikmeli veya eksik bildirimde bulunmaları gibi durumlarda farklı sorumluluklarla karşı karşıya kalabilirler. Bu sorumluluk türleri aşağıdaki gibi sınıflandırılabilir:

• İdari Sorumluluk: Kurul tarafından verilen idari para cezaları, uyarılar ve diğer idari yaptırımlar bu kapsama girer. İhlalin niteliğine ve veri sorumlusunun kusur derecesine bağlı olarak cezalar değişebilir.
• Hukuki Sorumluluk: İlgili kişiler, veri ihlali nedeniyle uğradıkları zararların tazmini için veri sorumlusuna karşı dava açabilirler. Manevi tazminat talepleri de bu kapsamda gündeme gelebilir.
• Cezai Sorumluluk: Türk Ceza Kanunu’nda (TCK) yer alan hükümler uyarınca, kişisel verilere yönelik hukuka aykırı işlemler, belirli koşullar altında suç teşkil edebilir. Veri sorumlusunun kastı veya ihmali, cezai sorumluluğun doğmasında etkili olabilir.

İdari yaptırımların niteliği, Kurulun yetkileri doğrultusunda şekillenir. Kurul, KVKK’daki hükümler uyarınca veri sorumlusuna ilişkin çeşitli kararlar alabilir ve bu kararlar kamuoyuna duyurulabilir. Örneğin, veri sorumlusunun tespit edilen eksiklikleri gidermesi için süre tanınması veya veri işleme faaliyetlerinin tamamen durdurulması gündeme gelebilir.

Hukuki sorumluluk ise tazminat hukuku çerçevesinde değerlendirilmektedir. İlgili kişinin, veri ihlali nedeniyle maruz kaldığı zararı ispat etmesi halinde, veri sorumlusu tazminat ödemekle yükümlü olabilir. Manevi tazminat talepleri de özellikle hassas verilerin ifşa olduğu durumlarda önem kazanır. Cezai sorumluluk açısından ise TCK’daki kişisel verilerin kaydedilmesi, hukuka aykırı olarak ele geçirilmesi veya yayılması gibi suç tipleri dikkate alınmalıdır.

Uluslararası Düzenlemeler ve Karşılaştırmalar​

Veri koruma hukuku, yalnızca ulusal mevzuatla sınırlı bir alan olmaktan çıkmış, küresel bir nitelik kazanmıştır. Özellikle Avrupa Birliği’nin 2018 yılında yürürlüğe koyduğu Genel Veri Koruma Tüzüğü (GDPR), dünya genelinde birçok ülkenin veri koruma rejimlerini etkilemiş ve ülkelerde benzer düzenlemelerin yapılmasına öncülük etmiştir. Türkiye’deki KVKK da GDPR ile büyük ölçüde paralel hükümler içermekle birlikte, bazı farklılıklara sahiptir.

GDPR ve KVKK Arasındaki Başlıca Benzerlikler:

• Veri sorumlusunun şeffaflık ve hesap verebilirlik ilkelerine uyması
• Veri güvenliğini sağlama yükümlülüğü
• Veri ihlal bildirimi ve verisi etkilenen kişilere iletilecek bilgiler
• İdari para cezalarının öngörülmesi

GDPR ve KVKK Arasındaki Başlıca Farklar:

• GDPR’da öngörülen yaptırımların üst sınırı, KVKK’ya göre daha yüksektir (örneğin GDPR’da küresel cironun %2 veya %4’ü gibi oranlar).
• KVKK’da veri koruma görevlisi (Data Protection Officer - DPO) atanması zorunlu değildir; GDPR’da ise bu husus belirli koşullar altında zorunlu hale getirilmiştir.
• Veri ihlal bildirimi süresi GDPR’da “72 saat” kuralı ile belirlenirken, KVKK uygulamasında kesin bir saat sınırlaması yerine makul süre kavramı kullanılmaktadır.

ABD’de ise veri koruma mevzuatı eyalet bazında düzenlenmekte ve federal düzeyde henüz GDPR benzeri kapsamlı bir kanun bulunmamaktadır. California Consumer Privacy Act (CCPA), kişisel veri korumasında önemli düzenlemeler içerse de her eyalette farklı hükümlerin varlığı uygulamayı karmaşıklaştırmaktadır. Bununla birlikte, birçok şirket, birden çok yargı alanında faaliyet gösterdiğinden, GDPR ve KVKK gibi daha kapsamlı düzenlemeleri kıstas almakta ve uyum süreçlerini bunlara göre belirlemektedir.

Asya-Pasifik Bölgesi’nde de veri koruma yasaları hızla yayılmaktadır. Örneğin Singapur Kişisel Verilerin Korunması Yasası (PDPA) ve Japonya’nın Kişisel Bilgilerin Korunması Yasası, veri ihlalleri sonrasında yapılması gereken bildirim usullerini ve sorumluluk rejimlerini ayrıntılı şekilde düzenlemektedir. Bu çeşitlilik, çok uluslu şirketlerin veri koruma politikalarını küresel standartları gözeterek oluşturmasını zorunlu hale getirmiştir.

İdari Para Cezaları ve Hukuki Sonuçlar​

KVKK’nın 18. maddesi uyarınca Kurul, veri sorumluları hakkında değişen tutarlarda idari para cezası uygulayabilmektedir. Bu cezalar, ihlalin niteliği, veri sorumlusunun kusur derecesi ve muhtemel zararlar dikkate alınarak belirlenir. Veri ihlal bildirim yükümlülüğüne aykırılık, Kurulun özellikle üzerinde durduğu konulardan biridir. İhlali bildirmeyen veya geç bildiren veri sorumluları, yüksek idari para cezalarıyla karşı karşıya kalabilirler. Bu cezalar, özellikle büyük ölçekli veri sorumluları için kayda değer meblağlara ulaşabilir.

İdari para cezaları dışında, veri sorumlusunun hukuki sorumluluğunun doğması halinde tazminat ödemesi de gündeme gelir. Tazminatın kapsamı, zarar gören kişilerin maruz kaldığı fiili zararı ve manevi zararları kapsayabilir. Hassas nitelikli kişisel verilerin ifşa olması, bireyin itibarının zedelenmesi veya psikolojik rahatsızlıklara neden olması durumunda manevi tazminat meblağları önemli seviyelere çıkabilir. Özellikle sağlık verileri, etnik köken, siyasi düşünce gibi özel nitelikli verilerin ifşası, hukuki yaptırımların daha da ağırlaşmasına neden olabilir.

Cezai yaptırımlar ise TCK ve özel kanun hükümleri çerçevesinde değerlendirilir. Kişisel verilerin hukuka aykırı olarak kaydedilmesi, başkasına verilmesi veya ele geçirilmesi gibi fiiller, belli koşullar altında suç teşkil eder. Veri sorumlusu olan gerçek kişiler veya bu işlemleri gerçekleştiren çalışanlar, kasıt veya ağır ihmal durumunda cezalandırılabilirler. Veri sorumlusunun tüzel kişi olması halinde de idari ve hukuki sorumluluk devreye girer, suçun işlenmesinde kullanılan araçlar müsadere edilebilir veya tüzel kişilerin faaliyetlerini etkileyebilecek başka tedbirler uygulanabilir.

Örnek Olay İncelemeleri​

Mevzuat hükümlerinin somut olaylarda nasıl uygulandığı, Kurul kararları ve mahkeme içtihatları ile ortaya çıkmaktadır. Farklı sektörlerden örnekler, veri ihlal bildiriminde dikkat edilmesi gereken noktaları ve sorumluluk rejiminin nasıl işletildiğini göstermesi bakımından faydalıdır.

Bankacılık Sektöründe Bir Örnek:
Bir bankanın sunucularına siber saldırı düzenlenmesi sonucu, 100 bin müşterinin kimlik ve hesap bilgileri ifşa olmuştur. Banka bu durumu yaklaşık 48 saat sonra fark etmiş ve Kurula 72 saat içinde ihlal bildiriminde bulunmuştur. Ayrıca etkilenen müşterilere kısa mesaj ve e-posta yoluyla bilgilendirme yapılmış, müşterilere hesap ve kartlarını iptal etme veya dondurma seçenekleri sunulmuştur. Kurul, bankanın hızlı reaksiyonunu ve önceden aldığı güvenlik tedbirlerini dikkate alarak idari para cezasını alt sınırdan uygulamıştır. Ancak yine de bankaya, sorumluluk ihmal edilemeyeceği için belirli bir miktarda para cezası verilmiştir.

Sağlık Sektöründe Bir Örnek:
Bir hastanenin veri tabanına yetkisiz erişim sağlanarak hastalara ait tıbbi raporlar ve özel nitelikli veriler çalınmıştır. Hastane, sistemin korumasında zafiyet olduğunu fark etmiş ancak güvenlik açığını kapatmak ve detaylı inceleme yapmak için altı gün beklemiştir. Bu sürede herhangi bir resmi bildirimde bulunmamış, etkilenen bireylere de haber vermemiştir. Kurul, geç bildirimi ve güvenlik zafiyetinin ihmal edilmesini ağır kusur sayarak yüksek miktarda idari para cezası uygulamıştır. Hukuki süreçte de hastane aleyhine manevi tazminat davaları açılmıştır.

Telekomünikasyon Sektöründe Bir Örnek:
Bir telekomünikasyon şirketinin müşteri veritabanına yönelik yapılan saldırıda, milyonlarca abonelik bilgisi sızdırılmıştır. Şirket, saldırıyı tespit ettiğinde kamuoyuna resmi bir açıklama yaparak etkilenen abonelerden özür dilemiş ve gerekli teknik önlemlerin derhal alındığını duyurmuştur. Kurula da 24 saat içinde bildirim yapılmış, saldırının kaynağı ve boyutu hakkında ayrıntılı rapor sunulmuştur. Kurul incelemesi sonucunda, şirketin proaktif yaklaşımı hafifletici neden olarak görülmüş, ancak ihlalin boyutu nedeniyle yine de önemli ölçüde idari para cezası uygulanmıştır.

Bu örnekler, veri sorumlularının hızlı ve şeffaf bir şekilde ihlal bildiriminde bulunmasının, Kurul değerlendirmesinde olumlu bir etki yaratabileceğini göstermektedir. Aynı zamanda teknik ve idari tedbirlerin önceden alınması, ihlalin boyutunu sınırlayabileceği gibi daha düşük idari yaptırımlarla karşılaşılmasını da sağlayabilmektedir.

Değerlendirme ve Öneriler​

Veri ihlal bildirimine ilişkin mevzuat ve uygulama pratikleri, dijitalleşmenin hız kazanmasıyla daha da önemli hale gelmiştir. Siber saldırıların sıklığı ve karmaşıklığı arttıkça, veri sorumlularının önleyici tedbirlerini genişletmesi ve etkinleştirmesi gerekmektedir. Bu kapsamda, veri koruma stratejilerinin sadece teknik açıdan değil, kurumsal yönetim ve organizasyonel yapı açısından da ele alınması kritik önem taşır.

Çeşitli sektörlerden elde edilen tecrübeler, veri ihlali durumlarında hızlı hareket etmenin ve şeffaf iletişimin zararı asgariye indirmede etkili olduğunu ortaya koymaktadır. Veri sorumlularının, çalışanları düzenli aralıklarla eğitmesi ve veri ihlali senaryolarını test etmeleri, olası zafiyetlerin tespiti bakımından yararlıdır. Örneğin, sızma testleri (penetration test) ve benzeri tatbikatlar, saldırganların kullanabileceği açıkların önceden belirlenmesini ve kapatılmasını sağlar.

Uygulamada yer alan bazı önemli noktalar şu şekilde özetlenebilir:

• Veri işleme envanterinin güncel tutulması
• Risk analizi yapılarak yüksek riskli veri işleme faaliyetlerine özel önlemlerin alınması
• Acil eylem planının hazırlanması ve sorumlulukların belirlenmesi
• Düzenli güvenlik denetimlerinin yapılması
• Veri işleyenlerle (alt yüklenici, tedarikçi vb.) sözleşmelerde veri güvenliği hükümlerine yer verilmesi

Bu adımlar, veri sorumlularının sadece mevzuat uyumunu sağlamakla kalmayıp aynı zamanda kurumsal itibarı korumalarına da katkı sunmaktadır. Herhangi bir veri ihlali, kamuoyu tarafından yakından takip edilecek ve olumsuz itibar yaratabilecek bir konudur. Bu nedenle kurumların, regülasyonlarla getirilen zorunlu tedbirleri minimum seviyede karşılamanın ötesine geçip, kurumsal risk yönetimi perspektifiyle hareket etmeleri gereklidir.

Sorumluluğun paylaşımı konusunda, veri sorumlusu ile veri işleyen arasındaki hukuki ilişkiler de hayati önem taşır. Özellikle bulut hizmetleri, dış kaynak kullanımı veya ortak veri işleme faaliyetlerinde, tarafların veri ihlali durumunda hangi yükümlülüklere sahip olacağı baştan sözleşme ile belirlenmelidir. Taraflar arasında görev ve sorumluluk dağılımının net olmaması, ihlal anında kaotik bir durum yaratabilir ve hem gecikmeye hem de ek zararlara neden olabilir.

Veri ihlal bildirimi ve sorumluluk, teknoloji geliştikçe ve yeni veri işleme yöntemleri ortaya çıktıkça da güncellenmesi gereken dinamik bir alandır. Dijital platformlar, yapay zekâ uygulamaları ve büyük veri analitiği gibi alanlarda kişisel verilerin işlenmesi, yepyeni risk senaryolarını beraberinde getirmektedir. Bu nedenle, hem ulusal hem de uluslararası düzeyde mevzuatın ve rehber ilkelerin sürekli gözden geçirilmesi ve güncellenmesi gerekmektedir. İlerleyen dönemde Kurulun yayımlayacağı rehberler ve yargı organlarının vereceği kararlar, veri sorumlularının ve uygulayıcıların uyum sürecini şekillendirmeye devam edecektir.