Açığı giderdim demek, ihlal yok demek mi?

Hukukta kelimelerin ağırlığı vardır. 'Giderdik' ile 'olmadı' aynı cümlede yan yana durabilir ama aynı şeyi ifade etmez. Pegasus Havayolları dün yaptığı açıklamada, 173 GB'lık kurumsal ve müşteri verisinin ele geçirildiği iddiasını kamuoyunu yanıltıcı buldu; aynı metinde şirket içi destek süreçlerinde kullanılan sistemlere bağlı bir güvenlik açığının giderildiğini de söyledi.

Bu iki cümle birbirini dışlamıyor. Bir açığın varlığı, verinin dışarı çıktığı anlamına gelmez; verinin dışarı çıkmadığına dair bir açıklama da açığın hiç sömürülmediğini göstermez. Şirket, etkilenen sistemlerin uygulama geliştirmeye hizmet ettiğini, misafir veri tabanlarını içermediğini ve uçuş operasyonlarında kullanılmadığını belirtiyor. Bunlar önemli iddialar, ama kendi başlarına ispat değil; ispat yükü, günlüklerin ve bağımsız incelemenin işi.

Aynı gün KVKK, 6698 sayılı Kanun'un 12. maddesinin beşinci fıkrasına dayanarak çok sayıda ihlal bildirimini kurumun internet sitesinde ilan etti. Bu fıkra, Kurulun gerekli gördüğünde ihlali kamuoyuna duyurabilmesini sağlıyor. D Fast'in bildirimi 2026/2438 sayılı Kurul kararıyla ilan edildi; 3.217 kişinin ad, iletişim ve sipariş bilgileri etkilenmiş. Kayıtlar, veri işleyen nezdindeki chat verilerine ait ve 2022 tarihli.

İşte hukuki ilginç nokta burada. Veri sorumlusu, verisini bir başkasına işletiyor diye sorumluluktan kurtulmuyor. Veri işleyende yaşanan ihlalde de bildirimi yapan veri sorumlusu oluyor, ilan edilen isim onun ismi oluyor. D Fast ve KVK Teknik Servis bildirimlerinde 'veri işleyen nezdinde barındırılan chat kayıtları' ifadesi ortak; bunun aynı işleyici olduğu bildirimlerde yazmıyor ve biz de varsaymıyoruz. Ama örüntü ortada: tedarik zincirinin en uç halkasında eski kayıtlar durmaya devam ediyor.

Eski bir hukuk ilkesi, mülkün sahibinin onu emanet ettiği kişinin kusurundan da sorumlu olabileceğini söyler. Bugün bu ilke veri için yeniden doğuyor. Sözleşmede saklama süresi, silme yükümlülüğü, ihlal bildirim süresi ve denetim hakkı yazmıyorsa, veri işleyenin deposu veri sorumlusunun itibar riskidir.

WS Audiology Turkey bildirimi bunu bir adım ileri götürüyor: ihlal 14 Ekim'de başlamış, 23 Ekim'de fark edilmiş ve veriler arasında odyogramlar bulunabilir. Sağlıkla ilgili veri, Kanun'da özel nitelikli kişisel veridir; ihlalin sonuçları buna göre ağırlaşır. Dokuz gün süren bir fark edilmeme süresi, 'uygun güvenlik düzeyi' yükümlülüğü açısından savunulması zor bir rakam.

Okura düşen sonuç yalın: bir kurumun 'açığı giderdik' açıklaması, ihlal bildirimi yükümlülüğünün yerini tutmaz. Veri işleyenlerinizle sözleşmeleri bu hafta yeniden okuyun, eski kayıtların saklama sürelerini kısaltın ve ihlal şüphesinde bildirim akışını önceden yazılı hâle getirin. Hukuk, teknolojinin arkasından koşar; ama koşmayı bırakmaz.