Tedarikçinin ihlali, kimin bildirimi?

Hukukta eski bir ilke vardır: elinizdeki işi başkasına devretmek, onun sorumluluğunu da devretmek anlamına gelmez. Amadeus olayını okurken bu ilke bir kez daha gündeme geldi. Japan Airlines, Cathay Pacific ve Malaysia Airlines yolcu verilerinin etkilendiğini kendi adlarıyla duyurdu; olayın kaynağı ise hepsinin rezervasyon altyapısını sağlayan tek bir şirket.

Haberlerde görünen tablo şöyle: Japan Airlines yaklaşık 92 bin müşterisini, Cathay Pacific yaklaşık 53 bin rezervasyonu bildirdi. Cathay'a göre erişim, şirkete atanmış bir hesabın giriş bilgileriyle yapılmış ve Amadeus parolayı sıfırlamış. Malaysia Airlines, kendi sistemlerinin ihlal edilmediğini ama Amadeus üzerinden işlenen bilgilerin etkilenmiş olabileceğini söyledi. Amadeus ise bir rezervasyon görüntüleme ortamını etkileyen zafiyetten söz etti ve toplam sayıyı açıklamadı. Yani her havayolu kendi sayısını, kendi dilinde ve kendi hukuku altında açıklıyor.

Türk hukuku açısından bu tablo tanıdık. 6698 sayılı Kanun'un 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri alma yükümlülüğünü düzenler. Verinin kendi adına başka bir kişi tarafından işlenmesi hâlinde, veri sorumlusu bu tedbirlerin alınmasından işleyenle birlikte sorumludur. Madde, ihlalin ilgili kişiye ve Kurul'a en kısa sürede bildirilmesini de ister. Kurul bu 'en kısa süreyi' uygulamada 72 saat olarak yorumlamaktadır. Avrupa Genel Veri Koruma Tüzüğü de benzer biçimde 33. maddesiyle 72 saati esas alır ve veri işleyenin ihlali veri sorumlusuna gecikmeden bildirmesini ister.

Bu düzenlemelerin ortak sonucu şudur: tedarikçi ihlali, sizin ihlaliniz olabilir. Sözleşmede 'bildirim süresi' yazıyorsa saat, tedarikçinin sizi aradığı anda değil, sizin ihlali öğrendiğiniz anda işlemeye başlar. Bu nedenle sözleşmelerde işleyenin bildirim yükümlülüğü ile veri sorumlusunun Kurul'a bildirim süresi arasında bir pay bırakmak, bir kolaylık değil, hayatî bir tedbirdir.

Burada karşılaştırmalı bir not düşmek gerekir. Japon havayolları olayı kendi mevzuatları altında, Hong Kong merkezli Cathay ise başka bir rejim altında duyurdu; Malezya'nın kendi kişisel veri koruma kuralları var. Uluslararası bir tedarikçinin tek bir zafiyeti, böylece birkaç hukuk düzeninde birden bildirim ve sorumluluk soruları doğuruyor. Türkiye'de faaliyet gösteren bir kurum için bu, 'yurt dışı sağlayıcı' dediğimizde sözleşmenin uygulanacak hukuku, denetim imkânı ve verinin fiilen bulunduğu yer sorularını da gündeme getirir. Bunlar kâğıt üzerinde çözülmüş görünür; ihlal günü ise ilk kez gerçekten okunur.

İhlalin üç yıla yayılmış olması da ayrı bir sorudur. Cathay'a göre erişim Ağustos 2023'ten Eylül 2026'ya kadar sürmüş. Bu denli uzun bir pencere, 'ihlali ne zaman öğrendiniz' sorusunu hukuki bir tartışma konusu hâline getirir; çünkü bildirim süresi öğrenmeyle başlar, ama izleme yükümlülüğü öğrenmeden önce de vardır. Hukuk, teknolojinin arkasından koşar; ama koşmayı bırakmaz.

Bir kurumun yöneticisi için çıkarım şu: bugün hangi tedarikçinin sizin adınıza yolcu, müşteri ya da çalışan verisi tuttuğunu yazılı olarak sayabiliyor musunuz? Her biri için bildirim süresi, denetim hakkı ve hizmet hesaplarının güvenliği sözleşmede açık mı? Bu soruların cevabını bir ihlal gününden önce vermek, ihlal gününde vermekten çok daha ucuzdur.