1. Veri İhlallerinde Şirket Yönetiminin Hukuki Sorumluluğu

Siber saldırılar (Ransomware, Phishing vb.) veya personel kaynaklı iç sızıntılar neticesinde veri güvenliğinin ihlal edilmesi, 6698 sayılı Kanun kapsamında doğrudan şirketin (veri sorumlusu) idari sorumluluğunu doğurur. Türk Ticaret Kanunu (TTK) uyarınca Yönetim Kurulu üyelerinin, şirketin bilgi güvenliği altyapısına ilişkin "özen ve gözetim" yükümlülükleri bulunmaktadır. Bu tedbirlerin kasten veya ağır ihmalle alınmaması, yöneticiler açısından şahsi cezai sorumluluk riskleri barındırır.

2. KVKK m.18 İdari Para Cezası Kriterleri Nelerdir?

Kişisel Verileri Koruma Kurulu, idari yaptırımları tayin ederken Kabahatler Kanunu m.17 uyarınca somut kriterleri baz alır:

• İhlalin Boyutu: Sızdırılan verilerin genel mi yoksa özel nitelikli (sağlık, biyometrik vb.) veri mi olduğu.
• Etkilenen Kişi Sayısı: İhlalden etkilenen müşteri veya personel sayısının büyüklüğü.
• Şirketin Ekonomik Durumu: İşletmenin yıllık net cirosu ve pazar payı.
• Kusur Durumu: Zafiyetin bilinen ve kolayca kapatılabilecek bir açıktan kaynaklanıp kaynaklanmadığı.

3. Sızma Testi (Pentest) ve Hukuki Savunma İlişkisi

Kurul'a yapılan 72 saatlik yasal bildirim sonrasında başlatılan idari incelemelerde şirketin en güçlü savunma argümanı, bağımsız firmalarca periyodik olarak yaptırılan sızma testleri (Pentest) ve bu testler sonucunda alınan yama/kapatma aksiyonlarıdır. Bu raporlar, şirketin kanuni "teknik ve idari tedbir alma" yükümlülüğünü yerine getirdiğinin somut ve bilimsel yasal delilidir.