KVKK, veri ihlalini zamanında bildirmeyen şirkete 1 milyon lira ceza

Kişisel Verileri Koruma Kurumu (KVKK), küresel ölçekte faaliyet gösteren bir şirkete, sisteminde meydana gelen veri ihlalinin zamanında bildirilmemesi nedeniyle 1 milyon lira idari para cezası uyguladı. İhlal, 4 bin 885 çalışan, müşteri ve tedarikçiyi etkiledi. Şirketin ABD'deki bir çalışanı tarafından indirilen bir programın ardından, fidye yazılımı şirketin küresel ağındaki 797 sunucuya yayıldı ve çok sayıda dosya şifrelendi. KVKK, şirketin daha önce yaptırdığı sızma testlerinde kritik güvenlik açıklarının tespit edildiğini ancak bunların giderildiğine dair herhangi bir bilgi sunulmadığını belirtti. Ayrıca, ihlal bildiriminin 23 gün sonra yapılması, "en kısa sürede bildirim" yükümlülüğünün yerine getirilmediğini gösterdi. Cezanın 800 bin lirası veri güvenliğine ilişkin yükümlülüklerin ihlal edilmesi, 200 bin lirası ise ihlalin geç bildirilmesi nedeniyle kesildi. Kararda, güvenlik açıklarının ve yetersiz farkındalığın veri ihlalinin etkisini artırdığı vurgulandı.