1. Veri Güvenliği Yükümlülükleri ve 72 Saat Kuralı
6698 sayılı Kanun'un 12. maddesi veri sorumlusuna; kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla her türlü teknik ve idari tedbiri alma zorunluluğu yükler.
Olası bir siber saldırı, fidye yazılımı (ransomware) veya iç sızıntı durumunda veri sorumlusu ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a, akabinde etkilenen ilgili kişilere bildirimde bulunmalıdır. Bildirimin gecikmesi tek başına bağımsız bir idari yaptırım sebebidir.
"Teknik ve idari tedbirleri almayarak veri sızıntısına zemin hazırlayan şirket yönetimleri, doğacak milyonlarca liralık cezalardan şahsen sorumlu tutulabilir."
— KVKK Kurulu 2024/78 İlke Kararı
2. TCK Boyutu ve Şirket Yöneticilerinin Şahsi Sorumluluğu
KVKK yaptırımları yalnızca idari para cezalarıyla sınırlı değildir. Türk Ceza Kanunu'nun 135 vd. maddeleri bilişim suçları kapsamında hapis cezaları öngörür. Özellikle şirket içerisinde yetkisiz kişilerin verilere erişimine göz yummak veya müşteri verilerini pazarlama şirketleriyle paylaşmak TCK m. 136 suçunu oluşturur.
Yönetim kurulu üyeleri TTK m. 553 uyarınca özen yükümlülüğünü ihlal ettikleri ölçüde şirkete ve pay sahiplerine karşı şahsi malvarlıklarıyla sorumludurlar.
