Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu, durumu en kısa sürede ilgili kişilere ve Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür. Kurul, “en kısa sürede” ifadesini ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlamaktadır. Bu süre, ihlalin bütün teknik ayrıntılarının kesinleşmesini beklemek için durdurulamaz; eksik bilgiler sonradan tamamlanabilir ve gecikme varsa gerekçesi açıklanmalıdır.

Kişisel veri ihlali nedir?

Veri ihlali yalnız büyük çaplı siber saldırı anlamına gelmez. Kişisel verinin yetkisiz kişi tarafından görülmesi, yanlış alıcıya e-posta gönderilmesi, çalışan hesabının ele geçirilmesi, verinin dışarı sızdırılması, taşınabilir cihazın kaybolması veya erişim yetkisi olmayan kişinin kayda ulaşması da ihlal oluşturabilir. Esas soru, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilip edilmediği ve veri güvenliği bakımından bir risk doğup doğmadığıdır.

72 saat ne zaman başlar?

Kurulun 2019/10 sayılı kararına göre 72 saatlik bildirim süresi, veri sorumlusunun ihlali öğrendiği tarihten itibaren başlar. Bir çalışan veya veri işleyen ihlali fark ettiğinde bilginin veri sorumlusuna hızla aktarılmasını sağlayan iç prosedür bulunması bu nedenle önemlidir. “Olayın tüm kapsamı belli olmadı” gerekçesiyle öğrenme tarihinin ileri taşınması doğru değildir. İlk bildirim mevcut bilgilerle yapılabilir; yeni bilgiler ortaya çıktıkça tamamlayıcı bildirim yapılması değerlendirilebilir.

Kurula hangi bilgiler bildirilmelidir?

İhlalin gerçekleşme ve tespit tarihleri, ihlalin nasıl meydana geldiği, etkilenen veri kategorileri, ilgili kişi grupları, yaklaşık kişi ve kayıt sayıları, olası sonuçlar ve alınan ya da planlanan tedbirler bildirimde açıklanmalıdır. Bilgi eksikse mevcut durum açıkça belirtilmeli ve tamamlayıcı bilgi sunulmalıdır. Bildirim yalnız mevzuat gereğini yerine getiren kısa bir form değil, veri sorumlusunun olayı anlamak ve etkisini azaltmak için attığı adımları gösteren olay yönetimi kaydıdır.

İlgili kişilere ne zaman bildirim yapılır?

Kurul kararına göre veri ihlalinden etkilenen kişiler belirlendikten sonra makul olan en kısa süre içinde bilgilendirilmelidir. İletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun internet sitesinde duyuru gibi uygun yöntemler kullanılabilir. Bildirim, kişiyi gereksiz paniğe sevk etmeden hangi verilerin etkilenmiş olabileceğini, olası riskleri ve kişinin alabileceği önlemleri anlaşılır biçimde açıklamalıdır. Özellikle parola, kimlik veya finansal veri ihlallerinde pratik korunma adımları önem taşır.

72 saat içinde bilgi tamamlanamazsa ne yapılır?

Bildirim için bütün teknik incelemenin sona ermesi beklenmemelidir. Veri sorumlusu 72 saat içinde elindeki bilgileri Kurula iletip inceleme sürdükçe ek bilgi sunabilir. Süre aşılmışsa bildirimden vazgeçilmemeli; gecikmenin nedenleri açıklanmalıdır. Bu yaklaşım, ihlal tespitinden sonra olay yönetimi ekibi, hukuk ve bilgi güvenliği birimlerinin eş zamanlı çalışmasını gerektirir. Teknik soruşturmanın yavaş ilerlemesi, bildirim süresinin hiç başlamadığı anlamına gelmez.

Veri işleyen ile veri sorumlusu arasındaki görev ayrımı nedir?

Bulut sağlayıcı, dış hizmet firması veya başka bir veri işleyen nezdinde ihlal meydana gelmesi veri sorumlusunun yükümlülüklerini ortadan kaldırmaz. Sözleşmelerde ihlalin veri sorumlusuna hangi süre ve yöntemle bildirileceği açıkça düzenlenmelidir. Veri işleyenin geç bildirim yapması, veri sorumlusunun Kurul karşısındaki süresini riske atabilir. Bu nedenle tedarikçi sözleşmelerinde olay bildirim süresi, temas noktaları, log paylaşımı ve soruşturmaya destek yükümlülükleri teknik güvenlik hükümleri kadar önemlidir.

İhlal sonrası hangi kayıtlar tutulmalıdır?

Olayın ilk fark edildiği saat, kim tarafından bildirildiği, etkilenen sistemler, alınan acil tedbirler, Kurula ve ilgili kişilere yapılan bildirimler, soruşturma bulguları ve düzeltici faaliyetler kronolojik biçimde kayıt altına alınmalıdır. Bu kayıtlar, veri sorumlusunun hem 72 saat hesabını hem de veri güvenliği için gerekli tedbirleri aldığını göstermesine yardımcı olur. İhlal kapatıldıktan sonra kök neden analizi yapılarak erişim yetkileri, eğitim, yedekleme ve izleme kontrolleri güncellenmelidir.

İhlal bildiriminde en kritik yanlış nedir?

En kritik yanlış, teknik ekip kesin raporunu tamamlayana kadar hukuki bildirimi ertelemektir. Bir diğer yanlış da yalnız Kurula bildirim yapıp ilgili kişileri hiç değerlendirmemektir. İhlal süreci iki ayrı yükümlülüğü içerir: Kurula 72 saat içinde bildirim ve etkilenen kişilere makul olan en kısa sürede bilgilendirme. Veri sorumlusu aynı zamanda ihlalin tekrarlanmaması için teknik ve idari tedbirleri gözden geçirmeli; ihlalin kapsamını daraltan veya riski azaltan adımları belgeleriyle gösterebilmelidir.

İhlal fark edildiğinde önce erişimin kesilmesi, hesapların güvene alınması ve logların korunması gerekir; ancak delil kaybına yol açacak kontrolsüz silme işlemlerinden kaçınılmalıdır. Aynı anda hukuk, bilgi güvenliği ve yönetim birimleri olayın öğrenilme anını kayda geçirip etkilenen sistem ve veri kategorilerini belirlemelidir. İlk 24 saatte amaç kusursuz bir nihai rapor hazırlamak değil, ihlalin yayılmasını durdurmak ve 72 saatlik Kurul bildirimi için doğrulanmış asgari bilgiyi toplamaktır. Sonraki teknik bulgular tamamlayıcı bildirimle sunulabilir.

İhlal anında ilk 24 saatte hangi adımlar atılmalıdır?

İlgili hukuki konular

Mevzuat ve kaynaklar

Bu yazı genel bilgilendirme amaçlıdır. Somut olayda işlem veya karar metni, tebliğ tarihleri, kişisel durum ve güncel mevzuat birlikte değerlendirilmelidir.

Her uyuşmazlık, somut olayın özellikleri ve mevcut deliller doğrultusunda ayrı değerlendirilir. Dosyanız bakımından uygulanabilecek hukuki yolların belirlenmesi için bizimle iletişime geçebilirsiniz.

İletişime geçin