KVKK veri ihlali bildirimi: 72 saatlik pencere.

Kişisel veri ihlali, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. 6698 sayılı KVKK m. 12/5, veri sorumlusuna bu durumu en kısa sürede ilgili kişiye ve Kurula bildirme yükümlülüğü getirir. Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı bu ifadeyi somutlaştırmış ve Kurula bildirim süresini 72 saat olarak belirlemiştir. Bu yazı, sayacın başladığı andan itibaren izlenecek adımları sıralar.

Hangi olay "veri ihlali" sayılır?

İhlal yalnızca dışarıdan gelen bir siber saldırı değildir. Fidye yazılımı, yetkisiz erişim, yanlış alıcıya gönderilen toplu e-posta, kaybolan şifrelenmemiş dizüstü bilgisayar, yanlış yapılandırılmış bulut depolama alanı ve eski çalışanın erişiminin kapatılmaması da ihlaldir. Belirleyici ölçüt, kişisel verilerin gizliliğinin, bütünlüğünün veya erişilebilirliğinin hukuka aykırı şekilde etkilenmiş olmasıdır. İhlalin şirket dışına çıkmamış olması bildirim yükümlülüğünü tek başına ortadan kaldırmaz.

72 saatlik süre nasıl işler?

Sayaç, ihlalin öğrenildiği an başlar; olayın gerçekleştiği an değil. Bu nedenle log inceleme ve olay doğrulama süreçlerinin zamanı kayıt altına alınması kritiktir. 72 saat içinde bildirim yapılamıyorsa, gecikmenin gerekçeleri Kurula açıklanmak üzere hazırlanır. Bilgilerin tamamı henüz netleşmemişse aşamalı bildirim yapılır: bilinen bilgilerle ilk bildirim gönderilir, kalan bilgiler gecikmeksizin tamamlanır.

Bildirim içeriğinde ne yer alır?

Kurumun yayımladığı Veri İhlali Bildirim Formu; ihlalin ne zaman ve nasıl gerçekleştiğini, etkilenen kişisel veri kategorilerini (kimlik, iletişim, finans, özel nitelikli veri), etkilenen ilgili kişi ve kayıt sayısını, olası sonuçlarını, alınan ve alınması planlanan teknik ve idari tedbirleri ve irtibat kişisi bilgilerini içerir. Özel nitelikli kişisel verilerin (sağlık, biyometrik, inanç gibi) etkilenmesi, ihlalin ağırlığını ve alınacak tedbirlerin düzeyini doğrudan yükseltir.

"Denetimde sorulan ilk soru genellikle 'ihlal nasıl oldu' değil, 'ne zaman öğrendiniz ve o andan sonra ne yaptınız' olur."

Adım adım müdahale planı

1. Tespit ve izolasyon: Etkilenen sistem ağdan ayrılır, log kayıtları delil olarak muhafaza edilir, olay zaman çizelgesi tutulmaya başlanır.
2. Kapsam analizi: Hangi veri kategorileri, kaç ilgili kişi ve hangi coğrafyalar etkilendi, netleştirilir.
3. Karar kurulu: Hukuk, bilgi güvenliği ve iletişim ekiplerinden oluşan komite toplanır; bildirim kararı yazılı olarak alınır.
4. Kurula bildirim: 72 saatlik süre içinde form doldurularak gönderilir.
5. İlgili kişiye bildirim: Sade ve anlaşılır bir dille, alınabilecek koruyucu önlemler belirtilerek yapılır.
6. Düzeltici aksiyon: Kök neden analizi tamamlanır, teknik ve idari tedbirler güncellenir, ihlal kayıt defterine işlenir.

Yaptırım riski ve hazırlık

Veri güvenliğine ilişkin yükümlülüklerin ihlali, KVKK m. 18 kapsamında idari para cezasına tabidir. Ceza tutarları her yıl yeniden değerleme oranında güncellendiğinden, ihlal tarihinde yürürlükteki tutarları teyit edin. Kurulun yayımladığı ihlal bildirimleri, aynı hataların tekrarlandığını gösterir: sayaç geç başlatılır, bildirim eksik bilgiyle yapılır ve ilgili kişilere duyuru unutulur. Uyum tarafında en etkili hazırlık, yılda en az bir kez masabaşı tatbikat yapmak ve müdahale planını gerçek bir senaryo üzerinde denemektir.

Hazırlık kontrol listesi

• Yazılı ihlal müdahale planı var mı ve son 12 ayda test edildi mi?
• İhlali kimin, hangi kanaldan bildireceği ve sayacı kimin başlatacağı tanımlı mı?
• Veri işleyen sözleşmelerinde gecikmeksizin bildirim yükümlülüğü yazılı mı (KVKK m. 12/2)?
• İhlal kayıt defteri tutuluyor ve Kurul incelemesine hazır mı?
• İlgili kişilere gönderilecek bildirim şablonu önceden hazırlandı mı?
• Yurt dışına veri aktarımı bulunan sistemler için ek değerlendirme yapılıyor mu?
• VERBİS kaydı ve envanter, gerçek veri akışıyla uyumlu mu?

Kızılelma AI, hukuk bürolarında kişisel verilerin maskelenerek işlenmesini sağlayan bir mimari kullanır; belge analizi ve sözleşme incelemesinde veri işleyen yükümlülüklerini de kontrol listesine dönüştürür. Çözümler sayfamıza göz atabilirsiniz.

Bu içerik genel bilgilendirme amaçlıdır, hukuki tavsiye değildir.

İlgili Yazılar