Siber saldırılar, yanlış kişiye gönderilen e-postalar, kaybolan dizüstü bilgisayarlar veya yetkisiz çalışan erişimleri; hepsi kişisel veri ihlali sonucunu doğurabilir. KVKK, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusuna bildirim yükümlülüğü getirir. Bu yükümlülüğün süresi oldukça kısadır.
Veri ihlali nedir?
KVKK’nın 12. maddesine göre, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu’na bildirir. Uygulamada veri ihlali örnekleri şunlardır:
- Bilgi sistemlerine yapılan siber saldırılar ve fidye yazılımları,
- Müşteri veritabanının sızdırılması,
- Kişisel veri içeren e-postaların yanlış alıcılara gönderilmesi,
- Şifrelenmemiş taşınabilir cihazların kaybolması veya çalınması,
- Çalışanların yetkisi olmadığı verilere erişmesi veya verileri dışarı aktarması,
- Basılı belgelerin uygun şekilde imha edilmeden atılması.
Bildirim süresi: 72 saat
Kişisel Verileri Koruma Kurulu’nun kararına göre veri sorumlusu, veri ihlalini öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmelidir. 72 saat içinde bildirim yapılamıyorsa, gecikmenin gerekçesi bildirimle birlikte açıklanmalıdır. İhlale ilişkin tüm bilgilerin aynı anda sağlanamaması hâlinde, bilgiler gecikmeksizin aşamalı olarak sağlanabilir.
Bildirim, Kurul tarafından hazırlanan Kişisel Veri İhlal Bildirim Formu kullanılarak yapılır. Formda şu bilgiler yer alır:
- İhlalin başlangıç ve bitiş tarihi ile tespit tarihi,
- İhlalin kaynağı ve nasıl gerçekleştiği,
- Etkilenen kişisel veri kategorileri ve kişi sayısı,
- İhlalin muhtemel sonuçları,
- Alınan ve alınması planlanan tedbirler,
- İlgili kişilere bildirim yapılıp yapılmadığı.
İlgili kişilere bildirim
Veri ihlalinden etkilenen ilgili kişilere de, ihlalden etkilenen kişilerin tespit edilmesinden sonra makul olan en kısa süre içinde bildirim yapılmalıdır. Bildirim, ilgili kişinin iletişim adresi biliniyorsa doğrudan, bilinmiyorsa veri sorumlusunun internet sitesi gibi uygun yöntemlerle yapılır.
İlgili kişilere yapılacak bildirimde; ihlalin ne zaman gerçekleştiği, hangi verilerin etkilendiği, olası sonuçları, alınan tedbirler ve ilgili kişinin bilgi alabileceği iletişim kanalları açık ve sade bir dille belirtilmelidir.
Veri işleyenin yükümlülüğü
Veri ihlali, veri sorumlusu adına veri işleyen bir hizmet sağlayıcıda (örneğin bulut hizmeti veya bordro firması) gerçekleşirse, veri işleyen durumu gecikmeksizin veri sorumlusuna bildirmelidir. Bu yükümlülüğün veri işleyen sözleşmelerinde açıkça düzenlenmesi önerilir.
İhlal anında izlenecek adımlar
- İhlali durdurun ve kontrol altına alın: Etkilenen sistemleri izole edin, şifreleri değiştirin, yetkisiz erişimleri kesin.
- Kanıtları koruyun: Log kayıtlarını ve sistem görüntülerini güvenli şekilde saklayın.
- İhlal ekibini toplayın: Hukuk, bilgi teknolojileri ve yönetim temsilcilerinden oluşan bir ekip belirleyin.
- Etki analizi yapın: Hangi verilerin, kaç kişinin ve hangi risklerle etkilendiğini belirleyin.
- Kurula bildirim yapın: 72 saatlik süreyi gözeterek bildirim formunu doldurun.
- İlgili kişileri bilgilendirin.
- Kayıt tutun: İhlale ilişkin tüm bilgileri, etkilerini ve alınan önlemleri belgeleyin.
- Kök neden analizi: İhlalin tekrarlanmaması için gerekli teknik ve idari tedbirleri alın.
Veri ihlali müdahale planı
Kurul, veri sorumlularının olası ihlallere karşı önceden bir veri ihlali müdahale planı hazırlamasını tavsiye etmektedir. Bu plan; kimin kime raporlama yapacağını, bildirim yükümlülüğünün nasıl yerine getirileceğini ve ihlal sonrası değerlendirme süreçlerini belirler. Planın bulunması, 72 saatlik sürenin etkin kullanılmasını sağlar.
Bildirim yapılmamasının sonuçları
Veri güvenliğine ilişkin yükümlülükleri yerine getirmeyen veri sorumlularına idari para cezası uygulanabilir. Kurul, ihlal bildirimlerini incelerken veri sorumlusunun aldığı önlemleri ve bildirimdeki şeffaflığını da değerlendirir. İhlalin gizlenmesi, durumu çok daha ağır hâle getirebilir.
Veri ihlali yaşanmadan önce hazırlanmış bir müdahale planı ve önceden belirlenmiş sorumlular, ihlal anında doğru kararların hızlı alınmasını sağlar.