Veri ihlallerinde asıl zarar çoğu zaman ihlalin kendisinden değil, sonrasındaki gecikmeden doğar. Kanun, veri sorumlusuna hem teknik önlem alma hem de ihlal gerçekleştiğinde bildirimde bulunma yükümlülüğü yükler. Sürenin nasıl işlediğini bilmemek, teknik açığı kapatmış olsanız bile ayrı bir yaptırım riskine dönüşür.
Yükümlülüğün kaynağı
KVKK, veri sorumlusunu, kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmekle yükümlü kılar.
Kanun ayrıca, işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve Kurul'a bildirmesini öngörür. Kişisel Verileri Koruma Kurulu, "en kısa süre" ifadesini somutlaştırarak bu sürenin ihlalin öğrenilmesinden itibaren 72 saat olarak uygulanacağını kararlaştırmıştır.
Süre ne zaman başlar
Süre, ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan itibaren işler. "Öğrenme" ise kesin bir tespit değil, makul bir kanaate ulaşma anlamına gelir. Bir ihlal ihtimali güçlü biçimde ortaya çıktığında, kapsamı henüz tam bilinmiyor olsa dahi süre işlemeye başlamış kabul edilir.
Bu nedenle sık yapılan bir hata, "önce tam olarak ne olduğunu anlayalım, sonra bildirelim" yaklaşımıdır. Doğru davranış, bilinen kadarıyla bildirimde bulunmak ve inceleme ilerledikçe bildirimi güncellemektir.
İlk 72 saatte yapılacaklar
Zaman sırasına göre eylem planı
| Ölçüt | Karşılığı |
|---|---|
| Saat 0–4: Sınırlama | Erişimin durdurulması, sızıntının kaynağının izole edilmesi, ilgili hesapların ve anahtarların iptali. |
| Saat 0–8: Kanıt koruma | Sistem günlüklerinin (log) değiştirilemeyecek biçimde yedeklenmesi. Bu adım atlanırsa sonraki inceleme dayanaksız kalır. |
| Saat 4–24: Kapsam tespiti | Hangi veri kategorilerinin, kaç ilgili kişiye ait olarak etkilendiğinin belirlenmesi. |
| Saat 12–48: Risk değerlendirmesi | İlgili kişiler bakımından doğabilecek sonuçların değerlendirilmesi; özel nitelikli veri bulunup bulunmadığının tespiti. |
| Saat 24–72: Kurul bildirimi | Kurul'un belirlediği form üzerinden bildirimin yapılması. |
| Bildirim sonrası | İlgili kişilerin makul en kısa sürede bilgilendirilmesi ve alınan önlemlerin belgelenmesi. |
Bildirimde yer alması beklenenler
- İhlalin ne zaman gerçekleştiği ve ne zaman öğrenildiği.
- Etkilenen kişisel veri kategorileri ve özel nitelikli veri bulunup bulunmadığı.
- Etkilenen ilgili kişi sayısı — kesin sayı bilinmiyorsa tahmini aralık.
- İhlalin muhtemel sonuçları ve ilgili kişiler bakımından doğabilecek riskler.
- Zararın azaltılması için alınan ve alınması planlanan önlemler.
- Veri sorumlusunun ve varsa irtibat kişisinin bilgileri.
Kapsamın tam olarak bilinmemesi bildirimi ertelemek için gerekçe değildir. Eksik bilgiyle yapılan ve sonradan tamamlanan bir bildirim, geç yapılan eksiksiz bir bildirimden daha güvenli bir konum sağlar.
İlgili kişilere bildirim
Kurul'a bildirim ile ilgili kişilere bildirim ayrı yükümlülüklerdir. İlgili kişilere yapılacak bildirimin anlaşılır olması, hangi verilerinin etkilendiğini açıkça söylemesi ve kendilerini korumak için atabilecekleri adımları içermesi beklenir.
Uygulamada en çok eleştirilen nokta, bildirimlerin sorumluluğu bulanıklaştıran bir dille yazılmasıdır. Açık ve doğrudan bir bildirim, hem yükümlülüğü yerine getirir hem de itibar zararını sınırlar.
Bildirim sonrası: kalıcı önlemler
İhlal kapatıldıktan sonra yapılması gereken, aynı boşluğun tekrar açılmasını önlemektir. Kurul, bir ihlalin ardından alınan önlemleri de değerlendirmeye alır; bu nedenle yapılan iyileştirmelerin belgelenmesi önem taşır.
- Erişim yetkilerinin gözden geçirilmesi ve gereksiz yetkilerin kaldırılması.
- Çok faktörlü kimlik doğrulamanın yaygınlaştırılması.
- Günlük kayıtlarının merkezî ve değiştirilemez biçimde tutulması.
- Veri saklama sürelerinin gözden geçirilmesi; gereksiz verinin imhası ihlal yüzeyini küçültür.
- Çalışanlara yönelik düzenli farkındalık eğitimi.
- İhlal müdahale planının yazılı hale getirilmesi ve tatbik edilmesi.
Son madde, 72 saatlik sürenin gerçekten yakalanabilmesi için belirleyicidir. Planı ihlal anında yazmaya çalışan kurumlar süreyi neredeyse hiç tutturamaz.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki tavsiye yerine geçmez. İhlal anında veri koruma alanında çalışan bir avukatla derhal iletişime geçin.
Dış inceleme desteği ne zaman gerekir
Bir veri ihlalinin kapsamı iç ekipçe belirlenemediğinde, bağımsız bir inceleme hem teknik hem hukuki değer taşır. Bir araştırma bürosunun bu alandaki katkısı; sistem kayıtlarının bozulmadan yedeklenmesi, etkilenen veri kategorilerinin belgelenmesi ve sızan verinin kamuya açık kaynaklarda yayılıp yayılmadığının taranmasıdır.
İstanbul Özel Dedektiflik bu tür dosyalarda çalışmayı veri koruma avukatıyla birlikte yürütür; inceleme kapsamı ihlalle sınırlı tutulur ve elde edilen bulgular Kurul bildirimini destekleyecek biçimde raporlanır.
Sıkça sorulan sorular
72 saat hangi andan itibaren başlar?
İhlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan itibaren başlar. Güçlü bir ihlal şüphesinin doğması da öğrenme sayılabilir.
Kapsamı tam bilmiyorsam bildirimi erteleyebilir miyim?
Hayır. Bilinen bilgiyle bildirim yapılır ve inceleme ilerledikçe güncellenir. Erteleme ayrı bir ihlal oluşturur.
Küçük ölçekli bir sızıntı için de bildirim gerekir mi?
Verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi söz konusuysa bildirim yükümlülüğü doğar. Etki değerlendirmesi bildirimi ortadan kaldırmaz, içeriğini belirler.
Çalışanın hatasıyla oluşan ihlalde de sorumlu muyum?
Veri sorumlusu sıfatı, ihlalin iç kaynaklı olması halinde de devam eder. Alınmış teknik ve idari tedbirlerin belgelenmiş olması değerlendirmede dikkate alınır.
Sistem günlüklerini saklamak neden bu kadar önemli?
İhlalin kapsamını, süresini ve etkilenen veriyi gösteren tek kaynak genellikle bu kayıtlardır. Silinmiş veya üzerine yazılmış günlüklerle yapılan bir inceleme dayanaksız kalır.