Kişisel veri işleyen her şirket için veri güvenliği yalnızca teknik bir konu değildir. Yanlış kişiye gönderilen bir e-posta, yetkisiz erişim, fidye yazılımı saldırısı, kayıp bilgisayar, hatalı yetkilendirme veya dış hizmet sağlayıcı kaynaklı bir sızıntı, kısa süre içinde KVKK bakımından yönetilmesi gereken bir veri ihlali sürecine dönüşebilir.
Veri ihlali bildirimi, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu Kişisel Verileri Koruma Kuruluna ve gerekli hâllerde ilgili kişilere bildirmesi sürecidir. Bu süreçte asıl mesele yalnızca bildirim formunun doldurulması değildir. İhlalin tespiti, etkisinin sınırlandırılması, delillerin korunması, olay kayıtlarının tutulması, ilgili kişilerin bilgilendirilmesi ve tekrarını önleyecek teknik-idari tedbirlerin belirlenmesi birlikte yürütülmelidir.
Veri ihlali bildirimi, kişisel verilerin hukuka aykırı şekilde başkaları tarafından elde edilmesi veya buna yol açan ciddi bir güvenlik olayının ortaya çıkması hâlinde gündeme gelen KVKK sürecidir.
Kurula bildirim için 72 saatlik süre, veri sorumlusunun ihlali öğrendiği andan itibaren başlar. Bu nedenle şirketlerin ihlal olup olmadığını değerlendirecek, teknik bulguları toplayacak ve karar sürecini kayıt altına alacak hazır bir eylem planına sahip olması gerekir.
Veri ihlali eylem planı ve kriz yönetim sürecinizi önceden hazırlayabiliriz.
1. Veri İhlali Nedir?
KVKK bakımından veri ihlali, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde gündeme gelir. Uygulamada bu durum yalnızca büyük çaplı siber saldırılarla sınırlı değildir. Bir müşteri listesinin yanlış kişiye gönderilmesi, çalışan özlük dosyasına yetkisiz erişim sağlanması, sağlık verilerinin hatalı alıcıya iletilmesi veya sistem açığı nedeniyle verilerin üçüncü kişilerce görüntülenebilir hâle gelmesi de veri ihlali riski doğurabilir.
Bu nedenle şirket içinde her güvenlik olayı aynı anda iki açıdan değerlendirilmelidir. Birincisi teknik güvenlik olayıdır: sistem etkilenmiş midir, veri dışarı çıkmış mıdır, yetkisiz erişim olmuş mudur? İkincisi KVKK değerlendirmesidir: olay kişisel veri içeriyor mu, ilgili kişiler etkilenmiş midir, Kurula ve ilgili kişilere bildirim gerekir mi?
2. Hangi Olaylar Veri İhlali Riski Doğurur?
Şirketlerde veri ihlali çoğu zaman tek bir büyük saldırı ile değil, günlük operasyon içindeki küçük hatalarla başlar. Özellikle çağrı merkezi, insan kaynakları, muhasebe, hukuk, satış, sağlık, e-ticaret, yazılım ve müşteri hizmetleri süreçlerinde kişisel veri yoğunluğu yüksek olduğu için risk daha fazladır.
- müşteriye ait bilgilerin yanlış e-posta adresine gönderilmesi,
- toplu e-posta gönderiminde alıcıların açık şekilde görünmesi,
- çalışan özlük dosyasına yetkisiz personelin erişmesi,
- eski çalışanın sistem erişiminin kapatılmaması,
- fidye yazılımı veya zararlı yazılım saldırısı,
- müşteri veri tabanının dışarı sızdırılması,
- fiziksel evrakın kaybolması veya yanlış kişiye teslim edilmesi,
- bulut hesabı, CRM, muhasebe programı veya çağrı merkezi paneline yetkisiz erişim,
- taşeron veya tedarikçi sisteminden kaynaklanan veri sızıntısı,
- sağlık verisi, finansal veri veya özel nitelikli kişisel veri içeren dosyaların kontrolsüz paylaşılması.
Her olay otomatik olarak Kurula bildirilecek bir ihlal anlamına gelmez. Ancak her olay kayıt altına alınmalı, etkisi değerlendirilmeli ve bildirim gerekip gerekmediğine ilişkin karar gerekçesiyle birlikte saklanmalıdır.
3. 72 Saatlik Süre Ne Zaman Başlar?
Veri ihlali bildirimi bakımından en kritik konu 72 saatlik sürenin başlangıcıdır. Kurul uygulamasında bu süre, veri sorumlusunun ihlali öğrendiği tarihten itibaren başlar. Bu nedenle şirketin “olayın bütün teknik ayrıntıları tamamen netleşsin, sonra karar veririz” yaklaşımı risklidir.
Önemli olan, ihlalin varlığına ilişkin makul bir bilginin ortaya çıkması ve veri sorumlusunun bu durumdan haberdar olmasıdır. Tüm etkilenen kişi sayısı, veri kategorileri veya teknik kök neden ilk anda tam bilinmiyorsa, bildirim aşamalı olarak tamamlanabilir. Fakat bu durum, 72 saatlik sürenin bekletilmesi için gerekçe olarak görülmemelidir.
| Kavram | Anlamı | Neden Önemli? |
|---|---|---|
| Olay tespit zamanı | Teknik ekibin veya ilgili birimin olağan dışı durumu fark ettiği an. | İç araştırma ve delil koruma süreci bu aşamada başlar. |
| İhlalin öğrenilme zamanı | Olayın kişisel veri ihlali riski taşıdığının veri sorumlusu bakımından anlaşıldığı an. | 72 saatlik Kurula bildirim süresi bu değerlendirme bakımından kritik hâle gelir. |
| Bildirim zamanı | Kurula veri ihlali bildirim formunun iletildiği an. | Bildirim yükümlülüğünün süresinde yerine getirilip getirilmediği bu kayıtla izlenir. |
| Tamamlama zamanı | Eksik kalan teknik veya idari bilgilerin aşamalı olarak Kuruma sunulduğu süreç. | İlk anda bilinmeyen bilgiler daha sonra tamamlanabilir. |
4. İlk 72 Saatte Hangi Adımlar Atılmalıdır?
Veri ihlali anında panik, dağınık iletişim ve kayıt eksikliği en büyük risklerdir. Şirketin önceden hazırlanmış bir 72 saatlik veri ihlali eylem planı yoksa hem teknik müdahale gecikir hem de KVKK bildirimi eksik veya geç yapılabilir.
| Zaman Aralığı | Yapılacak İşlem | Sorumlu Birimler |
|---|---|---|
| 0-6 saat | Olay kayıt formu açılır, erişimler sınırlandırılır, log kayıtları korunur, kriz ekibi bilgilendirilir. | BT, yönetim, hukuk/KVKK sorumlusu, ilgili iş birimi |
| 6-24 saat | Kişisel veri içerip içermediği, etkilenen sistemler, kişi grupları ve veri kategorileri değerlendirilir. | BT, hukuk/KVKK, operasyon, tedarikçi temsilcisi |
| 24-48 saat | Kurula bildirim gerekip gerekmediği değerlendirilir, bildirim formu taslağı hazırlanır. | Hukuk/KVKK, yönetim, BT |
| 48-72 saat | Kurula bildirim yapılır, ilgili kişi bildirimi planlanır, tamamlayıcı bildirim ihtiyacı belirlenir. | Yönetim, hukuk/KVKK, kurumsal iletişim, müşteri ilişkileri |
5. Kurula Veri İhlali Bildirimi Nasıl Yapılır?
Kurula yapılacak bildirimde Kişisel Veri İhlal Bildirim Formu kullanılmalıdır. Bildirim elektronik ortamda ihlalbildirim.kvkk.gov.tr adresi üzerinden yapılabilir. Formun yalnızca veri sorumlusu tarafından doldurulması gerekir.
Bildirimde genel olarak şu konular yer almalıdır:
- veri sorumlusunun bilgileri,
- ihlalin ne zaman gerçekleştiği ve ne zaman öğrenildiği,
- ihlalin nasıl tespit edildiği,
- ihlalden etkilenen kişi grupları,
- etkilenen kişisel veri kategorileri,
- özel nitelikli kişisel veri bulunup bulunmadığı,
- yaklaşık etkilenen kişi ve kayıt sayısı,
- ihlalin olası sonuçları,
- alınan ve planlanan teknik-idari tedbirler,
- ilgili kişilere bildirim yapılıp yapılmadığı,
- iletişim kişisi ve ek açıklamalar.
Tüm bilgilerin aynı anda sağlanması mümkün değilse, eksik bilgiler gecikmeye mahal verilmeksizin aşamalı olarak sunulmalıdır. Bu nedenle ilk bildirimde bilinmeyen hususlar açıkça belirtilmeli, iç araştırma sürdükçe tamamlayıcı bildirim yapılmalıdır.
6. İlgili Kişiye Bildirim Ne Zaman Yapılır?
Veri ihlalinden etkilenen kişiler belirlendikten sonra ilgili kişilere makul olan en kısa süre içinde bildirim yapılmalıdır. İlgili kişinin iletişim adresine ulaşılabiliyorsa doğrudan bildirim yapılması; ulaşılamıyorsa veri sorumlusunun internet sitesinde yayımlama gibi uygun yöntemlerin değerlendirilmesi mümkündür.
İlgili kişiye yapılacak bildirim açık ve sade bir dille hazırlanmalıdır. Bildirim metninde asgari olarak şu bilgiler yer almalıdır:
- ihlalin ne zaman gerçekleştiği,
- hangi kişisel veri kategorilerinin etkilendiği,
- özel nitelikli kişisel veri bulunup bulunmadığı,
- veri ihlalinin olası sonuçları,
- olumsuz etkileri azaltmak için alınan veya önerilen tedbirler,
- ilgili kişilerin bilgi alabileceği irtibat kişisi, e-posta, telefon, çağrı merkezi veya web sayfası bilgisi.
İlgili kişiye bildirim metni gereksiz teknik ayrıntılarla doldurulmamalıdır. Kişinin kendi güvenliği için ne yapması gerektiği sade şekilde anlatılmalıdır. Örneğin şifre değişikliği, hesap hareketlerini kontrol etme, şüpheli iletişimlere dikkat etme veya şirketle belirli bir iletişim kanalı üzerinden irtibata geçme gibi pratik yönlendirmeler yapılabilir.
7. Olay Kayıt Formunda Hangi Bilgiler Yer Almalıdır?
Veri ihlali sürecinde şirketin kendi iç olay kayıt formu bulunmalıdır. Bu form yalnızca Kurula bildirim için değil, şirketin olayı yönetebilmesi, sonradan inceleme yapabilmesi ve sorumluluk alanlarını belirleyebilmesi için önemlidir.
| Alan | Açıklama |
|---|---|
| Olay numarası | Her ihlal veya ihlal şüphesi için ayrı takip numarası verilmelidir. |
| Tespit ve öğrenme zamanı | Olayın ilk fark edildiği ve ihlal olarak değerlendirildiği tarih-saat ayrı ayrı yazılmalıdır. |
| Etkilenen sistem veya süreç | E-posta, CRM, muhasebe programı, bulut klasörü, fiziksel arşiv veya tedarikçi sistemi belirtilmelidir. |
| Veri kategorileri | Kimlik, iletişim, finans, sağlık, özlük, müşteri işlem, özel nitelikli veri gibi kategoriler ayrıştırılmalıdır. |
| İlgili kişi grupları | Müşteri, çalışan, aday çalışan, tedarikçi, hasta, üye veya ziyaretçi gibi gruplar belirtilmelidir. |
| Alınan tedbirler | İlk müdahale, erişim kapatma, parola sıfırlama, sistem izolasyonu, tedarikçi bilgilendirmesi gibi adımlar yazılmalıdır. |
| Bildirim kararı | Kurula ve ilgili kişilere bildirim yapılıp yapılmayacağı, gerekçesiyle birlikte kaydedilmelidir. |
Bu kayıtlar, Kurul incelemesi ihtimaline karşı düzenli şekilde saklanmalıdır.
8. Kriz Ekibi Kimlerden Oluşmalıdır?
Veri ihlali yalnızca bilgi işlem biriminin tek başına yöneteceği bir süreç değildir. Olayın türüne göre farklı birimler birlikte çalışmalıdır.
- üst yönetim temsilcisi,
- bilgi işlem veya siber güvenlik sorumlusu,
- KVKK/hukuk sorumlusu,
- ilgili iş birimi yöneticisi,
- insan kaynakları temsilcisi,
- müşteri ilişkileri veya çağrı merkezi temsilcisi,
- kurumsal iletişim sorumlusu,
- dış hizmet sağlayıcı veya yazılım tedarikçisi temsilcisi,
- gerektiğinde adli bilişim veya siber güvenlik danışmanı.
Kriz ekibinin görevi yalnızca bildirimi yapmak değildir. Ekip, teknik müdahaleyi, hukuki değerlendirmeyi, ilgili kişi iletişimini, tedarikçi koordinasyonunu, iç raporlamayı ve sonradan alınacak tedbirleri birlikte yürütmelidir.
9. Sık Yapılan Hatalar
Veri ihlali süreçlerinde en sık görülen hata, 72 saatlik sürenin olay tamamen netleşene kadar başlamadığını düşünmektir. Oysa Kurul yaklaşımında süre, veri sorumlusunun ihlali öğrendiği tarihten itibaren değerlendirilir.
Bir diğer hata, teknik ekibin olayı kendi içinde çözmeye çalışması ve hukuk/KVKK sorumlusuna geç bilgi vermesidir. Bu durumda Kurula bildirim süresi kaçırılabilir veya ilgili kişiye yapılacak bildirim gecikebilir.
Yanlış kişiye gönderilen e-postalar da çoğu zaman hafife alınır. Ancak e-postanın içinde kişisel veri, finansal bilgi, sağlık verisi, kimlik bilgisi, bordro, disiplin kaydı veya müşteri listesi varsa olay mutlaka KVKK açısından değerlendirilmelidir.
Tedarikçi kaynaklı ihlallerde de benzer risk vardır. Veri işleyen konumundaki yazılım firması, çağrı merkezi, bulut hizmet sağlayıcısı veya dış hizmet sağlayıcı olayı gecikmeksizin veri sorumlusuna bildirmelidir. Veri sorumlusu ise kendi bildirim yükümlülüğünü ayrıca değerlendirmelidir.
10. Lilyum Danışmanlık Nasıl Destek Olur?
Veri ihlali meydana geldikten sonra hareket etmek çoğu zaman geç kalınmış bir müdahale anlamına gelir. Bu nedenle şirketlerin veri ihlali eylem planını, kriz ekibini, iç bildirim kanallarını, olay kayıt formunu, Kurul bildirim taslağını ve ilgili kişi bildirim şablonlarını önceden hazırlaması gerekir.
Lilyum Danışmanlık olarak şirketinizin KVKK danışmanlığı uyum yapısı içinde veri ihlali müdahale planı, olay kayıt formu, 72 saatlik eylem planı, tedarikçi bildirim prosedürü ve ilgili kişi bilgilendirme şablonlarını birlikte hazırlayabiliriz.
Veri ihlali eylem planı ve kriz yönetim sürecinizi önceden hazırlayabiliriz.
Şirketinizin veri ihlali hazırlık sürecini değerlendirmek için bizimle iletişime geçebilirsiniz.
Sık Sorulan Sorular
Veri ihlali bildirimi her güvenlik olayında zorunlu mudur?
Her güvenlik olayı otomatik olarak Kurula bildirim zorunluluğu doğurmaz. Ancak olay kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi veya buna ilişkin ciddi risk doğuruyorsa KVKK bakımından değerlendirme yapılmalı ve karar kayıt altına alınmalıdır.
72 saatlik süre olayın gerçekleştiği tarihten mi başlar?
Hayır. 72 saatlik süre, veri sorumlusunun ihlali öğrendiği tarihten itibaren değerlendirilir. Ancak olayın geç fark edilmesi ayrıca teknik ve idari tedbirlerin yeterliliği bakımından sorgulanabilir.
Tüm bilgiler netleşmeden Kurula bildirim yapılabilir mi?
Evet. Formda yer alan tüm bilgilerin aynı anda sağlanması mümkün değilse, bilgiler gecikmeye mahal verilmeksizin aşamalı olarak sunulabilir. İlk bildirimde bilinmeyen hususlar açıkça belirtilmelidir.
İlgili kişiye bildirim yapmak zorunlu mudur?
Veri ihlalinden etkilenen kişiler belirlendikten sonra ilgili kişilere makul olan en kısa süre içinde bildirim yapılmalıdır. İletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa uygun başka yöntemlerle bilgilendirme yapılabilir.
Yanlış e-posta gönderimi veri ihlali sayılır mı?
E-postanın içeriğine göre değişir. E-posta kişisel veri içeriyor ve yetkisiz bir kişiye gönderilmişse veri ihlali riski oluşur. Bu durumda veri kategorisi, alıcı, etkilenen kişi sayısı ve olası sonuçlar değerlendirilmelidir.
Tedarikçi kaynaklı ihlalde sorumluluk kimdedir?
Veri işleyen konumundaki tedarikçi, ihlali gecikmeksizin veri sorumlusuna bildirmelidir. Kurula ve ilgili kişilere bildirim yükümlülüğü ise somut olayın niteliğine göre veri sorumlusu tarafından değerlendirilir.
Resmî Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin 24.01.2019 tarihli ve 2019/10 sayılı Kurul Kararı
- İlgili Kişiye Yapılacak Veri İhlali Bildiriminde Yer Alması Gereken Asgari Unsurlara İlişkin 18.09.2019 tarihli ve 2019/271 sayılı Kurul Kararı
- Kişisel Veri İhlali Bildirim Formu
- Kişisel Veri İhlali Bildirimlerinin Elektronik Ortamda Kurula İletilmesine İlişkin Duyuru
- KVKK Veri İhlali Bildirimleri
- Kişisel Veri Güvenliği Rehberi
Bilgilendirme Notu
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Veri ihlali değerlendirmesi, olayın teknik niteliği, etkilenen veri kategorileri, ilgili kişi grupları, tedarikçi ilişkisi, alınan tedbirler ve ihlalin olası sonuçları dikkate alınarak somut olay özelinde yapılmalıdır.
