KVKK Kapsamında Veri İhlali Bildirimi Nasıl Yapılır?

Kişisel veri ihlali yaşandığında veri sorumlusu, 6698 sayılı KVKK'nın 12. maddesinin 5. fıkrası ve Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı kararı uyarınca ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirimde bulunur; etkilenen kişilere (ilgili kişiler) ise kimlikleri tespit edildikten sonra makul olan en kısa sürede bilgi verir.

Kişisel veri ihlali nedir?

KVKK m.12/5'e göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi, veri ihlali olarak değerlendirilir. Uygulamada şu durumlar tipik örneklerdir:

• Fidye yazılımı saldırısında müşteri veritabanının şifrelenmesi ve kopyalanması
• Yanlış kişiye kişisel veri içeren e-posta veya dosya gönderilmesi
• Şifrelenmemiş bir dizüstü bilgisayar veya USB belleğin kaybolması
• Yanlış yapılandırılmış bir bulut depolama alanının internete açık kalması
• Ele geçirilmiş bir çalışan hesabıyla verilere erişilmesi

Kim, kime, ne zaman bildirir?

İlgili kişilere bildirim doğrudan (e-posta, SMS, posta) yapılır; ulaşılamıyorsa veri sorumlusunun kendi web sitesi gibi uygun yöntemler kullanılır.

Adım adım ihlal yönetimi

1. Tespit ve kayıt altına alma

İhlal şüphesini kimin, ne zaman ve nasıl fark ettiğini yazılı olarak kaydedin. 72 saatlik süre bu andan itibaren işlemeye başladığı için zaman damgası önemlidir.

2. Sınırlandırma

Olay müdahale planınızı başlatın: etkilenen sistemleri yalıtın, ele geçirilmiş hesapların parolalarını sıfırlayın, açık kalan depolama alanlarını kapatın. Kanıtları (günlükler, e-postalar, sistem görüntüleri) silmeyin.

3. Etki değerlendirmesi

Şu soruları yanıtlayın:

• Hangi kategorilerde veri etkilendi? (kimlik, iletişim, finansal, sağlık gibi özel nitelikli veriler)
• Yaklaşık kaç kişi ve kaç kayıt etkilendi?
• Veriler şifreli miydi, anahtar da ele geçirildi mi?
• İlgili kişiler için olası sonuçlar nelerdir? (dolandırıcılık, kimlik hırsızlığı, itibar kaybı)

4. Kurul'a bildirim

Bildirim, Kurum'un web sitesinde yayımlanan Veri İhlali Bildirim Formu kullanılarak yapılır. Formda genel olarak şu bilgiler istenir:

1. Veri sorumlusu ve irtibat kişisi bilgileri
2. İhlalin başlangıç ve tespit tarihleri, nasıl gerçekleştiği
3. Etkilenen veri kategorileri ve yaklaşık kişi ve kayıt sayısı
4. İhlalin olası sonuçları
5. Alınan ve alınması planlanan önlemler
6. İlgili kişilere nasıl bildirim yapılacağı

Tüm bilgiler aynı anda netleşmemişse bilgiler aşamalı olarak sunulabilir. 72 saat içinde bildirim yapılamadıysa gecikmenin gerekçesi de bildirime eklenmelidir.

5. İlgili kişilere bildirim

Açık ve sade bir dille şunları anlatın: ne oldu, hangi verileriniz etkilendi, olası sonuçlar neler, kurum ne yaptı, kişinin kendini korumak için ne yapabileceği (parola değiştirme, oltalama girişimlerine karşı dikkat gibi) ve iletişim kanalı.

6. Kayıt ve iyileştirme

Kurul kararı, ihlallere ilişkin etkileri ve alınan önlemleri içeren kayıtların Kurul'un incelemesi için hazır tutulmasını öngörür. Olay sonrası değerlendirme toplantısı yaparak kök nedeni ve kalıcı önlemleri belirleyin.

Hazırlık: ihlal olmadan önce yapılacaklar

72 saatlik süre, hazırlıksız bir kurum için çok kısadır. Aşağıdaki hazırlıklar bildirimi hızlandırır:

• Kişisel veri işleme envanterinizi güncel tutun; hangi sistemde hangi veri kategorisinin bulunduğunu bilmek etki değerlendirmesini kısaltır.
• Olay müdahale planınıza KVKK bildirim adımlarını, sorumlu kişileri ve karar yetkisini ekleyin.
• Kurum'un veri ihlali bildirim formunu ve ilgili kişilere gönderilecek bildirim metni taslağını önceden hazırlayın.
• Veri işleyenlerle yapılan sözleşmelerde ihlal bildirim süresini ve iş birliği yükümlülüğünü açıkça düzenleyin.
• Yılda en az bir kez, örnek bir ihlal senaryosu üzerinden masa başı tatbikat yapın.

Sık yapılan hatalar

• 72 saati "ihlal kesinleştiğinde" başlatmak; süre öğrenme anından itibaren işler.
• Tüm bilgileri toplamayı beklerken bildirimi geciktirmek.
• Veri işleyen sözleşmelerinde bildirim süresini düzenlememek.
• Kanıtları sistemleri hızla yeniden kurarken yok etmek.
• İlgili kişilere teknik ve anlaşılmaz bir dille bildirim yapmak.

Önlemek için ne yapabilirim?

İhlallerin önemli bir kısmı temel güvenlik önlemleriyle önlenebilir: MFA, şifreleme, en az yetki, güncel sistemler ve düzenli yedekleme. Dışarıdan görünen yapılandırmanızı web sitesi güvenlik testi ve e-posta güvenlik analizi araçlarıyla kontrol edebilirsiniz.

Sık sorulan sorular

72 saat ne zaman başlar?

Süre, veri sorumlusunun ihlali öğrendiği andan itibaren başlar. Bu nedenle ihlal şüphesinin ne zaman ve kim tarafından fark edildiğini kayıt altına almak önemlidir.

Tüm bilgiler netleşmeden bildirim yapılabilir mi?

Evet. Kurul kararına göre tüm bilgilerin aynı anda sağlanamadığı durumlarda bilgiler gecikmeksizin aşamalı olarak sunulabilir. 72 saat içinde bildirim yapılamamışsa gecikmenin gerekçesi de açıklanmalıdır.

Veri işleyen bir hizmet sağlayıcıda ihlal olursa ne olur?

Veri işleyen, ihlali öğrendiğinde gecikmeksizin veri sorumlusuna bildirmelidir. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusundadır; bu nedenle sözleşmelerde bildirim süreleri açıkça düzenlenmelidir.

İhlal kayıtları ne kadar tutulmalı?

Kurul kararı, veri ihlallerine ilişkin etkileri ve alınan önlemleri içeren kayıtların Kurul'un incelemesi için hazır tutulmasını öngörür. Bildirim yapılmayan ihlallerin de değerlendirme gerekçesiyle birlikte kayıt altına alınması iyi bir uygulamadır.

Sık sorulan sorular

Kaynaklar

1. Kişisel Verileri Koruma Kurumu
2. 6698 sayılı Kişisel Verilerin Korunması Kanunu (Mevzuat Bilgi Sistemi)
3. NIST SP 800-61 Rev. 3 — Incident Response Recommendations

#kvkk #veri-ihlali #olay-mudahalesi #uyum