Kişisel Veri İhlali Bildirimi ve Kurul Süreçleri: Rehber

1. Veri İhlalinin Tanımı ve Türleri

KVKK m. 4'te kişisel verilerin işlenmesi faaliyetleri kapsamında mevzuata veya veri güvenliğine aykırı olarak erişilmesi, açıklanması, değiştirilmesi veya yok edilmesi veri ihlali olarak kabul edilir.

• Güvenlik ihlali: Yetkisiz erişim, sızıntı, hack, fidye yazılımı saldırıları.
• İnsan kaynaklı ihlal: Yanlışlıkla gönderilen e-posta, yetkisiz kopyalama, kayıp çalıntı cihaz.
• Sistemsel ihlal: Yedekleme hatası, yapılandırma hatası, yazılım hatası nedeniyle veri açığa çıkması.

2. İhlal Tespitinde Acil Önlemler

Veri ihlali tespit edildiğinde hızlı ve sistemli hareket edilmelidir. Gecikme, zararın büyümesine ve yasal yaptırım riskinin artmasına neden olabilir.

• İhlali sınırlama: Erişimi durdurma, şifre değiştirme, sistem izolasyonu ve benzeri acil teknik önlemler alınır.
• İnceleme ve tespit: İhlalin kapsamı, etkilenen veri kategorileri ve kişi sayısı belirlenir.
• Delil koruma: Log kayıtları, e-posta trafiği ve sistem görüntüleri saklanır.
• İç iletişim: İlgili birimler (IT, hukuk, üst yönetim) bilgilendirilir; kriz ekibi oluşturulur.

3. Kurul'a ve Veri Sahiplerine Bildirim

KVKK m. 12 uyarınca veri sorumlusu, öğrendiği tarihten itibaren en geç 72 saat içinde ihlali Kurul'a bildirmekle yükümlüdür. Veri sahiplerine de gecikmeksizin bildirim yapılması gerekir.

• Kurul bildirimi: VERBİS üzerinden elektronik olarak yapılır; ihlalin niteliği, etkilenen veriler, muhtemel sonuçlar ve alınan önlemler açıklanır.
• Veri sahibi bildirimi: Etkilenen kişilere ihlalin türü, olası etkileri ve alınan tedbirler hakkında açık bilgi verilir.
• Geçikme gerekçesi: 72 saatlik sürenin aşılması mücbir sebep varsa gerekçesiyle birlikte bildirilir.

4. Teknik ve İdari Tedbirler

KVKK m. 12 ve m. 20 uyarınca veri sorumluları, kişisel verilerin korunması için gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. İhlal sonrası bu tedbirler gözden geçirilmeli ve güçlendirilmelidir.

• Erişim kontrolü: Rol tabanlı yetkilendirme, çok faktörlü kimlik doğrulama ve ayrıcalıklı erişim yönetimi.
• Şifreleme: Hassas verilerin şifrelenmesi, güvenli iletim protokolleri (TLS/SSL).
• Log ve izleme: Güvenlik olaylarının sürekli izlenmesi ve olay müdahale planı.
• Farkındalık eğitimi: Çalışanların veri güvenliği ve sosyal mühendislik riskleri konusunda eğitimi.
• Veri minimizasyonu: Gereksiz veri saklamaktan kaçınılması ve saklama sürelerinin kontrolü.

Sonuç

Veri ihlali yönetimi, proaktif hazırlık ve reaktif müdahalenin birleşimini gerektirir. Kuruluşların veri ihlali prosedürleri oluşturması, kriz iletişim planı hazırlaması ve 72 saatlik bildirim süresine riayet etmesi hayati önem taşır. Hukuki ve teknik danışman desteği, ihlal sonrası sürecin doğru yönetilmesini sağlar.