Şirketlerde Veri Sızıntılarında (Data Breach) 72 Saatlik KVKK Bildirim Süreçleri ve Pratik Kriz Yönetimi

Siber güvenlik tehditlerinin karmaşıklaştığı dijital ekosistemde, şirketlerin karşılaşabileceği en büyük operasyonel ve hukuki risklerden biri “Veri Sızıntılarıdır” (Data Breach). 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, veri sorumlusu olan şirketlerin sistemlerinde yaşanan sızıntılar yalnızca teknik bir kriz değil; saniyelerle yarışılan yasal bir süreçtir. KVKK Kurulu'nun emredici nitelikteki 72 saatlik bildirim kuralı, şirketlerin siber olaylara karşı proaktif, disiplinli ve hukuka uyumlu bir kriz yönetimi mekanizması kurmasını zorunlu kılmaktadır. Bu rehber, bir veri ihlali anında şirketlerin atması gereken adımları ve pratik kriz yönetimi stratejilerini yol haritası olarak sunmaktadır.

1. Zamana Karşı Yarış: 72 Saatlik Yasal Bildirim Süreci ve Başlangıcı

KVKK'nın 12. maddesinin 5. fıkrası uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu'na bildirir.

• Sürenin Başlangıç Anı: Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı ilke kararı ile “en kısa süre” ifadesi açıkça 72 saat olarak somutlaştırılmıştır. Süre, veri sorumlusunun (şirket yönetiminin veya ilgili birimlerin) ihlali öğrendiği andan itibaren başlar. Siber atağın gerçekleştiği an ile şirketin bunu fark ettiği an farklı olabilir; ancak sızıntının tespit edildiği an itibariyle saat işlemeye başlar.
• Gecikmeli Bildirim Riski: Teknik incelemelerin uzaması nedeniyle 72 saat içinde Kurul'a resmi bildirim yapılamazsa, bildirim formuna gecikmenin haklı gerekçelerinin (örneğin adli kolluk incelemesi, sistemlerin tamamen çökmesi vb.) eklenmesi zorunludur. Haklı bir gerekçe sunulmaksızın sürenin aşılması, doğrudan idari para cezası sebebidir.

2. Adım Adım İhlal Bildirim Protokolü ve Formun İçeriği

Kurul'un resmi internet sitesi üzerinden dijital ortamda veya yazılı olarak doldurulması gereken “Veri İhlali Bildirim Formu”, sığ ve üstünkörü bilgilerle geçiştirilemeyecek yasal bir beyandır. Form şu kritik başlıkları içermelidir:

• İhlalin Niteliği ve Zamanı: Sızıntının ne zaman başladığı, ne zaman tespit edildiği ve hangi siber saldırı yöntemiyle (Ransomware, Phishing, SQL Injection vb.) gerçekleştiği net olarak yazılmalıdır.
• Etkilenen Kişi ve Veri Kategorileri: İhlalden etkilenen tahmini kişi sayısı (örneğin müşteriler, çalışanlar) ve sızan verilerin kategorileri (isim, TC kimlik no, kredi kartı bilgisi, sağlık verisi vb.) belirtilmelidir. Sızan veriler arasında özel nitelikli kişisel verilerin bulunması, krizin derinliğini artırır.
• Olası Sonuçlar: Sızıntının ilgili kişiler üzerinde doğurabileceği olası zararlar (kimlik hırsızlığı, dolandırıcılık, itibar kaybı) analiz edilerek forma işlenmelidir.
• Alınan ve Alınacak Önlemler: İhlalin tespitiyle birlikte sızıntıyı durdurmak adına atılan teknik adımlar (sunucuların izole edilmesi, şifrelerin sıfırlanması) ile gelecekte benzer olayların önlenmesi için planlanan siber güvenlik yatırımları detaylandırılmalıdır.

72 saatlik bildirim akışı

1. 1
   Tespit (T=0)İhlalin veri sorumlusu tarafından öğrenildiği an — sayaç başlar
2. 2
   Kriz Komitesi ToplanırCISO, hukuk, KVKK sorumlusu ve iletişim birimi devrede
3. 3
   Teknik İzolasyon ve Delil TespitiLog ve elektronik delillerin bütünlüğü korunarak sızıntı durdurulur
4. 4
   Kurul'a Bildirim (≤72 saat)Veri İhlali Bildirim Formu — gecikme varsa haklı gerekçe eklenir
5. 5
   İlgili Kişilere DuyuruMakul sürede, doğrudan iletişim veya kamusal duyuru

3. İlgili Kişilere (Veri Sahiplerine) Bildirim Yükümlülüğü

Şirketler, yalnızca Kurul'a değil, verisi çalınan gerçek kişilere de durum hakkında bilgi vermekle yükümlüdür. Bu bildirim, Kurul'un onayını beklemeden, ihlalin öğrenilmesini takiben makul bir sürede doğrudan yapılmalıdır.

• Bildirim Yöntemi: İlgili kişilerin iletişim bilgileri (e-posta, SMS) mevcutsa doğrudan; ulaşılamıyorsa şirketin resmi web sitesinde veya ulusal bir gazete ilanı vasıtasıyla kamusal duyuru yapılmalıdır.
• Dili ve İçeriği: Bildirim, teknik terimlerden uzak, sade ve anlaşılır bir dille yazılmalıdır. Metinde; hangi verilerin sızdığı, bireylerin kendi güvenliklerini sağlamak için alabilecekleri önlemler (banka şifrelerini değiştirme vb.) ve bilgi alabilecekleri şirket içi iletişim kanalları (özel bir çağrı merkezi veya e-posta adresi) açıkça gösterilmelidir.

4. Pratik Kriz Yönetimi ve Olay Müdahale Planı (Incident Response)

72 saat içinde hem sistemi kurtarmak hem de yasal süreçleri yönetmek, önceden hazırlanmış bir Olay Müdahale Planı (Incident Response Plan) olmaksızın imkansızdır. Başarılı bir kriz yönetimi için şu yapısal adımlar atılmalıdır:

• Hibrid Kriz Komitesi Kurulması: Sızıntı anında acilen toplanacak, yönetim kuruluna doğrudan bağlı bir komite önceden atanmalıdır. Bu komitede; Bilgi İşlem / Siber Güvenlik Direktörü (CISO), Şirket Hukuk Müşaviri, KVKK Uyum Sorumlusu ve Kurumsal İletişim / PR Yöneticisi mutlaka yer almalıdır.
• Teknik İzolasyon ve Delil Tespiti: Öncelik sızıntının durdurulmasıdır. Ancak sistemleri kapatırken veya yedekleri devreye alırken, saldırganın ayak izlerini içeren log (günlük) kayıtlarının ve elektronik delillerin imha edilmemesine dikkat edilmelidir. Bu deliller, ileride mahkemelerde ve Kurul nezdinde şirketin kusursuzluğunu ispat etmek için hayati önem taşır.
• Hukuki İnceleme ve Bildirim Hazırlığı: Hukuk birimi, teknik ekipten gelen veriler doğrultusunda 72 saatlik süreyi kaçırmadan Kurul bildirim formunu hazırlar. Eş zamanlı olarak, siber suçun unsurları oluştuğu için Türk Ceza Kanunu kapsamında Cumhuriyet Başsavcılığına suç duyurusunda bulunulması süreçleri organize edilir.
• İtibar ve Medya Yönetimi: Bilgi sızıntıları sosyal medyaya veya basına sızdığında şirket itibarını saniyeler içinde zedeleyebilir. Kurumsal iletişim birimi, yasal bildirimlerle çelişmeyecek, panik yaratmayan ancak şeffaf ve güven veren bir kriz iletişimi stratejisi yürütmelidir.

Sonuç

Veri sızıntıları, günümüz ticari hayatında “yaşanıp yaşanmayacağı” değil, “ne zaman yaşanacağı” öngörülen kaçınılmaz siber risklerdir. KVKK'nın getirdiği 72 saatlik bildirim yükümlülüğü, siber bir krizi idari ve finansal bir yıkıma dönüştürme potansiyeline sahiptir. Kurul, ihlal yaşanan her şirkete otomatik olarak ceza kesmemekte; şirketin siber güvenliğe yaptığı yatırımları, ihlali fark etme hızını, kriz anındaki şeffaflığını ve 72 saatlik süreye riayetini birer hafifletici neden olarak değerlendirmektedir. Bu nedenle şirketlerin, sızıntı anında paniklemek yerine, önceden simülasyonları yapılmış bir Olay Müdahale Planı ve yasal bildirim protokolüyle hareket etmesi, hem milyarlarca liralık idari para cezalarını önleyecek hem de müşteri güvenini ve ticari itibarı muhafaza edecektir.