This article is published in Turkish.
Veri İhlali Bildirimi
Kişisel veri ihlali, verilerin kazara veya yasadışı olarak yok edilmesi, kaybedilmesi, değiştirilmesi, yetkisiz ifşası veya erişilmesi anlamına gelir. KVKK, veri sorumlularına ihlal halinde Kurul'a ve ilgili kişilere bildirim yükümlülüğü getirmektedir.
1. Giriş
Kişisel veri ihlali, günümüz dijital dünyasında her ölçekteki kuruluşun karşılaşabileceği kritik bir risk alanıdır. KVKK, veri ihlali durumunda veri sorumlularına Kurul'a ve ilgili kişilere bildirim yükümlülüğü getirmektedir. Hızlı ve etkin müdahale, hem yasal yükümlülüklerin yerine getirilmesi hem de zararın minimize edilmesi açısından büyük önem taşımaktadır.
2. Veri İhlali Kavramı
Kişisel veri ihlali, kişisel verilerin güvenliğinin ihlal edilmesi sonucu verilerin kazara veya yasadışı olarak yok edilmesi, kaybedilmesi, değiştirilmesi, yetkisiz olarak açıklanması veya bunlara erişilmesidir.
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.
İhlal Türleri
| İhlal Türü | Açıklama | Örnek |
|---|---|---|
| Gizlilik ihlali | Yetkisiz veya kazara ifşa/erişim | Veri sızıntısı, yanlış alıcıya e-posta gönderimi |
| Bütünlük ihlali | Yetkisiz veya kazara değiştirme | Veritabanı manipülasyonu, ransomware şifrelemesi |
| Erişilebilirlik ihlali | Yetkisiz veya kazara kayıp/yok etme | Yedeksiz veri kaybı, fiziksel hasar |
3. Kurul'a Bildirim
Bildirim Süresi
KVKK'da "en kısa sürede" ifadesi kullanılmış olup, Kurul bu süreyi ihlali öğrendikten itibaren 72 saat olarak belirlemiştir.
Veri sorumlusu, veri ihlalini öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunmalıdır. 72 saatin üzerinde bir sürede yapılan bildirimlerde gecikmenin gerekçesi de açıklanmalıdır.
Bildirim Yöntemi
Kurul'a bildirim, kvkk.gov.tr adresindeki "Veri İhlali Bildirim Formu" aracılığıyla yapılır. Form, elektronik ortamda doldurulur ve sisteme yüklenir.
Bildirimde Bulunması Gereken Bilgiler
| Bilgi Kategorisi | İçerik |
|---|---|
| İhlalin tanımı | İhlalin niteliği, nasıl gerçekleştiği, etkilenen veri kategorileri |
| Etki kapsamı | Etkilenen kişi sayısı, etkilenen veri kayıt sayısı |
| İrtibat bilgileri | Detaylı bilgi alınabilecek kişi/birim iletişim bilgileri |
| Olası sonuçlar | İhlalin ilgili kişiler üzerindeki muhtemel etkileri |
| Alınan tedbirler | İhlalin etkilerini azaltmak için alınan/alınacak tedbirler |
| Gecikme gerekçesi | 72 saatten geç bildirim yapılıyorsa sebebi |
4. İlgili Kişilere Bildirim
Veri ihlali, ilgili kişilerin hak ve özgürlükleri üzerinde olumsuz etki yaratabilecek nitelikteyse, ilgili kişilere de bildirim yapılması gerekmektedir.
Bildirim Yapılması Gereken Durumlar
| Risk Düzeyi | Bildirim Gereksinimi | Örnek Senaryo |
|---|---|---|
| Yüksek risk | Zorunlu - derhal bildirim | Kimlik bilgileri, finansal veriler, sağlık verileri sızıntısı |
| Orta risk | Değerlendirmeye bağlı | Şifrelenmiş verilerin sızıntısı, sınırlı kapsamlı ihlal |
| Düşük risk | Genellikle gerekli değil | Anonimleştirilmiş verilerin kaybı, iç erişim ihlali |
Bildirim İçeriği
| Bilgi | Açıklama |
|---|---|
| İhlalin açıklaması | Ne olduğunun anlaşılır dilde açıklanması |
| Etkilenen veriler | Hangi kişisel verilerin etkilendiği |
| Olası sonuçlar | İlgili kişi için potansiyel riskler |
| Alınan tedbirler | Veri sorumlusunun aldığı önlemler |
| Önerilen eylemler | İlgili kişinin kendini korumak için yapabilecekleri |
| İletişim bilgileri | Daha fazla bilgi için başvuru yolu |
5. İhlal Müdahale Süreci
Etkin bir veri ihlali müdahalesi için önceden hazırlanmış bir süreç ve ekip bulunmalıdır.
Müdahale Aşamaları
| Aşama | Eylemler | Süre |
|---|---|---|
| 1. Tespit | İhlalin belirlenmesi, ilk değerlendirme | Derhal |
| 2. Sınırlama | İhlalin yayılmasının engellenmesi, sistemlerin izolasyonu | İlk saatler |
| 3. Değerlendirme | Kapsamın belirlenmesi, etkilenen verilerin tespiti | 24-48 saat |
| 4. Bildirim | Kurul'a ve ilgili kişilere bildirim | 72 saat içinde |
| 5. İyileştirme | Güvenlik açığının giderilmesi, sistemlerin onarımı | İhlale bağlı |
| 6. Dokümantasyon | İhlal raporunun hazırlanması, dersler çıkarılması | İhlal sonrası |
İhlal Müdahale Ekibi
| Rol | Sorumluluk |
|---|---|
| Ekip lideri | Müdahale sürecinin koordinasyonu, karar alma |
| BT/Güvenlik | Teknik analiz, sınırlama, iyileştirme |
| Hukuk | Yasal değerlendirme, bildirim yükümlülükleri |
| İletişim | İç/dış iletişim, basın açıklamaları |
| İnsan Kaynakları | Çalışan verilerinin etkilendiği durumlarda |
| Üst Yönetim | Stratejik kararlar, kaynak tahsisi |
6. Kurul İncelemesi ve Kararları
Kurul, bildirilen veri ihlallerini inceler ve gerekli gördüğü hallerde idari yaptırım uygular.
Kurul'un Değerlendirme Kriterleri
| Kriter | Değerlendirme |
|---|---|
| Güvenlik tedbirlerinin yeterliliği | İhlal öncesi alınan teknik ve idari tedbirler |
| İhlalin önlenebilirliği | Makul tedbirlerle önlenip önlenemeyeceği |
| Müdahale hızı | İhlalin tespit ve bildirim süresi |
| İyileştirme çabaları | Alınan düzeltici tedbirler ve işbirliği |
| İhlalin kapsamı | Etkilenen kişi sayısı ve veri hassasiyeti |
7. Yaygın İhlal Senaryoları ve Önlemler
| Senaryo | Önleme Tedbirleri |
|---|---|
| Phishing saldırısı | Çalışan eğitimi, e-posta filtreleme, çok faktörlü kimlik doğrulama |
| Ransomware | Düzenli yedekleme, uç nokta güvenliği, ağ segmentasyonu |
| Yanlış alıcıya gönderim | Otomatik tamamlama kontrolü, gönderim onayı, DLP |
| Çalışan kaynaklı sızıntı | Erişim kontrolü, izleme, gizlilik taahhütnamesi |
| Fiziksel cihaz kaybı | Disk şifreleme, uzaktan silme, MDM |
| Tedarikçi kaynaklı ihlal | Sözleşme şartları, düzenli denetim, erişim sınırlaması |
8. İhlal Sonrası Süreç
Veri ihlalinin ardından, sadece acil müdahale değil, uzun vadeli iyileştirme çalışmaları da yapılmalıdır.
- Kök neden analizi: İhlalin temel nedeninin belirlenmesi
- Güvenlik iyileştirmeleri: Benzer ihlalleri önleyecek teknik tedbirler
- Politika güncellemeleri: Prosedürlerin gözden geçirilmesi
- Eğitim: Tespit edilen eksikliklere yönelik eğitimler
- Test: İyileştirmelerin etkinliğinin doğrulanması
- Dokümantasyon: İhlal dosyasının arşivlenmesi
9. Sonuç
Veri ihlali bildirimi, hem yasal bir yükümlülük hem de kurumsal sorumluluk göstergesidir. Hızlı ve şeffaf bildirim, ilgili kişilerin kendilerini korumak için önlem almasını sağlar ve Kurul nezdinde iyi niyet göstergesi olarak değerlendirilir.
KVKK m. 12/5 uyarınca veri ihlali bildiriminin 72 saat içinde yapılması gerekmekte olup, bu süre içinde ihlalin kapsamı, etkilenen kişi grupları ve alınan tedbirlerin belirlenmesi zorunludur. Kurul kararlarında, olay müdahale planı bulunan ve ihlali proaktif şekilde bildiren veri sorumlularına yönelik daha olumlu bir değerlendirme yapıldığı görülmektedir.