Kişisel Veri İhlalinde İlk 72 Saat Rehberi

Kişisel Veri İhlali Nedir?

KVKK’nın 12. maddesinin beşinci fıkrasına göre kişisel veri ihlali, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. İhlal her zaman büyük bir siber saldırı biçiminde gelmez: fidye yazılımı, ele geçirilen bir e-posta hesabı, yanlış kişiye gönderilen bir dosya, kaybolan bir dizüstü bilgisayar veya yetkisi olmadığı hâlde verilere erişen bir çalışan da ihlale yol açabilir.

İhlal bir veri işleyende, örneğin bulut hizmeti sağlayıcınızda ya da bordro firmanızda yaşanmış olabilir. Bu durumda da Kurul’a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak şirketinize aittir. Veri işleyen, ihlali öğrendiği anda size haber vermelidir; bu yükümlülüğün süresiyle birlikte sözleşmede açıkça yazılması gerekir.

Hazırlık: İhlal Yaşanmadan Önce

Kişisel Verileri Koruma Kurulu, 24.01.2019 tarihli ve 2019/10 sayılı kararında veri sorumlularının bir veri ihlali müdahale planı hazırlamasını istemiştir. 72 saatlik süre çoğu zaman ilk saatlerde kim arayacak, kim karar verecek tartışmasıyla geçer; plan bu zamanı kazandırır.

• İhlal ekibi: Hukuk, bilgi teknolojileri, bilgi güvenliği, iletişim ve yönetimden kimlerin haberdar edileceğini, bildirime kimin karar vereceğini ve dış danışmanları önceden belirleyin.
• Veri envanteri: Hangi sistemde hangi kişisel verilerin bulunduğunu bilmeyen bir şirket, ihlalin kapsamını 72 saat içinde ortaya koyamaz.
• Kayıtlar: Erişim ve işlem kayıtları (log) tutulmuyorsa ihlalin ne zaman başladığı ve hangi verilere erişildiği çoğu zaman tespit edilemez.
• Veri işleyen sözleşmeleri: Tedarikçilerin ihlali size ne kadar sürede ve hangi bilgilerle bildireceğini sözleşmeye yazın.
• Sigorta ve tatbikat: Siber sigortanız varsa sigortacıya bildirim koşullarını ve süresini önceden öğrenin. Planı yılda en az bir kez bir senaryo üzerinden deneyin.

İlk Saatler: Tespit ve Sınırlama

1. Saati not edin. Kurul’a bildirim süresi, ihlali öğrendiğiniz andan itibaren işler. İhlalin ilk fark edildiği anı ve sonraki her adımı saatiyle birlikte yazılı bir zaman çizelgesinde tutun.
2. İhlali sınırlayın. Ele geçirilen hesapların şifrelerini değiştirin, yetkisiz erişimi kesin, etkilenen sistemleri ağdan ayırın.
3. Delilleri koruyun. Sistemleri silmeden ya da yeniden kurmadan önce teknik ekibinizin veya adli bilişim uzmanının kayıtları ve imajları almasını sağlayın. Bu kayıtlar hem ihlalin kapsamını belirlemek hem de olası bir Kurul incelemesinde alınan tedbirleri göstermek için gereklidir.
4. İhlal ekibini toplayın. Avukatınızı ve varsa sigortacınızı bilgilendirin. İhlalle ilgili iç yazışmaları sınırlı bir ekipte tutun.

Değerlendirme: Ne Oldu, Kimler Etkilendi?

Bildirimin içeriği bu değerlendirmeye dayanır. Yanıtlanması gereken sorular şunlardır: İhlal ne zaman başladı ve ne zaman fark edildi? Hangi veri kategorileri etkilendi? Kaç kişi etkilendi ve bunlar çalışan mı, müşteri mi? Sağlık verisi gibi özel nitelikli veriler var mı? İlgili kişiler için olası sonuçlar neler: dolandırıcılık, kimlik hırsızlığı, itibar kaybı? Etkilenenler arasında Avrupa Birliği’nde bulunan kişiler varsa GDPR kapsamındaki bildirim yükümlülükleri de ayrıca değerlendirilmelidir.

Kurul’a Bildirim

KVKK, veri sorumlusunun ihlali “en kısa sürede” Kurul’a bildirmesini ister. Kurul bu süreyi, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat olarak yorumlamıştır. Bildirim, Kurul’un internet sitesindeki Kişisel Veri İhlal Bildirim Formu ile yapılır.

• İhlalin tüm ayrıntıları 72 saat içinde netleşmemişse bildirim eldeki bilgilerle yapılır; eksik bilgiler sonradan tamamlanır.
• Bildirim gecikirse, gecikmenin gerekçesi de Kurul’a açıklanmalıdır.
• KVKK, GDPR’dan farklı olarak düşük riskli ihlaller için bir bildirim istisnası öngörmez. Bildirim yapılıp yapılmayacağı konusunda tereddüt varsa, karar 72 saat dolmadan hukuki değerlendirmeyle verilmelidir.
• Kurul, kendisine yapılan ihlal bildirimlerini internet sitesinde ilan edebilir. Kamuoyuna ve basına yönelik iletişimi bu ihtimali gözeterek hazırlayın.

İlgili Kişilere Bildirim

İhlalden etkilenen kişiler tespit edildikten sonra, makul olan en kısa sürede bilgilendirilmelidir. İletişim adresleri biliniyorsa doğrudan, bilinmiyorsa şirketin internet sitesi gibi uygun yollarla bildirim yapılır.

Bildirim açık ve sade bir dille yazılmalı; ihlalin ne zaman ve nasıl gerçekleştiğini, hangi verilerin etkilendiğini, kişiler için olası sonuçları, şirketin aldığı önlemleri, kişilerin kendilerini korumak için yapabileceklerini ve iletişim kurabilecekleri kişiyi içermelidir. Hukuki terimlerle dolu ya da sorumluluğu küçümseyen bir metin, şikâyet ve dava riskini artırır.

Siber Güvenlik Kanunu ve Diğer Bildirimler

Bir kişisel veri ihlali aynı zamanda bir siber olaydır. 2025’te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, kapsamındaki kişi ve kuruluşların tespit ettikleri siber olayları gecikmeksizin Siber Güvenlik Başkanlığı’na bildirmesini öngörür ve bildirim yapılmamasını 2025 yılı için 1 milyon TL’den 10 milyon TL’ye kadar idari para cezasına bağlar. Ayrıntılar için Siber Güvenlik Kanunu: Kapsam ve Uygulama başlıklı yazımıza bakabilirsiniz.

Bankacılık ve elektronik haberleşme gibi bazı sektörlerde ayrıca sektörel bildirim yükümlülükleri bulunur. Müşterilerinizle yaptığınız sözleşmeler de kısa süreli bildirim taahhütleri içerebilir. İlk saatlerde bu yükümlülüklerin listesini çıkarın.

İhlalden Sonra

• İhlalin kök nedenini belirleyin ve tekrarını önleyecek teknik ve idari tedbirleri alın.
• İhlali, etkilerini ve alınan önlemleri bir ihlal kaydına işleyin; bu kayıt Kurul incelemesinde ve sonraki ihlallerde başvuru kaynağıdır.
• Kurul’un bilgi ve belge taleplerini zamanında ve tutarlı biçimde yanıtlayın. Veri güvenliği yükümlülüklerine aykırılık, her yıl artırılan tutarlarda idari para cezasına bağlanmıştır; ihlal öncesinde ve sonrasında alınan tedbirler Kurul’un değerlendirmesinde belirleyicidir.
• İlgili kişilerden gelecek başvurulara hazırlıklı olun ve otuz günlük yanıt süresini kaçırmayın.