Veri ihlali bildirimi: 72 saat kuralı ve Kurul uygulaması

Kişisel veri ihlali — yaygın adıyla "veri sızıntısı" — yaşandığında veri sorumlusunun önünde işleyen bir süre vardır ve bu süre beklenenden kısadır. Bu yazıda bildirim yükümlülüğünün çerçevesini ve uygulamada gördüğümüz hataları özetliyoruz.

Yükümlülüğün kaynağı

6698 sayılı Kanun'un 12. maddesinin (5) numaralı fıkrasına göre, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmekle yükümlüdür.

"En kısa süre" ifadesini Kurul, 24.01.2019 tarih ve 2019/10 sayılı kararıyla somutlaştırmıştır: veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirmelidir.

Her olay ihlal midir?

Süreyi doğru yönetmenin ilk şartı, karşılaşılan olayın bildirim yükümlülüğü doğurup doğurmadığını hızla değerlendirebilmektir. Kişisel veri ihlali yalnızca dışarıdan yapılan bir siber saldırı değildir; uygulamada üç tip ihlalden söz edilir:

• Gizlilik ihlali — verinin yetkisiz kişilerce görülmesi veya açıklanması. Yanlış alıcıya gönderilen e-posta, "kime" alanına açık yazılan toplu gönderim, kaybolan dizüstü bilgisayar.
• Bütünlük ihlali — verinin yetkisiz biçimde değiştirilmesi veya bozulması.
• Erişilebilirlik ihlali — veriye erişimin kaybı veya yok olması. Fidye yazılımı, yedeği bulunmayan sunucu arızası.

Kurumsal refleks çoğu zaman ilk gruba odaklanır; oysa yedeklenmemiş bir verinin kaybı da ihlaldir. Ayrıca ihlalin şirket dışından kaynaklanması gerekmez: kendi çalışanının yetkisi dışında veriye erişmesi de bu kapsamdadır.

72 saat neyi kapsar?

Süre, ihlalin gerçekleştiği anda değil, veri sorumlusunun ihlali öğrendiği anda başlar. Ancak "öğrenme"yi geciktirmek bir strateji değildir; Kurul, ihlalin makul sürede tespit edilememesini de güvenlik tedbirlerinin yetersizliği olarak değerlendirebilir.

72 saat içinde tüm detayların netleşmesi mümkün olmayabilir. Kurul kararı bu durumu öngörür: gerekçesi açıklanmak kaydıyla aşamalı bildirim yapılabilir; eksik bilgiler sonradan tamamlanır. Yani "henüz her şeyi bilmiyoruz" demek, bildirimi geciktirmenin gerekçesi olamaz.

Bildirimde neler yer alır?

Kurul'a bildirim, Kurumun yayımladığı Kişisel Veri İhlal Bildirim Formu ile yapılır. Formda özetle şunlar istenir: ihlalin ne zaman ve nasıl gerçekleştiği, hangi kişisel veri kategorilerinin etkilendiği, etkilenen kişi ve kayıt sayısının yaklaşık değeri, ihlalin olası sonuçları, alınan ve alınması planlanan tedbirler ile bildirimi yapan irtibat kişisinin bilgileri.

Bu kalemlerin çoğu, olay anında sıfırdan üretilebilecek bilgiler değildir. "Hangi veri kategorileri etkilendi?" sorusuna dakikalar içinde cevap verebilmek, güncel bir kişisel veri envanterinin bulunmasına bağlıdır. Envanteri olmayan şirket, 72 saatin önemli bölümünü ne kaybettiğini anlamaya harcar.

Veri işleyende yaşanan ihlal

İhlal, şirketin kendi sistemlerinde değil; bulut sağlayıcısı, çağrı merkezi firması veya yazılım tedarikçisi gibi bir veri işleyende yaşanmış olabilir. Bu durum bildirim yükümlülüğünü ortadan kaldırmaz: Kurul'a ve ilgili kişilere bildirim yapacak olan yine veri sorumlusudur.

Bu nedenle veri işleyen sözleşmelerine, ihlalin gecikmeksizin veri sorumlusuna bildirileceğine dair açık bir hüküm konulması ve bildirimin süresi ile içeriğinin belirlenmesi gerekir. Aksi hâlde şirket, kendi süresini başlatan olayı günler sonra öğrenir.

İlgili kişilere bildirim

Kurul'a bildirimin yanında, ihlalden etkilenen kişilere de makul olan en kısa süre içinde bildirim yapılmalıdır. Etkilenen kişinin iletişim adresine ulaşılabiliyorsa doğrudan; ulaşılamıyorsa veri sorumlusunun kendi internet sitesi üzerinden yayımlanacak bir duyuru gibi uygun yöntemlerle duyurulur. Bildirimde asgari olarak ihlalin ne zaman gerçekleştiği, hangi veri kategorilerinin etkilendiği, olası sonuçları, alınan tedbirler ve ilgili kişilerin bilgi alabileceği iletişim kanalları yer almalıdır.

Sık yapılan hatalar

1. "Önce her şeyi netleştirelim" diye beklemek. Aşamalı bildirim varken 72 saati aşmak, başlı başına yaptırım konusu olabilir.
2. İhlali yalnızca BT olayı olarak ele almak. Yazılı bir ihlal müdahale planının ve görev dağılımının yokluğu, hem müdahaleyi hem bildirimi geciktirir.
3. Kayıt tutmamak. Bildirim eşiğine ulaşmadığı değerlendirilen olayların dahi iç kayıtlarda gerekçesiyle saklanması, ileride savunma imkânı sağlar.
4. Çalışanların olayı bildirmemesi. İhlallerin önemli bölümü insan hatasıyla başlar; çalışan, hatayı bildirmenin cezalandırılacağını düşünüyorsa olay gizli kalır ve süre kaçar. Farkındalık eğitimi bu zinciri kırar.
5. Yanlış kişiye bilgi vermenin ihlal olduğunu bilmemek. Bir ilgili kişi başvurusunda kimlik doğrulaması yapılmadan bilgi paylaşmak da bu kapsamda bir ihlaldir; başvuru sürecinin yazılı kurulması bu riski azaltır.

İhlalden sonra gözden geçirilecekler

Bildirim, sürecin sonu değil başıdır. Kurul, ihlal incelemesinde yalnızca bildirimin süresinde yapılıp yapılmadığına bakmaz; şirketin uyum yapısının bütününü değerlendirir. İhlalden sonra ele alınması gerekenler tipik olarak şunlardır:

• Kişisel veri envanteri — ihlalden etkilenen verinin gerçekte nerede, neden ve ne kadar süre tutulduğu yeniden doğrulanır; çoğu ihlalde saklanmaması gereken bir verinin saklandığı ortaya çıkar.
• Saklama ve imha politikası — süresi dolmuş veri imha edilmiş olsaydı ihlalin kapsamı daralacaktı; süreler yeniden gözden geçirilir.
• Aydınlatma metinleri ve açık rıza yapısı — işleme faaliyetinde yapılan düzeltme, bu metinlere de yansıtılır.
• Veri işleyen sözleşmeleri — ihlal bir tedarikçide yaşandıysa sözleşmesel güvenceler ve denetim hakları güncellenir.
• VERBİS kaydı — yukarıdakiler değiştiyse sicil de güncellenir.

Kısacası bir ihlal, tek bir açığı değil, yapının tamamını sınar. Bu gözden geçirmeyi hukuki destek alarak yapmanızı öneririz; Genç Partners'ın olay sonrası uyum çalışmalarındaki deneyimi süreci hem hızlandırır hem savunulabilir kılar. kisiselverilerim.com ise güncellenen metinlerin ilgili kişilere ulaştırılmasını ve bunun ispatını üstlenir.

Özet

• İhlal yalnızca sızıntı değildir; gizlilik, bütünlük ve erişilebilirlik ihlalleri bildirim yükümlülüğü doğurabilir.
• Kurul'a bildirim: öğrenmeden itibaren en geç 72 saat.
• Tedarikçide yaşanan ihlalde de bildirimi veri sorumlusu yapar; sözleşmeye derhal haber verme hükmü konulmalıdır.
• Bilgiler eksikse aşamalı bildirim mümkün; beklemek değil.
• Etkilenen kişilere de makul en kısa sürede, uygun yöntemle bildirim yapılır.
• Hazırlıklı olmanın yolu: yazılı müdahale planı + eğitimli çalışanlar.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Somut bir ihlal yaşadıysanız gecikmeden hukuki destek alınız.