Veri İhlali Bildirimi ve Kriz Yönetimi: İlk 72 Saatte Yapılacaklar

1. Konunun Genel Çerçevesi

Kişisel veri ihlali; bir siber saldırı, yanlış kişiye gönderilen bir e-posta, kaybolan bir dizüstü bilgisayar veya yetkisiz bir çalışanın verilere erişmesi gibi çok farklı biçimlerde ortaya çıkabilmektedir. Kanun, bu durumların tamamında veri sorumlusuna hızlı hareket etme ve bildirimde bulunma yükümlülüğü yüklemektedir.

İhlal sonrasındaki ilk saatlerde yapılan tercihler; zararın büyüklüğünü, idari yaptırım riskini ve işletmenin itibarını doğrudan etkilemektedir. Bu nedenle ihlal anında kimin ne yapacağının önceden belirlendiği bir müdahale planı bulunması önem taşımaktadır.

2. Hukuki Dayanak

• KVKK m.12 (veri güvenliğine ilişkin yükümlülükler); özellikle beşinci fıkradaki bildirim yükümlülüğü
• KVKK m.18 (veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi hâlinde idari para cezası)
• Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı Kararı (veri ihlali bildirim usul ve esasları)
• Kurul tarafından yayımlanan Kişisel Veri İhlali Bildirim Formu
• 7545 s. Kanun (Siber Güvenlik Kanunu), siber olayların bildirimine ilişkin yükümlülükler bakımından
• TCK m.135 ve TCK m.136 (kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi veya ele geçirilmesi), TCK m.243 ve TCK m.244 (bilişim suçları)

3. Kanundaki Düzenleme

KVKK m.12 uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almakla yükümlüdür. Verilerin bir veri işleyen tarafından işlenmesi hâlinde de veri sorumlusu, bu tedbirlerin alınması hususunda veri işleyenle birlikte müştereken sorumlu tutulmaktadır.

Aynı maddenin beşinci fıkrasına göre, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmektedir. Kurul gerekmesi hâlinde bu durumu kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilmektedir.

Bildirim Süreleri

Kurul'un 2019/10 sayılı Kararı ile "en kısa süre" ifadesi 72 saat olarak yorumlanmıştır. Buna göre veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirimde bulunmaktadır. Gecikme hâlinde gecikme nedenleri de bildirimle birlikte açıklanmaktadır. İlgili kişilere bildirim ise, ilgili kişinin tespit edilmesini müteakip makul olan en kısa süre içinde, kişiye doğrudan ulaşılabilmekteyse doğrudan, aksi hâlde uygun yöntemlerle yapılmaktadır.

Bildirimin İçeriği

Bildirim formunda; ihlalin ne zaman ve nasıl gerçekleştiği, ne zaman tespit edildiği, etkilenen veri kategorileri ve kişi sayısı, ihlalin olası sonuçları, alınan ve alınması planlanan tedbirler ile irtibat bilgileri yer almaktadır. İlk aşamada tüm bilgilere ulaşılamamışsa, ulaşılan bilgilerle bildirim yapılmakta ve eksikler sonradan tamamlanmaktadır.

4. Uygulamada Süreç

1. Tespit ve kayıt altına alma: İhlal şüphesi doğduğu anda olayın saati, tespit eden kişi ve ilk bulgular yazılı hâle getirilmektedir. 72 saatlik süre bakımından ihlalin öğrenildiği an önem taşımaktadır.
2. Kriz ekibinin toplanması: Bilgi işlem, hukuk, üst yönetim ve iletişim birimlerinden oluşan ekip devreye girmektedir.
3. Sınırlama: Etkilenen sistemlerin ağdan ayrılması, şifrelerin değiştirilmesi ve yetkisiz erişimin durdurulması sağlanmaktadır. Bu aşamada delillerin bozulmaması için sistem kayıtları korunmaktadır.
4. Etki analizi: Hangi verilerin, kaç kişinin ve hangi kişi gruplarının etkilendiği, özel nitelikli veri bulunup bulunmadığı tespit edilmektedir.
5. Kurul'a bildirim: Bildirim formu doldurularak süresi içinde Kurul'a iletilmektedir.
6. İlgili kişilere bildirim: Açık ve anlaşılır bir dille, ihlalin içeriği, olası sonuçları ve ilgili kişinin alabileceği önlemler bildirilmektedir.
7. Diğer bildirimler: Sektöre özgü düzenleyici kurumlara (ör. bankacılık veya elektronik haberleşme alanında), siber güvenlik mevzuatı kapsamındaki mercilere ve gerekmekteyse sigorta şirketine bildirim yapılmaktadır.
8. Ceza şikâyeti: Saldırının bir suç oluşturması hâlinde Cumhuriyet başsavcılığına şikâyette bulunulabilmektedir.
9. İhlal kaydı ve iyileştirme: Veri sorumlusu, ihlallere ilişkin bir kayıt tutmakta ve ihlalin tekrarını önleyecek tedbirleri belgelemektedir.

5. Görevli ve Yetkili Mahkeme veya Merci

İhlal bildiriminin yapılacağı merci Kişisel Verileri Koruma Kurulu'dur. Kurul, bildirim üzerine veya resen inceleme başlatabilmekte, gerekli tedbirlerin alınmasını isteyebilmekte ve idari para cezası uygulayabilmektedir. Bu cezalara karşı idare mahkemesinde, kural olarak tebliğden itibaren 60 gün içinde dava açılabilmektedir.

Suç şikâyetleri Cumhuriyet başsavcılığına yapılmaktadır; kovuşturma aşamasında bilişim suçları ve kişisel verilere ilişkin suçlarda kural olarak asliye ceza mahkemesi görevlidir. Zarara uğrayan ilgili kişilerin tazminat talepleri ise genel hükümlere göre görevli ve yetkili hukuk mahkemesinde ileri sürülebilmektedir.

6. Süreler ve Dikkat Edilecek Hususlar

• Kurul'a bildirim için öngörülen 72 saatlik süre, ihlalin öğrenildiği andan itibaren işlemeye başlamaktadır. Hafta sonu ve tatil günleri bu süreyi durdurmamaktadır.
• Bildirimin yapılmaması veya geç yapılması, ihlalin kendisinden bağımsız olarak ayrı bir değerlendirme konusu olabilmektedir.
• Veri işleyen konumundaki hizmet sağlayıcılarla yapılan sözleşmelerde, ihlali veri sorumlusuna derhâl bildirme yükümlülüğü açıkça düzenlenmelidir.
• İlgili kişilere yapılan bildirimde, sorumluluğu kabul anlamına gelebilecek ifadeler ile eksik veya yanıltıcı bilgilerden kaçınılmalıdır.
• Fidye talebi, şantaj veya verilerin yayımlanması tehdidi bulunan olaylarda, atılacak adımların hukuki sonuçları ayrıca değerlendirilmelidir.
• Siber Güvenlik Kanunu kapsamındaki bildirim yükümlülükleri ile KVKK kapsamındaki bildirimlerin birbirini tamamlayacak biçimde yönetilmesi gerekmektedir; ikincil düzenlemelerin güncel durumunun takip edilmesi önem taşımaktadır.

7. Sonuç

Veri ihlali, hiçbir işletmenin tamamen önleyemeyeceği bir risktir; ancak ihlale verilen cevabın kalitesi büyük ölçüde hazırlığa bağlıdır. Önceden hazırlanmış bir müdahale planı, belirlenmiş görev dağılımı ve hazır bildirim şablonları, 72 saatlik sürenin etkin kullanılmasını sağlamaktadır.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır.

← Kişisel Verilerin Korunması ve Veri Uyumu