Veri ihlalinde en pahalı hata, çoğu zaman ihlalin kendisi değildir. Bildirim süresini kaçırmak, teknik olarak küçük bir olayı idari bir soruna dönüştürür — ve bu dönüşüm saatler içinde gerçekleşir.
Kısa cevap: veri ihlalinde ne yapmak zorundayım?
Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edildiğini öğrendiğinizde, veri sorumlusu olarak en kısa sürede ve gecikmesiz — uygulamada 72 saat içinde — Kişisel Verileri Koruma Kurumu'na bildirimde bulunmanız gerekir; ilgili kişilere de makul en kısa sürede haber verilmelidir. Süre, ihlalin gerçekleştiği andan değil öğrenildiği andan işlemeye başlar. Bildirimi geciktirmenin en yaygın nedeni kötü niyet değil, kimin karar vereceğinin belirsiz olmasıdır — bu yüzden asıl hazırlık, olaydan önce yazılan bir müdahale planıdır.
İhlal sayılan ve sayılmayan durumlar
| Durum | İhlal sayılır mı? | Neden? |
|---|---|---|
| Müşteri listesi içeren dosyanın dışarı sızması | Evet | Yetkisiz kişilerce elde edilme |
| E-posta hesabının ele geçirilmesi | Evet | Yazışmalardaki kişisel verilere erişim doğar |
| Fidye yazılımıyla verilerin şifrelenmesi | Genellikle evet | Erişilebilirlik kaybı ve sızma ihtimali |
| Toplu e-postada alıcıların birbirini görmesi | Evet | Adreslerin yetkisiz biçimde ifşası |
| Yedeği bulunan bir diskin arızalanması | Hayır | Veri kaybı yok, ifşa yok |
| Şifrelenmiş bir yedeğin kaybı (anahtar güvende) | Değerlendirmeye bağlı | Verinin okunabilir olup olmadığı belirleyicidir |
Tablodaki ayrımın özü şudur: her güvenlik olayı veri ihlali değildir, ancak her veri ihlali bir güvenlik olayıdır. Belirleyici olan kişisel verinin yetkisiz biçimde elde edilip edilmediği, değiştirilip değiştirilmediği veya erişilemez hâle gelip gelmediğidir. Karar verirken tereddüt varsa, değerlendirmeyi kayıt altına almak gerekir; "ihlal değildir" sonucuna nasıl varıldığı da belgelenmelidir.
72 saatlik zaman çizelgesi
| Zaman | Yapılacak | Sorumlu |
|---|---|---|
| 0–1. saat | Olayın doğrulanması, etkilenen sistemin izole edilmesi, kayıtların korunması | Sistem sorumlusu |
| 1–4. saat | Kapsam tespiti: hangi veri, kaç kişi, hangi zaman aralığı | Sistem + veri sorumlusu |
| 4–12. saat | Erişimlerin kapatılması, parola ve anahtar rotasyonu, açığın kapatılması | Sistem sorumlusu |
| 12–24. saat | Hukuki değerlendirme: bildirim yükümlülüğü doğdu mu? | Hukuk danışmanı |
| 24–72. saat | Kuruma bildirim, ilgili kişilere bilgilendirme, iç raporun tamamlanması | Veri sorumlusu |
| 72. saat sonrası | Kök neden analizi, önleyici aksiyon planı, kayıtların arşivlenmesi | Yönetim |
Uygulamada en çok zaman kaybedilen aşama ikincisidir: kapsam tespiti. Hangi verinin etkilendiğini hızlı belirleyebilmek, ancak veri envanteri önceden çıkarılmışsa mümkündür. Envanteri olmayan işletmeler ilk 24 saati "ne kaybettik" sorusuna harcar ve bildirim süresi bu arada işlemeye devam eder.
Kime, nasıl bildirilir?
- Kuruma bildirim. Kurumun belirlediği form üzerinden yapılır. Tüm bilgiler henüz net değilse, bildirimin gecikmesi yerine aşamalı bildirim tercih edilir: bilinenler bildirilir, eksikler tamamlandıkça güncellenir.
- İlgili kişilere bildirim. Etkilenen kişilere makul en kısa sürede, anlaşılır bir dille bilgi verilir. Bildirimde ihlalin niteliği, muhtemel sonuçları, alınan önlemler ve kişilerin alabileceği tedbirler yer almalıdır.
- İş ortakları ve işleyenler. İhlal bir hizmet sağlayıcıda gerçekleştiyse, sözleşmedeki bildirim yükümlülükleri işletilir. Tersi durumda da siz onları bilgilendirmelisiniz.
- İç kayıt. Bildirim yapılsın ya da yapılmasın, her ihlal iç kayıt altına alınmalıdır. Bir denetimde sorulan ilk şey genellikle bu kayıttır.
Bildirim metninde kaçınılması gereken iki hata vardır: olayı olduğundan küçük göstermek ve teknik ayrıntıya boğulup ilgili kişinin ne yapması gerektiğini yazmamak. Bildirimin amacı, etkilenen kişinin kendini koruyabilmesidir.
İhlal müdahale planı şablonu
Tek sayfayı geçmeyen, ekipteki herkesin ulaşabildiği bir plan yeterlidir:
- Tanım: Bizim için ihlal ne demek, hangi olaylar bu planı tetikler.
- İlk 60 dakika: Kim aranır, hangi sistem izole edilir, hangi kayıtlar korunur.
- Karar mercii: Bildirim kararını kim verir, yedeği kim.
- Kapsam soruları: Hangi veri, kaç kişi, hangi tarih aralığı, hangi sistem.
- İletişim şablonları: Kuruma bildirim ve ilgili kişi bilgilendirmesi için hazır taslaklar.
- Dış paydaşlar: Hukuk, hosting sağlayıcı, banka, sigorta — telefon numaralarıyla.
- Kapanış kriteri: Olay ne zaman kapanmış sayılır, kök neden raporu kim tarafından yazılır.
Bu planın en değerli özelliği içeriği değil, olaydan önce yazılmış olmasıdır. Kriz anında yazılan plan, plan değil doğaçlamadır.
Netişlem uzman görüşü: süreyi geciktiren şey teknik değil, karar boşluğu
İncelediğimiz olaylarda bildirim gecikmelerinin çoğu teknik nedenlerden kaynaklanmıyor. Olay fark ediliyor, ancak "bu bildirim gerektirir mi", "kim karar verecek", "hukukçuya mı soralım" tartışması bir günü yiyor. Oysa bu soruların cevabı olaydan önce bir sayfaya yazılabilir. Karar mercii belirli olan işletmelerde aynı olay, saatler içinde yönetilebilir bir sürece dönüşüyor.
İkinci gözlemimiz, veri envanterinin bu süreçteki belirleyici rolü. Hangi sistemde hangi kişisel verinin tutulduğunu bilen bir işletme kapsamı birkaç saatte çıkarıyor; bilmeyen işletme günlerce arıyor. Envanter, uyum belgesi olmaktan çok bir kriz aracı — bunu KVKK denetim yazımızda da ele almıştık.
Üçüncüsü, kayıt tutmanın önemi. Bildirim yapılmayan olaylarda bile "neden bildirilmedi" sorusunun yazılı cevabı olmalı. Değerlendirmenin kendisi kayıt altındaysa, sonradan yapılan denetimde tartışma teknik zeminde kalıyor; kayıt yoksa ihmal görünümü doğuyor.
Kontrol listesi
- Kişisel veri envanteri güncel — hangi veri, hangi sistemde, hangi hukuki sebeple.
- İhlal tanımı ve tetikleyici olaylar yazılı.
- Karar mercii ve yedeği belirlenmiş.
- İlk 60 dakika adımları yazılı ve erişilebilir.
- Bildirim şablonları önceden hazırlanmış.
- Hizmet sağlayıcı sözleşmelerinde bildirim süreleri tanımlı.
- Log ve kayıtların korunma yöntemi belirli (delil değeri için).
- Yedekten geri dönüş süresi biliniyor — bkz. yedekleme ve felaket kurtarma.
- İç ihlal kayıt defteri tutuluyor.
- Yılda bir masa başı tatbikat yapılıyor.
Sık sorulan sorular
72 saat ne zaman başlar?
İhlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan itibaren işler. "Öğrenme" makul bir doğrulama sonrası oluşur; ancak doğrulamayı gereksiz uzatmak da gecikme sayılabilir. Bu yüzden ilk saatlerde yapılan işlemlerin zaman damgalı kaydı önemlidir.
Etkilenen kişi sayısı azsa yine bildirmeli miyim?
Bildirim yükümlülüğü kişi sayısına göre değil, ihlalin niteliğine ve doğurabileceği sonuçlara göre değerlendirilir. Az sayıda kişiyi etkileyen ancak hassas veri içeren bir ihlal, çok sayıda kişiyi etkileyen sıradan bir ihlalden daha ağır sonuç doğurabilir.
Veriler şifreliydi, yine de ihlal sayılır mı?
Şifreleme, verinin okunamaz olması nedeniyle riski belirgin biçimde azaltır ve değerlendirmeyi etkiler. Ancak şifreleme anahtarı da ele geçirildiyse veya şifreleme yöntemi yetersizse koruma sağlamaz. Değerlendirmede belirleyici olan, verinin fiilen okunabilir olup olmadığıdır.
İhlal bir tedarikçide gerçekleştiyse sorumluluk kimde?
Veri sorumlusu sıfatı sizde kaldığı sürece bildirim yükümlülüğü de genellikle sizde olur. Bu nedenle hizmet sağlayıcı sözleşmelerinde bildirim süresi ve iş birliği yükümlülüğü yazılı olmalıdır — bkz. tedarik zinciri riski.
Bildirim yaparsam ceza kesinleşir mi?
Hayır. Bildirim, yükümlülüğün yerine getirilmesidir ve genellikle sürecin lehte değerlendirilen unsurlarından biridir. Asıl risk, bildirim yapılmaması veya geciktirilmesidir; bu durumda hem ihlal hem de yükümlülük ihlali gündeme gelir.
Küçük bir işletme için bu kadar yapı gerekli mi?
Yapının büyüklüğü işletmeye göre ölçeklenir, ancak üç unsur ölçekten bağımsız gereklidir: veri envanteri, karar mercii ve bir sayfalık plan. Üçü birlikte, çoğu küçük işletme için yarım günlük bir hazırlıktır.
Sonuç
Veri ihlali yönetiminde belirleyici olan teknik kapasite değil, önceden verilmiş kararlardır. Kimin karar vereceği, hangi verinin nerede olduğu ve kime ne zaman bildirileceği önceden yazılmışsa, 72 saat yeterli bir süredir. Yazılmamışsa, aynı süre yalnızca soru sormaya yeter.
İhlal müdahale planınızı birlikte hazırlamak isterseniz bize ulaşın. Gizlilik politikamızı, kurumsal yedekleme ve güvenli hosting çözümlerimizi inceleyebilirsiniz.