Veri İhlali Müdahale Planı: 72 Saat Kuralı

Veri ihlali müdahale planı, bir kişisel veri ihlalinin tespitinden Kurula ve ilgili kişilere bildirimine kadar geçen süreci, yani kimin ne yapacağını, hangi sürede karar verileceğini ve nasıl kayıt tutulacağını önceden yazıya döken iç prosedürdür. Planı oluşturmak için altı bileşeni tanımlamanız gerekir: ihlalin tespit ve iç raporlama kanalı, ihlali değerlendirip karar verecek sorumlu kişi veya ekip, Kurula 72 saat içinde bildirim mekanizması, ilgili kişilere bildirim yöntemi, alınacak teknik ve idari tedbirlerin belirlenmesi ve tüm sürecin kayıt altına alınması. Bu planın hazırlanması, Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarih ve 2019/10 sayılı kararında açıkça beklenen bir yükümlülüktür.

Planın hukuki dayanağı 6698 sayılı Kanun'un 12. maddesidir. Bu madde, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve Kurula bildirmesini zorunlu kılar. Kurul, 2019/10 sayılı kararıyla 'en kısa süre' ifadesini somutlaştırmış ve veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmasını kararlaştırmıştır. Aynı kararda, veri sorumlusunun kendi nezdinde bir veri ihlali müdahale planı hazırlaması ve bu planı belirli aralıklarla gözden geçirmesi gerektiği ifade edilmiştir.

72 saatlik sürenin başlangıç anı planınızda net olmalıdır. Süre, ihlalin gerçekleştiği an değil, veri sorumlusunun ihlali öğrendiği an itibarıyla işlemeye başlar. Bu nedenle plan, ihlalin nasıl fark edileceğini ve öğrenme anının nasıl belgeleneceğini tanımlamalıdır. Bildirim için gerekli tüm bilgiler ilk anda toplanamıyorsa, gecikmeye mahal vermeden Kurula aşamalı bildirim yapılabilir; ilk bildirim 72 saat içinde iletilir, eksik bilgiler tamamlandıkça sonradan sunulur. 72 saatin haklı bir gerekçe olmaksızın aşılması başlı başına bir eksiklik olarak değerlendirilir; gecikme varsa bunun nedenleri bildirimle birlikte açıklanmalıdır.

Planın ilk somut bileşeni iç tespit ve raporlama kanalıdır. İhlalin farkına ilk varan çalışanın (BT ekibi, çağrı merkezi, saha personeli veya tedarikçi) durumu kime, hangi kanaldan ve ne kadar sürede ileteceği tek bir akışta tanımlanmalıdır. Uygulamada saatler çoğu zaman burada kaybedilir, çünkü çalışan kime haber vereceğini bilmez. Bu nedenle plana tek bir iletişim noktası (örneğin bir e-posta adresi veya iç bildirim formu) ve 7/24 ulaşılabilir bir irtibat kişisi yazılmalıdır. İhlalin öğrenildiği tarih ve saat, tespit eden birim ve ilk bulgular en baştan kayıt altına alınmalıdır.

İkinci bileşen karar ve sorumluluk dağılımıdır. Kurul kararı, veri sorumlusunun kendi nezdinde kimlere raporlama yapılacağını ve sorumluluğun kimde olduğunu planda belirlemesini bekler. Bir müdahale ekibi tanımlamak yerinde olur: kişisel veri irtibat kişisi veya varsa veri koruma sorumlusu koordinasyonu üstlenir, bilgi teknolojileri ekibi teknik incelemeyi ve tedbirleri yürütür, hukuk birimi bildirim yükümlülüğünü ve Kurul iletişimini değerlendirir, üst yönetim ise nihai kararı verir. Her rol için asıl kişi ve yedeği belirlenmeli, ihlal tatil veya mesai dışı bir saatte gerçekleşse bile karar mekanizmasının işleyeceği güvence altına alınmalıdır.

Üçüncü bileşen, ihlalin değerlendirilmesi ve kapsamının tespitidir. Ekip, hangi kişisel veri kategorilerinin (kimlik, iletişim, finans, sağlık gibi özel nitelikli veriler dahil) etkilendiğini, kaç ilgili kişinin etkilendiğini, ihlalin muhtemel sonuçlarını ve ilgili kişiler bakımından doğabilecek zararları değerlendirir. Bu değerlendirme hem Kurula sunulacak bildirim formunun içeriğini hem de ilgili kişilere bildirim yapılıp yapılmayacağını belirler. Özel nitelikli veriler veya finansal veriler söz konusu olduğunda risk ağırlığı artar; plan bu tür yüksek etkili senaryolar için hızlandırılmış bir karar akışı öngörmelidir.

Dördüncü bileşen Kurula bildirimdir. Bildirim, Kurumun yayımladığı Kişisel Veri İhlali Bildirim Formu üzerinden ve elektronik ihlal bildirim sistemi (ihlalbildirim.kvkk.gov.tr) aracılığıyla yapılır. Planınızda formu kimin dolduracağı, hangi bilgilerin önceden hazır tutulacağı ve onay zincirinin nasıl işleyeceği tanımlı olmalıdır. Form genel olarak ihlalin ne zaman ve nasıl gerçekleştiği, etkilenen kişisel veri kategorileri ve yaklaşık ilgili kişi sayısı, ihlalin olası sonuçları, alınan ya da alınması öngörülen tedbirler ve irtibat kişisine dair bilgileri içerir. Bu alanları destekleyen kayıtların hazır olması, 72 saatlik süreyi rahatça karşılamanızı sağlar.

Beşinci bileşen ilgili kişilere bildirimdir. Kurul, etkilenen kişilerin belirlenmesinden sonra bu kişilere makul olan en kısa sürede bildirim yapılmasını öngörmüştür. Bildirim yöntemi, ilgili kişinin iletişim adresine ulaşılıp ulaşılamamasına göre değişir: adrese ulaşılabiliyorsa doğrudan (e-posta, kısa mesaj, mektup gibi) bildirim yapılır, ulaşılamıyorsa veri sorumlusunun kendi internet sitesinde yayımlanması gibi uygun yöntemler kullanılır. Plana, ilgili kişilere iletilecek bildirim metni için hazır bir şablon eklemek pratik bir çözümdür; bu metin ihlali sade bir dille anlatmalı ve ilgili kişinin alabileceği koruyucu önlemleri açıklamalıdır.

Altıncı bileşen veri işleyen ilişkisidir. İhlal, veri sorumlusu adına veri işleyen bir tedarikçi (bulut sağlayıcı, çağrı merkezi, yazılım firması gibi) nezdinde gerçekleşmişse, bildirim yükümlülüğü hukuken veri sorumlusuna aittir. Bu nedenle veri işleyenin, ihlali fark ettiği anda veri sorumlusuna gecikmeksizin haber vermesi gerekir; aksi halde veri sorumlusunun 72 saatlik süresi fiilen tükenebilir. Planınızı desteklemek için veri işleme sözleşmelerine, veri işleyenin derhal bildirim yapma yükümlülüğünü ve iletişim kanalını açıkça düzenleyen bir hüküm eklenmelidir.

Son bileşen kayıt ve gözden geçirmedir. Kurul kararı, ihlale ilişkin bilgilerin, ihlalin etkilerinin ve alınan tedbirlerin Kurulun incelemesine hazır olacak şekilde kayıt altına alınmasını zorunlu tutar. Bu nedenle her ihlal için tespit anından bildirim tamamlanana kadar tüm adımların tarih ve saatiyle belgelendiği bir ihlal kayıt dosyası tutulmalıdır. Müdahale planının kendisi de durağan bir belge değildir; belirli aralıklarla (örneğin yılda en az bir kez) ve mevzuatta değişiklik olduğunda gözden geçirilmeli, mümkünse gerçek bir olayı taklit eden tatbikatla test edilmelidir. Gözden geçirmenin yapıldığı da kayıt altına alınmalıdır.

Kurumunuzun mevcut müdahale planını KVKK yükümlülükleri karşısında değerlendirmek isterseniz, KVKK Danışman ücretsiz bir ön değerlendirme sunuyor. İhlal tespit akışınızı, rol dağılımınızı ve bildirim hazırlığınızı gözden geçirip eksik noktaları birlikte belirleyebiliriz.

Randevu Al