Veri İhlalinde İlk 72 Saat: Şirketler İçin Yol Haritası

Bir çalışanın müşteri listesini yanlış adrese göndermesi, kaybolan bir dizüstü bilgisayar ya da sisteme yapılan bir saldırı… Bunların her biri kişisel veri ihlalidir ve veri sorumlusu şirkete kısa sürede yerine getirilmesi gereken yükümlülükler yükler.

Veri ihlali nedir?

İşlenen kişisel verilerin hukuka aykırı yollarla başkalarının eline geçmesi, yetkisiz kişilerce erişilmesi, değiştirilmesi ya da yok olması veri ihlalidir. İhlalin kasıtlı olması gerekmez; ihmal sonucu ortaya çıkan olaylar da bu kapsamdadır.

İlk saatler: olayı sınırlayın

1. İhlalin kaynağını belirleyin ve sürmesini engelleyin: erişimleri kapatın, parolaları değiştirin, etkilenen sistemleri ayırın.
2. Hangi verilerin, kaç kişiye ait olduğunu ve verilerin niteliğini (sağlık, finans, kimlik bilgisi gibi) tespit edin.
3. Olayı ilk fark eden kişiden başlayarak yapılan her işlemi saatiyle birlikte kayda geçirin.
4. Hukuk, bilgi işlem ve yönetimden oluşan küçük bir ekip görevlendirin; dışarıya tek elden bilgi verin.

72 saat içinde: Kurula bildirim

Veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kişisel Verileri Koruma Kurulu’na bildirimde bulunur. Bildirim, Kurulun yayımladığı form kullanılarak yapılır.

• Bütün bilgiler bu sürede toplanamamışsa bildirim yine yapılır; eksikler sonradan aşamalı olarak tamamlanır.
• Bildirim yetmiş iki saat içinde yapılamamışsa gecikmenin nedeni de açıklanır.
• Veriler bir veri işleyenin (örneğin bulut ya da muhasebe hizmeti sağlayıcısının) elindeyken ihlal olmuşsa, veri işleyen durumu veri sorumlusuna gecikmeksizin bildirmelidir; bildirim yükümlülüğü veri sorumlusundadır.

İlgili kişilerin bilgilendirilmesi

İhlalden etkilenen kişiler belirlendikten sonra, makul olan en kısa sürede kendilerine bildirim yapılır. Bildirimde ihlalin ne zaman gerçekleştiği, hangi verilerin etkilendiği, olası sonuçlar, alınan önlemler ve bilgi alınabilecek iletişim kanalları sade bir dille yer almalıdır. İletişim bilgisine ulaşılamayan kişiler için internet sitesinden duyuru yapılabilir.

Kayıt ve sonrası

İhlale ilişkin bilgiler, etkileri ve alınan önlemler kayıt altına alınmalı ve Kurulun incelemesine hazır tutulmalıdır. Kurul, bildirimi kendi internet sitesinde ilan edebilir ve inceleme başlatabilir. İncelemede yalnızca ihlalin kendisi değil, ihlalden önce alınmış teknik ve idari tedbirlerin yeterliliği de değerlendirilir.

İhlal yaşanmadan önce hazırlık

• Yazılı bir veri ihlali müdahale planı bulundurun; kimin neyi yapacağı belli olsun.
• Veri işleyenlerle yapılan sözleşmelere bildirim yükümlülüğü ve süre ekleyin.
• Çalışanlara, şüpheli bir durumu kime bildireceklerini öğretin.
• Veri işleme envanterinizi güncel tutun; hangi verinin nerede olduğunu bilmeden kapsam belirlenemez.

Uyum çalışmasının adımları için Kişisel Verilerin Korunması sayfamıza bakabilirsiniz.