Kişisel veri ihlali, yalnızca bir veri tabanının siber saldırı sonucunda ele geçirilmesi değildir. Bir e-postanın yanlış alıcıya gönderilmesi, çalışanın yetkisi dışındaki kayıtlara erişmesi, evrakın kaybolması, sistem şifresinin açığa çıkması veya kişisel verilere ihtiyaç duyulduğu anda ulaşılamaması da olayın koşullarına göre ihlal niteliği taşıyabilir.

Böyle bir durumda ilk saatlerde alınan teknik önlemler kadar hukuki değerlendirme, bildirim süreleri ve belge düzeni de önemlidir.

Her güvenlik olayı kişisel veri ihlali midir?

Öncelikle olayın kişisel verilerin gizliliğini, bütünlüğünü veya erişilebilirliğini etkileyip etkilemediği belirlenmelidir. Etkilenen kayıtlarda kimliği belirli veya belirlenebilir gerçek kişilere ilişkin bilgi bulunmuyorsa olay başka bir bilgi güvenliği süreci içinde kalabilir.

Kişisel verilerin hukuka aykırı şekilde elde edilmesi, açıklanması, değiştirilmesi, silinmesi veya erişilemez hâle gelmesi ihtimali bulunuyorsa olay 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından değerlendirilmelidir.

İncelemenin yalnızca “veri dışarı çıktı mı?” sorusuna indirgenmemesi gerekir. Yetkisiz bir kişinin veriyi görüntüleyebilmesi, veriyi kopyalayıp kopyalamadığı kesinleşmese bile risk yaratabilir.

İlk müdahalede ne yapılmalıdır?

İhlal şüphesinin öğrenilmesi üzerine öncelik, zararın büyümesini önlemektir. İlgili hesabın erişimi sınırlandırılabilir, ele geçirilen oturumlar kapatılabilir, parolalar ve erişim anahtarları yenilenebilir, hatalı paylaşım geri çekilebilir veya etkilenen sistem ağdan ayrılabilir.

Alınacak önlem, iş sürekliliğini gereksiz şekilde durdurmadan riski azaltacak biçimde belirlenmelidir. Müdahalenin teknik ekip, hukuk, yönetim ve ilgili iş birimlerinin katılımıyla koordineli şekilde yürütülmesi önem taşır.

Dijital deliller korunmalıdır

Müdahale sırasında sistem kayıtlarının, e-postaların, cihazların ve diğer dijital delillerin bütünlüğü korunmalıdır. Sistemi hızlıca yeniden kurmak veya kayıtları temizlemek, olayın kapsamının daha sonra anlaşılamamasına neden olabilir.

Kim tarafından, hangi tarih ve saatte, hangi işlemin yapıldığını gösteren bir olay günlüğü tutulmalıdır. Kesinleşmiş bulgular, teknik varsayımlar ve araştırılmaya devam edilen konular birbirinden ayrılmalıdır.

Veri işleyen hizmet sağlayıcının rolü

Olay bir bulut hizmeti, yazılım şirketi, çağrı merkezi veya başka bir veri işleyen nezdinde meydana gelmiş olabilir. Veri işleyen, ihlali tespit ettiğinde veri sorumlusuna gecikmeksizin bilgi vermelidir.

Bildirim yöntemi, iletişim kişileri ve veri işleyenin sağlaması gereken teknik bilgilerin sözleşmede önceden düzenlenmesi zaman kaybını azaltır. Ancak hizmet sağlayıcıyla yapılan sözleşme, veri sorumlusunun kanundan doğan yükümlülüklerini ortadan kaldırmaz.

İhlalin kapsamı ve riski belirlenmelidir

Sağlıklı bir değerlendirme yapılabilmesi için mümkün olan en kısa sürede aşağıdaki sorulara yanıt aranmalıdır:

Olay ne zaman başladı, ne zaman sona erdi ve ne zaman öğrenildi?
Hangi sistemler ve iş süreçleri etkilendi?
Hangi kişisel veri kategorileri ihlale konu oldu?
Yaklaşık kaç kişi ve kaç kayıt etkilendi?
Özel nitelikli kişisel veri, finansal bilgi veya parola bulunuyor mu?
Veriye kimlerin erişmiş olabileceği biliniyor mu?
Verinin kötüye kullanılma ihtimali nedir?
Kimlik hırsızlığı, dolandırıcılık veya itibar kaybı riski bulunuyor mu?
Veri şifreli mi ve şifreleme anahtarları güvende mi?
Olayı sınırlandırmak için hangi önlemler alındı?

Bu değerlendirmenin yazılı ve gerekçeli olarak yapılması gerekir. Bildirim yapılmamasına karar verilen olaylarda da kararın dayanaklarının kayıt altına alınması önemlidir.

Kurula bildirim için 72 saatlik süre

6698 sayılı Kanun’un 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kuruluna bildirmesini öngörür.

Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla “en kısa sürede” ifadesi, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat olarak yorumlanmıştır.

Süre, ihlalin bütün ayrıntılarıyla kesinleşmesinden değil, veri sorumlusunun ihlali öğrendiği tarihten itibaren değerlendirilir. İnceleme 72 saat içinde tamamlanamıyorsa mevcut bilgilerle bildirim yapılıp yeni bilgiler takip eden bildirimlerle aşamalı olarak sunulabilir.

Haklı bir gerekçeyle süresinde bildirim yapılamamışsa gecikmenin nedenleri de Kurula yapılacak bildirimle birlikte açıklanmalıdır.

Kurula hangi bilgiler verilmelidir?

Bildirim, Kişisel Verileri Koruma Kurumunun yayımladığı güncel Veri İhlali Bildirim Formu ve bildirim kanalı kullanılarak yapılmalıdır. Bildirimde mümkün olduğu ölçüde şu bilgilere yer verilmelidir:

İhlalin gerçekleşme, tespit ve öğrenilme zamanı,
İhlalin kaynağı ve nasıl meydana geldiği,
Etkilenen kişi ve kişisel veri kategorileri,
Yaklaşık kişi ve kayıt sayısı,
İhlalin muhtemel sonuçları,
Alınan veya alınması planlanan önlemler,
İlgili kişilere yapılacak bildirimin yöntemi,
Konuyla ilgili irtibat kurulabilecek kişinin bilgileri.

İlgili kişilere de bildirim yapılmalıdır

Kurula bildirim yapılması, ihlalden etkilenen kişilerin bilgilendirilmesi yükümlülüğünü kendiliğinden yerine getirmez. Etkilenen kişiler belirlendikten sonra ilgili kişilere makul olan en kısa süre içinde bildirim yapılmalıdır.

İlgili kişinin iletişim adresine ulaşılabiliyorsa bildirim doğrudan yapılabilir. İletişim bilgisine ulaşılamıyorsa veri sorumlusunun internet sitesinde duyuru yayımlanması gibi uygun yöntemler kullanılabilir.

Bildirim açık ve anlaşılır olmalı; yalnızca “siber olay yaşandı” şeklindeki genel bir ifadeyle yetinilmemelidir. İhlalin ne zaman meydana geldiği, hangi veri kategorilerinin etkilendiği, muhtemel sonuçlar, alınan önlemler ve kişinin kendi riskini azaltmak için yapabilecekleri belirtilmelidir.

Örneğin parola bilgilerinin etkilenmesi durumunda parolanın değiştirilmesi, aynı parolanın kullanıldığı diğer hesapların kontrol edilmesi ve şüpheli mesajlara karşı dikkatli olunması önerilebilir.

İhlale ilişkin kayıtlar saklanmalıdır

Veri sorumlusu, kendisi nezdinde gerçekleşen kişisel veri ihlallerine ilişkin bilgileri, ihlalin etkilerini ve alınan önlemleri kayıt altına almalı ve gerektiğinde Kurulun incelemesine hazır bulundurmalıdır.

Olay günlüğü, teknik raporlar, alınan kararlar, yapılan bildirimler, ilgili kişi bilgilendirmeleri ve düzeltici faaliyetler düzenli bir dosya hâlinde saklanmalıdır.

İhlal sonrasında kök neden analizi yapılmalıdır

Olay kapatıldıktan sonra yalnızca teknik açığın giderilmesi yeterli değildir. İhlalin neden gerçekleştiği belirlenmeli; erişim yetkileri, saklama süreleri, yedekleme sistemi, tedarikçi sözleşmeleri, çalışan eğitimleri ve olay müdahale planı gözden geçirilmelidir.

Gerekirse kişisel veri işleme envanteri, saklama ve imha politikası, aydınlatma metinleri ve kurum içi güvenlik prosedürleri güncellenmelidir.

İhlal; bankacılık, ödeme hizmetleri, sağlık, elektronik haberleşme veya başka bir düzenlenmiş sektörle ilgiliyse KVKK bildiriminin yanında sektörel otoritelere ya da adli mercilere yapılması gereken başka bildirimler de bulunabilir.

Önceden hazırlanmış müdahale planı neden önemlidir?

Yetmiş iki saatlik süre içinde görev dağılımını ilk kez belirlemeye çalışmak önemli zaman ve bilgi kaybına yol açabilir. Kuruluşların olay gerçekleşmeden önce teknik ekip, hukuk, yönetim ve iletişim birimlerinin görevlerini belirlemesi yararlı olur.

Veri işleyenlerin bildirim yükümlülükleri, karar ve onay zinciri, Kurul bildirim formu, ilgili kişi bildirim taslağı ve kurum içi iletişim listesi önceden hazırlanmalıdır. Planın belirli aralıklarla tatbikat yoluyla sınanması, gerçek bir ihlalde eksiklerin daha hızlı görülmesini sağlar.

Sonuç

Veri ihlali yönetimi yalnızca bir bildirim formunun doldurulmasından ibaret değildir. Olayın durdurulması, delillerin korunması, kapsam ve risk analizinin yapılması, Kurul ile ilgili kişilerin zamanında bilgilendirilmesi ve tekrarını önleyecek tedbirlerin alınması birbirini tamamlayan aşamalardır.

Her ihlalin etkilediği veri, kişi grubu ve sistem farklı olduğundan süreç somut olayın özelliklerine göre ve gecikmeden yürütülmelidir.

Bir güvenlik olayında süreler ve bildirim yükümlülükleri, olayın öğrenilme anı ve etkileri dikkate alınarak ayrıca değerlendirilmelidir.

KVKK Kapsamında Veri İhlali Bildirim Süreci