Her sistem arızası kişisel veri ihlali değildir
Hizmet kesintisi, veri kaybı ve kişisel verilerin hukuka aykırı biçimde başkalarınca elde edilmesi farklı durumlar olabilir. Olayın kapsamı, hangi verinin etkilendiği ve üçüncü kişi erişimine ilişkin bulgular belirlenir. İlk teknik şüphe ile doğrulanmış olayın birbirinden ayrılması önemlidir.
Bununla birlikte bütün ayrıntılar tamamlanana kadar hiçbir işlem yapmadan beklemek doğru bir yaklaşım değildir. Teknik incelemeyle eş zamanlı olarak öğrenme tarihi, mevcut bilgiler ve hukuki bildirim gereği değerlendirilir.
Öğrenme anı ve 72 saatlik bildirim
Kurulun 2019/10 sayılı kararı, kişisel veri ihlalinin Kurula bildirimi için “en kısa sürede” ifadesini 72 saat olarak açıklamaktadır. Süre, veri sorumlusunun ihlali öğrenmesi üzerinden değerlendirilir. Bu nedenle ilk olay bildirimi ve kim tarafından ne zaman alındığı kaydedilmelidir.
Öğrenme tarihinin yalnız teknik raporun tamamlandığı gün olduğu varsayılmaz. Geç bildirim halinde gecikmenin gerekçesi açıklanır. Bilgiler aynı anda elde edilemiyorsa mevcut bilgi ve tamamlayıcı bildirim planı resmî bildirim usulüyle birlikte değerlendirilir.
Bildirim dosyasının temel bilgileri
Etkilenen sistem, olay zamanı, veri kategorileri, kişi sayısına ilişkin bilinenler ve muhtemel sonuçlar hazırlanır. Alınan ve planlanan tedbirler, incelemenin hangi aşamada olduğu ve iletişim sorumlusu belirtilir. Kesinleşmemiş sayılar kesin sonuç gibi yazılmamalıdır.
Teknik ekibin olay raporu, yönetimin öğrendiği kayıt ve hizmet sağlayıcının açıklaması karşılaştırılır. “Hata düzeltildi” cümlesi hangi verinin kimlere ulaştığını açıklamayabilir. Bildirimde olayın mahiyeti anlaşılır olmalı; gereksiz kişisel veri çoğaltılmamalıdır.
İlgili kişilere bildirim
Etkilenen kişilerin belirlenmesini takiben makul olan en kısa süre içinde uygun yöntemle bilgilendirme değerlendirilir. Kurula bildirim ile ilgili kişiye bildirim aynı yükümlülük değildir. İletişim adresi bulunması, bildirim yöntemini etkiler.
Açıklama kişinin hangi verisinin etkilendiğini, olayın olası sonuçlarını ve ulaşabileceği kanalı anlamasını sağlamalıdır. Teknik terimlerle dolu belirsiz duyuru veya olayın kesinleşmemiş sonuçlarını küçümseyen ifadeler yerine, doğrulanmış bilgiler ve güncelleme süreci kullanılır.
Tedarikçi ve adli süreç
Veri işleyen veya hizmet sağlayıcı olaydan haberdar olduysa veri sorumlusuna ne zaman ve hangi bilgiyle bildirdiği önemlidir. Sözleşmedeki bildirim ve iş birliği maddeleri incelenir. Sorumluluğun yalnız dış tedarikçiye ait olduğu varsayımı, şirketin kendi yükümlülüklerini otomatik kaldırmaz.
Suç şüphesi, zarar ve sözleşmeye aykırılık yönleri ayrıca ele alınır. Teknik inceleme belgeleri, loglar ve şirketin karar kayıtları korunur. Kurula bildirim yapılması savcılık başvurusunun veya zarar talebinin yerine geçmez.
BELGE HAZIRLIĞI
Hangi deliller önemli?
- İlk öğrenme ve kurum içi bildirim kaydı
- Olay raporu ve etkilenen veri listesi
- Hizmet sağlayıcı bildirimleri
- Kurul ve ilgili kişi bildirim kayıtları
Sık yapılan hatalar
- Teknik inceleme bitene kadar süreyi yok saymak
- Kurul bildirimiyle kişi bildiriminin aynı olduğunu sanmak
- Kesinleşmemiş kişi sayısını kesin vermek
Sık sorulan sorular
Hukuki çerçeve ve kaynaklar
Kişisel veri ihlali bildirimine ilişkin açıklama — KVKK ↗Başvuru tarihinde güncel metin, karar ve görevli merci ayrıca kontrol edilmelidir. Eski kanun veya karar örnekleri somut dosyaya doğrudan uygulanmaz.