Bir siber saldırı, kaybolan bir dizüstü bilgisayar veya yanlış kişiye gönderilen bir e-posta... Kişisel verilerin yetkisiz kişilerin eline geçmesi, işletmeler için ciddi bir hukuki ve itibar riskidir. KVKK, bu durumda ne yapılacağını düzenler.
Yasal çerçeve
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmesini öngörür. Kişisel Verileri Koruma Kurulu'nun kararıyla bu "en kısa süre", ihlalin öğrenilmesinden itibaren 72 saat olarak yorumlanmaktadır.
Bildirim süreci
- Tespit: İhlalin ne zaman, nasıl öğrenildiği kayıt altına alınır.
- Değerlendirme: Hangi veriler, kaç kişi, hangi riskler?
- Kurul'a bildirim: Kurum'un yayımladığı ihlal bildirim formu ile. Tüm bilgiler henüz netleşmediyse eldeki bilgilerle bildirim yapılır, sonra tamamlanır.
- İlgili kişilere bildirim: Etkilenen kişilere makul en kısa sürede, anlaşılır bir dille bilgi verilir.
- Kayıt: İhlalle ilgili tüm adımlar belgelendirilir.
Güncel form ve usuller için Kişisel Verileri Koruma Kurumu'nun resmî sitesini kontrol edin.
Müdahale planı önceden hazır olmalı
Kriz anında plan yazmak zordur. Önceden belirlenmesi gerekenler:
- İhlali kimin değerlendireceği ve karar vereceği.
- Hukuk ve teknik destek iletişim bilgileri.
- Sistemlerin nasıl izole edileceği.
- Bildirim metni taslakları.
- Yedeklerden geri dönüş prosedürü. Bkz. veritabanı yedekleme.
Yazılım tarafında önlemler
- Erişim kayıtları: Kim, hangi veriye, ne zaman erişti? Kayıt yoksa ihlalin kapsamını belirlemek imkânsızlaşır.
- Yetkilendirme: Her kullanıcı yalnızca işi için gereken veriye erişmeli.
- Şifreleme: Hassas veriler veritabanında ve yedeklerde şifrelenmeli.
- Veri minimizasyonu: Gerekmeyen veri hiç toplanmamalı; saklama süresi dolan veri silinmeli.
- Güncellemeler ve güvenli kodlama: Bkz. OWASP Top 10.
Siber Güvenlik Kanunu ile ilişkisi
7545 sayılı Siber Güvenlik Kanunu kapsamındaki kuruluşlar için siber olayların Siber Güvenlik Başkanlığı'na bildirimi ayrı bir yükümlülük olabilir. İki bildirim sürecinin tutarlı yönetilmesi gerekir. Bkz. Siber Güvenlik Kanunu.
Sık sorulan sorular
Küçük bir işletme de bildirim yapmak zorunda mı?
Bildirim yükümlülüğü, VERBİS kaydı yükümlülüğünden bağımsızdır. Kişisel veri işleyen ve ihlal yaşayan veri sorumluları için geçerlidir.
Saldırgan veriyi kullanmadıysa yine bildirim gerekir mi?
İhlalin niteliğine göre değerlendirme yapılmalıdır. Şüphe durumunda hukuki destek alınması önerilir.
Sonuç
Veri ihlali yaşanmadan önce hazırlık yapmak, kriz anında doğru ve zamanında hareket etmeyi sağlar. Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. Yazılımlarınızda güvenlik ve kayıt altyapısı için destek alabilirsiniz.