Kişisel veri ihlalinde Kurul’a 72 saat içinde bildirim zorunludur. Zaman çizelgesi, roller ve bildirim içeriği için pratik rehber.
Kişisel Verilerin Korunması Kanunu’nun 12. maddesi, veri sorumlusuna verilerin hukuka aykırı olarak ele geçirilmesini önleme yükümlülüğü getirir. İhlal gerçekleştiğinde ise Kişisel Verileri Koruma Kurulu’na gecikmeksizin, en geç 72 saat içinde bildirim yapılması gerekir. 72 saat, ihlalin öğrenildiği andan itibaren işler. Bu süre, dışarıdan bakıldığında uzun görünse de teknik inceleme ve hukuki değerlendirme yapılırken çok hızlı tükenir.
0–6. saat: Tespit ve izolasyon
- Olayı kayıt altına alın; saat, kaynak ve ilk gözlemleri yazın.
- Etkilenen sistemleri ağdan çıkarın, ancak kapatmayın (adli delil kaybı olmasın).
- Olay müdahale ve KVKK komitesini toplayın.
6–24. saat: Kapsam analizi
- Hangi veri kategorileri etkilendi? (kimlik, iletişim, finans, sağlık gibi özel nitelikli veriler)
- Kaç kişi etkilendi? Veri şifreli miydi?
- Saldırgan sistemde ne kadar süre kaldı?
24–48. saat: Hukuki değerlendirme
İhlalin ilgili kişiler açısından risk doğurup doğurmadığı değerlendirilir. Özel nitelikli veri varsa veya kimlik hırsızlığı riski yüksekse etkilenen kişilere de bildirim yapılmalıdır.
48–72. saat: Kurul bildirimi
Kurul’un yayımladığı Veri İhlali Bildirim Formu doldurulur. Formda ihlalin ne zaman ve nasıl gerçekleştiği, etkilenen veri ve kişi sayıları, olası sonuçlar ve alınan tedbirler yer alır. Bilgi tam değilse eksik kısımlar sonradan aşamalı olarak sunulabilir.
Sonrasında
Kök neden analizi yapılır, teknik ve idari tedbirler güncellenir ve ihlal kaydı (ihlal defteri) tutulur. Bildirimin yapılmaması veya geç yapılması idari para cezası riski doğurur.
Surnet olarak ihlal anında teknik inceleme ile hukuki bildirimi tek ekip olarak yürütüyoruz. Bir ihlal planınız yoksa KVKK Veri İhlali Müdahale Planı şablonumuzu Whitepaper bölümünden indirebilirsiniz.
İhlal bildirim formunda sık yapılan hatalar
- Etkilenen kişi sayısını ‘bilinmiyor’ bırakmak; tahmini aralık yazılmalıdır.
- Alınan tedbirleri genel ifadelerle (‘güvenlik artırıldı’) geçiştirmek.
- Veri işleyen firmanın ihlalini sorumluluk dışı sayıp bildirimi geciktirmek; veri sorumlusu bildirimden sorumludur.
- İhlal defterini tutmamak; küçük ihlaller de kayıt altına alınmalıdır.
Hazırlıklı olmanın en kolay yolu, yılda bir kez 72 saatlik bir masa başı tatbikat yapmaktır.