KVKK Veri İhlali Bildirimi: 72 Saat Kuralı ve Bildirim Süreci

Bir olay ekibinin masasına sızıntı düştüğü an saat işlemeye başlar. Kapsamı anlamak, sistemleri izole etmek ve yönetimi bilgilendirmek aynı anda olur. Bu karmaşanın içinde bir de hukuki saat vardır. Bu yazıda o saatin nereden geldiğini, bildirimin adımlarını ve bir SOC ekibinin 72 saati nasıl bölmesi gerektiğini anlatıyoruz.

KVKK veri ihlali bildirimi nedir?

6698 sayılı Kişisel Verilerin Korunması Kanunu 2016'da yürürlüğe girdi. Kanun, kişisel veri işleyen kurumlara veri sorumlusu olarak yükümlülükler getirir. Kanunun 12. maddesinin 5. fıkrası açıktır: işlenen veri kanuni olmayan yollarla başkalarınca elde edilirse, veri sorumlusu bunu en kısa sürede ilgili kişiye ve Kurula bildirir.

Veri ihlali geniş bir kavramdır. Bir veri tabanının sızması, bir çalışan hesabının ele geçirilmesi, yanlış yapılandırılmış bir sunucunun açık kalması ve kaybolan bir yedek bu tanıma girebilir. Belirleyici soru şudur: kişisel veri yetkisiz birinin eline geçti mi ya da geçebilir mi?

Bildirimin iki muhatabı vardır: Kişisel Verileri Koruma Kurulu ve ihlalden etkilenen ilgili kişiler. İkisinin süresi ve biçimi farklıdır, aşağıda ayrı ayrı ele alıyoruz.

İhlaller çoğunlukla üç türe ayrılır. Gizlilik ihlalinde veri yetkisiz biri tarafından görülür. Bütünlük ihlalinde veri izinsiz değiştirilir. Erişilebilirlik ihlalinde veri kalıcı ya da geçici olarak kaybolur, fidye yazılımında olduğu gibi. Bir olay bu türlerden birine ya da ikisine girebilir. Türü net tanımlamak, Kurula yazacağın açıklamayı da netleştirir.

72 saatlik süre nereden geliyor?

Kurulun 2019/10 sayılı kararı süreyi belirler. Veri sorumlusu, ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurula bildirim yapar. Burada kritik kavram öğrenme anıdır. Saat ihlalin gerçekleştiği andan değil, kurumun ihlali fark ettiği andan başlar. Bu yüzden izleme sistemlerinin hızı, 72 saatin ne kadarının analize ve ne kadarının bildirime kalacağını doğrudan belirler.

Karar, 72 saat içinde her ayrıntının netleşmesini şart koşmaz. Eldeki bilgiyle ilk bildirim yapılır, eksik bilgi gerekçesiyle birlikte sonra tamamlanır. Ekipler sık sık "her şey netleşmeden bildirmeyelim" diye süreci geciktirir. Beklenen ise tam tersidir: mevcut bilgiyle zamanında başlamak.

İlgili kişilere bildirim için Kurul sabit bir saat vermez, "makul olan en kısa süre" ölçütünü kullanır. Bu süre ihlalin büyüklüğüne, etkilenen kişi sayısına ve iletişim kanallarının hazır olup olmadığına göre değişir.

SOC ekibi için 72 saat zaman çizelgesi

Aşağıdaki tablo teknik ekibin bakış açısıyla bir çalışma planıdır. Saatler öğrenme anından (T0) itibaren sayılır. Tablo bir yasal şablon değil, pratik bir örnektir. Kendi olay müdahale planına göre uyarla.

Kurula bildirim, Kurumun çevrim içi ihlal bildirim sistemi üzerinden yapılır. Sistem yeni bildirim oluşturmayı, var olanı sorgulamayı ve güncellemeyi sağlar. Form kılavuzu da aynı sayfadadır.

Bildirim sürecinin adımları

Bildirim tek bir formu doldurmaktan ibaret değildir. Süreç çoğunlukla şu sırayı izler:

• Tespit ve doğrulama: uyarının gerçek bir ihlal olduğunu teyit et, yanlış pozitifi ele.
• Kapsam belirleme: hangi sistemler, hangi veri kategorileri ve yaklaşık kaç kişi etkilendi.
• İç bildirim: BT, hukuk, uyum ve üst yönetim aynı anda haberdar olur.
• Sayacın başlaması: öğrenme anı belgelenir, sonraki bütün adımlar bu saate göre planlanır.
• Kurula bildirim: ihlal bildirim sistemi üzerinden form doldurulur.
• İlgili kişilere bildirim: doğrudan iletişim ya da kamuya açık duyuru.
• Belgeleme: her adım, karar ve zaman damgası kayda geçer.

Bu adımların çoğu olay müdahalesinin doğal uzantısıdır. Teknik ekip olayı sınırlarken uyum ve hukuk ekibi paralel olarak bildirimi hazırlar. İki ekibin birbirinden habersiz çalışması en sık görülen aksama noktasıdır.

Kurula bildirimde neler yer almalı?

Bildirimde genel olarak şu bilgiler beklenir:

• İhlalin niteliği ve nasıl gerçekleştiği
• Etkilenen veri kategorileri (kimlik, iletişim, finansal, özel nitelikli veri)
• Etkilenen kişi ve kayıt sayısına dair tahmin
• İhlalin olası sonuçları
• Alınan ve alınması planlanan önlemler
• Kurul ile iletişim kuracak kişinin bilgileri

Bu bilgilerin bir kısmı 72 saatte netleşmeyebilir. O durumda hangi bilginin eksik olduğunu ve ne zaman tamamlanacağını açıkça yaz.

Bildirim gönderilince süreç bitmez. Kurul bildirimi inceler ve gerekirse ek bilgi ve belge ister. Bu yüzden kayıtları, log çıktılarını ve karar gerekçelerini düzenli sakla. Bildirimi geç yapmak ya da hiç yapmamak kurumun sorumluluğunu ayrıca artırır. Şüpheli bir durumda "belki gerek yoktur" diye bekleme. Uyum ve hukuk ekibiyle hızlıca değerlendir.

İlgili kişilere bildirim

İlgili kişilere bildirim, Kurula yapılan bildirimden bağımsız bir yükümlülüktür ve sık atlanır. Kurumlar çoğu zaman Kurula bildirip süreci kapanmış sayar. Oysa etkilenen kişilerin de haberdar olması gerekir. Kanal kurumun büyüklüğüne ve elindeki iletişim bilgisine göre değişir: doğrudan e-posta ya da SMS, bu mümkün değilse web sitesinde kamuya açık duyuru. Metinde ne olduğunu, hangi verinin etkilendiğini ve kişinin ne yapması gerektiğini sade bir dille anlat. Parolasını değiştirmesi gibi somut adımlar ver.

Altay Kargo örneği: bir ihlal senaryosu

Somutlaştırmak için bir örnek verelim. Altay Kargo'nun müşteri hizmetleri CRM'i bir kimlik avı saldırısıyla ele geçirilir. Saldırgan bir destek temsilcisinin hesabından ad soyad, telefon, adres ve kargo takip numaralarına erişir. SOC ekibi olağan dışı bir veri aktarımı uyarısı alır ve olayı doğrular. Sayacın başladığı an budur.

İlk saatlerde olay müdahale ekibi hesabı kilitler, erişim loglarını inceler ve etkilenen kayıt sayısını tahmin eder. Aynı anda uyum ekibi Kurula gidecek bildirimin taslağını açar. Hukuk ekibiyle birlikte müşterilere gidecek metni gözden geçirir. Bu koordinasyonu yürüten kişi çoğunlukla bir uyum sorumlusudur. Teknik ayrıntıyı bilmese de olay müdahale ekibiyle aynı dili konuşabilmelidir.

1. saat dolmadan Kurula ilk bildirim yapılır. Kesinleşmeyen kişi sayısı "tahmini, kesinleşince güncellenecek" notuyla yazılır. Aynı hafta içinde etkilenen müşterilere e-posta gönderilir.

Bu örnekte dikkat çeken nokta, iki ekibin aynı zaman çizelgesinde ama farklı işler yaparak ilerlemesidir. Olay müdahale ekibi kayıt sayısını netleştirirken uyum ekibi elindeki bilgiyle bildirimi çoktan göndermiştir. Birbirini beklemeden ama sürekli bilgi paylaşarak ilerlemek, 72 saati gerçekçi kullanmanın anahtarıdır.

Bu hesabı kendin yapmak istersen akademideki 72 Saatin Hesabı labı bir olay üzerinde öğrenme anını bulmanı ve bildirimin süre içinde kalıp kalmadığını hesaplamanı ister.

Kim neyi yapar: rollerin dağılımı

Kriz anında kimin ne yapacağının önceden net olması en çok zaman kazandıran parçadır. Genel dağılım şöyledir:

• SOC ve olay müdahale ekibi: tespiti doğrular, kapsamı teknik olarak belirler, sistemleri izole eder, kanıt toplar.
• Uyum ekibi: sayacı takip eder, Kurula bildirim taslağını hazırlar, ilgili kişilere gidecek metni koordine eder.
• Hukuk ekibi: metnin hukuki riskini değerlendirir, sigorta ve tedarikçi sözleşmelerindeki yükümlülükleri kontrol eder.
• Üst yönetim: kaynağı önceliklendirir, basın ve müşteri iletişimini onaylar.

Küçük bir kurumda bir kişi birden çok rolü üstlenebilir. Yine de rollerin kâğıt üzerinde net olması, kriz anında kimin karar vereceği tartışmasını ortadan kaldırır.

Sık yapılan hatalar

• Süreci sıraya koymak: teknik ekip olayı kapatmadan bildirime başlamamak. Müdahale ile bildirim paralel yürümeli.
• Öğrenme anını belirsiz bırakmak: kurumun ihlali hangi saatte fark ettiği belgelenmezse, 72 saatin başlangıcı da tartışmalı olur.
• İlgili kişi bildirimini unutmak: Kurula bildirip süreci kapanmış saymak.
• Jargonla yazmak: teknik terimlerle yazılan metin, etkilenen kişinin ne yapacağını anlamamasına yol açar.
• Tek kişiye bırakmak: süreç BT, hukuk, uyum ve yönetimin ortak çalışmasını ister.
• Kanıtı kaybetmek: loglar ve ekran görüntüleri düzenli saklanmazsa hem kapsam tahmini hem Kurulun ek sorularına cevap zorlaşır.

Ekibini nasıl hazırlarsın?

Bu süreç ilk gerçek ihlalde öğrenilmemeli. Olay müdahale ve uyum ekiplerinin birlikte bir masa başı tatbikatı (tabletop exercise) yapması, sayacın nerede tıkandığını gerçek bir olaydan önce göstermenin en ucuz yoludur.

Konuyu derinleştirmek istersen akademide iki ders doğrudan bu süreci işler: Olay bildirim yükümlülükleri ve Bildirim karar ağacı. Bütün çerçeve Yönetişim, Risk, Uyum ve Mevzuat yolunda sırayla anlatılır. Mülakat hazırlığı sayfası uyum rolüne özel soruları, kariyer sayfası da bu rolün günlük işini gösterir.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (Mevzuat Bilgi Sistemi)
• KVKK Kişisel Veri İhlali Bildirim Sistemi
• Kişisel Verileri Koruma Kurumu

Bu yazı genel bilgi verir, hukuki danışmanlık değildir. Kurumunun somut durumu için KVKK alanında uzman bir hukukçuya danış.