Kriz masası

Kurul'un 2019/10 sayılı kararına göre süre, veri sorumlusunun ihlali öğrendiği tarihten başlar. Bildirim formu kılavuzu tespit tarihini, veri sorumlusunun ihlalden ilk haberdar olduğu tarih diye tanımlar. Formda tespit saati de sorulur. Teknik incelemenin sürmesi saati durdurmaz: 2020/905 sayılı kararda log incelemesinin uzamasını gerekçe gösteren şirkete geç bildirim cezası verildi.

Evet. Kurul, formdaki bilgiler aynı anda sağlanamıyorsa gecikmeden aşamalı olarak verilmesini ister. Formda ilk bildirim ve takip bildirimi ayrı türlerdir.

Bildirim formu, kişi ve kayıt sayıları tahminse kesin sayının neden tespit edilemediğinin açıklanmasını ister. Kayıt sayısı, kişilerin etkilenen bütün verilerinin toplamıdır. Kurul'un kılavuzundaki örnekte 10 kişinin kimlik numarası ve adresi etkilendiyse kişi sayısı 10, kayıt sayısı 20'dir. Sonradan öğrenilen bilgi takip bildirimiyle eklenir.

Kişiler belirlendikten sonra makul en kısa sürede. İletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi internet sitesi gibi uygun bir yolla (2019/10). Mesaj açık ve sade olur. İhlalin zamanını, etkilenen verileri, olası sonuçları, alınan önlemleri ve iletişim yollarını içerir (2019/271).

Kanun, kişisel veri kanuni olmayan yollarla başkalarınca elde edilince bildirim ister (6698 sayılı Kanun m.12/5). Ödemeyle bu yükümlülüğü kaldıran bir hüküm yoktur. Saldırganın silme sözü de doğrulanamaz.

Hayır. 7499 sayılı Kanun özel nitelikli veri şartlarını, yurt dışı aktarımı ve Kurul cezalarına karşı yargı yolunu değiştirdi. Bu değişiklikler 1 Haziran 2024'te yürürlüğe girdi. 72 saat kuralı 2019/10 sayılı Kurul kararından gelir.

Hayır. 7545 sayılı Siber Güvenlik Kanunu m.7/1-b, bilişim sistemleriyle hizmet sunanlara tespit ettikleri siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirme görevi verir. KVKK m.12/5 ise Kurul'a ve ilgili kişilere bildirim ister. İki yükümlülük ayrı kanunlardan gelir.