Veri İhlali Bildirim Yükümlülüğü: KVKK'da Süreç

Bir sabah sisteminize sızmış kötü amaçlı yazılım tespiti, yanlış kişiye gönderilen e-posta ekindeki müşteri listesi ya da üçüncü taraf tedarikçinin ihmalinden kaynaklanan veritabanı sızıntısı… Bu senaryoların herhangi biri gerçekleştiğinde, pek çok şirket için ilk tepki panik, ikinci tepki ise "acaba kimseye söylemesek olmaz mı?" sorusu oluyor. Oysa 6698 sayılı Kişisel Verilerin Korunması Kanunu, veri ihlali bildirimini hem zorunlu hem de son derece ayrıntılı biçimde düzenlemiş durumda. Bu yükümlülüğü görmezden gelmek, idari para cezasının çok ötesinde itibar ve hukuki sonuçlar doğurabilir.

Veri İhlali Nedir? Sınırları Doğru Çizmek

KVKK'nın metninde "veri ihlali" kavramı doğrudan tanımlanmamış olsa da Kişisel Verileri Koruma Kurulu'nun yayımladığı rehberler ve Avrupa Veri Koruma Tüzüğü'nün (GDPR) paralel düzenlemeleri ışığında ihlal; kişisel verilerin hukuka aykırı biçimde ifşa edilmesi, değiştirilmesi, silinmesi ya da bu verilere yetkisiz erişim sağlanması olarak anlaşılmaktadır.

Burada üç temel kategoriden söz edilebilir:

• Gizlilik ihlali: Yetkisiz kişilerin verilere erişmesi ya da verilerin üçüncü taraflarla paylaşılması.
• Bütünlük ihlali: Verilerin yetkisiz biçimde değiştirilmesi veya bozulması.
• Erişilebilirlik ihlali: Verilerin kasıtlı ya da kazara yok edilmesi, kaybedilmesi.

Önemli bir nüans şu: Her güvenlik açığı otomatik olarak "ihlal" sayılmaz. Ağa sızmaya yönelik başarısız bir deneme, fark edilen ve anında engellenen yetkisiz erişim girişimi tek başına bildirim yükümlülüğü doğurmaz; ancak bu tür olayların da kayıt altına alınması gerekir.

Bildirim Yükümlülüğünün Hukuki Temeli

KVKK'nın 12. maddesi, veri sorumlularına işledikleri kişisel verilerin hukuka aykırı biçimde işlenmesini ve bu verilere yetkisiz erişimi önlemek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getiriyor. Aynı madde, ihlal gerçekleştiğinde Kurul'a bildirim yapılmasını da açıkça zorunlu kılıyor.

Kurul, bu yükümlülüğün uygulanmasına ilişkin "Kişisel Veri Güvenliği Rehberi" ile çeşitli kurul kararları yayımlamıştır. Bu rehberler bağlayıcı olmasa da denetim süreçlerinde temel referans belgeleri işlevi görüyor.

Pratik Not: Veri işleyen (işlemci) konumundaki bir şirket ihlalle karşılaştığında, birincil bildirim yükümlülüğü veri sorumlusuna aittir. Ancak veri işleyen, ihlali öğrendiği anda veri sorumlusunu vakit kaybetmeden haberdar etmelidir. Bu zincirin kopması, taraflar arasında ciddi hukuki sorumluluklara yol açabilir.

Kritik Süre: 72 Saati Aşmamak

Kurul kararları ve yayımlanan rehberler çerçevesinde benimsenen standart, ihlali öğrenen veri sorumlusunun 72 saat içinde Kurul'a bildirimde bulunmasıdır. Bu süre GDPR'dan Türk uygulamasına yansıyan kritik bir eşiktir.

Burada dikkat edilmesi gereken nokta, 72 saatin ihlal anından değil, ihlali öğrenme anından itibaren başlamasıdır. Şirketlerin bu ayrımı iyi yönetmesi gerekir; çünkü "öğrenme anı" tartışmalı olabilir. İç sistemlerde alarm zili çaldığında mı öğrenilmiş sayılır? Teknik ekip fark ettiğinde mi? Üst yönetime bildirildiğinde mi? Bu soruların cevabını iç prosedürlerle önceden netleştirmek, süre savunmasını kolaylaştırır.

72 saatin aşılması durumunda gecikmek için makul bir neden göstermek mümkündür; ancak bu gerekçenin bildirimde açıkça belirtilmesi ve belgelenmesi şarttır.

Kurul'a Bildirimde Bulunulması Gereken Bilgiler

Kurul, veri ihlali bildirimlerini VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) üzerinden almaktadır. Bildirimde yer alması beklenen temel unsurlar şunlardır:

İhlalin Tanımı

• Hangi veriler etkilendi? (Kimlik, sağlık, finansal, biyometrik vb.)
• Kaç kişi etkilendi?
• Tahmini veri kategorileri ve kayıt sayısı
• İhlalin türü (gizlilik, bütünlük, erişilebilirlik)

Veri Sorumlusuna İlişkin Bilgiler

• Veri koruma görevlisi (DPO) atanmışsa iletişim bilgileri
• Şirketin unvanı, adresi ve VERBİS numarası

İhlalin Sonuçları ve Alınan Önlemler

• Gerçekleşen ya da muhtemel sonuçlar
• İhlalin etkilerini azaltmak için alınan ya da alınması planlanan teknik ve idari tedbirler

İlk 72 saat içinde tüm bilgilere ulaşılamıyorsa kısmi bildirim yapılabilir; eksik bilgiler sonradan tamamlanır. Önemli olan zaman eşiğini kaçırmamaktır.

İlgili Kişilere Bildirim: İkinci Halka

Kurul'a yapılan bildirim tek başına yeterli değil. İhlalin ilgili kişiler için yüksek risk doğurduğu durumlarda, etkilenen bireylerin de bilgilendirilmesi gerekir. Peki "yüksek risk" nasıl belirlenir?

Burada bir risk değerlendirmesi yapılmalıdır:

1. İhlalin kapsamı ve niteliği: Hassas veri kategorilerinin (sağlık, din, siyasi görüş, biyometrik) söz konusu olması riski otomatik olarak yükseltir.
2. İfşa olan verinin hassasiyeti: Şifrelenmiş bir veritabanının çalınması ile açık metin şifreler içeren bir tablonun ifşası çok farklı risk seviyeleri yaratır.
3. Etkilenen kişi sayısı: Kitlesel bir sızıntı, bireysel bir ihlale kıyasla çok daha yüksek risk anlamına gelir.
4. Kimlik hırsızlığı ve dolandırıcılık potansiyeli: Çalınan verilerin finansal zarar ya da kimlik hırsızlığına yol açıp açamayacağı kritik bir ölçüttür.

İlgili kişilere yapılacak bildirimin açık, anlaşılır bir dille ve gereksiz teknik jargondan arındırılmış biçimde yazılması beklenmektedir. Bildirim; ihlalin ne olduğunu, hangi verilerin etkilendiğini, olası sonuçlarını ve etkilenen kişilerin neler yapabileceğini içermelidir.

Bildirim Muafiyetleri

Bazı hallerde bireysel bildirimden muafiyet tanınabilir:

• Etkilenen verilerin uygun şifreleme yöntemleriyle korunmuş olması ve anahtara erişimin mümkün olmaması
• Şirketin ihlal sonrası aldığı tedbirlerin riski ortadan kaldırması
• Bireysel bildirim yerine kamuoyu duyurusunun daha etkin sonuç verecek olması (örneğin milyonlarca kişinin etkilendiği durumlarda)

İhlal Sonrası Yönetim: Reaktif Değil, Proaktif Yaklaşım

Bu noktada pek çok şirketin düştüğü temel tuzak, ihlal yönetimini salt bir bildirim sürecine indirgemektir. Oysa etkili bir ihlal yönetimi çok daha geniş bir çerçeve gerektirir.

İhlal Müdahale Planı (Incident Response Plan)

Önceden hazırlanmış bir müdahale planı olmadan 72 saatlik süreyi yönetmek neredeyse imkânsızdır. Bu plan en azından şunları içermelidir:

• Kimin bildireceği ve kimin karar vereceği (sorumluluk matrisi)
• İlk tespitte izlenecek teknik adımlar
• Hukuk birimi veya danışman avukatla iletişim protokolü
• VERBİS üzerinden bildirimin nasıl yapılacağı
• Basın ve müşteri iletişim şablonları

Adli İnceleme (Forensic Analysis)

Siber saldırı kaynaklı ihlallerde, yasal süreci yönetirken eş zamanlı bir adli bilişim incelemesi başlatmak kritik önem taşır. Bu inceleme hem ihlalin kapsamını netleştirir hem de ileride açılabilecek cezai ya da hukuki süreçlerde delil niteliği taşıyan bulgular sağlar.

Kayıt Tutma Yükümlülüğü

KVKK, veri sorumlularına tüm ihlalleri kayıt altına alma yükümlülüğü getiriyor; Kurul'a bildirilmesi gerekmeyen küçük çaplı ihlaller de dahil. Bu kayıtlar denetim süreçlerinde talep edilebilir ve uyumluluk kanıtı olarak değerlendirilebilir.

Kurul Kararlarından Çıkan Dersler

Kurul'un kamuoyuyla paylaştığı ihlal bildirim kararlarından birkaç önemli ders çıkarılabilir:

Gecikmenin bedeli ağır olabilir. Kurul, bildirim yükümlülüğünün zamanında yerine getirilmediği durumlarda veri sorumlularına idari para cezası uygulayabilmektedir. Ceza miktarı ihlalin niteliğine, etkilenen kişi sayısına ve veri sorumlusunun önlem alma iradesine göre farklılaşmaktadır.

"Bilmiyorduk" savunması her zaman geçerli değil. Kurul, makul bir veri sorumlusunun ihlali daha erken tespit etmesi gerekip gerekmediğini değerlendirir. Yeterli teknik altyapının kurulmamış olması, bu savunmayı zayıflatır.

Üçüncü taraf kaynaklı ihlaller sorumluluktan muaf tutmuyor. Bir bulut sağlayıcısının ya da yazılım firmasının ihmalinden kaynaklanan bir veri sızıntısında bile birincil yükümlülük veri sorumlusuna aittir. Bu nedenle tedarikçi sözleşmelerine açık veri işleme maddeleri ve ihlal bildirim hükümleri eklenmesi hayati önem taşıyor.

Önleyici Tedbirler: İhlali Yönetmekten İhlali Önlemeye

Veri ihlali bildirimi, aslında başarısız bir güvenlik sisteminin son savunma hattıdır. Bununla birlikte hiçbir sistem yüzde yüz güvenli değildir; dolayısıyla hem önleyici hem de tepkisel bir stratejiye sahip olmak şarttır.

Teknik önlemler:

• Uçtan uca şifreleme ve güçlü erişim kontrolü
• Düzenli sızma testleri ve güvenlik açığı taramaları
• Gerçek zamanlı izleme ve anomali tespit sistemleri
• Çok faktörlü kimlik doğrulama

İdari önlemler:

• Çalışanlara yönelik düzenli KVKK ve siber güvenlik farkındalık eğitimleri
• Veri envanterinin güncel tutulması
• Tedarikçilerle veri işleme sözleşmelerinin gözden geçirilmesi
• Periyodik iç denetim ve risk değerlendirmeleri

Sonuç

Veri ihlali bildirimi, yalnızca bir yasal zorunluluk değil; aynı zamanda kurumsal güvenilirliğin ve veri sahiplerine duyulan saygının somut göstergesidir. 72 saatlik bildirim süresi, sistematik bir müdahale planı olmadan neredeyse yönetilemez. İhlalin nasıl tanımlanacağından Kurul'a yapılacak bildirimin içeriğine, ilgili kişilerin bilgilendirilmesinden adli incelemeye kadar her aşama, ciddi hukuki bilgi ve operasyonel hazırlık gerektirir.

Bir veri ihlaliyle karşılaştığınızda ya da ihlal olasılığına karşı hazırlık yapmak istediğinizde, KVKK alanında uzmanlaşmış bir avukattan destek almanız hem yasal uyumluluğunuzu korumanızı hem de olası riskleri en aza indirmenizi sağlayacaktır.