Kişisel veri ihlali yaşandığında veri ihlali bildirimi, veri sorumlusunun ihlali öğrendiği andan itibaren en kısa sürede ve her hâlde 72 saat içinde Kişisel Verileri Koruma Kurulu'na yapılması gereken yasal bir yükümlülüktür. Sürenin aşılması hâlinde gecikmenin gerekçesi de bildirimle birlikte Kurul'a sunulur. Kısacası 72 saat, ihlalin çözülmesi için değil, Kurul'un haberdar edilmesi için tanınan bir süredir.
Sahada en sık gördüğümüz hata da tam burada başlıyor: ekipler "olayı kapatalım, sonra bildiririz" diyerek saatleri harcıyor. Oysa teknik müdahale ile bildirim süreci paralel yürütülmesi gereken iki ayrı hattır.
72 Saat Kuralı Tam Olarak Ne Diyor?
KVKK'nın 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu ilgili kişiye ve Kurul'a bildirmesini zorunlu kılar. Kurul, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla bu süreyi somutlaştırdı: Kurul'a bildirim için kvkk 72 saat kuralı geçerlidir.
Burada üç ayrı yükümlülük vardır ve birbirinin yerine geçmez:
- Kurul'a bildirim (72 saat).
- İlgili kişilere bildirim (makul olan en kısa sürede).
- İhlalin veri sorumlusu tarafından kayıt altına alınması ve Kurul'un incelemesine hazır tutulması.
Veri işleyen sıfatıyla hizmet alınan taraflar (bulut sağlayıcı, çağrı merkezi, bordro firması) ihlali tespit ettiklerinde gecikmeksizin veri sorumlusuna haber vermekle yükümlüdür. Yani tedarikçinizin gecikmesi, sizin sorumluluğunuzu ortadan kaldırmaz.
"Öğrenme Anı" Ne Zaman Başlar?
Süre, ihlalin gerçekleştiği an değil, veri sorumlusunun ihlali öğrendiği an başlar. Denetimlerde en çok tartışılan konu da budur.
Uygulamada öğrenme anı; SIEM alarmının doğrulanması, bir çalışanın bildirimi, müşteri şikâyeti, fidye yazılımı notunun görülmesi ya da üçüncü taraftan gelen uyarı gibi somut bir bulguyla başlar. "Şüphe" ile "makul kanaat" arasındaki çizgiyi netleştiremeyen kurumlar, sonradan süreyi geriye doğru savunmakta zorlanıyor.
Bu nedenle olay kayıtlarında şu üç zaman damgasının ayrı ayrı tutulmasını öneriyoruz: alarmın üretildiği an, olayın doğrulandığı an, yönetime/KVKK sorumlusuna raporlandığı an. Merkezî log toplama altyapısı olmayan kurumlarda bu zincir neredeyse hiç kurulamıyor; SIEM ve log yönetimi çözümleri tam da bu boşluğu kapatır.
İhlal Anından Kurul'a Bildirime: 8 Adımlık Yol Haritası
- Olayı doğrulayın. Yanlış pozitif mi, gerçek bir erişim mi? Doğrulama anını saatiyle kaydedin.
- İhlal müdahale ekibini toplayın. IT, hukuk, KVKK irtibat kişisi, iletişim ve ilgili iş birimi aynı masada olmalı.
- Yayılmayı durdurun. Etkilenen sistemi ağdan izole edin, sızdırılan kimlik bilgilerini iptal edin, oturumları sonlandırın.
- Kanıtı koruyun. Sunucuyu hemen formatlamayın; imaj alın, logları dondurun. Kanıt kaybı, Kurul incelemesinde aleyhinize işler.
- Kapsamı çıkarın. Hangi veri kategorileri, kaç ilgili kişi, özel nitelikli veri var mı? Tahmini sayılar kabul edilir; kesinleşmemiş olması bildirimi geciktirme gerekçesi değildir.
- Risk değerlendirmesi yapın. İlgili kişiler için olası sonuçlar nelerdir? Kimlik hırsızlığı, finansal kayıp, itibar zararı gibi başlıklar üzerinden değerlendirin.
- Kurul'a bildirimi yapın. Kurumun internet sitesindeki Veri İhlali Bildirim Formu üzerinden 72 saat içinde iletin.
- İlgili kişileri bilgilendirin ve kapanış raporu hazırlayın. Alınan teknik ve idari tedbirleri, kök nedeni ve tekrarını önleyici aksiyonları yazılı hâle getirin.
Bu sekiz adımın ilk dördü ortalama bir kurumda ilk 6 saat içinde tamamlanabilir. Kalan süre kapsam ve risk analizine ayrılmalıdır.
Kurul'a Bildirim ile İlgili Kişiye Bildirim Arasındaki Fark
İki bildirim farklı muhataplara, farklı içerikle ve farklı sürelerde yapılır. Karıştırılması, eksik veri ihlali bildirimi anlamına gelir.
| Kriter | Kurul'a bildirim | İlgili kişiye bildirim |
|---|---|---|
| Süre | Öğrenmeden itibaren en geç 72 saat | Makul olan en kısa süre |
| Yöntem | Kurumun yayımladığı çevrimiçi ihlal bildirim formu | Doğrudan iletişim (e-posta, SMS, telefon, mektup) |
| İçerik | Teknik detay, kapsam, alınan tedbirler | Sade dil, olası sonuçlar, kişinin alabileceği önlemler |
| Doğrudan iletişim mümkün değilse | Uygulanamaz | Veri sorumlusunun kendi sitesinde yayımlanması gibi yöntemler değerlendirilebilir |
| Kapsam belirsizse | Gecikme gerekçesiyle aşamalı bildirim yapılabilir | Kapsam netleştikçe güncelleme yapılır |
İlgili kişiye yapılan bildirimde teknik jargon kullanmak, sahada gördüğümüz en yaygın iletişim hatası. Metin, ortalama bir okuyucunun "bana ne oldu, şimdi ne yapmalıyım" sorusunu yanıtlamalıdır.
Bildirim Formunda Hangi Bilgiler İsteniyor?
Kişisel verileri koruma kurulu bildirimi için hazırlanan formda genel olarak şu başlıklar yer alır: veri sorumlusunun kimlik ve iletişim bilgileri, ihlalin ne zaman ve nasıl gerçekleştiği, etkilenen kişisel veri kategorileri, yaklaşık ilgili kişi ve kayıt sayısı, ihlalin olası sonuçları, alınan ve alınması planlanan tedbirler ile ilgili kişilere bildirim yöntemi.
Güncel form ve rehber dokümanlar için doğrudan Kişisel Verileri Koruma Kurumu'nun resmî sitesini esas almanızı öneririz; format ve alanlar zaman içinde güncellenebiliyor.
Formu doldururken "bilinmiyor" yazmaktan çekinmeyin. Bilinmeyen bir bilgiyi tahmin ederek yanlış beyan etmek, sonradan düzeltme yapmaktan daha riskli bir tercihtir.
72 Saati Kaçırırsanız Ne Olur?
Süre aşıldığında bildirim yükümlülüğü ortadan kalkmaz; bildirime gecikmenin gerekçesi eklenir. Kurul, gecikmenin makul olup olmadığını olayın niteliğine göre değerlendirir.
Bildirim yapmamak veya veri güvenliğine ilişkin yükümlülükleri yerine getirmemek, Kanun'un 18. maddesi kapsamında idari para cezası riski doğurur. Ceza tutarları her yıl yeniden değerleme oranına göre güncellendiği için güncel tutarı Kurum'un yayınlarından teyit etmek gerekir.
Pratikte asıl maliyet cezadan ibaret değildir: müşteri güveni, sözleşmesel yükümlülükler ve tedarik zinciri denetimleri de etkilenir. KVKK danışmanlığı kapsamında yürüttüğümüz projelerde, ihlal öncesinde hazırlanmış bir müdahale prosedürünün bildirim süresini ortalama olarak yarıya indirdiğini görüyoruz.
İhlalden Önce Tamamlanması Gereken Hazırlık Matrisi
72 saat, hazırlık yapılmamış bir kurumda son derece kısadır. Aşağıdaki matris, hangi eksiğin bildirim sürecini nerede tıkadığını özetliyor.
| Hazırlık kalemi | Yoksa ne olur? | Öncelik | İlgili çözüm |
|---|---|---|---|
| Güncel kişisel veri envanteri | Kapsam çıkarılamaz, süre dolar | Kritik | KVKK uyum projesi |
| Merkezî log ve korelasyon | Öğrenme anı kanıtlanamaz | Kritik | SIEM ve log yönetimi |
| Yazılı ihlal müdahale prosedürü | Roller belirsiz, karar gecikir | Yüksek | ISO 27001 uyumu |
| Uç nokta görünürlüğü | Yayılma durdurulamaz | Yüksek | EDR / antivirüs çözümleri |
| Test edilmiş yedek ve geri dönüş | Operasyon durur, süreç uzar | Yüksek | Veri yedekleme çözümleri |
| Tedarikçi sözleşmelerinde bildirim maddesi | Veri işleyen geç haber verir | Orta | Sözleşme revizyonu |
| Yıllık tatbikat ve farkındalık eğitimi | Ekip panikle hareket eder | Orta | Kurum içi tatbikat |
Bu kalemler aynı zamanda ISO 27001 bilgi güvenliği danışmanlığı çalışmalarının olay yönetimi başlığıyla büyük ölçüde örtüşür. İki uyum sürecini birlikte yürütmek, tekrar eden dokümantasyon yükünü azaltır.
Karar Öncesi Özet
Veri ihlali bildirimi bir kriz iletişimi değil, önceden yazılmış bir prosedürün uygulanmasıdır. Envanteriniz güncelse, loglarınız merkezîyse ve kim hangi saatte neyi yapacak belliyse 72 saat fazlasıyla yeterlidir. Değilse, süre ihlalin kendisinden daha büyük bir sorun hâline gelir.
Kurumunuzun ihlal müdahale hazırlığını gözden geçirmek isterseniz bizimle iletişime geçerek mevcut durum değerlendirmesi talep edebilirsiniz.
