Veri İhlali Bildirimi Nedir?

Veri ihlali bildirimi nedir?

Veri ihlali bildirimi, KVKK'nın 12. maddesinin beşinci fıkrasından doğan bir yükümlülüktür. Kişisel veriler yetkisiz kişilerin eline geçtiğinde veri sorumlusu durumu en kısa sürede Kurul'a ve etkilenen kişilere bildirmek zorundadır. Kurul, 2019/10 sayılı kararında "en kısa süre" ifadesini, ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlamıştır.

Bildirim nasıl yapılır?

Kurul'a bildirim, Kurum'un internet sitesinde yayımlanan veri ihlali bildirim formuyla yapılır. Formda ihlalin ne zaman ve nasıl fark edildiği, etkilenen kişi ve kayıt sayısı, veri kategorileri ve alınan önlemler yer alır. Tüm bilgiler 72 saat içinde netleşmemişse, eldeki bilgiler bildirilir ve kalanlar sonradan tamamlanır.

İlgili kişilere ise makul en kısa sürede ulaşılır. Bu bildirim, kişilerin şifrelerini değiştirmek veya bankalarını aramak gibi önlemler alabilmesi için yapılır.

Örnek ve hazırlık

Bir online kitap satıcısı, sabah saatlerinde müşteri e-posta adreslerinin bir forumda paylaşıldığını fark ediyor. Saat işlemeye o anda başlar. Ekip önce sızıntının kaynağını kapatır, ardından etkilenen kayıtları belirler, Kurul formunu doldurur ve müşterilere ne olduğunu sade bir dille anlatan bir e-posta gönderir.

Bu kadar kısa sürede doğru adımları atmak için önceden bir müdahale planı hazırlamak gerekir. Planda kimin karar vereceğini, hukuk ve bilgi işlem ekibinin rollerini ve hazır bildirim taslaklarını yazın. Yılda bir kez kısa bir tatbikatla planı denemek, gerçek bir olayda saatler kazandırır.