Veri İhlali Sonrası Kriz Yönetimi ve KVKK Bildirim Süreci
Veri İhlali Sonrası Kriz Yönetimi ve KVKK Bildirim Süreçleri
Günümüzde dijital tehditlerin artması ile birlikte, işletmeler için veri ihlali olasılığı her geçen gün yükselmektedir. Türkiye'de Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, veri ihlaline uğrayan kuruluşlar ciddi hukuki ve finansal sorumluluklar taşımaktadır. Bu makalede, veri ihlali sonrası etkili kriz yönetimi stratejileri, bildirim prosedürleri ve KVKK uyumluluğu hakkında kapsamlı bilgi sunacağız.
Veri İhlali Nedir ve Ne Zaman Gerçekleşir
Veri ihlali, kişisel verilerin yasa dışı veya uygunsuz şekilde açıklanması, değiştirilmesi, silinmesi veya erişiminin engellenmesidir. KVKK mevzuatında, veri ihlali m.3 maddesi kapsamında tanımlanan kişisel verilere yönelik tüm tehditli eylemlerdir.
Veri ihlalleri şu şekillerde gerçekleşebilir:
- Siber saldırılar: Ransomware, SQL injection, DDoS saldırıları
- İçeriden tehdidi: Yetkisiz çalışanlar tarafından verilerin çalınması
- Fiziksel güvenlik zafiyeti: Sunucuların çalınması veya hasar görmesi
- İnsan hatası: Verilerin yanlış gönderilmesi, silinmesi
- Üçüncü taraf riskler: Alt yüklenicilerin güvenlik açıkları
- Kötü niyetli yazılımlar: Malware enfeksiyonları
KVKK Çerçevesinde Veri İhlali Bildirimi Yükümlülükleri
KVKK m.6 maddesi, veri sorumluluğu ve ihlal bildirim yükümlülüklerini açıkça belirtmiştir. Bu madde uyarınca, veri sorumlusu olarak kuruluşlar, kişisel veri işleme faaliyetlerinde ve ilgili güvenlik tedbirlerinde sorumludur.
6. Madde ve Bildirim Yükümlülüğü
KVKK m.6'ya göre veri sorumlusu, kendisinin işletme tarafından işlenen kişisel verilerin güvenliğini sağlamakla yükümlüdür. İhlal durumunda, m.6 açıklaması kapsamında, derhal gerekli incelemeleri yapmalı ve sonuçları Kişisel Verileri Koruma Kurulu'na bildirmelidir.
Bildirim Süresi: Veri ihlali tespitinden itibaren en geç 72 saat içinde, Kurul'a yazılı bildirim yapılması gerekmektedir. Bu süre mutlak olup, herhangi bir uzatma talebine konu değildir.
Kurul'a Yapılacak Bildirimin İçeriği
Veri ihlali bildirimiyle beraber Kurula sunulması gereken bilgiler şunlardır:
- İhlalin niteliği ve kapsamı
- Etkilenen kişi sayısı (mümkünse)
- İhlalin meydana geldiği tarih ve saat
- Alınan önlem ve düzeltici tedbirler
- İhlal hakkında sahibinin iletişi
- Veri sorumlusunun iletişim bilgileri
- Yapılan hukuki değerlendirme ve risk analizi
İhlal Sonrası İlk 24 Saatte Yapılması Gerekenler
Veri ihlali tespiti durumunda, ilk 24 saat kritik öneme sahiptir. Bu dönemde alınan doğru kararlar, sonraki sürecin başarısını belirleyecektir.
Acil Müdahale Protokolü
1. Adım - Tespiti Doğrulama: İhlalin gerçek ve halen devam edip etmediğini kontrol edin. Sistemde uyarı bulunuyor ise, etkinliğini sınırlandırın.
2. Adım - Kriz Takım Oluşturma: BT uzmanları, hukuk danışmanları, İK, PR ve yönetim elemanlarından oluşan bir kriz yönetim ekibi kurun. Her üyenin rolü ve sorumluluğu açık olmalıdır.
3. Adım - Kanıtları Koruma: Veri ihlali kanıtlarını ve log dosyalarını toplayın. Siber suç araştırmalarında bu belgeler hayati önemdedir. Orijinal veriler değiştirilmesin.
4. Adım - İlişkili Sistemleri İzolasyon: Tainted sistemleri, diğer sistemlerden ayrı kılın. Saldırı vektörünü kesmeye çalışın.
5. Adım - Yasal Danışmanla İletişim: KVKK uyumlu bir hukuk danışmanına derhal ulaşın. Bildirim süresi kısa olduğundan, legal desteği erken alamanız kritiktir.
Veri İhlali Etki Analizi ve Risk Değerlendirmesi
KVKK m.5 uyarınca, veri sorumlusu tarafından yapılan işlemler, sınırlı ve belirli amaçlarla gerçekleştirilmelidir. İhlal sonrası risk analizi, aşağıdaki faktörleri dikkate almalıdır:
Etki Analizi Parametreleri
- Verilerin Türü: Finansal bilgiler, sağlık verileri, kimlik bilgileri riskli kategorilerde yer alır
- Etkilenen Kişi Sayısı: Geniş bir hedef kitle büyük riskler anlamına gelir
- Açıklanma Türü: Tam veya kısmi açıklanmanın sonuçları farklıdır
- Verilerin Kullanılma Riski: Suç amaçlı kullanıma açık olup olmadığı
- Rıza veya Yasal Dayanak: Verilerin işlenmesinin yasal dayanağı
Örneğin, Kişisel Verileri Koruma Kurulu'nun 2023 yılında verdiği kararlardan birinde, bir e-ticaret sitesinin müşteri kredisi kartı bilgilerinin çalınması olayında, şirket 500.000 TL idari para cezası ile cezalandırılmıştır. İhlalin türü ve kapsamı, cezanın belirlenmesinde önemli rol oynamıştır.
İlgili Kişilere Bildirim Süreci
Veri ihlali, ya