Cuma akşamı saat 19.00 civarı IT ekibinden bir mesaj geliyor: müşteri veritabanına yetkisiz erişim tespit edilmiş. Kaç kişi etkilendi, hangi veriler sızdı, saldırı hala sürüyor mu? Bunların hiçbiri henüz netleşmemiş. Ama bir şey kesin: geri sayım başladı bile.
Kişisel Verileri Koruma Kurulu’na (Kurul) bildirim için elinizde en fazla 72 saat var. Bu süreye hafta sonları da dahil. Yani cuma akşamı tespit edilen bir ihlalde son tarih pazartesi sabahı değil, pazartesi akşamıdır. Birçok işletmenin gözden kaçırdığı bir detay.
Bu yazıda bir veri ihlali yaşandığında ilk andan bildirime kadar neler yapılması gerektiğini, deneyimlerimizden derlediğimiz pratik adımlarla anlatıyoruz.
Veri İhlali Sandığınızdan Daha Geniş Bir Kavram
KVKK’nın 12. maddesinin beşinci fıkrasında veri ihlali, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi olarak tanımlanıyor. Ama Kurul bu tanımı uygulamada oldukça geniş yorumluyor ve bu, birçok şirketin fark etmediği bir nokta.
Veri ihlali denince akla ilk gelen genelde bir hacker saldırısı oluyor. Oysa Kurul kararlarına baktığınızda çok daha sıradan görünen olayların da ihlal sayıldığını görürsünüz: bir e-postanın yanlışlıkla başka bir kişiye gönderilmesi, hastanede bir hastaya başka hastanın tahlil sonucunun verilmesi, işten ayrılan bir çalışanın hesabı kapatılmadığı için sisteme girip veri kopyalaması, kargo sırasında müşteri sözleşmelerinin kaybolması ya da bulutta yanlış yapılandırılmış bir erişim yetkisi.
Sık sorulan bir soru var: “Veri dışarı çıkmadı, sadece şifrelendi (ransomware), bu da ihlal mi sayılır?” Evet, sayılır. Kendi verilerinize erişememeniz de bir tür ihlaldir, çünkü burada bozulan şey verinin erişilebilirliğidir.
72 Saat Kuralı Nereden Geliyor?
Kanun’un kendisi aslında “en kısa sürede bildirim” diyor, net bir rakam vermiyor. Bu belirsizliği Kurul, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla giderdi: veri sorumlusu, ihlali öğrendiği andan itibaren 72 saat içinde Kurul’a bildirmekle yükümlü.
Burada birkaç detay pratikte sık sık kafa karıştırıyor. Süre, ihlalin gerçekleştiği andan değil, sizin öğrendiğiniz andan başlıyor. “Öğrenme” de dar yorumlanmıyor — ihlali kendiniz tespit etmiş olabilirsiniz, ya da bir güvenlik firmasından, veri işleyeninizden, hatta basından haberdar olmuş olabilirsiniz; hepsi süreyi başlatıyor. Hafta sonu ya da resmi tatil olması süreyi durdurmuyor.
Peki 72 saat dolduğunda elinizde hâlâ eksik bilgi varsa? Kurul bu durumda aşamalı bildirime izin veriyor. Yani süre içinde elinizdeki bilgiyle ilk bildirimi yapıp, inceleme ilerledikçe formu güncellemeniz mümkün. Önemli olan, ilk adımı zamanında atmış olmak.
İhlal Anında İlk Saatlerde Neler Yapılmalı
İşin gerçeği şu: bu süreçte en çok zaman, “şimdi ne yapacağız?” sorusuna cevap ararken kaybediliyor. Önceden bir plan yoksa, ilk saatler kaosla geçiyor. Aşağıdaki sıralama, genel hatlarıyla nasıl ilerlemeniz gerektiğine dair bir çerçeve sunuyor.
İlk saatlerde öncelik, ihlalin boyutunu anlamak ve varsa yayılmasını durdurmaktır. Saldırı hâlâ devam ediyorsa etkilenen sistemleri izole edin — ama bunu yaparken delilleri de kaybetmeyin, sunucu logları ve erişim kayıtları ileride hem Kurul’a bildirim hem de olası bir soruşturma için gerekecek. Bu noktada kimin hangi kararı vereceği belli olmalı; kriz anında “bunu kim onaylayacak” tartışması yaşanmamalı.
Netleştirmeniz gereken temel sorular şunlar: İhlal ne zaman başlamış, ne zaman fark edilmiş? Hangi sistemler etkilenmiş? Saldırı hâlâ sürüyor mu? Hangi tür veriler risk altında? Kimlik bilgisi mi, finansal veri mi, sağlık verisi mi? Yaklaşık kaç kişiyi ilgilendiriyor?
Sonraki saatlerde bildirime hazırlık başlamalı. Formda isteneceği bilgileri derlemeye, hukuk danışmanınızı veya DPO’nuzu sürece dahil etmeye bu aşamada geçiyorsunuz. Aynı zamanda ihlalin ilgili kişiler üzerindeki olası etkisini de değerlendirmeniz gerekiyor. Bu değerlendirme hem Kurul formunda hem de ilgili kişilere ayrıca bildirim yapılıp yapılmayacağına karar verirken belirleyici oluyor.
72 saate yaklaşırken artık bildirimi fiilen yapmanız gerekiyor. Bunu ihlalbildirim.kvkk.gov.tr üzerinden çevrimiçi yapabilirsiniz. Formu doğrudan veri sorumlusu doldurabileceği gibi, yetkilendirilmiş bir avukat veya danışman da doldurabilir. Bu durumda yetki belgesinin eklenmesi gerekiyor.
Bu arada ilgili kişilere de bildirim yapılması gerektiğini unutmamak lazım. Özellikle finansal bilgiler veya kimlik verileri gibi risk düzeyi yüksek verilerin söz konusu olduğu durumlarda, bu bildirimi geciktirmemek önemli.
Bildirim yapıldıktan sonra da süreç kapanmış olmuyor. Kurul ek bilgi isteyebilir, inceleme devam ediyorsa yeni bulgularla formu güncellemeniz gerekebilir. İhlalin tekrarlanmaması için alınan kalıcı önlemleri de belgelemeniz beklenir.
Bildirim Formu Ne İstiyor?
Kurul’un formu oldukça detaylı. İçeriğini önceden bilmek, kriz anında ciddi zaman kazandırıyor.
Formun başında veri sorumlusunun kimlik ve iletişim bilgileri, VERBİS numarası isteniyor. Ardından ihlalin kendisiyle ilgili sorular geliyor: başlama tarihi, tespit tarihi, nasıl fark edildiği, hangi tür bir ihlal olduğu (gizlilik mi, bütünlük mü, erişilebilirlik mi) ve varsa siber saldırının niteliği.
Sonraki bölüm etkilenen veriler ve kişilerle ilgili , hangi veri kategorileri (kimlik, iletişim, finansal, sağlık, biyometrik vb.), yaklaşık kaç kişi ve hangi kişi grupları (müşteri, çalışan, tedarikçi vb.) etkilenmiş.
Bir başka bölüm de alınan önlemlere ayrılmış: ihlalden önce ne gibi teknik ve idari tedbirler vardı, ihlal sonrasında neler yapıldı veya yapılması planlanıyor, çalışanlar son bir yılda veri koruma eğitimi almış mı. Burada dürüst olmakta fayda var. Kurul kararlarına baktığımızda, MFA olmaması, şifreleme yapılmaması veya eğitim eksikliği gibi noktaların ağırlaştırıcı sebep olarak değerlendirildiğini görüyoruz.
Son olarak form, ilgili kişilere bildirim yapılıp yapılmadığını ve hangi yöntemle yapıldığını soruyor.
Bir önerimiz var: bu formu önceden bir kez inceleyin, ekibinizle paylaşın ve hangi bilginin kimden toplanacağını netleştirin. İhlal anında formu ilk kez görmek, zaten kısıtlı olan süreyi daha da daraltıyor.
Veri İşleyeniniz Varsa Dikkat
Birçok şirket, veri işleme faaliyetlerinin bir kısmını dışarıdan hizmet aldığı firmalara devrediyor. Bulut sağlayıcıları, dış kaynaklı IT firmaları, çağrı merkezleri gibi. Ama bildirim yükümlülüğü hâlâ veri sorumlusunda, yani sizde.
Bu, pratikte gözden kaçan bir risk yaratıyor: veri işleyen tarafında yaşanan bir ihlali zamanında öğrenemezseniz, 72 saatlik süreyi siz kaçırmış olursunuz, hatanız olmasa bile. Bu yüzden veri işleyenlerle yapılan sözleşmelere, ihlali öğrendikleri anda size gecikmeksizin bildirim yapma yükümlülüğünü açıkça yazmak, teorik değil gerçekten işe yarayan bir önlem.
İlgili Kişilere Bildirim
Kurul’un yanı sıra etkilenen kişilere de bildirim yapılması gerekiyor. Zamanlaması ihlalin risk düzeyine göre değişiyor, kimlik numarası veya finansal veri gibi hassas bilgiler söz konusuysa bildirim mümkün olan en kısa sürede yapılmalı. Daha düşük riskli durumlarda bildirim yükümlülüğü yine var, ama biraz daha esnek bir zaman diliminden söz edilebilir.
Yöntem konusunda da esneklik var: kişi sayısına göre doğrudan e-posta veya SMS, web sitesinde duyuru ya da basın açıklaması tercih edilebilir. Önemli olan, bildirimin anlaşılır bir dille yazılması ve kişinin kendini korumak için ne yapabileceğini açıkça anlatması.
Geciktirirseniz veya Bildirmezseniz Ne Olur?
72 saati aşmak veya hiç bildirim yapmamak birkaç farklı yaptırımı beraberinde getiriyor.
Mali tarafta, veri güvenliği yükümlülüğünün ihlali kapsamında 2026 yılı için 256.357 TL ile 17.092.242 TL arasında idari para cezası söz konusu olabiliyor. Kurul bazen tek bir olayda birden fazla ihlal tespit edip her biri için ayrı ceza da verebiliyor. Örneğin hem güvenlik tedbirlerinin yetersizliği hem bildirimin gecikmesi ayrı ayrı değerlendirilebiliyor. Aynı hatanın tekrarlanması cezayı ikiye katlayabiliyor.
Kurul kararlarına uyulmaması durumunda ise ayrıca 427.263 TL ile 17.092.242 TL arasında bir yaptırım daha devreye giriyor. İhlalin gizlenmeye çalışılması ise Kurul nezdinde ciddi bir ağırlaştırıcı sebep, bu tür durumlarda genelde üst sınıra yakın cezalar uygulanıyor.
Rakamların ötesinde bir de itibar meselesi var. Kurul, bazı veri ihlali bildirimlerini kendi web sitesinde kamuoyuyla paylaşıyor. Özellikle müşteriyle doğrudan ilişkisi olan markalar için bu tarz bir duyurunun yarattığı güven kaybı, çoğu zaman idari para cezasından daha kalıcı bir etki bırakıyor.
Önceden Hazırlanmak: Basit Ama Etkili
Kurul’un 2019/10 sayılı kararı, her veri sorumlusunun bir veri ihlali müdahale planı hazırlamasını ve bu planı belirli aralıklarla gözden geçirmesini bekliyor. Planın olmaması, bir ihlal yaşandığında Kurul nezdinde aleyhinize işleyen bir detay.
İyi işleyen bir müdahale planında genelde şunlar bulunur: kimin hangi rolde olduğu (IT, hukuk, iletişim, üst yönetim), hangi olayların “ihlal şüphesi” sayılacağına dair net kriterler, ihlal fark edildiğinde önce kime haber verileceği, Kurul’a ve ilgili kişilere bildirim adımları, çalışanlara ve müşterilere yönelik iletişim planı, delillerin nasıl korunacağı ve yılda en az bir kez yapılacak bir tatbikat veya masa başı simülasyonu.
Karmaşık bir belge olması gerekmiyor. Önemli olan, ihlal anında herkesin ne yapacağını bilmesi.
Veri ihlali bildirimi aslında bir kriz yönetimi meselesi. Ve her kriz gibi burada da işleri kolaylaştıran şey, olay olmadan önce yapılan hazırlık. 72 saat ilk bakışta kısa gelebilir, ama önceden belirlenmiş roller, hazır bir plan ve formun ne istediğine dair aşinalıkla bu süre gerçekten yeterli.
Kurul’un kararlarına baktığınızda, asıl sorgulanan şeyin ihlalin kendisinden çok öncesinde ve sonrasında alınan tedbirler olduğunu görüyorsunuz. Planını yapmış, süreçlerini test etmiş ve ihlali zamanında bildiren şirketler, bu süreçten her zaman daha az yara alarak çıkıyor.
Veri ihlali müdahale planınızı oluşturmak veya mevcut süreçlerinizi gözden geçirmek isterseniz, Garanti KVK Danışmanlık olarak yanınızdayız.