Kişisel Verilerin Korunması Kanunu, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusunun ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na bildirimde bulunmasını öngörür. Kurul kararlarıyla şekillenen uygulamada bu bildirimin, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç yetmiş iki saat içinde yapılması beklenir.
Sürenin Başlangıcı: "Öğrenme" Anı
Yetmiş iki saatlik süre, ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan itibaren işlemeye başlar. Bu nedenle kurum içinde ihlal şüphesinin kime, hangi kanalla ve ne kadar sürede bildirileceğinin önceden tanımlanmış olması gerekir. Bilgi teknolojileri ekibinde kalan ve hukuk birimine ulaşmayan bir şüphe, sürenin fiilen kaybedilmesine yol açar.
Müdahale Planının Asgari Unsurları
- Tespit ve kayıt: Olayın ne zaman, hangi sistemde ve nasıl fark edildiğinin kayda geçirilmesi.
- Sınırlama: Erişimin kesilmesi, kimlik bilgilerinin yenilenmesi, etkilenen sistemin izole edilmesi gibi ilk teknik önlemler.
- Kapsam analizi: Hangi veri kategorilerinin, kaç ilgili kişiyi etkileyecek biçimde ihlale konu olduğunun belirlenmesi.
- Risk değerlendirmesi: İhlalin ilgili kişiler bakımından doğurabileceği olası sonuçların değerlendirilmesi.
- Bildirim: Kurul bildiriminin hazırlanması ve ilgili kişilere yapılacak bilgilendirmenin planlanması.
- Kayıt ve iyileştirme: Olayın ihlal kayıt tablosuna işlenmesi ve tekrarını önleyecek önlemlerin belirlenmesi.
İlgili Kişiye Bildirim
Kurula yapılan bildirimden ayrı olarak, ihlalden etkilenen kişilerin de makul en kısa sürede bilgilendirilmesi gerekir. Bilgilendirme metni anlaşılır bir dille yazılmalı; ihlalin ne zaman gerçekleştiği, hangi verilerin etkilendiği, alınan önlemler ve ilgili kişinin başvurabileceği kanallar açıkça belirtilmelidir. Teknik ayrıntıya boğulmuş bir metin, bildirim yükümlülüğünü karşılamış sayılmama riski taşır.
Yetmiş iki saatlik süre, hazırlığın ihlalden sonra değil, ihlalden önce yapılmasını gerektirir.
Uygulama notu