Bir veri ihlali yaşandığında veri sorumlusunun yapması gerekenler ve bildirim süreci.
Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu'na bildirmekle yükümlüdür (KVKK m. 12/5).
“En kısa süre” ne demek?
Kurul, 2019/10 sayılı kararıyla bu süreyi somutlaştırmıştır: veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirimde bulunmalıdır. Süre içinde bildirim yapılamıyorsa gecikmenin gerekçesi de bildirime eklenir.
İhlal anında atılması gereken adımlar
- İhlalin kaynağını tespit edip yayılmasını durdurmak
- Etkilenen veri kategorilerini ve kişi sayısını belirlemek
- Kurul'un ihlal bildirim formunu doldurarak bildirimi yapmak
- Etkilenen kişilere, iletişim bilgilerine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa uygun yöntemlerle makul en kısa sürede bilgi vermek
- İhlale ilişkin tüm bilgi ve belgeleri kayıt altına almak
Veri ihlalinde en büyük risk, ihlalin kendisinden çok hazırlıksız yakalanmaktır.
Önceden hazırlıklı olmak
Kurul, veri sorumlularının bir veri ihlali müdahale planı hazırlamasını ve kimin kime, hangi sırayla raporlama yapacağını önceden belirlemesini beklemektedir. İhlal yaşandıktan sonra hazırlanan bir plan, 72 saatlik süre içinde yetişmeyebilir.