Veri İhlalinde 72 Saat: Kurula ve İlgili Kişilere Bildirim Nasıl Yapılır

Bir şirketin sistemine yetkisiz erişim sağlandığında, bir çalışanın müşteri listesini dışarı çıkardığı anlaşıldığında ya da bir e-posta yanlışlıkla çok sayıda kişiye açık gönderildiğinde ilk sorulan soru hep aynıdır: bunun bildirilmesi zorunlu mudur, ne kadar süre vardır. Aşağıda kişisel veri ihlali bildiriminin usulü, süresi, içeriği ve bildirim sonrasında yürütülen süreç ele alınmaktadır.

Kişisel veri ihlali nedir

6698 sayılı Kanun'un 12. maddesinin beşinci fıkrasının ilk cümlesi bildirim yükümlülüğünün kaynağıdır:

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.

Hüküm, verinin kanuni olmayan yollarla başkaları tarafından elde edilmesinden söz eder. Uygulamada bu yalnızca dışarıdan yapılan siber saldırıları kapsamaz. Sık rastlanan hâller şunlardır:

• Sisteme yetkisiz erişim, fidye yazılımı, veri sızıntısı
• Çalışanın yetkisi dışında veriye erişmesi veya veriyi dışarı çıkarması
• Kişisel veri içeren bir belgenin, e-postanın ya da mesajın yanlış kişiye gönderilmesi
• Toplu e-postada alıcıların gizli alan yerine görünür alana yazılması
• Kişisel veri içeren dizüstü bilgisayar, telefon, disk veya evrakın kaybolması ya da çalınması
• Bir sistem yapılandırma hatası nedeniyle verilerin internete açık hâle gelmesi
• Yedeklerin şifrelenmemiş biçimde üçüncü kişilerin eline geçmesi
• Yetkilendirme hatası sonucu bir kullanıcının başka bir kullanıcının kaydını görmesi

Verinin şifrelenmiş olması, şifreleme anahtarı ele geçirilmediği sürece riski azaltır; ancak bu değerlendirme somut olaya göre yapılır ve bildirim yükümlülüğünü kendiliğinden ortadan kaldırdığı söylenemez. Aynı biçimde, verinin yalnızca erişilemez hâle gelmesi de ihlal sayılabilir: fidye yazılımıyla şifrelenen ve geri alınamayan bir kayıt, verinin bütünlüğü ve erişilebilirliği bakımından sonuç doğurur.

72 saat ne zaman başlar

Kanun en kısa süre demekle yetinmiştir. Bu ifadenin ne anlama geldiği Kurul'un 24.1.2019 tarihli ve 2019/10 sayılı kararıyla belirlenmiştir. Karara göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirimde bulunur.

Sürenin başlangıcı öğrenme anıdır. Öğrenme, ihlalin varlığına dair makul bir kanaate ulaşılması anlamına gelir; incelemenin tamamlanmasını, kaç kişinin etkilendiğinin kesinleşmesini ya da olayın nedeninin tespitini beklemek gerekmez. Uygulamada en sık yapılan hata, teknik incelemenin sonuçlanması beklenirken sürenin dolmasıdır.

72 saat içinde bildirim yapılamamışsa yükümlülük ortadan kalkmaz. Bu hâlde bildirimle birlikte gecikmenin nedenlerinin de açıklanması gerekir. Aynı şekilde, tüm bilgilerin aynı anda sağlanamadığı durumlarda bilgiler gecikmeye mahal verilmeksizin parçalar hâlinde iletilebilir.

Sürenin takvim günü değil saat üzerinden işlediği unutulmamalıdır. Hafta sonu ya da tatil günü sürenin işlemesini durdurmaz. Bu nedenle olay müdahale planında hafta sonunu da kapsayan bir çağrı zinciri bulunması yerinde olur. Öğrenme anının kim tarafından, hangi kayıtla tespit edileceğinin önceden belirlenmesi de gerekir; süre tartışmasında dayanak bu kayıt olacaktır.

Bildirim eşiği ve risk değerlendirmesi

Bildirim yükümlülüğü, olayın ihlal niteliği taşıyıp taşımadığının değerlendirilmesini gerektirir. Değerlendirmede etkilenen veri kategorileri, özel nitelikli veri bulunup bulunmadığı, etkilenen kişi sayısı, verinin kimin eline geçtiği, verinin doğrudan kimlik tespiti sağlayıp sağlamadığı ve ilgili kişiler bakımından doğabilecek zarar dikkate alınır.

Değerlendirmenin sonucu bildirim yapılmaması yönünde olsa dahi, bu sonucun gerekçesiyle birlikte yazılı hâle getirilmesi gerekir. Kurul incelemelerinde, bildirim yapılmamış olaylarda değerlendirmenin nasıl yapıldığı sorulmaktadır. Şüphe hâlinde bildirim yapılması, sonradan bildirim yapılmadığının savunulmasından çoğu zaman daha güvenli bir yoldur.

Tekrarlanan küçük olayların ayrı ayrı mı yoksa tek bir ihlal olarak mı ele alınacağı da tartışma konusudur. Aynı zafiyetten kaynaklanan ve kesintisiz süren bir erişim tek bir ihlal sayılabilirken, birbirinden bağımsız olaylar ayrı ayrı değerlendirilir.

Kurum'a bildirim nasıl yapılır

Bildirim, Kişisel Verileri Koruma Kurumu tarafından hazırlanan Veri İhlali Bildirim Formu doldurularak yapılır. Form Kurum'un internet sitesinde yayımlanmaktadır ve elektronik ortamda iletilir. Formun güncel sürümünün kullanıldığından emin olunmalıdır.

Formda yer alması beklenen bilgiler genel olarak şunlardır:

• Veri sorumlusuna ve varsa temsilcisine ilişkin bilgiler
• İhlalin ne zaman ve nasıl gerçekleştiği, ne zaman öğrenildiği
• Etkilenen kişi grupları ve yaklaşık kişi sayısı
• Etkilenen kişisel veri kategorileri ve özel nitelikli veri bulunup bulunmadığı
• İhlalin olası sonuçları
• Zararın azaltılması için alınan ya da alınması önerilen tedbirler
• İlgili kişilere bildirimin yapılıp yapılmadığı, yapılmadıysa gerekçesi
• İhlal öncesinde alınmış olan teknik ve idari tedbirler

Bildirimin şikâyet başvurusundan farklı bir kanaldan yapıldığına dikkat edilmelidir. İhlal bildirimi ile ilgili kişilerin şikâyet başvuruları ayrı süreçlerdir ve biri diğerinin yerine geçmez.

İlgili kişilere bildirim

Kanun, bildirimin yalnızca Kurul'a değil, ilgilisine de yapılmasını öngörür. Kurul'un 2019/10 sayılı kararına göre veri sorumlusu, ihlalden etkilenen kişilerin belirlenmesini takiben makul olan en kısa süre içinde bu kişilere bildirimde bulunur. İlgili kişinin iletişim adresi biliniyorsa doğrudan; bilinmiyorsa veri sorumlusunun kendi internet sitesinde yayımlanması gibi uygun yöntemlerle bildirim yapılır.

Bildirimin içeriği de belirlenmiştir. Kurul'un 18.9.2019 tarihli ve 2019/271 sayılı kararı, ilgili kişiye yapılacak bildirimin açık ve sade bir dille yapılmasını ve asgari olarak şu unsurları içermesini öngörmektedir:

• İhlalin ne zaman gerçekleştiği
• Hangi kişisel veri kategorilerinin etkilendiği
• İhlalin olası sonuçları
• Olumsuz etkilerin azaltılması için alınan veya alınması önerilen tedbirler
• İlgili kişilerin bilgi almasını sağlayacak irtibat bilgileri; veri sorumlusunun internet adresi, çağrı merkezi gibi iletişim yolları

Özellikle olası sonuçlar başlığı önemlidir. Etkilenen kişilere kendilerini korumak için ne yapabileceklerinin somut olarak anlatılması beklenir. Parola bilgilerinin etkilendiği bir ihlalde aynı parolanın kullanıldığı diğer hesaplarda da parola değiştirilmesinin önerilmesi, kimlik bilgilerinin etkilendiği bir ihlalde kimlik avı girişimlerine karşı uyarı yapılması buna örnektir.

Bildirim metninin kaleme alınmasında iki uçtan da kaçınılmalıdır. Olayı gizleyen ya da küçülten bir dil, ilgili kişiyi korunma imkânından yoksun bırakır; teknik terimlerle yazılmış bir metin ise anlaşılmaz kalır. Metnin hangi kanaldan, hangi tarihte ve kaç kişiye ulaştırıldığı da kaydedilmelidir.

Veri işleyen nezdinde gerçekleşen ihlal

Uygulamada ihlal çoğu zaman veri sorumlusunun kendi sisteminde değil, hizmet aldığı bir tedarikçinin sisteminde ortaya çıkar. Veri sorumlusu ile veri işleyen arasındaki ayrım ve bu ayrımın hangi ölçüte göre yapıldığı, Veri Sorumluları Sicili'ne kayıt konulu yazıda ayrıntılı biçimde ele alınmıştır.

İhlale özgü kural şudur: veri işleyen nezdinde bir ihlal gerçekleştiğinde veri işleyen bu durumu gecikmeksizin veri sorumlusuna bildirir. Kurul'a ve ilgili kişilere bildirim yükümlülüğü ise veri sorumlusuna aittir. Veri işleyenin bildirimi geciktirmesi, veri sorumlusunun sorumluluğunu ortadan kaldırmaz. Kanun'un 12. maddesinin ikinci fıkrası, verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde veri sorumlusunu tedbirlerin alınması bakımından o kişiyle müştereken sorumlu tutmaktadır.

Bu nedenle veri işleyenlerle yapılan sözleşmelere şu noktaların yazılması yerinde olur:

• İhlalin veri sorumlusuna bildirileceği azami süre; 72 saatlik sürenin makul bir bölümünü veri sorumlusuna bırakacak biçimde belirlenmelidir
• Bildirimde yer alacak asgari bilgiler ve bildirimin hangi kanaldan yapılacağı
• Delillerin korunması ve günlük kayıtlarının belirli bir süre saklanması
• Veri sorumlusunun inceleme ve denetim yetkisi ile veri işleyenin bilgi verme yükümlülüğü
• Alt veri işleyen kullanımının veri sorumlusunun onayına bağlanması ve alt işleyene aynı yükümlülüklerin yansıtılması
• İlgili kişilere yapılacak bildirimin metnini veri sorumlusunun onaylayacağı kaydı
• Sözleşmenin sona ermesi hâlinde verilerin iadesi veya imhası

Yurt dışında yerleşik veri sorumluları

Yurt dışında yerleşik bir veri sorumlusunun gerçekleştirdiği veri işleme faaliyeti Türkiye'de yerleşik kişileri etkiliyorsa, ihlal bildirimi yükümlülüğü bakımından da Kanun kapsamında değerlendirme yapılır. Bu tür veri sorumlularının Türkiye'de veri sorumlusu temsilcisi ataması gerektiği hususu ayrıca dikkate alınmalıdır. Temsilcinin atanmamış olması, bildirim yükümlülüğünü ortadan kaldırmaz; yalnızca bildirimin fiilen yapılmasını güçleştirir.

İhlal kayıt tablosu ve müdahale planı

Veri sorumlusunun yükümlülüğü bildirimle sınırlı değildir. Kurul kararlarında, veri sorumlusunun yaşanan ihlalleri, bunların etkilerini ve alınan önlemleri kayıt altına alması ve bu kayıtları Kurul'un incelemesine hazır hâlde bulundurması gerektiği belirtilmektedir. Bu kayıt uygulamada ihlal kayıt tablosu olarak anılır ve bildirim yapılmamış olaylar bakımından da tutulur.

Ayrıca kurum içinde bir veri ihlali müdahale planının bulunması beklenir. Planda; ihlalin kime raporlanacağı, hangi ekibin devreye gireceği, hangi kararı kimin alacağı, delillerin nasıl korunacağı, bildirim metinlerinin kim tarafından hazırlanacağı ve planın hangi sıklıkla gözden geçirileceği belirlenir. Planın masa başı tatbikatlarla denenmesi, gerçek bir olayda süreye uyulmasını kolaylaştırır. Kurul incelemelerinde böyle bir planın varlığı ve fiilen uygulanıp uygulanmadığı değerlendirilmektedir.

Dikkat çeken bir nokta, bildirimin yalnızca ihlal anına değil, ihlal öncesine de bakılmasına yol açmasıdır. Bildirim üzerine yapılan incelemede, ihlal öncesinde alınmış teknik ve idari tedbirlerin yeterliliği de ayrıca değerlendirilir. Erişim yetkilerinin sınırlandırılmış olması, günlük kayıtlarının tutulması, yedeklerin şifrelenmesi, güncel olmayan yazılımların kullanılmaması ve personele eğitim verilmiş olması bu değerlendirmede öne çıkan başlıklardır.

İlk 72 saatte izlenecek sıra

1. İhlali durdurun ve yayılmasını engelleyin; etkilenen sistemi izole edin.
2. Delilleri koruyun; kayıtları ve günlük dosyalarını silmeyin, üzerine yazılmasını önleyin.
3. Öğrenme anını yazılı olarak kayda geçirin; süre bu andan itibaren işler.
4. Etkilenen veri kategorilerini ve yaklaşık kişi sayısını belirleyin; özel nitelikli veri bulunup bulunmadığını tespit edin.
5. Veri işleyenden bilgi isteyin ve sözleşmedeki bildirim yükümlülüğünü hatırlatın.
6. Veri İhlali Bildirim Formu'nu doldurup Kurum'a iletin; eksik bilgilerin sonradan tamamlanacağını belirtin.
7. İlgili kişilere yapılacak bildirimin metnini hazırlayın ve asgari unsurları içerdiğinden emin olun.
8. Olayı, alınan tedbirleri ve zaman çizelgesini ihlal kayıt tablosuna işleyin.
9. İhlale yol açan zafiyeti giderin ve aynı zafiyetin başka sistemlerde bulunup bulunmadığını kontrol edin.

Bildirmemenin sonucu

Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi, Kanun'un 18. maddesinin birinci fıkrasının (b) bendi kapsamında idari para cezası gerektirir. Güncel ceza aralıkları ile cezaya karşı başvurulacak yargı yolu, veri sorumlusuna başvuru ve Kurul'a şikâyet konulu yazıda ele alınmıştır. 1 Haziran 2024 tarihinden itibaren Kurul'un idari para cezalarına karşı da idare mahkemesinde dava açıldığı burada hatırlatılmalıdır.

Ayrıca Kurul, Kanun'un 15. maddesi uyarınca hukuka aykırılığın giderilmesi için gerekli tedbirlerin alınmasına karar verebilir. Bu karar, tebliğinden itibaren gecikmeksizin ve en geç 30 gün içinde yerine getirilir. Karara uyulmaması ayrı ve daha ağır bir idari para cezası sebebidir.

Kanun'un 12. maddesinin beşinci fıkrasının son cümlesi uyarınca Kurul, gerekmesi hâlinde ihlali kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir. Uygulamada Kurum, bildirilen ihlallerin özetlerini internet sitesinde yayımlamaktadır. Bu yayım, itibar bakımından çoğu zaman idari para cezasından daha ağır bir sonuç doğurur.

Son olarak idari sorumluluk ile ceza sorumluluğunun ayrı olduğu unutulmamalıdır. Bildirim yükümlülüğünün yerine getirilmiş olması, ihlale sebep olan kişiler bakımından ceza sorumluluğunu ortadan kaldırmaz.

Sık yapılan hatalar

• Teknik incelemenin tamamlanması beklenirken 72 saatlik sürenin doldurulması.
• Öğrenme anının hiçbir yere kaydedilmemesi ve sürenin başlangıcının sonradan gösterilememesi.
• Sürenin iş günü üzerinden hesaplandığının sanılması; hafta sonuna denk gelen olaylarda gecikilmesi.
• Yalnızca Kurul'a bildirim yapılıp ilgili kişilere bildirimin atlanması ya da içeriğinin asgari unsurları taşımaması.
• İhlalin veri işleyende gerçekleşmesi hâlinde bildirim yükümlülüğünün de veri işleyene ait sanılması.
• Sözleşmede veri işleyenin bildirim süresinin hiç düzenlenmemesi.
• Günlük kayıtlarının tutulmaması ya da olaydan sonra üzerine yazılmasına izin verilmesi.
• Bildirim yapılmayan olaylar bakımından değerlendirme gerekçesinin yazılı hâle getirilmemesi.
• İhlal kayıt tablosunun hiç tutulmaması ve müdahale planının kâğıt üzerinde kalması.