Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı kararına göre veri ihlali bildirimi, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a yapılır. Bu süreyi tutturmak için olaydan önce yazılmış bir müdahale planı gerekir: kimin karar vereceği, kimin teknik incelemeyi yürüteceği, bildirim formunu kimin dolduracağı ve etkilenen kişilere nasıl ulaşılacağı önceden belirlenmelidir.
72 Saat Olaydan Önce Başlar
Bir ihlalin ilk saatleri çoğu kurumda aynı şekilde geçer: bilgi işlem ekibi sistemi ayağa kaldırmaya çalışır, yönetim ne olduğunu sorar, hukuk birimi en son haberdar olur. Bu dağınıklık, veri ihlali bildirimi için tanınan 72 saatin önemli bir kısmını sessizce tüketir. Saat, olay tamamen anlaşıldığında değil, veri sorumlusunun ihlali öğrendiği anda işlemeye başlar.
Bu yazı, bilgi güvenliği ekiplerinin ve BT yöneticilerinin kendi veri ihlali müdahale planını kurarken karar vermesi gereken noktaları ele alıyor: neyin ihlal sayıldığı, ekipte kimin hangi rolü üstlendiği, ilk 72 saatin saat saat akışı, Kurul'a bildirim formunun içeriği ve ilgili kişilere bildirim. Yazının sonunda planınızı karşılaştırabileceğiniz bir şablon iskeleti bulunuyor.
İhlal nedir, ne değildir?
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmesini öngörür. Aynı fıkra, Kurul'un gerektiğinde bu durumu kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebileceğini de belirtir.
Uygulamada her güvenlik olayı bildirim gerektiren bir kişisel veri ihlali değildir. Ayrımı doğru yapmak, hem gereksiz bildirimleri hem de atlanan bildirimleri önler.
Belirsiz durumlarda kararı ve gerekçesini yazılı olarak kayda geçirmek gerekir. Kişisel Veri İhlali Bildirim Formu da ihlalin veri gizliliğini, bütünlüğünü ya da erişilebilirliğini etkileyip etkilemediğini ayrı ayrı sorar; bu nedenle değerlendirme yalnızca “veri sızdı mı” sorusuyla sınırlı kalmamalıdır. Fidye yazılımı senaryosundaki bu ayrımı fidye yazılımı ve KVKK ihlali yazımızda ayrıntılı ele aldık. Somut olay özelinde hukuki değerlendirme alınmalıdır.
İhlal mi, olay mı? Tipik örnekler
Genellikle ihlal: Fidye yazılımıyla şifrelenip kopyalanan müşteri dosyaları, yanlış alıcıya gönderilen bordro listesi, çalınan ve şifrelenmemiş dizüstü bilgisayar, yetkisi olmayan bir çalışanın kayıtları görüntülemesi.
Değerlendirme gerektiren: Verinin dışarı çıkıp çıkmadığının henüz bilinmediği saldırılar, şifreli bir cihazın kaybı, tedarikçide yaşanan ve sizin verinizi içerip içermediği belirsiz olaylar.
Genellikle ihlal değil: Engellenen oltalama e-postası, kişisel veri içermeyen bir sistemin kesintisi, güvenlik duvarında durdurulan tarama girişimleri.
Müdahale ekibi ve roller
Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı, veri sorumlularının bir veri ihlali müdahale planı hazırlamasını ve bu planda ihlal halinde kime raporlama yapılacağını, bildirimden kimin sorumlu olacağını ve ihlalin olası sonuçlarını değerlendirmekle kimin görevli olacağını belirlemesini öngörür. Planın da belirli aralıklarla gözden geçirilmesi istenir. Bu, rollerin olaydan önce isim ve yedekleriyle belirlenmesi anlamına gelir.
Her rol için en az bir yedek kişi atanmalı ve iletişim bilgileri olay sırasında erişilemeyebilecek kurumsal sistemlerin dışında da tutulmalıdır. E-posta sunucusu saldırı altındayken ekibin hangi kanaldan haberleşeceği plana yazılmamışsa ilk saatler koordinasyonla geçer.
Müdahale ekibinde roller ve sorumluluklar
| Rol | Kim üstlenir? | İlk 72 saatteki sorumluluğu |
|---|---|---|
| Olay yöneticisi | Bilgi güvenliği yöneticisi veya CISO | Ekibi toplar, zaman çizelgesini tutar, kararları kayda geçirir |
| Teknik inceleme | BT, güvenlik operasyonları, gerekirse dış adli bilişim desteği | Olayı sınırlar, logları ve delilleri korur, etkilenen sistem ve veriyi belirler |
| KVKK ve hukuk | KVKK irtibat kişisi, hukuk birimi | İhlal değerlendirmesini yapar, bildirim formunu hazırlar, kolluk ve diğer kurumlarla ilişkiyi yönetir |
| Karar mercii | Üst yönetim temsilcisi | Bildirim, kamuoyu açıklaması ve dış destek kararlarını onaylar |
| İletişim | Kurumsal iletişim, müşteri hizmetleri | İlgili kişilere bildirim metnini ve çağrı merkezi yanıtlarını hazırlar |
| Tedarikçi koordinasyonu | Satın alma veya sözleşme sahibi birim | Veri işleyenden bilgi ve belge toplar |
Saat saat ilk 72 saat
Aşağıdaki akış bir örnek çerçevedir; süreler kurumun büyüklüğüne ve olayın niteliğine göre uyarlanmalıdır. Önemli olan, 72 saatin sonunda değil, ilk 48 saat içinde bildirim taslağının hazır olmasıdır.
2019/10 sayılı karar, bilgilerin aynı anda sağlanamaması halinde gecikmeksizin aşamalı olarak sağlanabileceğini ve 72 saat içinde bildirim yapılamamışsa gecikmenin nedenlerinin bildirimle birlikte açıklanacağını belirtir. Yani tüm ayrıntıların netleşmesini beklemek bir gerekçe değildir. Kurul'un 2020/905 ve 2021/407 sayılı karar özetlerinde geç yapılan bildirimlerin ayrıca değerlendirildiği görülür.
Bu akışın ikinci satırı, logların erişilebilir ve güvenilir olmasına bağlıdır. Hangi logların ne kadar tutulduğunu ve kimin erişebildiğini log kayıtları kvkk yazımızda ele aldık.
Örnek 72 saatlik akış
| Zaman aralığı | Yapılacaklar | Çıktı |
|---|---|---|
| 0–4. saat | Olay yöneticisine haber verilir, ekip toplanır, “öğrenme anı” kayda geçirilir; etkilenen sistemler izole edilir, loglar ve kanıtlar korunur | Olay kaydı ve zaman çizelgesi |
| 4–24. saat | Etkilenen veri kategorileri, ilgili kişi grupları ve yaklaşık kişi ile kayıt sayısı belirlenir; veri işleyen dahilse bilgi istenir | İlk etki değerlendirmesi |
| 24–48. saat | Bildirim gerekip gerekmediğine karar verilir; form taslağı ve ilgili kişilere bildirim metni hazırlanır; yönetim onayı alınır | Bildirim kararı ve taslaklar |
| 48–72. saat | Kurul'a bildirim yapılır, takip numarası saklanır; bilinmeyen bilgiler için sonraki adımlar planlanır | Gönderilmiş bildirim |
| 72. saatten sonra | İlgili kişilere bildirim, takip bildirimiyle eksik bilgilerin tamamlanması, kök neden analizi ve kalıcı önlemler | Kapanış raporu |
Kurul'a bildirim formu ve içeriği
Bildirim, Kurum'un internet sitesinden erişilen çevrim içi Kişisel Veri İhlali Bildirim Formu ile yapılır. Kurum'un form kılavuzuna göre form altı bölümden oluşur. Ekibin bu soruların yanıtlarını olay sırasında değil, plan aşamasında nereden bulacağını bilmesi gerekir.
Kılavuz iki pratik noktanın altını çizer. Birincisi, formun ilk bölümü kaydedildiğinde verilen güvenlik kodu (takip numarası) saklanmalıdır; bildirimi sorgulamak ve güncellemek bu kodla yapılır. İkincisi, form “Kaydet ve Kuruma Gönder” ile gönderildikten sonra yalnızca ekler bölümünde değişiklik yapılabilir; sonradan netleşen bilgiler için takip bildirimi seçeneği kullanılır.
Formdaki “son bir yılda alınan eğitimler” ve “ihlalden önce alınan tedbirler” soruları, ihlal anında üretilemeyecek kanıtlar ister. Eğitim kayıtları, yetki matrisi ve Kurum'un Kişisel Veri Güvenliği Rehberi'nde sayılan teknik ve idari tedbirlere göre hazırlanmış bir tedbir listesi bu nedenle olaydan önce hazır olmalıdır; tedbir listesi için KVKK teknik tedbirler kontrol listesi yazımızdan yararlanabilirsiniz.
Bildirim formunun bölümleri
Hakkınızda: Veri sorumlusunun unvanı ve adresi ile bildirimi hazırlayan kişinin bilgileri. Bildirimi avukat veya danışman yapıyorsa vekaletname ya da sözleşme gibi belgeler eklenir.
İhlal hakkında: İhlalin başlama, sona erme ve tespit tarih-saatleri; ihlal veri işleyende yaşandıysa veri işleyenin bilgileri ve size bildirdiği zaman; ihlalin kaynağı, etkisi, nasıl tespit edildiği, etkilenen veri kategorileri, kişi ve kayıt sayısı ile etkilenen kişi grupları.
Bildirim: 72 saat aşıldıysa gecikmenin nedeni; ilgili kişilere bildirim yapılıp yapılmadığı, tarihi ve yöntemi; ilgili kişilerin bilgi alabileceği iletişim kanalları; yurt içi ve yurt dışındaki diğer kurumlara bilgi verilip verilmediği.
Olası sonuçlar: İlgili kişilerin olumsuz etkilere maruz kalma olasılığı ve ihlalin kurumunuzun hizmet sunma yeteneğine etkisi.
Önlemler: İhlalle ilgili çalışanların son bir yılda aldığı eğitimler, ihlalden önce ve sonra alınan teknik ve idari tedbirler.
Ekler: Tevsik edici belgeler; örneğin veri işleyenin bildirimi, ilgili kişilere gönderilen metnin örneği, eğitim kayıtları.
İlgili kişilere bildirim
2019/10 sayılı karar, ilgili kişilere bildirimin, etkilenen kişilerin belirlenmesini müteakip makul olan en kısa süre içinde yapılmasını öngörür. Kişinin iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi internet sitesinde yayımlama gibi uygun yöntemlerle bildirim yapılır.
Bildirimin içeriğini Kurul'un 18.09.2019 tarihli ve 2019/271 sayılı kararı belirler. Bildirim açık ve sade bir dille yazılmalı ve asgari olarak şu unsurları içermelidir:
İhlalin ne zaman gerçekleştiği.
İhlalden hangi kişisel verilerin etkilendiği; kişisel veri ve özel nitelikli kişisel veri ayrımıyla.
İhlalin olası sonuçları.
Olumsuz etkileri azaltmak için alınan veya alınması önerilen tedbirler.
İlgili kişilerin bilgi alabileceği irtibat kişilerinin ad ve iletişim bilgileri ya da internet sitesi, çağrı merkezi gibi iletişim yolları.
Plan, bu metnin taslağını da içermelidir. Taslağı hukuk ve iletişim birimlerinin birlikte hazırlaması, metnin hem eksiksiz hem anlaşılır olmasını sağlar. Kamuoyuyla iletişim ise ayrı bir karardır; ihlalin itibar boyutunu veri sızıntısının şirket itibarına etkisi yazımızda ele aldık.
Planı kim hazırlamalı? Seçenekler ve kapsam
Hangi yol seçilirse seçilsin, planın sahibi kurumdur. Plan yılda en az bir kez ve büyük bir sistem değişikliğinden sonra masa başı tatbikatıyla sınanmalıdır. Planın daha geniş bir uyum programının parçası olarak kurgulanması için standart KVKK uyum paketi kapsamını inceleyebilirsiniz.
Hazırlık seçenekleri karşılaştırması
Müdahale planı tek bir belge değildir; rol listesi, akış şeması, form hazırlık rehberi, iletişim taslakları ve tatbikat kayıtlarından oluşan bir pakettir. Kurumların bu paketi hazırlarken başvurduğu üç yol vardır.
| Seçenek | Ne zaman uygun? | Dikkat edilecek nokta |
|---|---|---|
| Kurum içinde hazırlamak | Olgun bir bilgi güvenliği ekibi ve hukuk birimi varsa | Hukuki ve teknik bakışın birlikte yer aldığından ve planın test edildiğinden emin olun |
| Mevcut ISO 27001 olay yönetimini genişletmek | Belgelendirilmiş bir bilgi güvenliği yönetim sistemi varsa | Teknik olay yönetimine KVKK bildirim adımları, 72 saat takibi ve ilgili kişi bildirimi eklenmelidir |
| Dış destekle hazırlamak | Kaynak sınırlıysa veya yüksek riskli veri işleniyorsa | Plan kurumun gerçek sistemlerine ve ekiplerine göre uyarlanmalı, tatbikatla doğrulanmalıdır |
Plan şablonu (indirilebilir)
Aşağıdaki iskelet, kendi planınızı karşılaştırmanız için bir başlangıç noktasıdır. İndirilebilir sürüm her başlık için doldurulacak alanları ve örnek ifadeleri içerir.
Bu şablon kvkkrehberi.com tarafından bilgilendirme amacıyla hazırlanmıştır; resmî bir form değildir. 2019/10 sayılı karar, ihlale ilişkin hususların, etkilerinin ve alınan önlemlerin kayıt altına alınmasını da öngörür.
Müdahale planı iskeleti
| Plan bölümü | İçerik | Kontrol sorusu |
|---|---|---|
| Kapsam ve tanımlar | Olay, ihlal ve öğrenme anı tanımları | Öğrenme anını kim, nasıl kayda geçiriyor? |
| Ekip ve yedekler | Roller, isimler, alternatif iletişim kanalları | Her rolün yedeği var mı? |
| Sınıflandırma | Ciddiyet seviyeleri ve bildirim karar ağacı | Bildirmeme kararı gerekçesiyle kayda geçiyor mu? |
| Teknik müdahale | İzolasyon, delil koruma, log toplama adımları | Loglar değiştirilemez biçimde saklanıyor mu? |
| Bildirim | Form hazırlık listesi, onay akışı, takip numarası saklama | Formun tüm bölümleri için veri kaynağı belli mi? |
| İlgili kişi iletişimi | 2019/271 unsurlarını içeren metin taslakları, kanal seçimi | Taslak hukuk ve iletişim birimince onaylandı mı? |
| Veri işleyenler | Tedarikçilerin size bildirim yükümlülüğü ve iletişim kişileri | Sözleşmelerde gecikmeksizin bildirim hükmü var mı? |
| Kayıt ve kapanış | İhlal kaydı, etkiler, alınan önlemler, ders çıkarma | Son tatbikat ne zaman yapıldı? |
Sonuç ve sonraki adım
Veri ihlali bildirimi için tanınan 72 saat, ihlal yaşandığında plan yazmak için yeterli değildir; yalnızca önceden yazılmış bir planı uygulamaya yeter. İyi bir müdahale planı rolleri ve yedekleri belirler, saat saat bir akış tanımlar, bildirim formunun her sorusunun yanıtının nereden geleceğini gösterir ve ilgili kişilere gönderilecek metnin taslağını içerir.
İlk adım olarak ekibinizle bir saatlik masa başı tatbikatı yapın: bir senaryo seçin ve formun her sorusunu yanıtlamaya çalışın. Yanıtlayamadığınız sorular planınızın eksik halkalarını gösterecektir. Çalışanların izlenmesi ve iç soruşturmaların sınırları için çalışan e-posta izleme kvkk yazımız, inceleme aşamasında başvurabileceğiniz bir tamamlayıcıdır.
Sık sorulan sorular
Kurul kararı süreyi saat olarak belirler ve iş günü ayrımı yapmaz. Bu nedenle hafta sonu ve resmî tatiller de süreye dahil kabul edilerek plan yapılmalı, nöbet ve ulaşılabilirlik düzenlemeleri buna göre kurulmalıdır.
Form, veri işleyenin ihlali tespit ettiği ve size bildirdiği zamanı ayrı alanlarda ister ve bildirim belgelerinin eklenmesini bekler. 2019/10 sayılı karar veri işleyenin ihlali öğrendiğinde veri sorumlusuna gecikmeksizin bildirmesini öngördüğü için bu yükümlülüğün sözleşmeyle güvenceye alınması gerekir. Somut olay özelinde hukuki değerlendirme alınmalıdır.
Formda “takip bildirimi” seçeneği bulunur. İlk bildirimde aldığınız takip numarasıyla yeni bilgiler ayrı bir bildirim olarak iletilebilir; bu nedenle numaranın kaybedilmeyecek bir yerde saklanması gerekir.
2019/10 sayılı karar, yurt dışında yerleşik veri sorumlusunda yaşanan ihlalin Türkiye'de yerleşik ilgili kişileri etkilemesi ve bu kişilerin Türkiye'de sunulan ürün ve hizmetlerden faydalanmış olması halinde de aynı esaslar çerçevesinde Kurul'a bildirim yapılmasını öngörür.
Veri ihlali müdahale planınızı olaydan önce hazırlayın
Rol dağılımı, 72 saatlik akış, Kurul bildirim formu hazırlığı ve ilgili kişi bildirim taslaklarıyla müdahale planınızı kurumunuza özel kuralım; şablonu indirip teklif isteyebilirsiniz.
Listeyi indirin, teklif alınKaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi
- Kişisel Veri İhlali Bildirim Usul ve Esasları (Kurul Kararı 2019/10) — Kişisel Verileri Koruma Kurumu (2019-01-24)
- İlgili kişiye yapılan veri ihlali bildiriminde yer alması gereken asgari unsurlar (Kurul Kararı 2019/271) — Kişisel Verileri Koruma Kurumu (2019-09-18)
- Kişisel Veri İhlali Bildirim Formu Kılavuzu — Kişisel Verileri Koruma Kurumu
- Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) — Kişisel Verileri Koruma Kurumu (2025-04)
