Veri İhlali Bildirimi nedir?

Veri ihlali bildirimi, kişisel verilerin hukuka aykırı biçimde başkaları tarafından elde edilmesi hâlinde veri sorumlusunun Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere yaptığı bildirimdir. Kurul kararlarında bildirimin, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılması aranır.

Perakendede nasıl kullanılır

Perakendede ihlaller farklı biçimlerde ortaya çıkabilir: e-ticaret veri tabanına sızma, fidye yazılımı saldırısında müşteri verisinin dışarı çıkarılması, yanlış kişiye gönderilen müşteri listesi, çalınan bir dizüstü bilgisayar ya da bir tedarikçide yaşanan ihlal. 72 saatlik süreye yetişmek için ihlalin hızla fark edilmesi, kapsamının belirlenmesi ve karar vericilere ulaşılması gerekir; bu da önceden hazırlanmış bir plan olmadan çok zordur.

Nelere dikkat etmeli

• Olay müdahale planı: Kimin kimi, hangi durumda ve ne zaman bilgilendireceği önceden yazılı olmalıdır.
• Tespit yeteneği: Kayıt izleme, SIEM ve EDR gibi araçlar ihlalin erken fark edilmesini sağlar; fark edilmeyen ihlal bildirilemez.
• Kapsam belirleme: Hangi verilerin, kaç kişiyi etkileyecek şekilde ele geçirildiğini hızla çıkarabilmek için veri envanteri güncel tutulmalıdır.
• Tedarikçi bildirimi: Veri işleyenlerin ihlali size ne kadar sürede bildireceği sözleşmede tanımlanmalıdır.

Bu açıklama genel bilgi amaçlıdır; bir ihlal durumunda hukuk danışmanınızla birlikte hareket etmeniz önerilir.

Sık sorulan soru

Her veri ihlali Kurula bildirilmek zorunda mıdır?

Kanun, kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi durumunda bildirim yükümlülüğü getirir. Hangi olayın bu kapsama girdiği, etkilenen veri ve kişi sayısı gibi unsurlar olay bazında değerlendirilmelidir. Değerlendirmenin hızlı yapılabilmesi için olay müdahale planında karar sürecinin ve hukuk danışmanının rolünün önceden tanımlanması gerekir. Bu açıklama genel bilgi amaçlıdır.