Kişisel Veri İhlali Yaşandığında Şirketler Ne Yapmalı?
Kişisel veri ihlali şüphesi ortaya çıktığında işletme olayın kapsamını sınırlamalı, delilleri korumalı ve hangi verilerin etkilendiğini belirlemelidir. Veri sorumlusu yükümlülükleri, olayın niteliği ve ilgili kişilere yönelik riskle bağlantılıdır; her teknik arıza aynı şekilde ihlal sayılmaz.
Olayı kontrol altına alın ve belgeleyin
Erişim logları, sistem uyarıları, e-posta başlıkları, yedekler ve olay müdahale kayıtları korunmalıdır. Yetkisiz erişim devam ediyorsa hesaplar ve anahtarlar güvenli biçimde sınırlandırılmalı, ancak olay incelemesini yok edecek kayıt değişikliklerinden kaçınılmalıdır.
Olayın başlangıç zamanı, tespit yöntemi, etkilenen sistemler, veri kategorileri ve muhtemel kişi sayısı kaydedilmelidir. Bilgi güvenliği ve hukuk ekipleri birlikte çalışmalı; teknik varsayım doğrulanmış bulgu gibi raporlanmamalıdır.
Veri sorumlusunun bildirim yükümlülüğü
Kişisel Verileri Koruma Kanunu veri güvenliğine ilişkin önlemleri ve ihlal hâlinde Kurula bildirim çerçevesini düzenler. Bildirim gerekip gerekmediği ve zamanı olayın öğrenilmesi, etkisi ve güncel Kurul kararlarına göre değerlendirilmelidir.
Kurulun resmi kaynakları ve veri ihlal bildirim duyuruları kullanılmalıdır. Somut olayın süre ve içerik gereklilikleri için güncel resmi rehber kontrol edilmeli; burada dinamik bildirim takvimi genellenmemiştir.
Etkilenen kişilerin bilgilendirilmesi
İhlal kişilerin hak ve özgürlükleri üzerinde risk doğuruyorsa, ilgili kişilere anlaşılır ve uygun içerikte bilgi verilmesi gerekebilir. Etkilenen veri kategorileri, alınan tedbirler ve kişinin kendini korumak için atabileceği adımlar açıklanabilir.
Bildirim, paniğe yol açmadan doğru bilgi sağlamalı; kesinleşmemiş teknik bulgulara yer vermemelidir. Müşteri destek kanalı ve soru-cevap süreçleri de hazırlanmalıdır.
Önleyici yönetişim ve sözleşmeler
Erişim yetkilerini asgari düzeyde tutun, çok faktörlü doğrulamayı ve yedekleri planlayın, tedarikçi sözleşmelerinde ihlal bildirimini ve iş birliğini belirleyin. Düzenli tatbikat, olay anında karar süresini kısaltabilir.
İhlal dosyası, risk analizi ve yapılan bildirim kayıtlarını saklayın. Bilişim hukuku çalışma alanımızı inceleyebilir; iletişim sayfamızdan bilgi alabilirsiniz.
Sıkça Sorulan Sorular
Her veri sızıntısı Kurula bildirilmeli mi?
Yükümlülük olayın kişisel veri ve risk niteliğine, güncel mevzuat ve Kurul kararlarına göre değerlendirilir.
İhlalden etkilenen kişiler ne zaman bilgilendirilir?
Bilgilendirme gereği olayın riskine ve resmi kurallara göre belirlenir; olay kayıtlarıyla gecikmeden değerlendirilmelidir.
Konuyla ilgili hukuki bilgi için it hizmetlerimizi inceleyebilir veya Avkat ile iletişime geçebilirsiniz.
İlgili makaleler
Bu içerik genel bilgilendirme amaçlıdır; hukuki görüş veya somut olaya özel danışmanlık yerine geçmez. Güncel mevzuat ve olay belgeleri ayrıca değerlendirilmelidir.