Veri İhlali Kriz Yönetimi
Kişisel veri ihlali yaşandığında ilk saatlerden itibaren hukuki değerlendirme, Kurul'a ve ilgili kişilere bildirim, delillerin korunması ve sonraki idari ve hukuki süreçlerin yönetimi.
Veri ihlali kriz yönetimi nedir?
Kişisel veri ihlali; verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi, sızdırılması veya erişilemez hale gelmesidir. KVKK m. 12/5 uyarınca veri sorumlusu ihlali ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na en kısa sürede bildirmekle yükümlüdür; Kurul bu süreyi 72 saat olarak belirlemiştir.
İhlalin ilk saatlerinde yapılan değerlendirme, sonraki tüm süreci belirler: ihlalin kapsamı, etkilenen veri kategorileri ve kişi sayısı, bildirimin içeriği ve dili, delillerin korunması ile teknik ekiplerle koordinasyon bu aşamada netleştirilir.
Kriz yönetimi bildirimle bitmez. Kurul'un inceleme süreci, ilgili kişilerden gelecek başvurular ve tazminat talepleri, sözleşmesel sorumluluklar ve gerekiyorsa ceza şikayeti de aynı stratejinin parçası olarak yönetilir.
Bu hizmete ne zaman ihtiyaç duyulur?
Siber saldırı ve fidye yazılımı
Sistemlere sızma, verilerin şifrelenmesi veya dışarı çıkarılması.
Çalışan kaynaklı sızıntı
Yetkili kullanıcıların verileri hukuka aykırı biçimde aktarması.
Yanlış alıcı ve yetkisiz erişim
Verilerin yanlış kişilere gönderilmesi veya korumasız bırakılması.
Kamuoyunda sızıntı iddiası
Sosyal medyada kurumunuzla ilgili veri sızıntısı iddiaları.
Nasıl çalışıyoruz?
- 01
Mevcut durum analizi
Veri envanteri, süreç haritası ve teknik altyapının incelenmesi.
- 02
Boşluk raporu ve eylem planı
Eksiklerin önceliklendirilmesi ve yol haritası.
- 03
Dokümantasyon ve uygulama
Politikalar, metinler ve sözleşmelerin hazırlanması.
- 04
Eğitim ve periyodik denetim
Çalışan eğitimi ve düzenli gözden geçirme.
Merak edilenler
Veri ihlali ne zaman bildirilmeli?
KVKK m. 12/5 ihlalin en kısa sürede ilgili kişiye ve Kurul'a bildirilmesini öngörür; Kurul kararıyla Kurul'a bildirim bakımından bu süre 72 saat olarak belirlenmiştir.
İhlal sonrası ilk adım ne olmalı?
İhlalin kapsamının tespiti, kayıtların ve delillerin korunması; teknik inceleme ile hukuki değerlendirmenin eş zamanlı yürütülmesi.
Her siber olay kişisel veri ihlali midir?
Hayır. Olayın kişisel verilerin gizliliği, bütünlüğü veya erişilebilirliği üzerinde etkisi olup olmadığı; verinin niteliği ve riskler üzerinden değerlendirilmelidir.
Bildirim yapılmadan önce teknik inceleme tamamlanmalı mı?
İlk tespitler hızla yapılmalı; ancak incelemenin tüm ayrıntıları tamamlanana kadar beklemek bildirim süreleri bakımından risk yaratabilir. Eksik bilgiler sonradan tamamlanabilir.
Kriz iletişimi neden hukuki planlamanın parçasıdır?
Çalışanlara, müşterilere, iş ortaklarına ve kamuoyuna yapılacak açıklamalar; bildirim yükümlülükleri, soruşturma gizliliği ve itibar yönetimiyle uyumlu olmalıdır.