Veri ihlalinde şirketin bildirim ve kayıt yükümlülüğü

Kısa cevap: Veri ihlalinde şirketin bildirim ve kayıt yükümlülüğü

Kişisel verilerin hukuka aykırı biçimde başkalarınca elde edildiğini öğrenen veri sorumlusu, gecikmeden ve en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirim yapmalıdır. Etkilenen kişiler belirlendikten sonra onlara da makul olan en kısa sürede bilgi verilir. İnceleme bitmedi diye ilk bildirimi ertelemeyin; henüz bilinmeyen bilgiler daha sonra tamamlanabilir.

Kapsamı ve sınırları baştan belirleyin

Önce şirketin olayda veri sorumlusu mu, veri işleyen mi olduğunu belirleyin. Veri işleyen, kendi nezdindeki ihlali gecikmeden veri sorumlusuna iletir. Kurula yapılan ihlal bildirimi ile kişilerin kendi hakları için yaptığı şikâyet aynı başvuru değildir. Sırf teknik arıza görülmesiyle, kişisel verilerin başkalarınca elde edildiğinin öğrenilmesi de aynı olay değildir; değerlendirmeyi ve dayanağını kayıt altına alın.

Şartlar ve kontrol kriterleri

Hangi verilerin, hangi kişiler bakımından ve nasıl etkilendiğini belirleyin. Olayın gerçekleşme zamanı ile şirketin ihlali öğrendiği zamanı ayrı kaydedin. Tespit, değerlendirme, erişimi kesme ve bildirim görevlerinden kimin sorumlu olduğu açık olsun.

Adım adım ne yapmalısınız?

1. İhlalin yayılmasını sınırlayın ve delil niteliğindeki logları koruyun. 2. Öğrenme anını, bilinen kapsamı ve henüz bilinmeyen noktaları yazın. 3. Kurumun veri ihlali bildirim formuyla ilk bildirimi yapın; eksikleri gecikmeden tamamlayın. 4. Etkilenen kişileri belirleyip uygun doğrudan iletişim yolunu kullanın; ulaşılamayanlar için uygun duyuru yöntemini değerlendirin. 5. Önlemler, bildirim teslimleri ve düzeltici çalışmalar için olay kaydı tutun.

Süreler ve kritik tarihler

Kurula bildirim için 72 saat, veri sorumlusunun ihlali öğrenmesiyle ilişkilidir; süreyi raporun tamamlandığı veya yönetimin onay verdiği tarihten başlatmayın. Haklı nedenle geç bildirim yapılırsa gecikme nedeni de açıklanır. İlgili kişiye bildirim için aynı sayısal süre yazılmamıştır: kişiler belirlendikten sonra makul en kısa sürede bildirim yapılır.

Somut senaryo ile düşünün

Varsayımsal örnekte pazartesi müşteri listesinin dışarı sızdığı öğreniliyor, etkilenen kayıt sayısı ise henüz belli değil. Kayıt sayısını kesinleştirmeyi bekleyerek ilk bildirimi geciktirmek yerine bilinenleri bildirin, soruşturma ilerledikçe bilgileri tamamlayın.

Hangi belgeleri hazırlamalısınız?

Olay zaman çizelgesi, öğrenme kaydı, sistem logları, etkilenen veri kategorileri ve kişi grupları, veri işleyen yazışmaları, alınan önlemler, Kurula verilen formlar ve ilgili kişi bildirimlerinin teslim kanıtlarını koruyun. Bildirim metninde gereksiz kişisel verileri yeniden yaymayın.

En sık yapılan hatalar

Teknik ekibin incelemesi tamamlanana kadar sessiz kalmak; yalnız Kurula bildirip ilgili kişilere bildirim yapmamak; belirsiz bir “güvenlik sorunu yaşandı” mesajıyla yetinmek başlıca risklerdir. İlgili kişi metni ihlalin zamanını, etkilenen veri türlerini, olası sonuçları, alınan veya önerilen önlemleri ve bilgi alınabilecek iletişim yolunu sade biçimde açıklamalıdır.

Sonraki adım ve sorumluluk reddi

Dosyanızı kısa olay özeti, tarih çizelgesi ve belge listesiyle hazırlayın. Somut olayın değerlendirilmesi için ofis iletişim bilgilerini kullanabilirsiniz.

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; hukuki görüş, dava sonucu veya başarı garantisi değildir. Her olayın tarafları, belgeleri, süreleri ve güncel mevzuatı farklı olabilir. İşlem yapmadan önce yetkin bir avukattan somut dosya incelemesi almanız önerilir.