Siber saldırı, kaybolan bir dizüstü bilgisayar ya da yanlış kişiye gönderilen bir e-posta… Veri ihlali anında atılması gereken adımlar ve bildirim süreleri.
Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi, Kanun'da veri ihlali olarak tanımlanır. İhlalin kasıtlı bir saldırıdan kaynaklanması şart değildir; yanlış adrese gönderilen bir e-posta veya kaybolan bir cihaz da ihlal sayılabilir.
1. İhlali durdurun ve kayıt altına alın
İlk hedef, zararın büyümesini önlemektir. Etkilenen sistemlere erişimin kısıtlanması, şifrelerin değiştirilmesi ve olayın ne zaman, nasıl fark edildiğinin yazılı olarak kaydedilmesi gerekir. Bu kayıtlar, sonraki bildirimlerin temelini oluşturur.
2. Kapsamı belirleyin
- Hangi veri kategorileri etkilendi? (kimlik, iletişim, finans, sağlık vb.)
- Kaç kişi etkilendi?
- İhlalin olası sonuçları nelerdir?
3. Kurul'a bildirim yapın
Kanun, veri sorumlusunun ihlali en kısa sürede Kişisel Verileri Koruma Kurulu'na bildirmesini öngörür. Kurul kararına göre bu bildirimin, ihlalin öğrenilmesinden itibaren 72 saat içinde yapılması gerekir. Bildirim, Kurul'un internet sitesindeki form aracılığıyla yapılır; tüm bilgilere henüz ulaşılamadıysa eksik bilgiler sonradan tamamlanabilir.
4. İlgili kişileri bilgilendirin
İhlalden etkilenen kişilere de makul en kısa sürede, doğrudan ulaşılabiliyorsa doğrudan, aksi hâlde uygun yöntemlerle bildirim yapılmalıdır. Bildirimde ihlalin zamanı, etkilenen veriler, olası sonuçlar ve kişilerin alabileceği önlemler yer almalıdır.
5. Ders çıkarın
İhlal sonrası teknik ve idari tedbirler gözden geçirilmeli, gerekiyorsa çalışan eğitimleri yenilenmelidir. Önceden hazırlanmış bir veri ihlali müdahale planı, kriz anında doğru adımların hızla atılmasını sağlar.