Veri ihlali bildirim süreci (KVKK 72 saat)

Bir veri ihlali yaşandığında saat işlemeye başlar. 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili Kurul düzenlemeleri çerçevesinde, veri sorumlusunun ihlali öğrendiği andan itibaren en kısa sürede ve ilgili rehberde belirtilen süre içinde (yaygın olarak 72 saat ölçütüyle anılır) Kurula bildirim yapması beklenir. Bu yoğun saatlerde iç iletişim, paniği düzene çeviren görünmez bir omurgadır. Bu yazı bilgilendirme amaçlıdır ve hukuki tavsiye değildir; resmî bildirimi kurum ve hukuk danışmanları yapar. Burada ele aldığımız, iç iletişimin bu süreçteki rolüdür.

Veri ihlali nedir, neden hız gerekir?

Veri ihlali, kişisel verilerin hukuka aykırı biçimde erişilmesi, ifşası, değiştirilmesi ya da kaybı demektir. Bir siber saldırı kadar, kaybolan bir dizüstü bilgisayar ya da yanlış kişiye gönderilen bir e-posta da ihlal olabilir. Ortak nokta, kişilerin verilerinin risk altına girmesidir.

Hız gerekmesinin nedeni hem yasal hem etiktir. 6698 sayılı Kanun çerçevesinde zamanında bildirim beklenir; ayrıca etkilenen kişilerin kendilerini korumak için hızlıca bilgilendirilmesi gerekir. Konunun temeli için KVKK nedir yazısı, olası yaptırımlar için KVKK ihlali cezası yazısı başlangıç noktası olabilir.

İhlalin boyutu da müdahalenin aciliyetini belirler. Birkaç kişinin iletişim bilgisinin sızması ile binlerce kişinin finansal verisinin ele geçmesi aynı ağırlıkta değildir. Ancak boyut ne olursa olsun, ilk saatlerde sağlanan hız ve koordinasyon, sürecin geri kalanının ne kadar kontrollü ilerleyeceğini belirler. Bu yüzden her ihlal şüphesi, kanıtlanana kadar ciddiye alınmalıdır.

İç tespit: ilk saatler

İhlal çoğu zaman bir çalışanın fark etmesiyle başlar; bir anormallik, bir uyarı ya da bir hata. Bu ilk tespitin doğru kişilere hızla ulaşması, tüm sürecin hızını belirler. Eğer çalışanlar neyi, kime, nasıl bildireceğini bilmiyorsa değerli saatler kaybolur.

Bu yüzden ihlal şüphesinin nasıl ve kime iletileceği önceden herkese duyurulmuş olmalıdır. Net bir bildirim yolu kurulduğunda, ilk tespit ile müdahale ekibinin harekete geçmesi arasındaki süre dakikalara iner. Hazırlık, kriz anında değil, öncesinde yapılır.

Ekip seferberliği: doğru kişileri hızla toplamak

İhlal doğrulandığında, bilgi güvenliği, hukuk, İK ve yönetimden oluşan bir müdahale ekibinin hızla toplanması gerekir. Bu kişilere mesai saati dışında bile ulaşabilmek kritiktir. Sıradan bir e-posta bu hızı sağlamaz; dikkat çeken ve ulaştığı teyit edilebilen bir kanal gerekir.

Xanons'un uyum ve İSG çözümü ve acil durum bildirim kanalları, müdahale ekibini hızla seferber etmek ve kimin mesajı gördüğünü isim ve zaman damgasıyla teyit etmek için kullanılabilir. Burada sınır nettir: Xanons iç seferberliği ve bilgilendirmeyi hızlandırır; Kurula yapılacak resmî bildirimi kurum yürütür.

Süreyi yönetmek: saatin farkında olmak

İhlalin öğrenildiği an, sürenin başladığı andır. Bu yüzden ilk işlerden biri, ihlalin ne zaman ve nasıl öğrenildiğini kayıt altına almaktır. İç iletişim, bu kronolojinin net tutulmasına ve ilgili herkesin aynı zaman çizelgesini bilmesine yardımcı olur.

• İhlalin öğrenildiği tarih ve saati netleştirin ve kaydedin
• Müdahale ekibini vakit kaybetmeden seferber edin
• İç bilgilendirmeyi ve rol dağılımını tek kanaldan yürütün
• Resmî bildirim için gereken bilgileri hukuk/uyum ekibine akıtın
• Etkilenen kişilere yapılacak bilgilendirmeyi planlayın

İç iletişimin rolü: panik yerine düzen

Kriz anında en büyük tehlike, kontrolsüz bilgi akışıdır. Doğrulanmamış söylentilerin çalışanlar arasında yayılması, hem müdahaleyi zorlaştırır hem de dışarıya yanlış bilgi sızmasına yol açar. İç iletişimin görevi, tek ve doğru bir bilgi kaynağı olmaktır.

Çalışanlara ne olduğu (paylaşılabildiği ölçüde), ne yapmaları gerektiği ve kiminle konuşmaları gerektiği net biçimde iletildiğinde panik düzene dönüşür. Bilgi güvenliği kültürünün günlük temelini anlamak için bilgi güvenliği nedir yazısı tamamlayıcıdır.

Resmî bildirim kurumun sorumluluğunda

Burada en kritik sınırı tekrar çizmek gerekir: Kurula yapılacak resmî ihlal bildirimini, etkilenen kişilere yapılacak resmî bildirimleri ve hukuki değerlendirmeyi kurum ve hukuk danışmanları yürütür. Bir iletişim aracı bu resmî süreçleri yapmaz, yalnızca onları mümkün kılan iç koordinasyonu hızlandırır.

Bu ayrımı net tutmak, hem gerçekçi bir beklenti kurar hem de sorumluluğu doğru yere koyar. Xanons iç seferberliği, bilgilendirmeyi ve okundu kaydını sağlar; bildirimin içeriği, zamanlaması ve resmî muhatapla iletişimi uzmanların işidir. Bu yazı bilgilendirme amaçlıdır; kurumun kendi mevzuatına ve hukuk danışmanlarının görüşüne göre hareket etmesi esastır.

Kriz sonrası: öğrenmek ve hazırlanmak

İhlal yönetildikten sonra iş bitmez. Sürecin neyin iyi, neyin eksik işlediğini değerlendiren bir gözden geçirme, bir sonraki olaya hazırlığın temelini atar. İç tespit ne kadar hızlıydı, ekip ne kadar çabuk toplandı, iletişim net miydi?

Bu değerlendirmeden çıkan dersleri bir tatbikata ve güncellenmiş bir bildirim planına dönüştürmek, kurumu bir sonraki kriz için güçlendirir. En iyi kriz yönetimi, kriz anında doğaçlama değil, önceden kurulmuş bir refleksin devreye girmesidir.

Düzenli tatbikatlar, bu refleksi kas hafızasına dönüştürür. Yılda bir yapılan basit bir senaryo denemesi, kimin hangi adımda ne yapacağını herkese hatırlatır ve gerçek kriz anında tereddüdü ortadan kaldırır. Tatbikat sırasında ortaya çıkan aksaklıklar, maliyeti düşük bir ortamda görülür ve düzeltilir; böylece gerçek olay geldiğinde kurum çok daha hazırlıklı olur.

Sık sorulan sorular

Veri ihlalinde 72 saatlik süre ne zaman başlar? Yaygın olarak anılan ölçütte süre, veri sorumlusunun ihlali öğrendiği andan itibaren işler. Bu yazı bilgilendirme amaçlıdır; kesin süre, kapsam ve yükümlülükler için 6698 sayılı Kanun ve KVKK Kurulu düzenlemeleri ile hukuk danışmanının görüşü esastır.

Xanons resmî KVKK bildirimini yapar mı? Hayır. Xanons iç müdahale ekibini seferber eder, çalışanları bilgilendirir ve okundu kaydını tutar. Kurula yapılacak resmî bildirimi ve hukuki süreci kurum ve hukuk danışmanları yürütür.

İç iletişimin veri ihlalindeki rolü nedir? İç iletişim; ilk tespiti doğru kişilere hızla ulaştırır, müdahale ekibini seferber eder, söylenti yerine tek doğru bilgi kaynağı olur ve kronolojinin net tutulmasına yardımcı olur. Resmî bildirimin kendisi kurumun sorumluluğundadır.