Müşteri Verileri Sızdı: 72 Saatlik KVKK Bildiriminde Ne Yapılmalı?

Veri ihlali şüphesi ile öğrenme anını ayırın

Bir işletmenin müşteri listesi yanlış adrese gönderildiğinde, ortak klasör bağlantısı herkese açıldığında veya çalışan hesabı ele geçirildiğinde yalnız teknik bir arıza yaşanmış olmaz. Dosyalarda kişisel veri bulunup bulunmadığı ve bu verilerin yetkisiz kişilerce elde edilip edilmediği incelenmelidir. Her şüpheli uyarı otomatik olarak aynı hukuki sonucu doğurmaz; buna karşılık inceleme adı altında olayın günlerce sahipsiz bırakılması da doğru değildir.

İlk kayıt, kesin sonuç raporu olmak zorunda değildir. Uyarıyı kimin gördüğü, hangi sistemin etkilendiği, ilk tespit saati ve o anda bilinen olgular yazılabilir. Sonradan öğrenilen bilgiler ilk notun üzerine sessizce eklenmemeli, ayrı tarihli güncelleme yapılmalıdır. Böylece olayın gerçekleştiği zaman ile işletmenin durumdan haberdar olduğu zaman birbirine karıştırılmaz.

Bu ayrım özellikle bildirim süresinin değerlendirilmesinde önemlidir. Sistem kayıtlarında eski tarihli bir hareket görülmesi, işletmenin bunu o tarihte bildiğini tek başına göstermez. Buna karşılık çalışanların önceki uyarıları veya servis firmasının ilettiği mesajlar da gözden kaçırılmamalıdır. Öğrenme anı yalnız yönetimin son toplantısına göre belirlenmez; somut bilgi akışı belgelerle değerlendirilir.

Kurula bildirimde 72 saat kuralı

Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli, 2019/10 sayılı kararına göre veri sorumlusu, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrendiğinde gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunur. Aynı kararda bilgilerin tamamı birlikte sağlanamıyorsa gecikmeden aşamalı olarak sunulması öngörülür. Dolayısıyla nihai teknik raporu beklemek, bildirim takviminin yerine geçen bir yöntem değildir.

İşletme için yararlı bir çalışma belgesi, öğrenme anını, ilk değerlendirme sorumlusunu ve bildirim hazırlığının durumunu aynı sayfada gösterir. Bu belge bir takvim uygulamasına bağlı tutulabilir; ancak tek bir çalışanın izinde olmasıyla sürecin durmaması gerekir. Ulaşılamayan kişinin yerine kimin karar alacağı önceden belirlenirse, olay anında yönetim onayı aranırken zaman kaybedilmesi azalır.

Bildirimde doğrulanmış bilgi ile araştırılan husus açıkça ayrılmalıdır. Kesin kişi sayısı bulunamıyorsa tahminin dayanağı anlatılır; sayı sonradan değiştiğinde güncelleme yapılır. Bilinmeyen bir alanı kesinmiş gibi doldurmak da bütün alanlar netleşene kadar hiçbir şey yapmamak da sağlıklı değildir. İlk metnin tutarlı, anlaşılır ve sonradan izlenebilir olması amaçlanmalıdır.

İlk müdahalede delili koruyarak yayılmayı sınırlayın

Teknik ekiple iletişime geçildiğinde ilk hedef, olayın devam edip etmediğini anlamaktır. Yanlış gönderilmiş bir e-posta ile aktif biçimde kullanılan çalınmış hesap aynı müdahale planını gerektirmez. Hesabın erişiminin sınırlandırılması, açık bağlantının kapatılması veya ilgili sistemin ayrılması gibi işlemler teknik uzman tarafından değerlendirilmelidir. İşletme her adımın saatini ve uygulayan kişiyi kaydetmelidir.

Bir cihazı aceleyle sıfırlamak veya ilgili hesabı tamamen silmek, olayın kapsamını gösteren kayıtları yok edebilir. Bu nedenle koruma ve müdahale birlikte planlanır. Uygun teknik yöntemle alınan kayıt kopyası, ekrandaki bir hata mesajından daha fazla bilgi sağlayabilir. Bununla birlikte inceleme dosyasına gereksiz müşteri verileri doldurulmamalı; güvenlik araştırmasının kendisi yeni bir paylaşım sorununa dönüşmemelidir.

İşletme dışından hizmet alınıyorsa görev tanımı yazılı hale getirilebilir. Uzmanın hangi sisteme erişeceği, hangi dosyayı alacağı ve raporunu kime teslim edeceği açık olmalıdır. Olayla ilgisi bulunmayan departmanlara tam müşteri listesi göndermek yerine, inceleme için gerekli kapsam paylaşılır. Böylece acil müdahale ihtiyacı, denetimsiz veri dolaşımına gerekçe yapılmamış olur.

Etkilenen veri ve kişi sayısını nasıl belirlemeli?

Bir klasörde bin dosya bulunması, bin farklı kişinin verisinin etkilendiği anlamına gelmeyebilir. Aynı kişinin farklı belgeleri bulunabilir; bazı dosyalar kişisel veri içermeyebilir. Ayrıca bağlantının herkese açık olması ile belirli dosyanın indirildiğinin görülmesi farklı bulgulardır. İncelemede erişime açılan veri, erişildiği anlaşılan veri ve henüz durumu bilinmeyen veri ayrı gösterilebilir.

Dosya bazında hazırlanacak envanterde veri türü, ilgili kişi grubu ve sistemdeki konumu bulunabilir. İletişim bilgileri, kimlik belgeleri, ödeme verileri ve sağlık bilgileri aynı başlık altında eritilmemelidir. Her grubun hangi olumsuz sonuçlara yol açabileceği ayrıca düşünülür. Aynı olay çalışanları, müşterileri ve başvuru sahiplerini birlikte etkileyebileceğinden yalnız mevcut müşteri tablosuna bakmak yetersiz kalabilir.

İncelemede kullanılan sayıların hangi tarihte üretildiği de önemlidir. İlk raporda hesaplanan üst sınır ile daha sonra doğrulanan kesin sayı yan yana tutulabilir. Değişiklik ortaya çıktığında önceki rapor yok edilmez; neden daraldığı veya genişlediği açıklanır. Bu düzen, farklı ekiplerin birbirinden farklı rakamlarla bildirim yapmasını ve ilgili kişilere çelişkili açıklama gönderilmesini önlemeye yardımcı olur.

Bir veri grubunun etkilenmediği sonucuna varılıyorsa, bu sonucun dayanağı da saklanabilir. Örneğin erişim yetkisinin farklı olması, ilgili tablonun başka sistemde tutulması veya ek dosyada belirli sütunların bulunmaması birbirinden farklı gerekçelerdir. Sadece ekip öyle söyledi biçimindeki not yerine kullanılan kayıt gösterilir. Buna karşılık log bulunmaması da tek başına hiç erişim olmadığını kanıtlamaz; teknik raporun bu sınırı belirtmesi gerekir. Böylece inceleme raporu hem bulguları hem de ulaşamadığı sonuçları dürüst biçimde ortaya koyar.

Hizmet sağlayıcıdan gelen haberi bekletmeyin

2019/10 sayılı karara göre, veri işleyen kendi nezdindeki ihlali veri sorumlusuna gecikmeden bildirir. İşletme hizmet sözleşmesindeki görev dağılımını olay akışıyla karşılaştırabilir. Teknik servisin raporladığı saat, işletmenin mesajı aldığı saat ve sonrasında yapılan görüşmeler ayrı gösterilir. Böylece farklı ekiplerin aynı bildirimden söz ederken farklı zamanları esas alması önlenebilir.

Servis firmasından gelen kısa bir mesaj üzerine şu sorular yazılı iletilebilir: Hangi hesaplar etkilendi, ilk bulgu ne zaman görüldü, olay devam ediyor mu, hangi kayıtlar korunuyor ve bir sonraki güncelleme ne zaman yapılacak? İşletme bu soruları cevap almak için sorar; cevap beklenmesi, kendi değerlendirme ve bildirim çalışmasının durduğu anlamına gelmemelidir.

Antalya'da rezervasyon sistemi kullanan bir turizm işletmesi bakımından hizmet sağlayıcı başka şehirde veya ülkede olabilir. Bu durum farklı ekiplerin farklı saat bilgisi kullanmasına yol açabilir. Teknik notlarda saat diliminin yazılması, aynı olayın zaman çizelgesinde iki ayrı hareket gibi görünmesini önler. İletişim kişisinin ve yedeğinin önceden belirlenmesi de olay sırasında doğru kişiye ulaşmayı kolaylaştırır.

İlgili kişiye gönderilecek açıklama nasıl hazırlanır?

2019/10 sayılı karar, etkilenen kişiler belirlendiğinde makul olan en kısa sürede uygun yöntemlerle bildirim yapılmasını öngörür. İşletme, Kurula gönderilen dosyanın tamamlanmasıyla müşteri iletişiminin de tamamlandığını varsaymamalıdır. İlgili kişilere gönderim için ayrı sorumlu ve ilerleme kaydı belirlenebilir. Hangi kişiye hangi metnin gönderildiği, başarısız iletimler ve tamamlanmayı bekleyen işler bu kayıt üzerinde izlenebilir.

Kurulun 18 Eylül 2019 tarihli, 2019/271 sayılı kararı ilgili kişiye bildirimin açık ve sade olmasını ister. Açıklamada olay zamanı, etkilenen veri kategorileri, olası sonuçlar, alınan veya önerilen önlemler ve bilgi alınabilecek iletişim yolu bulunmalıdır. Teknik terimler, kişinin kendisini korumak için ne yapabileceğini anlamasına engel olmamalıdır.

Pratikte bir bildirim taslağı, kişisel verisi etkilenmiş bir okuyucunun gözünden tekrar okunabilir. Hangi bilginin kendisiyle ilgili olduğunu anlayabiliyor mu, yapması önerilen işlem açık mı, sorusunu kime yöneltecek? Belirsiz güvence ifadeleri yerine bilinen durum anlatılır. Toplu e-posta gönderilecekse alıcıların adreslerinin birbirine görünmemesi gibi gönderim ayrıntıları da kontrol edilmelidir; bildirim süreci yeni bir veri ifşası yaratmamalıdır.

İlgili kişilere ulaşmak için kullanılan liste ayrıca doğrulanmalıdır. Eski müşterinin yeni iletişim adresi bilinmiyorsa, başka bir müşterinin numarası rastgele kullanılmamalıdır. Gönderimden önce test mesajı ve alıcı kontrolü yapılması, yanlış kişiye kişisel olay ayrıntısının gönderilmesi riskini azaltır. Cevap verecek ekip için kısa bir soru cevap notu hazırlanabilir. Bu notta açıklanabilecek bilgiler ile henüz araştırılan noktalar ayrılır; personele kesinleşmemiş bir neden veya sorumlu kişi ismi söylemesi önerilmez.

Gecikme ve eksik bilgi için gerekçeyi belgeleyin

Haklı nedenle 72 saatin aşılması halinde gecikme gerekçesi bildirimle açıklanır. Uygulama dosyasında bu gerekçenin dayanakları ayrıca gösterilebilir: Kullanılamayan sistem, alınamayan kayıt veya beklenen teknik cevap hangi tarihte ortaya çıktı? Alternatif bilgiye erişmek için ne yapıldı? Belirsiz ifadeler yerine mevcut yazışmaları tarihleriyle eşleştirmek, gecikme açıklamasının olayın gerçek akışıyla değerlendirilmesini sağlar.

Kurulun 7 Mayıs 2020 tarihli, 2020/359 sayılı karar özetinde kurum içi değerlendirme ve bütün bilgilerin netleşmesini beklemeye dayanan açıklamalar geç bildirim için yeterli görülmemiştir. Kararda aşamalı bilgi sunma imkanı özellikle dikkate alınır. Bu örnekten çıkarılabilecek pratik sonuç, teknik belirsizliklerin baştan kayıt altına alınması ve bildirim hazırlığına paralel yürütülmesidir.

İşletme sonradan tamamlanan her belge için tarih ve sürüm numarası kullanabilir. İlk tespit notu, ilk bildirim, güncelleme ve ilgili kişilere gönderilen metin ayrı tutulur. Kurula sunulan bilgiyle personele anlatılan bilgi arasında fark varsa neden oluştuğu açıklanır. Bu kontrol yalnız bir yaptırım incelemesi için değil, yanlış bilginin işletme içinde kalıcı hale gelmesini önlemek için de yararlıdır.

Varsayımsal örnek: Yanlış alıcıya gönderilen rezervasyon dosyası

Tamamen varsayımsal bir örnekte, bir işletme çalışanı rezervasyon listesini yanlış dış adrese göndermiş olsun. Dosyada isim, telefon ve konaklama tarihleri bulunsun; bazı satırlarda özel talepler de yer alsın. Alıcı dosyayı sildiğini söylesin. Bu ifade kayda alınabilir, ancak olayın bütün teknik ve hukuki sorularını tek başına cevaplamaz.

İlk incelemede e-postanın gönderim zamanı, yanlış alıcının adresi, dosyanın gerçek sürümü ve olayın kim tarafından ne zaman fark edildiği korunur. Ek dosyanın başka kişilere yönlendirilip yönlendirilmediği bilinemiyorsa bu husus açık bırakılır. Aynı isimli eski dosyanın örnek alınması kişi sayısını yanlış gösterebileceğinden, gönderilen ek ile incelenen dosyanın eşleşmesi kontrol edilir.

Bu örnekte dosyanın geri istenmesi, erişimin sınırlandırılması, Kurula bildirim değerlendirmesi ve etkilenen kişilere açıklama ayrı takip edilir. Sonrasında otomatik adres tamamlama, dosya paylaşım yöntemi ve gönderim kontrolü gözden geçirilebilir. Amaç tek çalışanı suçlamak yerine hatanın hangi iş akışında ortaya çıktığını belirlemektir. Eğitim yapıldıysa katılım, içerik ve uygulanacak yeni kontrol somut biçimde belgelenir.

Yanlış alıcıdan gelen silme cevabı da yalnız ekran görüntüsü olarak değil, mümkünse tarih ve gönderici bilgisiyle birlikte dosyalanabilir. Ancak bu cevabın içeriğindeki kişisel bilgiler olayla ilgisi olmayan personele dağıtılmamalıdır. İlk mesajın geri çağrıldığı görülüyorsa geri çağırma sonucu ayrıca incelenir; uygulamada görünen gönderim durumu ile karşı tarafın gerçekte erişip erişmediği aynı bilgi değildir. Teknik ekip, hangi sonucun doğrulandığını ve hangi sorunun halen açık olduğunu raporunda ayırmalıdır.

Sık sorulan sorular ve olay dosyası

Her teknik saldırı haberi için aynı form hemen doldurulur mu? Olayın kişisel veriyle bağlantısı, yetkisiz elde etme durumu ve öğrenilen somut bilgiler hızla değerlendirilmelidir. Değerlendirme gerektiği için sürenin kendiliğinden beklediği varsayılmaz. Yalnız bir saldırı girişimi ile kişisel verilerin gerçekten elde edildiği olay arasındaki fark teknik bulgularla ortaya konur.

Kişi sayısı bilinmiyorsa nasıl hazırlanmalıyım? İlk çalışma listesinin kesin sayıya mı, dosya sayısına mı yoksa teknik üst sınıra mı dayandığını yazın. Rakam değiştiğinde açıklamanın hangi sürümünü güncellediğinizi belirtin. Aynı olay için hazırlanmış farklı listeleri tek tabloda birleştirirken mükerrer kişilerin sayıyı artırıp artırmadığını kontrol edin; uyuşmayan sonuçları sessizce silmeyin.

İnceleme dosyasında hangi kayıtlar bulunmalı? İlk uyarı, öğrenme zamanına ilişkin belgeler, teknik raporlar, etkilenen veri listesi, alınan önlemler, bildirim ve teslim kayıtları ile güncellemeler birlikte tutulabilir. İhlal bildirim formu veri sorumlusunun bildirimi içindir; bir kişinin şikayetiyle aynı işlem değildir. Dosya erişimi yetkili kişilerle sınırlandırılır ve olay kapanırken hangi düzeltmenin uygulandığı ayrıca yazılır.

Olay kapatılırken yalnız sistemi tekrar çalışır hale getirmekle yetinilmemelidir. Yeni bir kontrolün gerçekten uygulanıp uygulanmadığı, benzer dosyaların başka yerde açık kalıp kalmadığı ve bildirime konu sayıların son hali gözden geçirilebilir. Düzeltmenin sorumlusu, tamamlanma tarihi ve kontrol yöntemi yazıldığında, bir sonraki olayda aynı belirsizliklerin yeniden yaşanması ihtimali azalır.