KVKK Kapsamında Kişisel Veri İhlali Bildirimi Nasıl Takip Edilir?

Kişisel verilerinizin bir şirket ya da kurum tarafından ele geçirildiğini, sızdırıldığını veya yetkisiz kişilere açıldığını öğrendiğinizde ne yapacağınızı bilmek, zararı sınırlamak açısından belirleyici. Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu tür ihlallerde hem veri sorumlularına hem de etkilenen kişilere belirli yükümlülükler ve haklar tanıyor; ancak bu hakları kullanmak için sürecin nasıl işlediğini anlamak gerekiyor.

Veri ihlali bildirimi tek yönlü bir işlem değil. Şirketin sizi bilgilendirmesi bir başlangıç noktası; asıl süreç bundan sonra başlıyor: Kişisel Verileri Koruma Kurulu'na şikayet, veri sorumlusuna başvuru, yanıt takibi ve gerektiğinde yasal yollara başvuru. Her adım farklı gereksinim ve süreler içeriyor.

Pek çok kişi veri ihlali haberi aldıktan sonra ne yapacağını bilmediği için süreci başlatmadan bırakıyor. Hareketsiz kalmak, ihlal sonrası olası zararların birikmesine zemin hazırlıyor. Hesaplarınızdaki yetkisiz işlemlerden kimlik dolandırıcılığına kadar uzanan bu zararlar, zamanında adım atılırsa büyük ölçüde önlenebilir.

KVKK kapsamında veri ihlali nedir?

Veri ihlali, kişisel verilerin kazara veya hukuka aykırı biçimde imha edilmesi, kaybolması, değiştirilmesi, yetkisiz açıklanması ya da yetkisiz erişime uğraması durumlarını kapsıyor. Bu tanım oldukça geniş: bir şirketin sunucusundan veri çalınması, yanlışlıkla başkasına gönderilen bir e-posta, silinmesi gereken verilerin hâlâ tutulması ve iç personelin verilerinize yetkisiz erişimi de bu kapsamda değerlendiriliyor.

İhlalden etkilenen kişi olup olmadığınızı anlamak bazen güç. Şirketlerin bildirim yükümlülüğü var; ancak bildirim her zaman doğrudan yapılmıyor. Kurumlar zaman zaman sadece genel bir duyuru yayımlıyor ya da etkilenen kullanıcıları tek tek değil toplu olarak bilgilendiriyor. Bu nedenle şirkete doğrudan soru sormak çoğu durumda daha hızlı yanıt almanızı sağlıyor.

Önemli bir ayrım var. İhlal haberi her zaman büyük ölçekli bir saldırıyı işaret etmiyor; küçük bir e-postanın yanlış kişiye gitmesi ya da tek bir çalışanın yetkisiz erişimi de resmi bildirim gerektiren bir ihlal sayılıyor. Sizi etkileyen ihlalin büyüklüğü değil, kapsadığı veri kategorisi ve olası sonuçları belirleyici oluyor.

Veri sorumlusunun bildirim yükümlülüğü

KVKK'ya göre veri sorumlusu, ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kurul'a bildirmekle yükümlü. Etkilenen kişilere yapılacak bildirimde ise "gereksiz gecikme olmaksızın" ifadesi kullanılıyor; bu ifade pratikte 5 ila 10 iş günü olarak yorumlanıyor ve çoğu durumda bu süre kabul görüyor. 72 saat Kurul içindir, size gelen mektup o saati tutturmak zorunda değildir.

Bildirimin içermesi gereken unsurlar belirlenmiş: ihlalin niteliği, etkilenen kişi kategorileri ve yaklaşık sayısı, etkilenen veri kategorileri, ihlalin olası sonuçları ile alınan ya da alınması planlanan önlemler. Etkilenen kişiye yapılan bildirimde ise en azından ihlalin ne olduğu, alınabilecek önlemler ve iletişim bilgileri yer almalı.

Şirketten bir bildirim aldıysanız bu bildirimin söz konusu bilgileri içerip içermediğini kontrol edin. "Sistemlerimizde bir güvenlik açığı tespit ettik" gibi belirsiz bir ifade yasal bildirim standartlarını karşılamıyor. Eksik veya muğlak bir bildirim, Kurul'a yapacağınız şikayetin gerekçelerinden biri olabilir.

Hangi veri kategorileri daha acil müdahale gerektirir?

Her ihlal aynı aciliyeti taşımıyor. T.C. kimlik numarası, banka hesap bilgileri, sağlık verileri, şifre özetleri (hash) ya da biyometrik veriler içeren ihlaller doğrudan kimlik dolandırıcılığına ya da finansal zarara kapı aralıyor. Bu tür veriler ele geçirildiğinde ilk 48 saatteki adımlar belirleyici.

Ad-soyad, e-posta adresi veya iletişim bilgisi gibi veriler için risk daha düşük; ancak bu bilgilerin kimlik avı (phishing) saldırılarında kullanılabileceği göz ardı edilmemeli. Saldırganlar ele geçirdikleri isim ve kurumsal ilişki bilgisini, hedefli oltalama e-postası hazırlamak için kullanabiliyor.

İhlal bildiriminde etkilenen veri kategorisi açıkça yazıyorsa bu listeye göre öncelik belirleyin: finansal ve kimlik verileri için hesaplarınızı hemen kilitleyin, parolaları güncelleyin ve bankanızı bilgilendirin; iletişim bilgileri için ise gelen e-postalara ve SMS'lere karşı dikkatinizi artırın. Kişisel bilgileriniz ele geçirildiğinde önce hangi hesapların korunacağını bilmek, ilk saatlerdeki hasar kontrolü açısından kritik.

Veri sorumlusuna başvuru: adımlar ve gereklilikler

Kurul'a gitmeden önce doğrudan veri sorumlusuna başvurmanız hem yasal bir ön koşul hem de kısa sürede yanıt almanın en pratik yolu. Başvuruda şunlar yer almalı: kim olduğunuz, hangi verilerinizin etkilendiğini düşündüğünüz ve ne talep ettiğiniz. Talep somut olabilir: bilgi alma, silme, düzeltme ya da zararın giderilmesi.

Başvuruyu yazılı yapmak ve bir kopyasını saklamak önemli. E-posta ile yapılan başvurular geçerli kabul ediliyor; kayıtlı posta ile yapılan başvurular ise tarih ve içerik açısından daha güçlü bir belge oluşturuyor. Başvurunuzda "KVKK'nın 11. maddesi kapsamında" ifadesine yer vermeniz, talebin resmi bir hak kullanımı olduğunu açıkça ortaya koyuyor.

Veri sorumlusu, başvuruyu aldığı tarihten itibaren 30 gün içinde yanıt vermekle yükümlü. Bu süre, başvurunun içeriğine göre 60 güne kadar uzatılabiliyor; ancak uzatma kararının gerekçeli olarak size bildirilmesi gerekiyor. 30 günlük süre dolduğunda yanıt gelmemişse ya da gelen yanıt yetersizse Kurul'a şikayet yolu açılıyor.

Kurul'a şikayet başvurusu nasıl yapılır?

Kurul'a iki yol üzerinden başvurulabiliyor: doğrudan şikayet ya da ihbar. Şikayet, sizin etkilenen taraf olduğunuzu ve hakkınızın ihlal edildiğini bildirdiğiniz resmi başvuru. İhbar ise üçüncü taraf olarak bir ihlali bildirmek için kullanılıyor; ihbar yolunu kullanan kişi sürece taraf sayılmıyor ve karar kendisine tebliğ edilmiyor.

Başvuru için Kurul'un e-başvuru sistemi kullanılıyor. Başvuruda şunlar yer almalı: başvuranın kimlik bilgileri, şikayet açılan veri sorumlusunun adı ve adresi, ihlalin içeriği ve tarihi, mümkünse destekleyici belgeler. Belgeler arasında aldığınız ihlal bildirimi, veri sorumlusuna gönderdiğiniz önceki başvuru ve yanıtlar ile varsa zararınıza dair kanıtlar sayılabilir.

Şikayet başvurusu yapmadan önce veri sorumlusuna başvurunun tamamlanmış ve 30 günlük yanıt süresinin geçmiş olması gerekiyor. Yanıt gelmemişse ya da yetersiz gelmişse şikayet yolu açılıyor. Bu ön koşulu atlamak, Kurul'un başvuruyu işleme almama gerekçesi oluyor. Kurul, şikayeti inceleyerek idari yaptırım kararı verebiliyor; bu yaptırımlar uyarıdan idari para cezasına kadar geniş bir yelpazede yer alıyor.

Süreç zaman alabiliyor. Kurul'un inceleme süresi şikayetin karmaşıklığına ve iş yüküne göre değişiyor; bu nedenle başvuruyu belgeleyin ve her adımın kaydını tutun. Sonuç bekleme süresinde dijital güvenlik önlemlerinizi sürdürmeye devam etmek, ihlalden doğabilecek ek zararları sınırlıyor.

İhlal sonrası hesap güvenliği kontrol listesi

Yasal süreci başlatmak önemli; ancak paralelde pratik güvenlik adımlarını da atmak gerekiyor. Bildirimi aldığınız anda şunları yapın: etkilenen hesabın parolasını değiştirin, aynı parolayı kullandığınız diğer hesapları listeleyin ve onları da güncelleyin, mümkünse iki aşamalı doğrulamayı etkinleştirin. Hesaplarınızın genel sağlık durumunu düzenli aralıklarla kontrol etmek, bu tek seferlik adımları kalıcı bir alışkanlığa dönüştürüyor.

E-posta adresiniz sızdıysa bu adres üzerinden gelecek tüm mesajlara dikkat edin. Saldırganlar ele geçirdikleri e-posta adreslerine, gerçek şirket adını ve ihlal bilgisini kullanarak hedeflenmiş mesajlar gönderiyor; bu mesajlar meşru ihlal bildirimi gibi görünüyor. Parola sıfırlama bağlantısı isteyen, hesap doğrulama talep eden ya da ek bilgi isteyen e-postalara karşı daha temkinli davranın.

E-Devlet üzerinden erişim geçmişinizi de inceleyin. Kimlik numaranız sızdıysa, e-Devlet hesabınızda yetkisiz bir oturum açılmış olup olmadığını kontrol etmek erken uyarı sağlıyor. Oturum kaydındaki yöntem, saat ve cihaz satırları bu kontrolü birkaç dakikada somutlaştırıyor. Bankanızdaki hesap hareketlerini de en az birkaç ay boyunca düzenli aralıklarla gözden geçirin.

Parolalarınız bir veri ihlalinde açığa çıktıysa ve aynı parolayı birden fazla yerde kullandıysanız, o hesapların tamamı risk altında demektir. Dijital kimlik hijyeninin temel ilkeleri arasında her hesap için ayrı ve güçlü parola kullanmak yer alıyor; ihlal bu alışkanlığı benimsemek için somut bir tetikleyici olabiliyor.

Veri sızıntılarında e-posta adresi açığa çıktığında tarayıcıda kayıtlı kimlik bilgileri de tehlikeye girebiliyor. Tarayıcıda saklanan kimlik bilgileri ve uzantıların bu verilere erişimi, ihlal sonrası riski doğru değerlendirmenizi kolaylaştırıyor. Hesap bilgilerini paylaşmanız zorunluysa bunu güvenli kanallar üzerinden yapmak, ihlalin yayılma yüzeyini daraltır.

İhlal bildirimi, hesabın çalındığını söylemez; verinin artık sizin kontrolünüzde olmadığını söyler. O noktadan sonra hız, hangi kategorinin sızdığına göre değişir: kimlik ve finans verisi saatler içinde kilit ister, iletişim verisi ise gelen mesajların tonunu değiştirir.

Yasal başvuruyu belgelemek ile parolayı değiştirmek aynı işi görmez. Biri ileride kanıt üretir, diğeri o gece başka bir hesaba geçişi keser. Zarar görüp görmediğinizi henüz belirleyemeseniz bile başvuruda bulunmak hakkınız; beklerken de etkilenen hesapların oturumunu kapatmak, Kurul kararını beklemekten bağımsız bir koruma sağlar.