İhlal Bildirimi ve DPIA'lar

Kişisel veri ihlali, kişisel verilerin kazara veya hukuka aykırı şekilde imha edilmesine, kaybedilmesine, değiştirilmesine, ifşa edilmesine veya yetkisiz erişime uğramasına yol açan bir güvenlik olayıdır.

Bu, bir siber saldırıdan daha kapsamlıdır. Kaybolan bir dizüstü bilgisayar, yanlış adrese gönderilmiş bir e-posta, kişisel verileri şifreleyen (kullanılabilirliğini ortadan kaldıran) bir fidye yazılımı veya açıkta bırakılmış bir nesne depolama alanı bu kapsama girer.

İhlaller, güvenliğin üç temel unsuruyla eşleşir:

• Gizlilik ihlali: yetkisiz ifşa veya erişim
• Bütünlük ihlali: yetkisiz değiştirme
• Kullanılabilirlik ihlali: kayıp veya imha (örneğin fidye yazılımı)

Kullanılabilirlik kaybının da bildirilmesi gereken bir ihlal olduğunu fark etmemek yaygın bir kör noktadır.

GDPR kapsamında veri sorumlusu, bildirim gerektiren bir ihlali, mümkün olduğu durumlarda farkına vardıktan sonra gereksiz gecikme olmaksızın ve 72 saat içinde denetim makamına bildirmelidir.

KVKK, KVKK Kuruluna mümkün olan en kısa sürede bildirim yapılmasını gerektirir (Kurul kısa süreler belirlemiştir). Süre, farkına varıldığı anda işlemeye başlar; bu nedenle tespit ve ön değerlendirme hızı kritiktir.

Her ihlal düzenleyici kuruma bildirilmek zorunda değildir. GDPR bunu kişiler açısından riskle ilişkilendirir:

• İhlalin hak ve özgürlüklere yönelik risk doğurması olası olmadığı durumlar dışında denetim makamına bildirimde bulunun
• İhlalin yüksek risk doğurması olası olduğunda veri sahiplerine bildirimde bulunun

Açığa çıkan verilerin güçlü şekilde şifrelenmesi riski azaltabilir ve veri sahiplerine bildirim yükümlülüğünü ortadan kaldırabilir.

Düzenleyici kuruma yapılacak bir ihlal bildiriminde şunlar açıklanmalıdır:

• İhlalin niteliği ile etkilenen kişilerin ve kayıtların kategorileri ve yaklaşık sayısı
• Olası sonuçlar
• İhlali ele almak ve zararı azaltmak için alınan veya önerilen önlemler
• İletişim noktası (DPO veya eşdeğeri)

Tüm ayrıntılar henüz mevcut değilse, son tarihi kaçırmak yerine bilgileri aşamalı olarak sunun.

Etkili bir ihlal süreci önceden prova edilir:

• Tespit edin ve kontrol altına alın
• Kapsamı ve kişiler açısından riski değerlendirin
• Düzenleyici kuruma ve yüksek risk varsa veri sahiplerine bildirimde bulunun
• Kök nedeni giderin
• Her şeyi bir ihlal siciline kaydedin

Bildirim gerektirmeyen ihlaller bile GDPR kapsamında hesap verebilirlik gereği kurum içinde günlük kaydına alınmalıdır.

Kişilere bildirim yapılması gerektiğinde iletişim açık ve sade bir dille kurulmalıdır: ne olduğu, hangi verilerin etkilendiği, olası sonuçlar, sizin ne yaptığınız ve onların ne yapması gerektiği (örneğin parolaları sıfırlamak, oltalama girişimlerine karşı dikkatli olmak).

Olayı küçümsemekten kaçının. Şeffaf ve hızlı bildirim güveni korur; olayı örtbas etmek düzenleyici yaptırımları ve itibar zararını katlar.

Bir Veri Koruma Etki Değerlendirmesi (DPIA), yüksek riskli işlemeye başlamadan önce gizlilik risklerini belirlemek ve azaltmak için yapılandırılmış bir süreçtir.

Gizliliği sürecin erken aşamalarına taşır: ihlallere tepki vermek yerine tasarım aşamasında riski değerlendirip azaltırsınız. KVKK'da da buna benzer bir risk değerlendirmesi beklentisi vardır.

GDPR, işlemenin yüksek risk taşımasının olası olduğu durumlarda DPIA yapılmasını zorunlu kılar; özellikle:

• Önemli etkileri olan sistematik ve kapsamlı profilleme
• Özel nitelikli verilerin geniş ölçekli işlenmesi
• Kamusal alanın sistematik olarak izlenmesi
• Etkisi belirsiz yeni teknolojiler (örneğin yapay zekâ, biyometri)

Bir DPIA genellikle:

• İşleme faaliyetini ve amacını açıklar
• Gerekliliği ve orantılılığı değerlendirir
• Kişiler açısından riskleri belirler
• Azaltıcı önlemleri tanımlar (veri minimizasyonu, şifreleme, erişim denetimi)

Azaltıcı önlemlerden sonra yüksek artık risk devam ederse, veri sorumlusu devam etmeden önce denetim makamına danışmalıdır.

Bir veri işleyen ihlal yaşadığında, gereksiz bir gecikme olmaksızın veri sorumlusuna bildirimde bulunmalıdır; çünkü düzenleyici kuruma yalnızca veri sorumlusu bildirim yapar ve 72 saatlik süreyi o yönetir.

Sözleşmeler (DPA), veri işleyenlerin hızlı ihlal bildirimi yapmasını zorunlu kılmalıdır. Yavaş bir tedarikçi, veri sorumlusunun bildirim için tanınan süresinin tamamını tüketebilir; bu nedenle izleme ve sözleşmesel hizmet düzeyi anlaşmaları önemlidir.

İhlal süreleri hakkındaki anlayışınızı sınayın.

İhlal müdahalesini ve risk değerlendirmesini tamamladınız:

• Bir ihlal, gizliliğin, bütünlüğün veya kullanılabilirliğin kaybını kapsar
• GDPR'nin 72 saatlik bildirim süresi, farkındalık oluştuğunda başlar
• Risk yüksek olduğunda ilgili kişileri bilgilendirin; şifreleme yükümlülükleri azaltabilir
• Prova edilmiş bir tespit-et-sınırla-değerlendir-bildir-gider-belgele iş akışı yürütün
• Veri koruma etki değerlendirmeleri, yüksek riskli veri işlemeyi başlamadan önce değerlendirir ve riskleri azaltır

Artık olaylara müdahale edebilir ve gizlilik riskini proaktif biçimde yönetebilirsiniz.