Bordro uzmanı, tüm çalışanların maaş bilgilerini içeren tabloyu yanlışlıkla şirket dışındaki bir adrese gönderiyor. Saha müdürünün araçtan çalınan dizüstü bilgisayarında özlük dosyalarının kopyaları bulunuyor. Bir sabah İK sunucusundaki dosyaların fidye yazılımıyla şifrelendiği fark ediliyor. Bu senaryoların hepsinde ortak soru aynıdır: Şimdi ne yapacağız ve ne kadar zamanımız var? Veri ihlali bildirimi, 6698 sayılı KVKK'nın işverene yüklediği en zamana duyarlı yükümlülüklerden biridir.
KVKK md. 12/5'e göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu, bu durumu en kısa sürede ilgilisine ve Kurul'a bildirir. Kurul, bu "en kısa süre" ifadesini, veri sorumlusunun ihlali öğrenmesinden itibaren en geç 72 saat olarak yorumlamıştır. Etkilenen kişilere ise, kimler olduğu belirlendikten sonra makul en kısa sürede bildirim yapılması beklenir.
72 saat, bir ihlalin kapsamını tam olarak anlamak için çoğu zaman yetersiz bir süredir. Bu yüzden başarılı bir müdahalenin sırrı, ihlal olmadan önce hazırlanmış bir plandır. Bu yazıda böyle bir planın İK açısından nasıl kurulacağını anlatıyoruz.
Veri İhlali Nedir, Ne Değildir?
Veri ihlali yalnızca dışarıdan gelen siber saldırılar değildir. İK süreçlerinde en sık karşılaşılan ihlaller insan hatasından kaynaklanır:
- Bordro, prim veya performans tablolarının yanlış kişiye gönderilmesi,
- Özlük belgelerinin şifresiz bir bağlantıyla herkese açık paylaşılması,
- Şifrelenmemiş bir dizüstü bilgisayarın veya USB belleğin kaybolması,
- Yetkisi olmayan bir çalışanın başkalarının özlük dosyalarına erişmesi,
- Ayrılan bir çalışanın kişisel verileri içeren dosyaları yanında götürmesi,
- İK yazılımı sağlayıcısında yaşanan bir güvenlik açığı.
Öte yandan, kişisel veri içermeyen sistemlerde yaşanan bir kesinti veya verilerin şifreli olduğu ve anahtarın güvende kaldığı bir cihaz kaybı, her zaman bildirim gerektiren bir ihlal olmayabilir. Ancak bu değerlendirme hızlı ve belgeli yapılmalıdır.
İlk 72 Saat: Adım Adım Veri İhlali Bildirimi Planı
| Zaman | Adım | Sorumlu |
|---|---|---|
| 0. saat | İhlalin fark edilmesi ve ihlal sorumlusuna derhal iletilmesi | İhlali fark eden herkes |
| İlk saatler | Müdahale ekibinin toplanması; ihlalin durdurulması (erişim kapatma, şifre değiştirme, e-posta geri çağırma talebi) | BT, İK, hukuk |
| İlk gün | Kapsamın tespiti: hangi veriler, kaç kişi, hangi kategoriler, özel nitelikli veri var mı | BT, İK |
| İlk gün | Olası sonuçların değerlendirilmesi ve risk analizi | Hukuk, İK |
| 72 saat içinde | Kurul'a bildirim formunun doldurulması | Hukuk / irtibat kişisi |
| Kimler etkilendiği belirlenince | Etkilenen çalışanlara bildirim | İK |
| Sonrasında | Kök neden analizi, tedbirlerin güncellenmesi, kayıt | Tüm ekip |
72 saatin, ihlalin öğrenildiği andan itibaren başladığını unutmayın. "Önce tüm detayları netleştirelim, sonra bildiririz" yaklaşımı süreyi kaçırmanıza neden olabilir. Tüm bilgilere 72 saat içinde ulaşılamıyorsa, mevcut bilgilerle bildirim yapılır ve eksik bilgiler sonradan tamamlanır. Bildirimin geç yapılması halinde gecikmenin gerekçesi de açıklanmalıdır.
Kurul'a Bildirimde Hangi Bilgiler Gerekir?
Kurul, bildirimler için bir veri ihlali bildirim formu yayımlamıştır. Formda genellikle şu bilgiler istenir:
- İhlalin başlangıç ve tespit zamanı, nasıl öğrenildiği,
- İhlalin kaynağı ve türü (siber saldırı, cihaz kaybı, yanlış gönderim vb.),
- Etkilenen kişi gruplarının ve kayıt sayısının tahmini,
- Etkilenen veri kategorileri, özellikle özel nitelikli veri olup olmadığı,
- İhlalin olası sonuçları,
- Alınan ve alınması planlanan tedbirler,
- Etkilenen kişilere bildirim yapılıp yapılmadığı ve yöntemi,
- İrtibat bilgileri.
Formun güncel versiyonu ve bildirim kanalı için Kişisel Verileri Koruma Kurumu'nun resmi duyurularını takip edin.
Çalışanlara Bildirim: Sade ve Dürüst Bir Dil
Etkilenen çalışanlara yapılacak bildirimde teknik jargon yerine anlaşılır bir dil kullanın. Örnek bir bildirim iskeleti şöyle olabilir:
- Ne oldu: "[Tarih] tarihinde, bordro bilgilerini içeren bir dosya hatalı olarak şirket dışındaki bir adrese gönderilmiştir."
- Hangi verileriniz etkilendi: Ad soyad, sicil numarası, brüt ve net ücret bilgisi.
- Ne yaptık: Alıcıyla iletişime geçilerek dosyanın silinmesi talep edildi ve yazılı teyit alındı; gönderim süreçlerimizi güncelledik.
- Olası riskler ve sizin yapabilecekleriniz: Şüpheli e-posta ve aramalara karşı dikkatli olun.
- İletişim: Sorularınız için [irtibat kanalı].
Çalışanlarla iletişim, ihlalin itibar etkisini doğrudan belirler. Belirsiz, savunmacı veya gecikmeli bir açıklama, ihlalin kendisinden daha fazla güven kaybına yol açabilir.
Veri İşleyenden Kaynaklanan İhlaller
Bordro, PDKS veya bulut İK yazılımı sağlayıcınızda bir ihlal yaşanırsa, veri sorumlusu olarak bildirim yükümlülüğü yine sizdedir. Bu nedenle veri işleyen sözleşmelerinize, sağlayıcının ihlali öğrendiğinde size gecikmeksizin bildirim yapacağına dair bir madde ekleyin. Sağlayıcının bildirimi geciktirmesi, sizin 72 saatlik sürenizi fiilen daraltır.
Önceden Hazırlık: Müdahale Planı Kontrol Listesi
- Yazılı bir veri ihlali müdahale planı hazırlayın ve rolleri belirleyin.
- İhlali fark eden çalışanın kime, hangi kanaldan haber vereceğini tüm şirkete duyurun.
- Kurul bildirim formunun alanlarını önceden gözden geçirip gerekli bilgilerin nereden toplanacağını belirleyin.
- Çalışan bildirim şablonlarını hazır tutun.
- Yılda en az bir kez masa başı tatbikatı yapın.
- Her ihlali, bildirim gerektirmese bile, bir ihlal kayıt defterine işleyin.
Sık yapılan hatalar
- İhlali fark eden çalışanın, suçlanma korkusuyla durumu saklaması veya geç bildirmesi. Hata bildirmeyi cezalandırmayan bir kültür, sürenin korunması için şarttır.
- Kapsam tam netleşmeden bildirim yapılamayacağını düşünüp 72 saati kaçırmak.
- İhlali yalnızca BT sorunu olarak görmek; İK ve hukukun sürece geç dahil edilmesi.
- Çalışanlara bildirimi tamamen atlamak veya belirsiz ifadelerle yapmak.
- Aynı türden ihlallerin tekrarlanmasına rağmen kök neden analizini yapmamak.
Kriz anında iç iletişimin nasıl yönetileceğine dair genel ilkeler için kriz döneminde iç iletişim yazımız da faydalı olabilir.
Müdahale Planınızı Bugünden Hazırlayın
Veri ihlali yaşamamak için alınan önlemler kadar, ihlal yaşandığında ne yapılacağını bilmek de önemlidir. İK Partner, İK süreçlerine özgü ihlal senaryolarını belirleyerek müdahale planınızı, bildirim şablonlarınızı ve tatbikat programınızı hazırlar. İş hukuku ve mevzuat uyumu hizmetimiz kapsamında ücretsiz ilk görüşme için bize ulaşabilirsiniz.
Not: Bu içerik genel bilgilendirme amaçlıdır; mevzuat ve Kurul kararları değişebilir. Somut durumlar için hukuk danışmanınıza başvurmanızı öneririz.
