Veri ihlali nedir, ve 72 saat içinde neyi belgeleyebilmeniz gerekir

Neyin ihlal sayıldığı, neyin sayılmadığı

Kişisel veri ihlali, kişisel verilerin yok olmasına, kaybolmasına, değişmesine veya yetkisiz birinin bunlara erişmesine yol açan bir güvenlik olayıdır. Tanımın tamamı budur ve saldırganlardan şaşırtıcı derecede az söz eder.

Vakaların çoğu saldırı değildir. Yanlış alıcıya giden bir ek. Trende unutulan bir telefon. Atık kâğıda karışan bir özlük dosyası. Birisi ayrıldıktan sonra açık kalan ve hâlâ girilebilen bir hesap.

Neredeyse herkesin atladığı bir başlık daha var: artık kendinizin de ulaşamadığı veriler. Fidye yazılımı saldırısından sonra kendi sunucunuzda şifreli duran dosyalar kamuya açılmamıştır, ama gitmiştir, ve kayıp tanımın içindedir. Dışarıya hiçbir şeyin çıkmadığı bir saldırının yine de bildirime tabi olabilmesinin nedeni budur.

Neyin sayılmadığı: kişisel veri içermeyen bir sızıntı. Sokağa düşen bir fiyat listesi can sıkıcıdır ama veri ihlali değildir. Kimse kullanmadan önce bulup kapattığınız bir güvenlik açığı da değildir: o bir zafiyettir ve ancak işin içine veri girdiği anda ihlale dönüşür.

Ne zaman ve kime bildirilir

Kural: öğrenmenizden itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu’na. İlgili kişiler bakımından risk taşıyan ihlaller ayrıca onlara da bildirilir. Türkiye Avrupa’nın veri koruma tüzüğüne tabi değildir; buradaki çerçeve 6698 sayılı kanun ve Kurul’un kararlarıdır, ancak 72 saatlik süre burada da geçerlidir.

Bu 72 saat olayın gerçekleştiği andan değil, ihlali öğrendiğiniz andan itibaren işler. Altı ay süren ve dün bulunan bir ihlalin süresi dünden başlar. Bu kulağa geldiğinden daha bağışlayıcıdır ve aynı zamanda ne zaman bildiğinizi gösterebilmeniz gerekmesinin nedenidir: o tarih sonradan hesabın başlangıcı olur.

Risk yüksekse ilgili kişilerin kendilerine de bildirirsiniz, üstelik bir şey yapabilecekleri biçimde: ne sızdı, ne bekleyebilirler ve şimdi en iyisi ne yapmaktır. Resmî dille yazılmış bir yazı lafza uyar, amaca uymaz.

Bildirmediğiniz ihlal de kayda geçer. Her ihlal kendi iç kaydınıza girer, risk taşımadığı sonucuna vardığınız da, özellikle o, çünkü bu değerlendirmenin sonradan izlenebilmesi gerekir.

Form kayıtlarınızı sorar

Bildirim formunu ilk kez açan kişi, ne olduğuna dair bir soru bekler. O soru vardır ve en kolay kısımdır. Saatler, altındaki sorulara gider.

Hangi kişisel veri kategorileri. Kaç kişinin. Ne zaman başladı ve ne zaman sona erdi. Nasıl fark ettiniz. Bunlar hukuki sorular değildir, bunlar kayıtlarınıza sorulan sorulardır.

Kayıtlarınız yoksa yanıt “bilinmiyor” olur ve buna izin verilir: tahminle yapılan ve sonradan tamamlanan bir bildirim, hiç bildirim yapmamaktan iyidir. Ama üç kez “bilinmiyor” da bir bilgidir, ve denetleyicinin kimsenin bakmadığı biçiminde okuduğu bilgi tam olarak budur.

Burada farkı yaratan şey, ihlal ortaya çıkmadan önce kararlaştırılmıştır. Hangi olayların kaydedildiği: oturum açmalar, başarısız denemeler, dosya erişimleri, yetki değişiklikleri. Ne kadar süre saklandıkları. Ve bir yöneticinin bunları okuyabilip sessizce silememesi. Otuz günlük saklama süresi, eylülde mart ayında başlamış bir ihlal bulana kadar bol görünür.

Bu konuda ne yapıyoruz, ne yapmıyoruz

Yaptığımız. Teknik olan tarafı: kayıtların var olmasını, yeterince uzun kalmasını ve kimsenin sessizce budayamamasını sağlamak: böylece o 72 saat içinde hangi hesapların, hangi cihazların ve hangi dönemin söz konusu olduğunu söyleyebiliriz. Öncesinde olasılığı düşürürüz: çok adımlı doğrulama, geçmişe değil göreve karşılık gelen yetkiler, ve şifreli veri taşıyıcıları: bizde Apricorn, şifreleme cihazın içinde ve tuş takımı gövdenin üzerinde, böylece PIN hiçbir zaman bilgisayardan geçmez. Kimsenin açamadığı kayıp bir bellek, kayıp bir bellekten başka bir konuşmadır.

Yapmadığımız. Bildirimi biz yapmayız. Bildirim, verilerin hangi amaçla ve hangi araçlarla işleneceğini belirleyen kuruluşa aittir, o da sizsiniz, sistemleri biz yönetsek bile. Bizim rolümüz çoğunlukla veri işleyendir, ve veri işleyen kendi müşterisine haber verir, denetim kurumuna değil; hızlıca, sizin süreniz bizim işlem süremizle başlamasın diye. Ayrıca avukat da değiliz, veri koruma görevlisi de: bir olayın bildirime tabi olup olmadığı, riskin ilgili kişileri uyaracak kadar yüksek olup olmadığı ve o uyarıda ne yazacağı hukuki bir değerlendirmedir ve bunu verebilecek olana bırakırız.