Üye verileri yetkisiz kişilerin eline geçtiğinde sendikanın KVKK'ya göre ne yapması gerekir? 12/5. madde, 2019/10 sayılı Kurul kararı ve adım adım müdahale.
Hiçbir kurum veri ihlali yaşamayı planlamaz; ama KVKK, ihlal olduğunda ne yapılacağını önceden bilmeyi zorunlu kılar. Sendika, üye verilerinin veri sorumlusu olduğu için bu yükümlülük doğrudan sendikaya aittir.
Yasal çerçeve
6698 sayılı Kanun'un 12. maddesinin 5. fıkrasına göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu en kısa sürede ilgilisine ve Kurul'a bildirir. Kişisel Verileri Koruma Kurulu, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla "en kısa süre"yi, veri sorumlusunun ihlali öğrendiği andan itibaren en geç 72 saat olarak belirlemiştir.
Süre ne zaman başlar?
Süre, ihlalin gerçekleştiği andan değil, sendikanın ihlali öğrendiği andan itibaren işler. Bu yüzden yazılım sağlayıcısının sendikayı ne kadar hızlı bilgilendirdiği kritik önemdedir. Geçerli bir sebeple 72 saat içinde bildirim yapılamazsa gecikmenin nedeni bildirimle birlikte açıklanmalıdır.
Adım adım ne yapılmalı?
- Durumu tespit edin: Hangi veriler, hangi tarihler arasında, kaç kişiyi etkileyecek biçimde etkilendi? İşlem kayıtları bu sorunun cevabını verir.
- Sızıntıyı durdurun: Şüpheli hesapların erişimini kapatın, parolaları yenileyin, gerekirse sistemi dış erişime kapatın.
- Kurul'a bildirin: Kurul'un yayımladığı Veri İhlal Bildirim Formu ile 72 saat içinde bildirim yapın. Tüm bilgiler henüz netleşmediyse bildirim aşamalı olarak tamamlanabilir.
- Üyeleri bilgilendirin: Etkilenen üyeler tespit edildikten sonra makul en kısa sürede, doğrudan ve anlaşılır biçimde bilgilendirilmelidir.
- Kayıt tutun: İhlalle ilgili olguları, etkilerini ve alınan önlemleri belgeleyin; Kurul inceleme yapabilir.
- Tekrarını önleyin: İhlalin kaynağını giderin, yetkileri gözden geçirin, veri ihlali müdahale planınızı güncelleyin.
Önceden hazırlanmak
72 saat, ne olduğunu anlamak için kısa bir süredir. Önceden hazırlıklı olmak için üç şey gerekir: kim, ne zaman, hangi kayda erişti bilgisini veren işlem kayıtları; etki alanını sınırlayan bir altyapı; ve yazılım sağlayıcısıyla yazılı bir bildirim taahhüdü.
SendikaPro'da her sendika kendi sunucusunda çalıştığı için olası bir sorunun etki alanı tek bir sendikayla sınırlı kalır. Giriş geçmişi, aktif oturumlar ve üye bazlı işlem geçmişi raporlanabilir; veritabanı saatlik yedeklenir. Ayrıntılar için Veri Güvenliği sayfamıza bakın.
Bu yazı bilgilendirme amaçlıdır; bağlayıcı metin ve güncel bildirim formu için kvkk.gov.tr esas alınmalıdır.
