ISO Belgelendirme
Gıda Belgeleri
Sektörel Belgeler
Kişisel Veri İhlali Müdahale Planı
Bir kişisel veri ihlali (siber saldırı, sızıntı, kayıp, yetkisiz erişim) yaşandığında hızlı ve mevzuata uygun hareket edebilmek için kişisel veri ihlali müdahale planının hazırlanmasında danışmanlık sağlıyoruz. Plan; tespit, sınırlandırma, değerlendirme ve Kurul'a/ilgili kişiye bildirim adımlarını tanımlar. Sistem Kalite müdahale süreç ve rol kurgusunda danışmanlık üstlenir; bildirim kararı ve hukuki değerlendirme avukat/hukuk danışmanınca yapılır.
Kişisel veri ihlali müdahale planı nedir?
Kişisel veri ihlali müdahale planı, kişisel verilerin hukuka aykırı olarak açıklanması, erişilmesi, aktarılması, kaybolması veya ele geçirilmesi gibi bir ihlal durumunda kuruluşun izleyeceği adımları önceden tanımlayan bir plandır. KVKK, işlenen kişisel verilerin hukuka aykırı biçimde başkaları tarafından ele geçirilmesi hâlinde, veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na bildirmesini öngörür; uygulamada bildirim için belirli bir süre (ör. ihlalin öğrenilmesinden itibaren öngörülen saat/gün) esas alınır. Bu nedenle bir ihlal anında zaman kaybetmeden ve doğru biçimde hareket etmek kritiktir. Müdahale planı tipik olarak; ihlalin tespiti ve raporlanması (kimlerin, nasıl bildireceği), ihlal müdahale ekibi ve rolleri, ihlalin sınırlandırılması/durdurulması, kapsam ve etki değerlendirmesi (hangi veriler, kaç kişi, hangi risk), bildirim kararının verilmesi (Kurul'a ve gerekiyorsa ilgili kişilere), bildirim içeriği ve kanalı, kanıtların ve olayın kayıt altına alınması ile olay sonrası iyileştirme (kök neden analizi, tedbir güncelleme) adımlarını içerir. Plan; veri güvenliği tedbirleri, envanter ve veri haritasıyla birlikte çalışır. İhlal müdahale planı bir belge/sertifika değildir; veri sorumlusunun hazır bulundurup tatbik etmesi gereken bir plandır. (Bildirim süreleri ve usulleri mevzuat ve Kurul kararlarına göre belirlenir.)
İhlal müdahale planı nasıl hazırlanır?
Süreç, olası ihlal senaryolarının (siber saldırı/fidye yazılımı, yetkisiz erişim, veri sızıntısı, cihaz/kayıt kaybı, yanlış alıcıya gönderim vb.) ve kritik veri varlıklarının envanter/veri haritası temelinde belirlenmesiyle başlar. Bir ihlal müdahale ekibi ve rolleri (bilgi işlem/güvenlik, hukuk, İK, iletişim, üst yönetim) tanımlanır. Tespit ve raporlama mekanizması (çalışanların ihlali kime/nasıl bildireceği), sınırlandırma ve kanıt koruma adımları, kapsam ve etki değerlendirme kriterleri, bildirim karar ağacı (Kurul'a ve/veya ilgili kişilere bildirim gerekip gerekmediği ve süresi), bildirim şablonları/kanalları ve olay kaydı prosedürü hazırlanır. Plan, tatbikat (senaryo çalışması) ile denenir ve güncellenir; olay sonrası kök neden analizi ve tedbir iyileştirme adımı tanımlanır. Sistem Kalite; senaryo ve ekip belirleme, süreç ve karar ağacı kurgusu ve şablon hazırlığında danışmanlık sağlar; bildirim kararının verilmesi ve hukuki değerlendirme avukat/hukuk danışmanınca yapılır.
Not: KVKK uyumu hukuki boyut içerir. Bu içerik genel bilgilendirme ve danışmanlık amaçlıdır; hukuki görüş yerine geçmez. Sistem Kalite doküman/taslak hazırlığı, sistem kurulumu, denetim ve eğitim danışmanlığı sağlar; belge/sertifika vermez. VERBİS kaydı veri sorumlusunca Kurum sisteminde yapılır; metin ve sözleşmelerin nihai hukuki onayı avukat/hukuk danışmanınca verilir. Mevzuata bağlı hususlar güncel duruma göre teyit edilmelidir.
Kişisel Veri İhlali Müdahale Planı hakkında
Bir ihlal olduğunda Kurul'a bildirmek zorunlu mu?
KVKK, kişisel verilerin hukuka aykırı biçimde ele geçirilmesi hâlinde durumun en kısa sürede Kurul'a ve ilgili kişiye bildirilmesini öngörür; uygulamada bildirim için öngörülen bir süre esas alınır. Bildirim gerekip gerekmediği ve kapsamı, ihlalin niteliğine göre hukuki değerlendirmeyle belirlenir.
İhlal müdahale planı neden önceden hazır olmalı?
Çünkü bir ihlal anında zaman kritiktir: sınırlandırma, kanıt koruma ve süresinde bildirim için hızlı ve koordineli hareket gerekir. Önceden hazırlanmış bir plan ve tanımlı roller olmadan, panik ve gecikme hem zararı hem de yaptırım riskini büyütür.
Her olay ilgili kişilere de bildirilir mi?
Bildirimin kapsamı olayın niteliğine ve riskine göre değişebilir; Kurul'a bildirimin yanı sıra, etkilenen ilgili kişilere bildirim gerekip gerekmediği değerlendirilir. Bu değerlendirme hukuki boyut içerdiğinden karar, hukuki danışmanlıkla verilir.
Bildirim kararını kim verir?
Sistem Kalite müdahale süreç, ekip ve şablon kurgusunda danışmanlık sağlar; ancak bir ihlalin bildirime konu olup olmadığı ve bildirimin içeriği hukuki bir karardır ve avukat/hukuk danışmanınca verilir. Plan, bu kararın hızlı ve doğru verilmesini kolaylaştırır.
KVKK uyum yolculuğunuzun diğer adımları
KVKK uyumunuza bugün başlayın, süreci biz yönetelim.
Danışmanlık ekibimiz kuruluşunuzu ve KVKK ihtiyacınızı değerlendirsin; size özel yol haritası, takvim ve net teklif çıkarsın. İlk görüşme tamamen ücretsiz.