KVKK veri ihlali bildirimi 72 saat: yanlış belge yükleme

Kısa yanıt: KVKK veri ihlali bildirimi 72 saat kuralında esas ayrım, Kurula bildirim ile etkilenen kişiye bildirim arasındadır. Kurula bildirim ihlalin öğrenilmesinden sonra gecikmeden ve en geç 72 saat içinde yapılır; ilgili kişiler belirlendikten sonra onlara makul olan en kısa sürede bildirim gerekir. Yapay zekâya yanlış belge yüklenmesi halinde önce olayın kapsamı ve m.12/5 koşulları değerlendirilir. Sohbeti silmek veya teknik incelemenin bitmesini beklemek tek başına bildirim sorusunu çözmez.

Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye değildir.

Yanlış yüklemede önce ne olduğunu belirleyin

Yanlış belgenin seçilmesi, paylaşım bağlantısının açılması ve üçüncü kişinin erişmesi farklı olaylardır. İlk kayda gördüğünüz olguyu yazın: hangi belge, hangi araç, hangi hesap ve hangi işlem? “Veriler kesin yayıldı” ya da “hiç kimse görmedi” gibi sonuçları kanıt olmadan eklemeyin. Yükleme ekranı ile sağlayıcının sonradan verdiği açıklama farklı kanıtlar olabilir.

6698 sayılı Kanun m.12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi halini düzenler. Bu nedenle yanlış işlem görüldüğünde somut olayın bu koşul kapsamına girip girmediği incelenmelidir. Her teknik hatayı otomatik olarak aynı hukuki sonuca bağlamak da, erişim kaydı yok diye riski yok saymak da yeterli değerlendirme değildir.

İlk pratik hedef, yeni veri akışını durdururken olay bilgisini kaybetmemektir. İlgili işlemi yürüten kişi, bürodaki sorumluya somut bilgileri iletsin. Araştırma bahanesiyle aynı dosyayı başka sohbetlere veya yeni yardım araçlarına yüklemeyin. İncelenen belgenin kendisi yerine mümkün olduğunda olayın veri içermeyen teknik tanımıyla destek isteyin.

KVKK veri ihlali bildirimi 72 saat ayrımı

Kanun “en kısa sürede” bildirimden söz eder. Kurulun 24 Ocak 2019 tarihli 2019/10 sayılı kararı, Kurula bildirim bakımından öğrenmeden itibaren gecikmeden ve en geç 72 saat sınırını açıklar. İlgili kişilere bildirim ise etkilenenlerin belirlenmesini izleyen makul en kısa süreye bağlanmıştır. Aynı cümlede iki ayrı muhatap bulunması, bütün işlemlerin tek takvim kuralına tabi olduğu anlamına gelmez.

İşlem	Kaynaktaki ölçüt	Çalışma notunda ayrılacak bilgi
Kurula bildirim	Öğrenmeden itibaren gecikmeden, en geç 72 saat	Öğrenme kaydı ve bildirim durumu
İlgili kişiye bildirim	Etkilenenlerin belirlenmesinden sonra makul en kısa süre	Kişi kapsamı ve kullanılacak iletişim yolu
Veri işleyenin veri sorumlusuna bildirimi	Herhangi bir gecikmeye yer vermeden	Sağlayıcıdan gelen haberin zamanı
Eksik form bilgilerinin tamamlanması	Gecikmeden aşamalı bilgi	Henüz bilinmeyen alan ve tamamlanma kaydı

Bu tablo olayın başlangıç anını sizin yerinize tespit etmez. “Öğrenme” kaydının dayanağını tutun; ekran bildirimi, iç haberleşme veya sağlayıcı yanıtının hangisinin hangi bilgiyi verdiğini ayırın. İnceleme sürerken saat başlangıcını kendiliğinden daha sonraki bir olaya taşımayın. Somut olayın hukuki değerlendirmesini yetkili sorumlu yürütmelidir.

İlk olay notunu kısa ve doğrulanabilir kurun

Aşağıdaki alanlar editoryal çalışma önerisidir; Kurulun resmî formunun yerine geçmez. Amaç, inceleme sırasında eksik bilginin görünür kalmasıdır. “Bilinmiyor” yazmak, dayanağı olmayan güvence vermekten daha açıklayıcıdır. Her yeni bilgi geldiğinde eski notu sessizce değiştirmek yerine neyin ne zaman öğrenildiğini kaydedin.

• İşlemin türü: yükleme, yanlış alıcı, açık bağlantı veya farklı bir işlem.
• Bilginin kaynağı: ekran kaydı, kullanıcı bildirimi ya da sağlayıcı açıklaması.
• Etkilenen belge ve veri kategorileri; özel nitelikli veri ihtimali.
• Muhtemel erişim kapsamı ve bu konuda doğrulanan bilgiler.
• Devam eden paylaşımı sınırlamak için alınan tedbirler.
• Bildirim değerlendirmesinden ve sonraki takipten sorumlu kişi.

Örnek gösterim: Bir çalışan, kurgusal olay notunda yanlış ek seçildiğini bildirir. İlk kayıt sadece yüklemenin görüldüğünü ve hangi hesapta gerçekleştiğini söyler. Sağlayıcıdan erişim, saklama ve silme hakkında bilgi istenir. Yanıt henüz yoksa bu alanlar açık kalır; “silindi, dolayısıyla kimse erişmedi” sonucu yazılmaz.

Sağlayıcıdan hangi bilgileri isteyin?

Teknik soru listesini olayın kapsamına göre daraltın. Belgenin alınıp alınmadığı, hangi işlemde kullanıldığı, erişimin sınırlandırılıp sınırlandırılamadığı ve hangi kayıtların mevcut olduğu sorulabilir. Sağlayıcının yanıtı olgu kaynağıdır; bütün hukuki sorumluluğu ona devreden bir belge gibi okunmamalıdır. Kanun m.12 güvenlik ve denetim yükümlülüklerini ayrıca düzenler.

Destek yazışmasında gerçek belgeyi tekrar eklemek yerine işlem kimliği gibi daha dar tanımlayıcıların yeterli olup olmadığını araştırın. Sağlayıcıdan gelen “talep kapatıldı” mesajının silmenin kapsamını da açıkladığını varsaymayın. Hangi hesabı, eki, bağlantıyı veya kopyayı kapsadığı belirsizse ek açıklama isteyin. Doğrulanan teknik sonuçları olay notuna işleyin.

Sohbet bağlantısıyla ilgili sorunlar farklı bir müdahale gerektirebilir. Böyle bir durumda Gemini paylaşım bağlantısını kaldırma rehberi, bağlantıya müdahale ile daha önce edinilmiş kopyaların ortadan kalkmasının ayrı olduğunu gösterir. Her aracın güncel işleyişi kendi yardım belgesinden incelenmelidir; bir üründeki ayar başka araca genellenmez.

Bildirimde eksik bilgi varsa

2019/10 sayılı karar, formdaki bilgilerin tek seferde sağlanamaması halinde aşamalı tamamlamayı öngörür; gecikmenin gerekçesinin açıklanmasını da düzenler. Dolayısıyla bütün teknik cevapların gelmesini bir ön koşul haline getirmeyin. Resmî bildirim kanalı ve formu Kurumun duyurusundan takip edin; bu yazıdaki tabloyla resmî bildirim yapılmış sayılmaz.

Çalışma planında bilgi beklenen her alanın yanına takip sorumlusu eklemek faydalı olabilir. Hangi sağlayıcı yanıtı, hangi iç kayıt veya hangi belge eksik? Yeni bilgi geldiğinde bildirim ve kişi kapsamının tekrar değerlendirilmesi gerekiyor mu? Bu soruların cevapları, ilk değerlendirmedeki belirsizliği kapatmaya yöneliktir. Sonradan tamamlanan bilgi, ilk kaydın bilindiği anda doğru tutulmasının yerini almaz.

Etkilenen kişiye açıklamayı anlaşılır yazın

Kurulun 2019/271 sayılı kararı ilgili kişiye yapılacak bildirimde zaman, veri kategorileri, olası sonuçlar, tedbirler ve iletişim yolunun bulunmasını ister. Açıklama, teknik terimlerle belirsizleştirilmemelidir. Bu unsurların olayınıza karşılığını bulun; hazır bir metni gerçeğe uymayan alanlarla doldurmayın. Kesinleşmemiş kapsamı kesinleşmiş gibi anlatmayın.

Bildirim taslağını okuyan kişi kendisi hakkında hangi verinin etkilenmiş olabileceğini ve bilgi almak için nereye başvuracağını anlayabilmelidir. “Güvenliğiniz bizim için önemli” gibi genel bir cümle somut olay bilgisinin yerine geçmez. Aynı zamanda olayla ilgisiz üçüncü kişilerin verisini açıklamaya eklemeyin. Kişi kapsamı ve iletişim yöntemi gerçek duruma göre değerlendirilir.

İki farklı bildirim kaydını birbirine karıştırmayın

Kuruma yapılan başvurunun gönderim kaydı ile etkilenen kişiye gönderilen açıklamanın kaydı farklı belgeler olsun. Birinin tamamlanması diğerinin de tamamlandığını göstermez. İlgili kişinin iletişim yoluna ulaşılamıyorsa kararın öngördüğü uygun yöntemlerin somut olayda nasıl kullanılacağı ayrıca değerlendirilmelidir. Çalışma notuna hangi yöntemin neden seçildiğini ekleyin.

Aynı olayda farklı kişiler için farklı veri kategorileri etkilenmiş olabilir. Herkese aynı genel açıklamayı göndermeden önce kişi ile veri kategorisi eşleşmesini kontrol edin. Kimin hangi bilgisine ilişkin doğrulama bulunduğu açık değilse bu belirsizliği kaydedin ve inceleme sorumlusuna aktarın. Açıklamanın anlaşılır olması, doğrulanmamış kapsamın kesin bir dille sunulması anlamına gelmez.

Olay boyunca gelen soruları da ayrı bir takip listesinde tutabilirsiniz. Sağlayıcının cevabı, çalışanın tespiti ve ilgili kişinin sorusu aynı kaynak niteliğinde değildir. Her kayda bilgi sahibini, alınma zamanını ve hangi inceleme alanını etkilediğini eklemek sonraki güncellemeyi kolaylaştırır. Bu önerilen takip listesi, resmî bildirim formuna ek olarak büronun kendi inceleme düzenidir.

Olaydan sonra tekrarını önlemek

Müdahale kaydını kapatmadan önce yanlış belgenin nasıl seçildiğini araştırın. Dosya adları mı benziyor, onaylı araç listesi mi bilinmiyor, paylaşım ayarları mı anlaşılmıyor? Her sorun için uygulanabilir bir düzeltme seçin. Öneriyi yalnızca “daha dikkatli olun” cümlesinde bırakmayın; belge seçimi veya gönderim onayının hangi adımında değişiklik yapılacağını yazın.

Büroda tekrar kullanılabilecek süreç için KVKK ve yapay zeka kontrol listesi ile hukuk yapay zeka konu merkezini birlikte okuyabilirsiniz. Kurulun müdahale planı yaklaşımı, olay sırasında kimin raporlama ve değerlendirme yapacağının önceden belirlenmesini destekler. Prolex AI özellikler bölümündeki işlevleri incelemek ise herhangi bir somut veri ihlalinin bildirim yükümlülüğünü ortadan kaldırmaz.