Fikri Mülkiyet ve KVKK

Siber Olay Delil ve Bildirim Yükümlülüğü Kontrol Asistanı

Bir siber güvenlik olayında (veri sızıntısı, yetkisiz erişim, fidye yazılımı vb.) birden çok bildirim ve delil yükümlülüğü aynı anda gündeme gelebilir. Kişisel veri ihlali varsa veri sorumlusu KVKK m.12/5 uyarınca ihlali öğrenmesinden itibaren en geç 72 saat içinde KVK Kurulu'na ve etkilenen ilgili kişilere bildirim yapmalıdır. Kritik altyapı veya kamu bilişim sistemleri söz konusuysa USOM (Ulusal Siber Olaylara Müdahale Merkezi) ve ilgili SOME kanalına bildirim gerekir. Adli sürecin sağlıklı yürümesi için log ve imaj gibi delillerin bütünlüğü (hash/zaman damgası) korunmalıdır. Bu asistan, beş soruya verdiğiniz yanıtlara göre yükümlülükleri ve eksikleri kontrol listesi hâlinde çıkarır.

Olayda kişisel veri ihlali oluştu mu? *

KVK Kurulu'na (72 saat) bildirim gereken bir durum var mı? * Kişisel veri ihlali varsa kural olarak Kurul'a bildirim gerekir

Olay kritik altyapı / kamu bilişim sistemini ilgilendiriyor mu (USOM/SOME bildirimi)? *

Delil (log / sistem imajı) bütünlüğüyle muhafaza edildi mi? * Hash/zaman damgası ile ve erişim kaydıyla saklama

Olayla ilgili adli süreç (şikâyet/soruşturma) başlatılacak mı? *

Bu araç yalnızca bilgilendirme amaçlıdır; hukuki tavsiye veya taahhüt niteliği taşımaz. Kesin sonuç için bir avukata danışınız.

Frequently Asked Questions

Kişisel veri ihlali bildirimi ile USOM bildirimi aynı şey mi?

Hayır, farklı yükümlülüklerdir ve aynı olayda ikisi birden gerekebilir. Kişisel veri ihlali bildirimi, KVKK m.12/5 uyarınca KVK Kurulu'na (ve etkilenen ilgili kişilere) yapılır; süresi ihlali öğrenmeden itibaren 72 saattir. USOM bildirimi ise kritik altyapı ve kamu bilişim sistemlerini ilgilendiren siber olaylarda, BTK/USOM düzeni çerçevesinde ilgili SOME aracılığıyla yapılan teknik olay bildirimidir. Bir olay hem kişisel veri ihlali hem de kritik altyapı olayı ise her iki bildirim de yapılmalıdır.

Delil bütünlüğü neden ve nasıl korunur?

Siber olayda sistem logları, ağ kayıtları ve disk/bellek imajları, hem olayın aydınlatılması hem de olası adli/idari süreçlerde delil değeri taşır. Delilin sonradan değiştirilmediğinin gösterilebilmesi için imaj ve logların özet (hash) değerleri alınmalı, zaman damgasıyla ve erişim kaydıyla (chain of custody) muhafaza edilmelidir. Delil, üzerine yazılma veya sistemin yeniden başlatılması gibi işlemlerle kaybolabileceğinden, müdahale sırasında öncelikle uçucu verilerin (bellek, aktif bağlantılar) toplanması önerilir.

72 saatlik KVKK bildirimini kaçırırsam ne olur?

Süre içinde bildirim yapılamazsa, bildirimle birlikte gecikmenin gerekçesi de Kurul'a açıklanmalıdır (2019/10 sayılı karar). Veri güvenliği yükümlülüklerine aykırılık ve geç/eksik bildirim, KVKK m.18 uyarınca idari para cezası riskini artırır ve Kurul'un ceza takdirinde aleyhe değerlendirilebilir. Süre hesabı için ilgili KVKK 72 saat bildirim aracımızı kullanabilirsiniz.

Legal Basis

6698 s. KVKK m.12/5 (veri ihlalinde Kurul'a ve ilgili kişilere bildirim)
KVK Kurulu 24.01.2019 tarih ve 2019/10 sayılı karar (72 saatlik bildirim süresi)
5809 s. Elektronik Haberleşme Kanunu ve ilgili düzenlemeler (USOM/SOME siber olay bildirim düzeni — BTK)

Official sources: KVKK — Veri ihlali bildirimi (kvkk.gov.tr) · USOM — Ulusal Siber Olaylara Müdahale Merkezi (usom.gov.tr) · 6698 sayılı KVKK (mevzuat.gov.tr)