تُعتبر أول 72 ساعة أمرًا بالغ الأهمية عند حدوث خرق للبيانات. يجب تنفيذ إخطار KVKK + خطة الاتصال + التحقيق بالتوازي؛ يعد تأخير الإشعارات وحده عاملاً مشددًا.
ما هو الحدث الذي يعتبر "انتهاكًا"؟
- الوصول غير المصرح به (القرصنة، إساءة معاملة الموظفين).
- تسرب البيانات (Pastebin، خلاصة الويب المظلم).
- أرسل بريدًا إلكترونيًا (مجمّعًا) إلى عنوان خاطئ.
- سرقة الأجهزة غير المشفرة.
- تسرب من طرف ثالث (معالج فرعي).
- يتم عرض البيانات للشخص الخطأ بسبب خطأ في النظام.
أول 72 ساعة — الخطوات
<يكون>محتوى نموذج الإشعارات
- طبيعة المخالفة وفئتها.
- تاريخ الحادثة وتاريخ التنفيذ.
- عدد الأشخاص المتأثرين وفئات البيانات.
- العواقب المحتملة (الخسارة المالية، وسرقة الهوية، وما إلى ذلك).
- التدابير المتخذة/التي سيتم اتخاذها.
- شخص الاتصال.
معايير الغرامات الإدارية
- نوع الانتهاك (هجوم منظم مقابل إهمال).
- الالتزام بفترة الإشعار.
- عدد الأشخاص المتأثرين.
- التوسع (الشركات الصغيرة والمتوسطة مقابل الشركات الكبيرة).
- سجلات KVKK السابقة.
- الحد الأقصى 5 مليون ليرة تركية (بعد تحديث 2025).
الأسئلة الشائعة
لقد مرت 72 ساعة، ولم نبلغ عنها بعد؛ ماذا يجب أن نفعل؟
أبلغ فورًا + قدم التبرير (استغرقت عملية التحليل وقتًا، وكان التأثير غير واضح). الإخطار المتأخر أمر متفاقم؛ ولكن أقل من عدم الإبلاغ على الإطلاق.
هل يجب علينا بالتأكيد إخطار الضحايا؟
إلزامي إذا كان هناك "خطر كبير" (المادة KVKK 12/5 + قرار مجلس الإدارة رقم 2019/271). إذا كانت المخاطر منخفضة، فقد يتم طلب توجيهات مجلس الإدارة؛ ولكن الشفافية عمومًا في صالحنا.
الهجوم خارجي وليس خطأنا؛ هل سنعاقب؟
تم تقديم "التزام أمان البيانات" بموجب المادة 12/1 من KVKK؛ وحتى لو كان الهجوم خارجيا، فإن السؤال المطروح هو ما إذا تم اتخاذ الاحتياطات الكافية. تُعد المستندات مثل اختبار القلم وISO 27001 وإدارة السجلات أمرًا بالغ الأهمية في مجال الدفاع.
هل يمكن رفع دعوى التعويض؟
نعم، يجوز لمالك البيانات طلب التعويض وفقًا للمادة 14 من قانون KVKK. النطاق الروحي هو 5000-50000 ليرة تركية وهو أمر شائع. يمكن أن تصل التعويضات المقطوعة (على سبيل المثال، إذا تأثر 100 ألف شخص) إلى الملايين.
هل يتم تفعيل اللائحة العامة لحماية البيانات (GDPR) أيضًا؟
نعم، إذا تأثر موضوع بيانات الاتحاد الأوروبي؛ الفن اللائحة العامة لحماية البيانات. 33 — إخطار هيئة حماية البيانات ذات الصلة (DPA) خلال 72 ساعة. مطلوب إشعار موازٍ لـ KVKK التركي + EU DPA؛ يجوز لكلتا المؤسستين فرض غرامات خاصة بهما.
التشريعات ذات الصلة
- رقم KVKK. 6698 المادة 12 - التزام أمن البيانات؛ إشعار بالمخالفة (المادة 12/5).
- رقم KVKK. 6698 مادة 14 — الحق في التعويض.
- رقم KVKK. 6698 المادة 18 — غرامة إدارية (تصل إلى 5 مليون ليرة تركية).
- المادة الخاصة باللائحة العامة لحماية البيانات. 33-34 — إشعار انتهاك لمدة 72 ساعة بشأن النقل عبر حدود الاتحاد الأوروبي.
- TCK art.135-136 — التسجيل/النشر غير القانوني للبيانات الشخصية.