قانون حماية البيانات الشخصية رقم 6698 (KVKK) المادة 12/5 يُلزم مراقبي البيانات بإخطار مجلس الإدارة في غضون 72 ساعة والشخص المعني في أقرب وقت ممكن في حالة حدوث خرق للبيانات.
ما هو خرق البيانات؟
البيانات الشخصية التي حصل عليها الآخرون بوسائل غير قانونية؛ التسرب أو الحذف أو التغيير أو الإفصاح أو الوصول غير المصرح به.
أمثلة شائعة
- الهجوم الإلكتروني على قاعدة بيانات الشركة (برامج الفدية والقرصنة)
- نسخ بيانات الموظف ومشاركتها خارجيًا بشكل غير مصرح به
- استخدام "CC" بدلاً من "BCC" عند إرسال البريد الإلكتروني
- تسرب البيانات بسبب فقدان USB / الكمبيوتر المحمول
- الكشف عن بيانات العملاء بسبب ثغرة أمنية في موقع الويب
- تفويض الوصول غير صحيح
إلزام الإخطار
إلى مجلس إدارة KVKK خلال 72 ساعة
يتم إرسال إشعار عبر النموذج الموجود على موقع الويب الخاص بالمؤسسة خلال 72 ساعة من لحظة اكتشاف خرق البيانات. محتوى النموذج:
- تاريخ بدء المخالفة ومدتها
- فئات البيانات المتأثرة بالانتهاك
- عدد جهات الاتصال المتأثرة
- العواقب المحتملة للانتهاك
- التدابير المتخذة والتي يتعين اتخاذها
- معلومات جهة الاتصال
إشعار للأشخاص المعنيين
سيتم إبلاغ الأشخاص المتأثرين في أقرب وقت ممكن عبر البريد الإلكتروني أو الرسائل القصيرة أو KEP أو إعلان موقع الويب.
صلاحيات مجلس الإدارة لفرض العقوبات (المادة 18 من KVKK)
- الغرامة الإدارية: بين 50,000 ليرة تركية - 2,000,000 ليرة تركية (يتم تحديثها سنويًا)
- انتهاك الالتزام بالإبلاغ
- عدم الامتثال للالتزامات المتعلقة بأمن البيانات
- عدم الالتزام بقرارات مجلس الإدارة
- انتهاك الالتزام بالتسجيل في سجل مراقبي البيانات
قرارات هامة لمجلس الإدارة
<اقتباس> فرض مجلس إدارة KVKK غرامات إدارية عالية على الشركات الكبيرة مثل Facebook وCathay Pacific وMarriott وClubhouse بسبب الانتهاكات. في تركيا، تم فرض غرامات تتجاوز مليون ليرة تركية على البنوك المحلية ومنصات التجارة الإلكترونية وشركات التواصل الاجتماعي. <اقتباس> ويعتبر مجلس الإدارة "الإخفاق في الإخطار بخرق البيانات أو الإخطار المتأخر" انتهاكًا منفصلاً ويفرض عقوبات إضافية.التحضير كمراقب بيانات
- التسجيل في VERBIS (سجل مراقبي البيانات)
- خطة الاستجابة للحوادث
- مخزون البيانات
- نصوص المعلومات والموافقة الصريحة
- تدريب الموظفين
- اختبارات الاختراق والتدقيق الأمني
- اتفاقيات معالجة البيانات (مع أطراف ثالثة)
حقوق الشخص المعني (المادة 11 من KVKK)
- معرفة ما إذا كانت بياناتك قيد المعالجة أم لا
- إذا تمت معالجتها، فتحقق مما إذا كانت مناسبة للغرض المقصود منها
- التعرف على الجهات الخارجية التي تم نقلها إليها
- اطلب التصحيح في حالة المعالجة غير الكاملة/غير الصحيحة
- طلب الحذف/التدمير
يمكن أن تؤدي التزامات مسؤولية البيانات إلى فرض عقوبات عالية بسبب الإهمال. يوصى بالاستشارة بشأن عمليات الامتثال لـ KVKK.