Veri ihlali yaşayan şirketler etkilenen kişileri 72 saat içinde bilgilendirmeli mi?
Kişisel verilerin sızdırılması, kimlik hırsızlığı ve dolandırıcılık gibi zararlara yol açabilir. Şirketlerin ihlali fark ettikten sonra kişileri kısa ve sabit bir süre içinde bilgilendirmesi, erken önlem alma imkânı sağlarken doğrulanmamış bilgi paylaşımı riskini de doğurur.
eur-lex.europa.euYapay zekâ ile hazırlandı; hatalı bir bilgi görürsen bize yaz.
Mevzuat, otoriteye bildirim ile etkilenen kişilere bildirim için farklı eşikler belirleyebilir.
Ayrıntı
Avrupa Birliği Genel Veri Koruma Tüzüğü, veri sorumlusunun kişisel veri ihlalini kural olarak farkına vardıktan sonra 72 saat içinde denetim makamına bildirmesini öngörür. Kişilere bildirim ise ihlalin yüksek risk doğurmasının muhtemel olduğu durumlarda gündeme gelir; dolayısıyla 72 saatlik süre her durumda kişilere bildirim süresi değildir.
EVET
E · 1
Gerekçe
Etkilenen kişiler parolalarını değiştirebilir, finansal hesaplarını izleyebilir veya kimlik bilgilerinin kötüye kullanılmasına karşı ilgili kurumlara başvurabilir. Gecikme, saldırganların sızan verileri kullanması için daha fazla fırsat yaratabilir.
Erken bildirim, kişilerin zararı sınırlamak için zamanında önlem almasını sağlar.
Öngörülebilir bir son tarih, şirketleri olay müdahale süreçlerini önceden hazırlamaya ve ihlalleri hızla değerlendirmeye teşvik eder. Ayrıca kişilerin, kendilerini korumak için gerekli bilgiye ne zaman ulaşacaklarını bilmelerini sağlar.
Kesin bir süre, şirketlerin ihlalleri gizlemesini veya bildirimde gecikmesini zorlaştırır.
İlk saatlerde hangi verilerin etkilendiği ve riskin kimleri kapsadığı belirsiz olabilir. Eksik veya yanlış bir uyarı, kişilerin gereksiz işlemler yapmasına ya da sonraki bildirimlere güvenmemesine neden olabilir.
İhlalin kapsamı doğrulanmadan yapılan bildirimler kişileri gereksiz yere endişelendirebilir.
H · 2· Kaynaksız
Gerekçe
Bazı olaylarda kişisel verilerin kötüye kullanılması ihtimali düşükken, bazılarında hassas veriler ciddi risk yaratabilir. Şirketlere durumun niteliğine göre bildirim zamanı belirleme esnekliği tanımak, kaynakların daha yüksek riskli vakalara yönelmesini sağlayabilir.
Her ihlalin risk düzeyi aynı olmadığından tek bir süre orantısız olabilir.
