土耳其 KVKK 数据泄露应对: 72 小时通知指南

概览

土耳其个人数据泄露通知规则

第6698号《个人数据保护法》（KVKK）第12(5)条要求，在所处理的个人数据被他人以非法方式获取时，数据控制者通知受影响人员及个人数据保护委员会。委员会第2019/10号决定将向委员会通知解释为不得拖延，且最迟在 控制者知悉泄露后72小时内.

该期限适用于控制者向委员会通知，不应与受影响人员通知混淆：委员会指出，识别数据主体后，应在最短合理期间内告知。无法一次提供全部信息时，控制者可在不无故拖延的情况下分阶段提交，并应在委员会通知中说明任何延迟。

哪些情况属于需要初步评估的泄露？

从事实出发，而非事件名称。调查个人数据是否因涉及非法访问或处理的事件而被访问、获取、披露、修改、丢失或变得不可用。勒索软件事件、误发邮件、暴露数据库、丢失设备、供应商账户被攻破或未经授权导出，可能需要立即评估。法律报告决定取决于个人数据实际遭遇，以及相关组织的角色。

识别数据控制者及任何数据处理者。根据委员会决定，处理者知悉其持有数据被非法获取时，应及时通知控制者。合同可规定更短的操作上报时限；控制者不应等到处理者提交最终取证报告后，才开始评估自身计时起点。

最初72小时：事件响应顺序

1. 启动响应计划。 指定事件负责人、隐私/法律联系人、安全负责人及业务负责人。记录每个人首次获知可能构成知悉的事实的时间。
2. 遏制与保全。 限制进一步访问，保护受影响系统，并保全日志、消息、访问记录及取证证据。恢复服务时不要销毁证据。
3. 梳理数据与人员。 识别数据类别、大致记录数及人数、受影响系统、地点、接收方，以及任何敏感或财务数据。区分已核实事实与估计。
4. 评估控制者/处理者角色。 确定哪家实体决定处理目的及方式、哪些实体按指示行事，以及由谁提交通知。
5. 作出决定并提交委员会。 使用委员会规定的个人数据泄露通知表及渠道。在知悉后及时且最迟72小时内提交；提供现有信息并说明任何延迟。
6. 通知受影响人员。 识别人员后，在最短合理期间内沟通，有联系方式时使用直接渠道。以清晰语言解释实务保护措施。
7. 补充与记录。 重要信息确认后，向委员会及受影响个人更新，并保留事实、影响、决定、通知及减轻措施记录。

委员会通知应说明什么

初始报告应明确已知内容、仍在调查的内容、受影响人员及记录的类别与大致数量、可能后果、遏制步骤及联络窗口。委员会决定明确允许在无法同时完成表格时逐步提供信息。不要等到完全确定；标明初步估计，并随着调查发展更新。

通知个人：清晰、有用且及时

向受影响人员通知的目的不同于监管提交。用简明语言说明发生了什么、可能涉及哪些数据、组织做了什么，以及个人可采取哪些实务措施。避免无依据地保证没有风险。无法联系到相关人员时，委员会决定提及适当替代方法，包括在适宜情况下在控制者网站公布。

外国控制者与国际事件

委员会第2019/10号决定专门涉及境外设立的控制者。决定指出，泄露影响居住在土耳其、使用在土耳其提供的产品或服务的数据主体时，适用同一通知原则。国际集团不应假定向他国监管机构报告可替代土耳其评估。应协调各司法管辖区通知，同时保留土耳其期限及角色分析。

即时响应之后

控制者应记录全部个人数据泄露，包括事实、影响及已采取措施，并在委员会要求时提供这些记录。审查访问控制、处理者合同、保存、监控、培训及上报路径是否促成事件。更新定期审查的泄露响应计划，包括谁决定通知、谁联系受影响人员，以及组织如何评估可能后果。

KVKK泄露准备核查清单

1. 维持事件计划，指定决策者并可靠记录知悉时间。
2. 通过书面程序要求处理者立即上报疑似个人数据泄露。
3. 保持最新数据映射，涵盖系统、数据类别、供应商及联系受影响人员的路径。
4. 提前准备KVKK委员会通知表及内部事实收集模板。
5. 区分委员会报告与受影响人员沟通，并跟踪各项时间决定。
6. 保全事件证据并记录全部泄露，包括未作通知的泄露。

常见问题