Bir saldırıdan sonra müşterilerimi ve otoriteyi bilgilendirmeli miyim

GDPR'ın veri ihlali dediği şey

Tanım, çoğu satıcının sandığından geniştir. Kişisel veri ihlali, kazara veya hukuka aykırı biçimde kişisel verilerin yok edilmesine, kaybına, değiştirilmesine veya yetkisiz ifşasına yol açan bir güvenlik olayıdır.

Sıklıkla yanlış anlaşılan üç pratik sonuç:

• Hırsızlık şart değildir. Bir saldırgan tarafından silinen veya şifrelenerek kullanılamaz hâle getirilen bir sipariş tablosu da ihlaldir.
• Sızma şart değildir. Müşteri adları, adresleri ve telefonlarını içeren, dışarıdan okunabilen günlük dosyaları yetkisiz ifşa oluşturur. PrestaShop için upsshipping modülüne ilişkin Mayıs 2026 tarihli bildiri, etkilenen satıcılardan açıkça GDPR yükümlülüklerini değerlendirmelerini ister.
• Kusurlu olmanız şart değildir. Yükümlülük, olayın teknik kaynağı ne olursa olsun veri sorumlusuna, yani size aittir.

Buna karşılık her güvenlik olayı bir veri ihlali değildir: veritabanına veya kişisel veri içeren dosyalara erişilmeden yalnızca ana sayfası tahrif edilen bir site ihlal sayılmaz. Ayrım, hissedilen ağırlığa göre değil, verilere göre yapılır.

72 saat gerçekte ne zaman işlemeye başlar

Yetkili denetim otoritesine bildirim süresi, ihlalden haberdar olduğunuz andan itibaren 72 saattir. Uygulamada sorun çıkaran nokta bu başlangıç anıdır.

Haberdar olmak, incelemeyi bitirmiş olmak veya verilerin çıktığından emin olmak anlamına gelmez. Sayaç, kişisel verileri etkileyen bir güvenlik olayının gerçekleştiğine dair makul bir kesinlik derecesine ulaştığınızda başlar: tuzaklanmış bir eklentiyi veya veritabanına erişmiş yabancı bir dosyayı bulduğunuz gün; danışmanınızın raporunu teslim ettiği gün değil.

GDPR, incelemenin tamamlanmadığı durumu açıkça öngörür: bildirim, eldeki bilgilerle aşamalı olarak yapılabilir, sonra tamamlanabilir. Süre aşılmışsa bildirimde gecikmenin gerekçeleri belirtilmelidir. Gerekçeli ve geç bir bildirim, hiç bildirim yapmamaktan iyidir.

Hangi durumda olduğunuzu nasıl anlarsınız

Teknik çalışmanın hukuki kararı belirlediği yer burasıdır. Risk değerlendirmesi; erişilebilir verilerin niteliğine, hacmine, kişilerin ne kadar kolay tanımlanabildiğine ve onlar için makul sonuçlara bağlıdır.

Son dönemde yayımlanan olaylar bu ölçeği gösteriyor. Gravity SMTP eklentisinde Mart 2026'da düzeltilen açıkta olduğu gibi teknik kimlik bilgilerini ve eklenti envanterini dışarı aktaran bir arka kapı, müşterilerinize doğrudan dokunmaz; ama başka kapılar açar ve soru, o anahtarlarla sonradan ne yapıldığına döner. Diğer uçta, Haziran 2026'da bir WordPress eklenti yayıncısının dağıtım zinciri ihlalinde anlatılan zararlı yük, son üç aya ait WooCommerce siparişlerini çıkarıyordu: burada ad içeren kapsam nettir ve tarihlidir. Sansec'in Şubat 2026'da belgelediği çift formlu hırsızlıkta olduğu gibi kart bilgileri yazıldığı anda yakalandığında ise en ağır durumdasınızdır: müşterileri bilgilendirmek ve ödeme sağlayıcınızı uyarmak gerekir.

Önemli bir not: müşteri parolalarının özet olarak saklanması hafifletici bir unsurdur, muafiyet değil. GDPR, bireysel bilgilendirmeden muafiyeti özellikle verilerin ele geçirilmemiş anahtarlarla şifrelenmiş olması, sonraki önlemlerin riski ortadan kaldırması veya herkese ulaşmanın orantısız çaba gerektirmesi hâllerinde öngörür; ancak bu hâllerden birinde olduğunuzu göstermek size düşer.

Müşterilere ne yazılır ve hangi üslupla

İlgili kişilere gönderilen ileti ne bir basın bülteni ne de bir özürdür. İhlalin niteliğini anlaşılır bir dille anlatmalı, olası sonuçları belirtmeli, bir iletişim noktası vermeli, alınan ve planlanan önlemleri açıklamalı ve her şeyden önce kişinin kendisinin uygulayabileceği tavsiyeler içermelidir.

Düzenli olarak gördüğüm üç hata: müşterinin harekete geçmesi gerektiğini anlamayacağı kadar önemsizleştirmek; kendisi bir kimlik avı denemesine benzeyecek kadar genel bir ileti göndermek; ve her şeyi anlamayı bekleyip hiçbir şey yazmamak. Neyin etkilendiği ve neyin etkilenmediği konusunda net, kısa ve tarihli bir ileti, üç haftalık sessizlikten iyidir.

Kanal da önemlidir. Kendi e-posta sisteminiz etkilendiyse başka bir kanaldan gönderin ve bunu söyleyin: bu, meşru iletinizin saldırının devamı sanılmasını önler.