Kişisel Veri İhlali Sonrası Online İtibar Nasıl Yönetilir?
Veri ihlali sonrası itibar yönetimi, teknik olay müdahalesinden bağımsız yürütülemez. Hukuki bildirim, doğrulanmış olay kronolojisi, medya açıklaması, sosyal medya takibi ve arama sonuçları aynı 'single source of truth' üzerinden yönetilmelidir.
Kısa Cevap
Kişisel veri ihlali sonrasında online itibar yönetimi, hukuki bildirim sürecinin yerine geçmez ve KVKK’daki 72 saat kuralı “72 saat içinde basın açıklaması yapma” zorunluluğu değildir. Kurulun 2019/10 sayılı kararında veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunması öngörülür. İlgili kişilere bildirim ve kamusal iletişim ise olayın doğrulanmış kapsamı, riskleri ve hukuki yükümlülükleriyle koordineli yürütülmelidir.
Neden Önemli?
Veri ihlalinin ilk saatlerinde teknik ekip olayın kök nedenini araştırırken sosyal medya ve haber sitelerinde daha kesin iddialar dolaşıma girebilir. Marka çok erken kesin rakam veya neden açıklarsa daha sonra düzeltme yapmak zorunda kalabilir; hiç iletişim kurmazsa bilgi boşluğu spekülasyonla dolabilir.
Bu nedenle incident response ile reputation response aynı timeline üzerinde fakat farklı owner’larla çalışmalıdır. SOC/IT teknik bulguyu, hukuk/KVKK bildirim yükümlülüğünü, iletişim ekibi ise kamuya açık doğrulanmış mesajı yönetir.
KVKK’nın 72 saatlik Kurul bildirimi, PR ekibine verilmiş bir medya süresi değildir. Aynı şekilde Kurula bildirim yapılmış olması kamuya açıklanacak her ayrıntının kesinleştiği anlamına gelmez.
B10_BREACH_REPUTATION_RESPONSE modeli fact register, media monitoring, stakeholder messaging ve correction log’u incident timeline’a bağlar.
Şirketler Ne Yapmalı?
Data Breach Reputation Response Akışı
- Single source of truth kurun. Doğrulanmış olay bilgilerini tek fact register’da tutun.
- Confirmed ile suspected veriyi ayırın. Tahmini etkilenen kişi sayısını kesin sayı gibi sunmayın.
- KVKK timeline’ını ayrı izleyin. 72 saat Kurul bildirimi saatini PR deadline olarak etiketlemeyin.
- Stakeholder matrix oluşturun. İlgili kişi, çalışan, müşteri, medya, partner ve yönetim mesajlarını ayırın.
- Media/social monitoring başlatın. Yanlış iddia ve sahte ekran görüntülerini erkenden tespit edin.
- Correction protocol belirleyin. Yeni teknik bulgu eski açıklamayı değiştiriyorsa versiyonlu düzeltme yapın.
- Spokesperson belirleyin. Birden fazla yöneticinin çelişkili açıklama yapmasını önleyin.
- Post-incident search audit yapın. Olay sonrası Google ve AI-search görünürlüğünü takip edin.
İlgili kişilere yapılması gereken KVKK bildirimi ile genel basın açıklaması farklı hedef kitle ve içerik gerektirir. Hukuki yükümlülük içeren kişisel bildirim PR metniyle ikame edilmemelidir.
Reputation ekibinin görevi olayı küçültmek değil, kamuya açık bilgi ekosisteminde yanlış veya güncelliğini yitirmiş iddiaları doğrulanmış olay kronolojisiyle yönetmektir.
Incident communication için faktüel sürüm kontrolü uygulanabilir. İlk aşamada yalnız ihlalin tespit edildiği ve incelemenin sürdüğü doğrulanmış olabilir; daha sonra etkilenen sistem, veri kategorileri veya kişi sayısı kesinleşebilir. Her yeni açıklama önceki metnin üzerine sessizce yazılmak yerine değişen bilgileri açıkça gösterecek biçimde versiyonlanırsa medya ve ilgili kişiler açısından güvenilirlik artar.
Monitoring yalnız marka adıyla yapılmamalıdır. İhlalin ilişkilendirildiği ürün adı, uygulama, domain, yönetici, saldırı grubu veya teknik olay kelimeleri ayrı query setlerinde izlenebilir. Sahte destek hesapları veya phishing sayfaları veri ihlali haberini fırsat bilerek marka adına yeni dolandırıcılık kampanyaları başlatabilir. Bu nedenle brand protection ile breach reputation response aynı incident room içinde koordineli çalışmalıdır.
Olay sona erdikten sonra search recovery ayrıca izlenmelidir. Yeni güvenlik önlemleri, Kurul veya şirket açıklamaları ve güncel haberler yayımlansa bile eski ilk haberler Google veya AI cevaplarında yüksek görünürlüğünü sürdürebilir. Bu durumda amaç olumsuz haberi gizlemek değil, güncel ve doğrulanmış olay bilgisinin web ekosisteminde erişilebilir olmasını sağlamak ve artık yanlış olan iddiaları kaynak seviyesinde düzeltmektir.
Veri ihlali sonrasında teknik iyileştirme ile reputation recovery ayrı fakat bağlantılı gösterilmelidir. Güvenlik açığı kapatılmış veya erişim anahtarları yenilenmiş olsa bile yanlış haber, eski etkilenen kişi sayısı veya hatalı teknik neden internette yaşamaya devam edebilir. Incident closure sonrasında belirli aralıklarla medya sonuçları, Google görünürlüğü, sosyal paylaşımlar ve AI cevapları yeniden incelenebilir. Reputation recovery olumsuz haberin ortadan kaldırılması değil, güncel ve doğrulanmış olay bilgisinin bilgi ekosisteminde yeterli görünürlük kazanması ve artık yanlış olan iddiaların kaynak seviyesinde düzeltilmesiyle değerlendirilmelidir.
B10 İçin Önerilen Ölçüm Modeli
| Kontrol | KPI | Risk Sinyali |
|---|---|---|
| Facts | Confirmed fact latency | Doğrulanmamış bilgi |
| Legal | KVKK notification clock | 72 saat riskinin yönetilememesi |
| Media | False-claim detection time | Yanlış haberin büyümesi |
| Message | Correction count | Çelişkili açıklamalar |
| Coverage | Negative narrative share | Tek taraflı bilgi ekosistemi |
| Recovery | Search-result recovery time | Olayın kalıcı görünürlüğü |
Reputation KPI’ları hukuki ihlal yönetiminin yerine geçmez; teknik ve hukuki süreçlerin dış bilgi ekosistemindeki etkisini ölçer.
Uzman Değerlendirmesi
Veri ihlali iletişiminde en riskli iki uç “her şeyi hemen kesinmiş gibi açıklamak” ve “hiç konuşmamak”tır. Sağlam yaklaşım, doğrulanan bilgiyi versiyon kontrollü biçimde paylaşmak ve belirsiz noktaları açıkça belirsiz bırakmaktır.
KVKK bildirimi, ilgili kişi bildirimi ve medya iletişimi tek operasyon planında zamanlanabilir ancak bunların hukuki niteliği birbirinden farklıdır.
Dijital Risk ve Uyum Analizi
B10, B10_BREACH_REPUTATION_RESPONSE modeliyle incident fact register, medya/sosyal monitoring, correction log ve search-reputation recovery göstergelerini teknik-hukuki olay zaman çizelgesiyle eşleştirebilir.
İlgili İçerikler
Resmî ve Birincil Kaynaklar
Sık Sorulan Sorular
Bu konu neden şimdi önemli?
Veri ihlali sonrası itibar yönetimi, teknik olay müdahalesinden bağımsız yürütülemez. Hukuki bildirim, doğrulanmış olay kronolojisi, medya açıklaması, sosyal medya takibi ve arama sonuçları aynı 'single source of truth' üzerinden yönetilmelidir.
Şirketler ilk olarak neyi kontrol etmeli?
Mevcut uygulamayı ve veri/iş akışını envanterleyin.
Tek seferlik kontrol yeterli mi?
Hayır. KVKK’daki 72 saat, veri sorumlusunun ihlali öğrendikten sonra Kurula bildirim süresidir; markanın 72 saat içinde basın veya sosyal medya açıklaması yapmasını emreden genel bir PR süresi değildir.
B10 bu konuda ne sağlayabilir?
B10; veri ihlali sonrasında kamuya açık anlatıyı teknik ve hukuki gerçeklerden koparmadan izleyen medya, sosyal medya, Google ve AI-search reputation response modeli kurabilir.
