Lições das violações de dados na Turquia em 2025: resposta a incidentes e notificação

Somar os números de pessoas afetadas em comunicados de diferentes empresas não é um método fiável para obter um «total de 2025» das violações de dados na Turquia. O mesmo incidente pode ser atualizado em datas diferentes, o seu âmbito pode mudar e as notificações públicas não abrangem todas as violações. Estes fatores podem tornar esses totais enganadores.

Por isso, este guia não apresenta totais nacionais ou setoriais de pessoas afetadas, nem tempos médios de deteção, que não possam ser verificados em fontes oficiais públicas.

Como interpretar as notificações de violações de dados de 2025?

A Autoridade turca de Proteção de Dados Pessoais publica as violações cuja divulgação pública foi decidida na sua secção Notificações de violações de dados no seu site.

Para cada incidente, estes comunicados podem indicar:

o responsável pelo tratamento,
as datas da ocorrência e da deteção da violação,
o âmbito das pessoas ou dos registos afetados,
Categorias de dados afetadas

Estes dados podem constar do comunicado.

A simples soma dos números do arquivo de comunicados não deve ser apresentada como um total nacional de violações de dados.

72 Horas em KVKK

Nos termos da decisão n.º 2019/10 do Conselho turco de Proteção de Dados, de 24 de janeiro de 2019, o responsável pelo tratamento deve notificar o Conselho sem demora e, o mais tardar, no prazo de 72 horas após ter conhecimento da violação.

Porque é crucial o momento em que se toma conhecimento da violação?

A data em que a violação começou tecnicamente e a data em que o responsável pelo tratamento dos dados descobriu sobre o incidente podem não ser idênticas.

O sistema de gestão de incidentes deve registar:

O primeiro alarme,
A primeira confirmação,
o momento em que se reconheceu que o incidente era uma violação de dados,
a notificação ao Conselho turco de Proteção de Dados

Cada etapa deve ter uma marca temporal própria.

Controlos essenciais na resposta a violações de dados

Identidade e Acesso

A autenticação multifator (MFA), o princípio do menor privilégio e a revisão regular das contas autorizadas são camadas de segurança essenciais.

Registo de eventos

Deve haver registos suficientes para entender quando e como o evento ocorreu.

Endpoint e Segurança do Servidor

Os sinais de acesso não autorizados devem ser monitorizados centralmente.

Riscos associados aos fornecedores

Uma violação pode ter origem num fornecedor SaaS, num serviço de alojamento ou noutro subcontratante, e não apenas nos sistemas da própria empresa.

Notificação aos titulares dos dados afetados

A notificação ao Conselho turco de Proteção de Dados e a comunicação aos titulares dos dados são procedimentos distintos.

Uma vez identificadas as pessoas afectadas, devem ser informadas por meios adequados o mais rapidamente possível.

Registo de incidentes

Nem todos os incidentes de segurança são violações de dados. Ainda assim, os registos de incidentes devem ser mantidos de forma centralizada.

Campo	Exemplo
Data e hora do incidente	Primeiro sinal técnico
Momento da tomada de conhecimento	No momento em que a violação de dados é confirmada
Categorias de dados	Dados de contacto, identidade e transações, etc.
Sistema afetado	CRM / SaaS / servidor
Ação	Contenção / notificação / reposição da palavra-passe

Uma conclusão fundamentada a retirar de 2025

A conclusão fundamentada não é um total específico de pessoas afetadas. É a necessidade de as organizações prepararem antecipadamente os processos de deteção, escalonamento, recolha de provas técnicas, notificação e comunicação aos titulares dos dados.

Lista de verificação da resposta a violações de dados

Os responsáveis pela resposta a incidentes estão claramente identificados?
É possível comprovar o momento da tomada de conhecimento?
O prazo de 72 horas é acompanhado automaticamente?
Os registos são conservados durante tempo suficiente?
Os fornecedores estão na cadeia da escalada?
Existe um modelo de notificação aos titulares dos dados afetados?
É realizada uma revisão após o incidente?

A abordagem B10

A B10 Digital Agency entende a gestão de violações de dados não apenas como o preenchimento de formulários de notificação, mas como um fluxo de trabalho comum que reúne registos, controlos de segurança, inventário técnico e procedimentos jurídicos.

Fontes oficiais

Conclusão

A análise de violações de dados deve usar notificações oficiais de cada incidente, uma cronologia técnica e dados operacionais reais, em vez de totais não verificados.