Когда в системах компании обнаружена утечка персональных данных (нарушение безопасности данных, veri ihlali), первый вопрос обычно один и тот же: «В какой срок мы должны уведомить Kurul (Совет по защите персональных данных, далее — Совет)?» В списке объявлений о нарушениях безопасности данных, который ведёт Kişisel Verileri Koruma Kurumu (KVKK, Управление по защите персональных данных Турции), десять объявлений приходится на одну только дату — 21 октября 2026 года. Тема актуальна для организаций любого масштаба.
В этой статье мы по первичным источникам излагаем, каков срок уведомления, когда он начинает течь и как осуществляется уведомление Совета и затронутых лиц. Как распределяется ответственность, если нарушение началось у поставщика, разобрано в статье об утечке данных у поставщика, а техническое реагирование на инцидент — в статье о кибернарушениях и реагировании на инциденты.
Что говорит закон: «в кратчайший срок»
Часть 5 статьи 12 Закона № 6698 о защите персональных данных (Kişisel Verilerin Korunması Kanunu) предусматривает: если обрабатываемые персональные данные получены другими лицами незаконным путём, контролёр данных (veri sorumlusu) обязан сообщить об этом в кратчайший срок субъекту данных и Совету. В тексте закона не указано ни часов, ни дней. Согласно той же части, Совет при необходимости может объявить об этом на своём сайте или иным способом, который сочтёт подходящим.
Откуда берутся 72 часа?
Срок установил не закон, а Совет. Решение Совета № 2019/10 от 24 января 2019 года о порядке и принципах уведомления о нарушении безопасности персональных данных (Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin Karar) истолковало формулировку «в кратчайший срок» как 72 часа. Согласно объявлению KVKK от 15 февраля 2019 года, было решено, что, начиная с даты, когда контролёр данных узнал о нарушении, он должен без промедления и «не позднее чем в течение 72 часов уведомить Совет».
Прочие положения решения также очерчивают рамки уведомления:
- Обоснование задержки: Если по уважительной причине уведомить в течение 72 часов невозможно, вместе с уведомлением Совету необходимо пояснить причины задержки.
- Форма: Для уведомления Совета необходимо использовать форму уведомления о нарушении безопасности персональных данных (Kişisel Veri İhlal Bildirim Formu).
- Поэтапное уведомление: Если сведения, предусмотренные формой, невозможно предоставить одновременно, их можно предоставлять поэтапно, не допуская задержки.
- Документирование: Сведения о нарушении, его последствиях и принятых мерах необходимо зафиксировать и держать в готовности для рассмотрения Советом.
- Контролёр данных за рубежом: Если нарушение произошло у контролёра данных, находящегося за рубежом, но затрагивает лиц, проживающих в Турции, и эти лица пользуются продуктом или услугой в Турции, Совет необходимо уведомить по тем же правилам.
- План реагирования: Необходимо разработать план реагирования на нарушения безопасности данных, определяющий, кому внутри организации направляются отчёты и на ком лежит ответственность; его нужно периодически пересматривать.
Актуальная ситуация: В источниках Управления, изученных в ходе данной проверки, решения, меняющего правило 72 часов, не обнаружено. Объявление KVKK от 20 января 2026 года в неизменном виде напоминает о решении № 2019/10 и о толковании в 72 часа. Изменение, о котором говорится в этом объявлении, касается не срока, а публикации: решением от 25 декабря 2025 года № 2025/2451 Совет ограничил 60 днями срок размещения объявлений о нарушениях, которые ранее публиковались без ограничения срока. Если документально подтверждено, что субъекты данных были уведомлены в более короткий срок, объявление снимается с сайта.
С какого момента начинается отсчёт срока?
Решение привязывает срок к дате, когда контролёр данных узнал о нарушении. Опубликованные же Управлением форма уведомления и руководство по заполнению формы связывают поле о запоздалом уведомлении со случаем, когда время, прошедшее с момента обнаружения нарушения до уведомления Совета, превышает 72 часа. В форме отдельно запрашиваются дата и время начала, окончания и обнаружения нарушения; если о нарушении сообщил обработчик данных (veri işleyen), запрашиваются также время обнаружения и время уведомления со стороны обработчика данных.
Практический вывод таков: момент, когда нарушение было замечено, нужно зафиксировать с точностью до минуты и документально. Именно эта запись служит основанием для расчёта 72 часов и, при необходимости, для обоснования задержки.
Уведомление Совета: какие сведения запрашивает форма?
Уведомление подаётся через онлайн-форму, размещённую на странице уведомления о нарушениях Управления, либо путём заполнения и отправки самой формы. Согласно руководству, после регистрации в онлайн-форме формируется номер для отслеживания; по этому коду уведомление можно найти и впоследствии обновить. В начале формы есть предупреждение: персональные данные, ставшие предметом нарушения, к форме прикладывать нельзя. Форма состоит из пяти разделов:
- «О вас» (Hakkınızda): Идентификационные и контактные данные контролёра данных, лицо, подготовившее уведомление; если уведомление отправляется от имени другого лица — документ, подтверждающий полномочия.
- «О нарушении» (İhlal hakkında): Первичное или последующее уведомление; источник нарушения (варианты вроде несанкционированного доступа, программы-вымогателя, утраты устройства, случайности/небрежности), влияние на конфиденциальность, целостность или доступность, способ обнаружения, затронутые категории данных, число лиц и записей. Если числа приблизительные, необходимо пояснить, почему точное число установить не удалось.
- «Уведомление» (Bildirim): Причина, если 72 часа превышены; уведомлены ли субъекты данных, каким способом и когда; передавалась ли информация другим органам и организациям в Турции и за рубежом.
- «Возможные последствия» (Olası sonuçlar): Оценка влияния нарушения на субъектов данных и на организацию по шкале от низкого до очень высокого уровня.
- «Меры» (Önlemler): Обучение, пройденное соответствующими сотрудниками за последний год; технические и административные меры, принятые до и после нарушения; ориентировочные сроки завершения запланированных мер.
Уведомление затронутых лиц
Согласно решению, определив затронутых лиц, контролёр данных должен в кратчайший разумный срок уведомить и их. Если контактный адрес доступен, уведомление направляется напрямую; если нет — подходящими способами, например публикацией на собственном сайте контролёра данных. В форме также запрашиваются каналы связи, по которым субъекты данных могут получить информацию. После решения № 2025/2451 документальное подтверждение уведомления субъектов данных влияет и на то, как долго объявление остаётся опубликованным.
Если обязанность не выполнена
Статья 18 Закона № 6698 предусматривает для тех, кто не выполняет обязанности по обеспечению безопасности данных, установленные статьёй 12, административный штраф, нижний и верхний пределы которого определены в законе; этот штраф применяется к контролёру данных. Согласно части, добавленной в ту же статью в 2024 году, административные штрафы, наложенные Советом, можно обжаловать в административных судах. Для уточнения актуальных сумм и оценки конкретной ситуации рекомендуем обратиться к вашему юридическому консультанту.
Рабочий план на первые 72 часа
Приведённые ниже шаги — общая схема, выведенная из перечисленных выше источников; её следует адаптировать вместе с юридической службой и службой информационной безопасности с учётом структуры компании.
- 0-й час — откройте запись. Задокументируйте момент обнаружения, того, кто выявил нарушение, и первые выводы. Если сообщение пришло от обработчика данных, сохраните поступившее от него письмо или e-mail: форма запрашивает их в качестве приложений.
- Первые часы — запустите план. Собираются ответственные за юридическое направление, ИТ и коммуникации, определённые в плане реагирования; выясняется, продолжается ли нарушение и какие системы затронуты.
- Первый день — определите масштаб. Определяются затронутые категории данных, наличие данных особых категорий, ориентировочное число лиц и записей, а также группы лиц. Эти пункты полностью совпадают со вторым разделом формы.
- До 72-го часа — отправьте первичное уведомление. Если не вся информация собрана, решение допускает поэтапное уведомление; недостающее восполняется последующим уведомлением. Номер для отслеживания хранится в надёжном месте.
- После этого — проинформируйте лиц и закройте инцидент. Затронутые лица уведомляются, уведомление документируется, принятые меры фиксируются, а план реагирования обновляется с учётом уроков, извлечённых из инцидента.
Отработка этих шагов на учебных тренировках не даст сроку уйти на сбор информации во время реального инцидента. Разделы формы уведомления можно использовать и как каркас внутреннего шаблона регистрации инцидентов.
Часто задаваемые вопросы
Сколько часов составляет срок уведомления об утечке данных по KVKK? Согласно решению Совета № 2019/10 — без промедления с даты, когда о нарушении стало известно, и не позднее 72 часов.
72 часа — это рабочие дни или календарные часы? В тексте решения сказано «72 часа», и разграничения по рабочим дням нет. Поэтому важно наладить систему дежурств, охватывающую выходные и праздничные дни.
Нужно ли ждать с уведомлением, если собрана не вся информация? Нет. Решение допускает поэтапное уведомление в случаях, когда сведения невозможно предоставить одновременно.
Уведомляет ли Совет также обработчик данных? Согласно решению, обработчик данных без промедления сообщает о нарушении контролёру данных; обязанность уведомить Совет лежит на контролёре данных.
Заключение
Закон говорит «в кратчайший срок», Совет толкует это как 72 часа, и это толкование без изменений повторено в объявлении Управления в начале 2026 года. Изменилось другое: срок размещения объявлений о нарушениях был ограничен 60 днями. С точки зрения Orient Global, наиболее конкретный шаг, позволяющий сделать давление 72-часового срока управляемым, — написать план реагирования ещё до того, как произошло какое-либо нарушение, и подготовить шаблон регистрации инцидентов по разделам формы уведомления.
Эта статья носит общеинформационный характер и не является юридической или финансовой консультацией. По поводу вашей собственной ситуации обратитесь к специалисту.
#interimmanagement #forwarddeployedengineering