当公司系统中发现个人数据泄露时，第一个问题通常都是同一个："我们有多长时间向委员会（Kurul，土耳其个人数据保护委员会）通报？"由Kişisel Verileri Koruma Kurumu（KVKK，土耳其个人数据保护局，以下简称"保护局"）发布的数据泄露公告列表中，仅日期为2026年10月21日的公告就有十条。这一话题与各种规模的机构都息息相关。
本文依据一手资料，概述通报期限、何时开始计时，以及如何向委员会和受影响个人进行通报。泄露始于供应商时责任如何分担，见我们关于供应商引发数据泄露的文章；技术层面的事件响应，见我们关于网络泄露与事件响应的文章。
法律规定："尽快"
第6698号《个人数据保护法》（Kişisel Verilerin Korunması Kanunu，土耳其数据保护法，以下简称"该法"）第12条第5款规定，如果所处理的个人数据被他人以非法手段获取，数据控制者必须尽快通知数据主体和委员会。该法条文并未规定具体的小时数或天数。根据同一款，委员会在必要时可在其网站上或以其认为适当的其他方式公布该事项。
72小时期限从何而来？
该期限由委员会而非该法设定。委员会2019年1月24日关于个人数据泄露通报程序和原则的第2019/10号决定（Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin Karar，以下简称"该决定"）将"尽快"解释为72小时。根据KVKK 2019年2月15日的公告，委员会决定数据控制者必须自获知泄露之日起毫不迟延地、"最迟在72小时内"通报委员会。
该决定的其他条款也勾勒出通报的框架：
- 迟延原因： 如因正当理由无法在72小时内通报，必须在通报时一并向委员会说明迟延原因。
- 表格： 向委员会通报时须使用个人数据泄露通报表（Kişisel Veri İhlal Bildirim Formu）。
- 分阶段通报： 如无法一次性提供表格中的信息，可毫不迟延地分阶段提供。
- 记录： 有关泄露、其影响及所采取措施的信息必须予以记录，并随时准备接受委员会审查。
- 境外数据控制者： 如果泄露发生在境外设立的数据控制者处，但影响到居住在土耳其的人，且这些人在土耳其使用该产品或服务，则必须按相同原则通报委员会。
- 响应计划： 必须制定数据泄露响应计划，明确机构内部由谁向谁报告以及由谁负责，并定期审查。
现状： 在本文查阅的保护局资料中，未发现任何改变72小时规则的决定。KVKK 2026年1月20日的公告原样重申了第2019/10号决定和72小时的解释。该公告带来的变化涉及公布而非期限：委员会通过2025年12月25日第2025/2451号决定，将此前无时间限制公布的泄露公告的公布期限上限定为60天。如有证据表明已在更短时间内通知数据主体，该公告将从网站上撤下。
何时开始计时？
该决定将期限与数据控制者获知泄露之日挂钩。而保护局的通报表和填表指南则将逾期通报栏与泄露被发现至向委员会通报之间超过72小时的情形挂钩。表格分别要求填写泄露的开始、结束和发现的日期与时间；如果泄露由数据处理者报告，还要求填写数据处理者发现和通报的时间。
其实际影响是：应精确到分钟记录发现泄露的时刻并形成书面记录。这一记录是计算72小时的依据，必要时也是说明任何迟延理由的依据。
通报委员会：表格要求填写什么？
通报可通过保护局泄露通报页面上的在线表格进行，或填写表格后发送。根据指南，在线表格登记后会生成一个跟踪编号；之后可凭该编码查询并更新通报。表格开头的提示说明，不得在表格中添加受泄露影响的个人数据。表格分为五个部分：
- 关于您： 数据控制者的身份和联系方式以及通报的准备人；如代表他人发送通报，须提供授权文件。
- 关于泄露： 是首次通报还是后续通报；泄露来源（未经授权访问、勒索软件、设备丢失、意外/疏忽等选项）；对保密性、完整性或可用性的影响；如何被发现；受影响的数据类别；涉及的人数和记录数。如果数字为估计值，必须说明无法确定准确数字的原因。
- 通报： 如超过72小时，说明原因；是否已通知数据主体，以及通知方式和日期；是否已告知土耳其国内外的其他机构。
- 可能后果： 对泄露给数据主体和机构造成的影响进行评级，从低到非常高。
- 措施： 相关员工在过去一年中接受的培训，泄露前后采取的技术和管理措施，以及计划措施的预计完成时间。
通知受影响个人
根据该决定，数据控制者在确定受影响个人后，也必须在合理的最短时间内通知他们。如能联系到联系地址，则直接通知；如不能，可通过在数据控制者自己的网站上发布等适当方式通知。表格还询问数据主体可通过哪些联系渠道获取信息。自第2025/2451号决定起，证明已通知数据主体也会影响公告的公布时长。
未履行义务的后果
第6698号法律第18条规定，对未履行第12条数据安全义务者处以行政罚款，其下限和上限由该法规定；该罚款适用于数据控制者。根据2024年在同一条中增加的一款，可就委员会处以的行政罚款向行政法院提出异议。关于现行金额以及对具体案件的评估，我们建议咨询您的法律顾问。
最初72小时的工作计划
以下步骤是根据上述资料归纳的一般框架；应与法务和信息安全团队一起，根据公司结构进行调整。
- 第0小时——建立记录。 记录发现的时刻、发现人以及初步调查结果。如果报告来自数据处理者，应保留收到的信函或电子邮件；表格要求将其作为附件。
- 最初几小时——启动计划。 响应计划中确定的法务、IT和沟通负责人召开会议；确定泄露是否仍在持续以及哪些系统受到影响。
- 第一天——界定范围。 确定受影响的数据类别、是否涉及特殊类别数据、估计的人数和记录数以及相关人群。这些项目与表格第二部分一一对应。
- 第72小时之前——发送首次通报。 如果信息尚不完整，该决定允许分阶段通报；缺失部分通过后续通报补充。跟踪编号应妥善保存。
- 之后——告知相关人员并结案。 通知受影响个人并形成书面记录，记录所采取的措施，并根据事件的经验教训更新响应计划。
通过演练这些步骤，可以避免在真实事件中把时间耗费在收集信息上。通报表的各个部分也可以作为内部事件记录模板的框架。
常见问题
KVKK数据泄露通报期限是多少小时？ 根据委员会第2019/10号决定，自获知泄露之日起毫不迟延地、最迟在72小时内通报。
72小时是按工作日还是按自然小时计算？ 该决定的文本表述为"72小时"，并未区分工作日。因此，建立覆盖周末和节假日的值班安排十分重要。
如果信息不全，是否应等待后再通报？ 不应。该决定允许在无法一次性提供信息时分阶段通报。
数据处理者是否也要通报委员会？ 根据该决定，数据处理者毫不迟延地将泄露通知数据控制者；通报委员会的义务由数据控制者承担。
结论
该法规定"尽快"，委员会将其解释为72小时，而这一解释在保护局2026年初的公告中似乎也未改变。变化的是泄露公告公布期限的60天上限。从Orient Global的角度看，要使72小时的压力变得可控，最具体的一步是在任何泄露发生之前就制定好响应计划，并准备一份以通报表各部分为基础的事件记录模板。
为什么物流经验在此很重要。 对任何管理过仓库或分销网络的人来说，上述最初72小时计划都不会陌生。该决定所说的72小时并不区分工作日，而物流运营在周末、节假日和旺季都照常运转，因此覆盖每个班次的值班安排在物流领域早已习以为常。精确记录发现时刻就像每次交接时带时间戳的扫描；先发送首次通报、之后补充缺失部分，与随货物运输不断完善的异常报告遵循同样的逻辑；而演练计划则相当于运营良好的企业在最繁忙的几周前举行的应急演练。配送工作还会使客户的姓名、地址和电话号码落入承运人、仓库和合作伙伴手中，这也是提前准备好事件记录模板的又一个理由。Orient Global的一位顾问在运营、物流和供应链领域拥有30多年经验：他曾在一家大型科技分销企业端到端负责物流、仓储、技术服务和行政运营，组建并领导100多人的团队，并通过KPI驱动的项目实现了持续的提升。他还曾在多家领先的零售、物流和分销机构负责全国性的仓储和运输业务、大规模分销网络以及网络和产能规划。作为一名工业工程师，他如今借助人工智能和自动化将这种供应链管理规范带给中小企业。了解我们的顾问。
本文仅供一般参考，不构成法律或财务建议。请就您自己的情况咨询专家。
#interimmanagement #forwarddeployedengineering