KVKK Veri İhlali Bildirimi 2026: 72 Saat Kuralı ve 6698 m.12/5

Kişisel veri ihlali nedir?

Kişisel veri ihlali, kişisel verilerin hukuka aykırı biçimde açıklanması, erişilmesi, ele geçirilmesi, değiştirilmesi, kaybolması veya kullanılabilirliğinin bozulması sonucunu doğuran güvenlik olayıdır. KVKK m.12/5, bildirim yükümlülüğünü özellikle işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâline bağlar.

Bir veri ihlali yalnız dışarıdan yapılan siber saldırı değildir. Çalışanın yanlış alıcıya müşteri listesini e-posta ile göndermesi, yetkisiz kişinin sağlık dosyasına erişmesi, kişisel veri içeren dizüstü bilgisayarın şifreleme olmadan kaybolması, internet sitesindeki güvenlik açığı nedeniyle kullanıcı verilerinin dışarı sızması veya personelin müşteri bilgilerini kişisel cihazına kopyalaması da ihlal niteliği taşıyabilir.

Her teknik arıza otomatik olarak kişisel veri ihlali değildir. Olayın kişisel verinin gizliliğini, bütünlüğünü veya erişilebilirliğini etkileyip etkilemediği; hangi veri kategorilerinin, kaç kişinin ve hangi sistemlerin etkilendiği olay müdahale ekibi tarafından belirlenmelidir.

6698 sayılı Kanun m.12/5 ne düzenler?

KVKK m.12, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Maddenin beşinci fıkrası ise veri ihlali meydana geldikten sonraki bildirim yükümlülüğünü düzenler.

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurula bildirmek zorundadır. Kurul gerekli görürse bu durumu kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir.

Bildirim yükümlülüğü, güvenlik tedbirlerinin alınması yükümlülüğünün yerine geçmez. Şirketin ihlali 72 saat içinde bildirmesi, ihlal öncesinde yeterli teknik ve idari tedbirleri almamışsa m.12 bakımından sorumluluğunu ortadan kaldırmaz.

72 saatlik süre ne zaman başlar?

Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı kararı, Kanundaki “en kısa sürede” ifadesini Kurula bildirim bakımından 72 saat olarak belirlemiştir. Süre, veri sorumlusunun ihlali öğrendiği andan itibaren başlar.

“İhlalin öğrenilmesi”, yalnız yönetim kurulunun veya şirket müdürünün olayı öğrenmesi değildir. Veri sorumlusu organizasyonu içinde ihlalin yetkili birimlerce fark edilmesi ve olayın kişisel veri ihlali olduğuna ilişkin makul bilgi edinilmesi süre hesabında önemlidir. İç süreçlerin yavaş işletilmesi 72 saatlik süreyi yapay biçimde ertelemez.

Şüpheli bir olayın teknik incelemesi devam ediyor olabilir. Veri sorumlusu 72 saat dolana kadar bütün ayrıntıların kesinleşmesini beklememelidir. Bilinen bilgilerle ilk bildirim yapılabilir; sonradan elde edilen ek bilgiler Kuruma aşamalı olarak iletilebilir.

72 saat içinde bildirim yapılamazsa ne olur?

Kurulun 2019/10 sayılı kararına göre veri sorumlusu haklı bir gerekçeyle 72 saat içinde Kurula bildirim yapamamışsa gecikmenin nedenlerini yapılacak bildirimle birlikte açıklar. “Yoğunduk”, “teknik ekip raporu geç hazırladı” gibi soyut açıklamalar tek başına haklı gerekçe oluşturmaz; gecikmenin objektif nedeni ve olay kronolojisi ortaya konulmalıdır.

Gecikmeli bildirim yapılmaması, ihlalin gizlenmesi sonucunu doğurur ve yaptırım riskini artırır. Süre aşılmış olsa bile veri sorumlusu ihlali bildirme yükümlülüğünü yerine getirmeli, gecikme nedenini ve alınan düzeltici tedbirleri belgelemelidir.

Olayın hangi anda öğrenildiği tartışmalıysa log kayıtları, güvenlik uyarıları, yardım masası kayıtları, e-posta bildirimleri ve olay müdahale tutanakları incelenir. Bu nedenle olayın ilk fark edildiği anın yazılı kayıt altına alınması gerekir.

İlgili kişiye ne zaman ve nasıl bildirim yapılır?

KVKK m.12/5 ilgili kişiye de “en kısa sürede” bildirim yapılmasını öngörür. Kurulun 2019/10 sayılı kararında, veri sorumlusunun ihlalden etkilenen kişilere makul olan en kısa süre içerisinde ulaşması gerektiği belirtilir.

İlgili kişinin iletişim adresine doğrudan ulaşılabiliyorsa kişiye doğrudan bildirim yapılmalıdır. Doğrudan iletişim mümkün değilse veri sorumlusunun kendi internet sitesinde duyuru gibi uygun yöntemler kullanılabilir. Bildirim yöntemi, ihlalin niteliği ve etkilenen kişilerin gerçek anlamda haberdar olmasını sağlayacak şekilde seçilmelidir.

İlgili kişiye yapılacak bildirim teknik jargonla sınırlı olmamalıdır. İhlalin ne zaman gerçekleştiği ve öğrenildiği, hangi veri kategorilerinin etkilendiği, olası sonuçlar, veri sorumlusunun aldığı veya alacağı önlemler ve kişinin kendi riskini azaltmak için yapabileceği işlemler anlaşılır biçimde açıklanmalıdır.

Örneğin parola verisi sızmışsa parola değişikliği ve aynı parolanın başka hizmetlerde kullanılması hâlinde bu hesapların da güncellenmesi önerilebilir. Banka/kart verisi etkilenmişse kişinin bankasıyla iletişime geçmesi gerektiği belirtilir.

Veri işleyen ihlali öğrenirse ne yapmalıdır?

Kurulun veri ihlali kararına göre veri işleyen, kendi nezdindeki kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde bu durumu gecikmeksizin veri sorumlusuna bildirir. Veri işleyenin 72 saat bekleme hakkı yoktur; veri sorumlusunun Kurula bildirim süresini kullanabilmesi için bilgi mümkün olan en hızlı şekilde aktarılmalıdır.

Bulut hizmeti, çağrı merkezi, bordro şirketi, arşiv sağlayıcısı, yazılım firması veya dış kaynak hizmet sağlayıcısı veri işleyen sıfatında olabilir. Sözleşmelerde ihlal bildirim süresinin, temas noktalarının ve sağlanacak teknik bilgilerin açık düzenlenmesi gerekir.

Veri sorumlusu, “ihlali hizmet sağlayıcı yaptı” diyerek m.12 yükümlülüğünden kurtulmaz. Veri sorumlusu kendi adına kişisel veri işleyenlerle birlikte gerekli teknik ve idari tedbirlerin alınması konusunda müştereken sorumludur.

Kurula veri ihlali bildirimi hangi bilgileri içermelidir?

Kurumun veri ihlali bildirim formu, olayın tarihi, öğrenilme tarihi, ihlal türü, ihlalden etkilenen kişi ve kayıt sayısı, etkilenen kişisel veri kategorileri, özel nitelikli veri bulunup bulunmadığı, olası sonuçlar ve alınan/planlanan tedbirler gibi bilgilerin açıklanmasını öngörür.

İhlalin kaynağı biliniyorsa siber saldırı, insan hatası, yetki suistimali, fiziksel kayıp veya başka sebep açıkça yazılır. Henüz bilinmeyen alanlar “bilinmiyor” şeklinde dürüstçe belirtilmeli; soruşturma ilerledikçe ek bildirim yapılmalıdır.

İhlalden etkilenen kişilere ne zaman ve hangi yöntemle bildirim yapıldığı veya yapılacağı da dosyada gösterilir. İrtibat kişisi ve iletişim bilgileri Kurumun ek bilgi talep edebilmesi için güncel tutulmalıdır.

Veri ihlali kayıtları tutulmalı mı?

Kurulun 2019/10 sayılı kararı, veri sorumlularının veri ihlallerine ilişkin bir veri ihlali müdahale planı hazırlamasını ve olayları kayıt altına almasını bekler. Olayın etkileri, alınan önlemler ve bildirimin ne zaman yapıldığı denetlenebilir olmalıdır.

Her güvenlik olayı için olay numarası, tespit zamanı, öğrenme zamanı, etkilenen sistemler, veriler, kişi sayısı, alınan acil tedbirler, kök neden analizi ve kapanış tarihi kaydedilebilir. Bu kayıtlar daha sonraki Kurul incelemesinde veri sorumlusunun hesap verebilirliğini gösterir.

İhlal kayıtlarının kendisi de hassas bilgi içerebilir. Erişim yalnız yetkili personele açılmalı, olay raporları güvenli ortamda saklanmalıdır.

Hangi olaylar KVKK veri ihlali sayılabilir?

Yanlış e-posta: Bir müşteriye gönderilecek ek dosyanın başka müşteriye gönderilmesi kişisel verinin yetkisiz kişiye açıklanmasıdır. Fidye yazılımı: Kişisel verilere erişimin engellenmesi veya verilerin saldırgan tarafından dışarı çıkarılması ihlal oluşturabilir. Çalıntı cihaz: Şifrelenmemiş müşteri verisi bulunan bilgisayar veya telefonun çalınması, yetkisiz erişim riski doğurur.

Yetki ihlali: Çalışanın görev alanı dışında hasta veya müşteri dosyalarını görüntülemesi, veri kurum dışına çıkmasa bile hukuka aykırı erişim niteliği taşıyabilir. Web açığı: URL değiştirilerek başka müşterinin faturasına erişilebilmesi güvenlik ihlalidir. Basılı belge: Kişisel veri içeren dosyanın yanlış adrese kargolanması da dijital olmayan veri ihlaline örnektir.

Her olayda bildirim gerekip gerekmediği somut şartlarla değerlendirilir; ancak bildirimden kaçınma kararı da gerekçeli ve kayıtlı olmalıdır. Veri sorumlusu, olayın kişisel veri güvenliği üzerindeki etkisini belgelemelidir.

İlk 72 saatte hangi işlemler yapılmalıdır?

İlk olarak ihlal devam ediyorsa durdurulmalı ve sistem güvenliği sağlanmalıdır. Ele geçirilmiş hesaplar kapatılır, erişim anahtarları değiştirilir, zararlı bağlantılar kesilir ve delillerin bozulmaması için loglar korunur. Ardından ihlalin kapsamı ve etkilenen veri kategorileri belirlenir.

İkinci olarak olayın öğrenme zamanı resmi kayıt altına alınır ve 72 saatlik bildirim takvimi başlatılır. Hukuk, bilgi güvenliği, bilgi işlem, insan kaynakları, iletişim ve ilgili iş birimleri görev dağılımına göre harekete geçirilir.

Üçüncü olarak Kurul bildirim formu hazırlanır. Bilinmeyen ayrıntılar nedeniyle bildirim ertelenmez; mevcut bilgiler sunulup inceleme devam ettikçe ek bilgi iletilir. İlgili kişilere yapılacak bildirimin metni ve kanalı hazırlanır.

Dördüncü olarak kök neden giderilir. Açığın kapatılması, parola sıfırlama, erişim yetkilerinin daraltılması, şifreleme, personel eğitimi ve tedarikçi tedbirleri olayın türüne göre uygulanır.

Veri ihlalini bildirmemenin yaptırımı nedir?

KVKK m.18, m.12’de düzenlenen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında idari para cezası öngörür. Yaptırım tutarları her yıl yeniden değerleme nedeniyle değiştiğinden, olay tarihinde yürürlükte bulunan güncel miktar ayrıca kontrol edilmelidir.

Kurul yaptırım değerlendirmesinde yalnız bildirimin yapılıp yapılmadığına değil; ihlalin kapsamına, veri kategorilerine, etkilenen kişi sayısına, alınan güvenlik tedbirlerine, ihlale müdahale hızına ve veri sorumlusunun iş birliğine de bakabilir.

İhlalin aynı zamanda Türk Ceza Kanunundaki kişisel verilerin hukuka aykırı ele geçirilmesi, verilmesi veya yayılması gibi bir suçu oluşturması hâlinde ceza soruşturması ayrıca gündeme gelir. İdari para cezası ceza sorumluluğunu ortadan kaldırmaz.

Verisi ihlal edilen kişi ne yapabilir?

İlgili kişi, KVKK m.11 kapsamındaki haklarını kullanarak verisinin işlenip işlenmediğini, kimlere aktarıldığını ve güvenlik ihlaliyle ilgili bilgileri veri sorumlusundan isteyebilir. m.13 uyarınca veri sorumlusuna başvuru yapılır; cevap yetersizse veya hiç cevap verilmezse m.14 sürelerinde Kurula şikâyet edilebilir.

Kişisel verinin kanuna aykırı işlenmesi nedeniyle zarar doğmuşsa zararın giderilmesi talep edilebilir. Kişilik hakkı ihlalinden doğan maddi/manevi tazminat yolları genel hükümlere göre ayrıca değerlendirilir.

İlgili rehberler: veri sorumlusuna başvuru, Kurula şikâyet ve verilerin silinmesi/yok edilmesi.

Türkiye geneli ve Mersin uygulaması

KVKK m.12/5 bütün Türkiye’deki veri sorumluları için uygulanır. Mersin’deki şirket, hastane, okul, site yönetimi, e-ticaret işletmesi, dernek, avukatlık bürosu veya kamu kurumu bakımından da veri ihlali öğrenildiğinde aynı bildirim ve güvenlik yükümlülükleri geçerlidir.

Bakırcı & Keskin Hukuk Bürosu Mersin’deki İstanbul ve Mersin’deki fiziksel ofislerden Türkiye genelindeki KVKK başvuru, ihlal ve dava süreçlerini görev ve yetki kurallarına göre takip eder.

KVKK veri ihlali bildirimi hakkında sık sorulan sorular

KVKK veri ihlali Kurula kaç saat içinde bildirilir?

Kurulun 2019/10 sayılı kararı uyarınca ihlalin öğrenilmesinden itibaren 72 saat içinde.

72 saatin tamamlanmasını beklemek gerekir mi?

Hayır. Kanun “en kısa sürede” der; 72 saat üst sınır niteliğindedir.

Bütün bilgiler kesinleşmeden bildirim yapılabilir mi?

Evet. Mevcut bilgilerle ilk bildirim yapılır, yeni bilgiler sonradan Kuruma iletilebilir.

72 saat geçirilirse bildirim yapılmaz mı?

Bildirim yine yapılır; gecikmenin haklı nedenleri açıklanır.

İlgili kişiye de bildirim zorunlu mu?

Evet. m.12/5 ilgili kişiye de en kısa sürede bildirim yapılmasını öngörür.

Veri işleyen kime bildirim yapar?

Veri işleyen ihlali gecikmeksizin veri sorumlusuna bildirir.

Yanlış kişiye e-posta göndermek veri ihlali olabilir mi?

Evet. Ekte veya e-postada kişisel veri yetkisiz kişiye açıklanmışsa ihlal oluşabilir.

Çalınan şifreli laptop her durumda bildirim gerektirir mi?

Olayın kişisel veriye yetkisiz erişim riskine göre somut değerlendirme gerekir; karar gerekçesi kayıt altına alınmalıdır.

Kurul bildirim yapılmamasına para cezası verebilir mi?

m.12 güvenlik yükümlülüklerine aykırılık m.18 kapsamında idari yaptırım doğurabilir.

Verisi sızan kişi tazminat isteyebilir mi?

Kanuna aykırı işleme nedeniyle zarar oluşmuşsa m.11 ve genel hükümler çerçevesinde giderim talep edilebilir.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →