kişisel veri ihlali bildirimi 72 saat: Kişisel veri ihlali öğrenildikten sonra Kurula en geç 72 saatte bildirilir; Türk KVKK sisteminde düşük risk istisnası yoktur. İlgili kişi bildirimi ve yaptırımlar.
Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor
Kısa cevap: 6698 sayılı Kanun m. 12/5, işlenen kişisel verinin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusuna bildirim yükümlülüğü yükler. Kurulun 2019/10 sayılı kararı gereğince Kurula bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılır. Türk hukukunda bu yükümlülüğü kaldıran bir “düşük risk” eşiği yoktur.
Kişisel veri ihlalinde süre, saldırının başladığı veya sistem açığının oluştuğu tarihten değil, veri sorumlusunun ihlali öğrendiği andan hesaplanır. Kurul bildirimi, adli bilişim incelemesinin tamamlanması beklenmeden mevcut doğrulanmış bilgilerle yapılır.
Kişisel Veri İhlali Kaç Saat İçinde Bildirilir?
Bildirim yükümlülüğünün kanuni tetikleyicisi, veri sorumlusunca işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. Etkilenen kişi sayısının azlığı, verinin şifreli olduğu iddiası veya zararın henüz ortaya çıkmaması bildirim yükümlülüğünü ortadan kaldırmaz. Bu unsurlar ihlalin etkisini ve alınacak tedbirleri belirler; 72 saatlik süreyi durdurmaz.
Süre, veri sorumlusunun ihlali öğrendiği anda başlar. Bütün adli bilişim incelemesinin bitmesi beklenmez. Formdaki bilgiler aynı anda tamamlanamıyorsa ilk bildirim mevcut kesin bilgilerle yapılır ve eksikler gecikmeksizin aşamalı olarak tamamlanır. Veri işleyen, kendi nezdindeki ihlali veri sorumlusuna gecikmeksizin bildirir.
Kanuni dayanaklar
| Mevzuat | Madde | Bağlayıcı kural |
|---|---|---|
| 6698 sayılı Kişisel Verilerin Korunması Kanunu | m. 12/5 | Kişisel veri kanuni olmayan yollarla başkalarınca elde edilirse veri sorumlusu en kısa sürede ilgili kişiye ve Kurula bildirir. |
| Kişisel Verileri Koruma Kurulu Kararı | 24.01.2019 tarihli 2019/10 | Kurula bildirim için ihlalin öğrenilmesinden itibaren 72 saatlik uygulama ve ilgili kişiye gecikmeksizin bildirim ilkeleri belirlenir. |
| 6698 sayılı Kanun | m. 12/1 | Veri sorumlusu hukuka aykırı işleme ve erişimi önlemek, muhafazayı sağlamak için teknik ve idari tedbir alır. |
veri ihlali bildirim süresi değerlendirmesinde tablodaki hükümler birlikte uygulanır. Özel hüküm bulunan yerde genel hükme göre değil, özel düzenlemenin kapsam ve şartlarına göre işlem yapılır. Süre hesabında karar, tebliğ, öğrenme, teslim veya ihlal tarihi birbirinin yerine kullanılamaz; başlangıç anı ilgili maddede gösterilen olaya göre belirlenir.
Şartlar ve sonuçları
1. Öğrenme saati kayıt altına alınır
İlk alarm ile doğrulanmış ihlal ayrılır; veri sorumlusunun olaydan haberdar olduğu tarih ve saat karar kaydına bağlanır.
2. Kurul bildirimi 72 saat içinde yapılır
İhlalin türü, öğrenme zamanı, etkilenen kişi ve veri kategorileri, muhtemel sonuçlar, alınan tedbirler ve irtibat kişisi bildirim formuna yazılır.
3. Eksik bilgi aşamalı tamamlanır
Kesinleşmeyen bilgi açıkça bu şekilde işaretlenir; ilk form bekletilmez ve doğrulanan yeni bilgiler ek bildirimle iletilir.
4. İlgili kişiye ayrı bildirim yapılır
Etkilenen kişiler belirlendikten sonra makul olan en kısa sürede; iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun internet sitesinde ilan gibi uygun bir yöntemle bildirim yapılır.
5. İhlal dosyası tutulur
Etkiler, alınan önlemler, Kurul ve ilgili kişi bildirimleri, loglar ve karar zaman çizelgesi denetime elverişli biçimde saklanır.
Adım adım başvuru ve takip yolu
- 1. adım — Olayı sınırlandırın: Erişimi kesin, hesapları güvene alın ve delil niteliğindeki logları koruyun.
- 2. adım — Öğrenme zamanını kaydedin: İlk alarm, doğrulama ve yönetim bildirim saatlerini ayrı tutun.
- 3. adım — Risk ve kapsamı çıkarın: Veri kategorisi, kişi sayısı, şifreleme ve muhtemel zararı belirleyin.
- 4. adım — Kurul bildirimini yapın: Yetmiş iki saat dolmadan mevcut bilgilerle ihlal formunu gönderin.
- 5. adım — İlgilileri bilgilendirin: Etkilenen kişilere doğrudan veya uygun toplu yöntemle korunma adımlarını açıklayın.
Yetmiş iki saat içinde bütün bilgiler kesinleşmemişse ilk form mevcut doğrulanmış bilgilerle gönderilir; eksik alanlar ve gecikme nedeni açıklanır, kesinleşen bilgiler ek bildirimle tamamlanır. Bu yöntem ilk bildirimin zamanında yapılması yükümlülüğünü ortadan kaldırmaz.
Belge ve delil kontrol listesi
- Olay zaman çizelgesi: İlk alarm, doğrulama, veri sorumlusunun öğrenmesi, müdahale ve bildirim saatleri ayrı kaydedilir.
- Sistem ve erişim logları: Kaynak bütünlüğü korunur; kimlik bilgisi, zaman damgası ve erişim hareketleri değiştirilemez kopyada saklanır.
- Etkilenen veri ve kişi envanteri: Veri kategorisi, yaklaşık kişi sayısı, özel nitelikli veri, şifreleme ve yedeklerin durumu gösterilir.
- Kurul bildirim kayıtları: İlk form, ek bildirimler, gönderim zamanı ve varsa 72 saat gecikme gerekçesi aynı dosyada tutulur.
- İlgili kişi bildirimi: İhlalin zamanı ve niteliği, etkilenen veri kategorileri, muhtemel sonuçlar, alınan veya önerilen tedbirler ve irtibat kanalı yer alır.
İhlal dosyası, Kurulun incelemesine elverişli biçimde karar ve aksiyon kayıtlarını içerir. Teknik deliller üzerinde analiz yapılacaksa asıl log veya imaj korunur; çalışma kopyası kullanılır.
Süre, görev ve yetki
Kurula bildirim: Veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saattir. Yetmiş iki saat aşılırsa bildirim yine derhâl yapılır ve gecikmenin nedeni forma eklenir.
İlgili kişiye bildirim: Etkilenen kişiler belirlendikten sonra makul olan en kısa sürede yapılır. İletişim adresi biliniyorsa doğrudan; bilinmiyorsa internet sitesinde ilan gibi uygun yöntem kullanılır.
Diğer merciler: Suç şüphesinde Cumhuriyet başsavcılığına veya sektörel otoriteye yapılan bildirim, Kurula yapılması gereken 72 saatlik bildirimin yerine geçmez. 6698 sayılı Kanun m. 18/1-b uyarınca veri güvenliği yükümlülüğünün ihlali idari para cezasına tabidir.
Uygulamada sık yapılan hatalar
- 1. hata: Araştırma bitene kadar bildirim beklemek.
- 2. hata: Yetmiş iki saati saldırının başladığı andan hesaplamak.
- 3. hata: İlgili kişilere teknik ve anlaşılmaz metin göndermek.
- 4. hata: Gecikme nedenini açıklamamak.
- 5. hata: İhlal dosyası ve logları korumamak.
Türkiye geneli ve Mersin uygulaması
Bu yazıdaki maddi hukuk kuralları Türkiye genelinde uygulanır. Mersin’de yapılacak adliye, idare, tapu, tüketici, sigorta veya şirket işlemlerinde de aynı kanuni şartlar geçerlidir. Yerel uygulama yalnızca yetkili birim, dosya tevzii, randevu ve fizikî teslim adımlarını etkiler; kanunda yazılı süreyi veya hakkın kapsamını değiştirmez. Bakırcı & Keskin Hukuk Bürosu’nun İstanbul ve Mersin’de fiziksel ofisleri bulunmaktadır; yetki ve usul kuralları çerçevesinde Türkiye genelindeki dosyalar İstanbul ve Mersin ofislerinden yönetilir.
Resmî kaynaklar ve ilgili rehberler
Mevzuatın güncel metni ve başvuru ekranı için resmî bağlantılar kullanılmalıdır:
- KVKK — 2019/10 sayılı veri ihlali bildirim kararı
- KVKK — İlgili kişiye yapılacak ihlal bildirimi
- KVKK — 20 Ocak 2026 tarihli kamuoyu duyurusu
Konuyu sitenin mevcut içerikleriyle birlikte incelemek için:
Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? İçin Hukuki Değerlendirme
veri ihlali bildirim süresi bakımından kanuni şartlar, süreler, görevli ve yetkili merci ile hukuka uygun deliller somut belgeler üzerinden birlikte incelenmelidir. Genel bilgi, dosyaya özgü hukuki değerlendirmenin yerine geçmez.
Sık sorulan sorular
Veri ihlalinde Kurula bildirim süresi kaç saattir?
Bildirim, veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde yapılır.
Her veri ihlalinde risk eşiği aranır mı?
Hayır. 6698 sayılı Kanun m. 12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesini bildirim için yeterli kabul eder; düşük risk istisnası düzenlemez.
Adli bilişim raporu bitmeden bildirim yapılır mı?
Evet. Mevcut kesin bilgilerle ilk form 72 saat içinde gönderilir; aynı anda sağlanamayan bilgiler gecikmeksizin aşamalı bildirimle tamamlanır.
Veri işleyenin yükümlülüğü nedir?
Veri işleyen, kendi nezdindeki ihlali veri sorumlusuna gecikmeksizin bildirir. Kurula karşı 72 saatlik bildirimin sorumlusu veri sorumlusudur.
İlgili kişiye ne zaman bildirim yapılır?
Etkilenen kişiler belirlendikten sonra makul olan en kısa sürede bildirim yapılır. Ulaşılabilir iletişim adresi varsa doğrudan bildirim esastır.
İlgili kişi bildiriminde ne yazılmalıdır?
İhlalin zamanı ve niteliği, etkilenen veri kategorileri, muhtemel sonuçlar, alınan veya önerilen tedbirler ile veri sorumlusunun irtibat kanalı açıkça yazılır.
72 saat geçirilirse bildirimden vazgeçilir mi?
Hayır. Bildirim derhâl yapılır ve gecikme nedeni Kurula sunulan forma eklenir.
Bildirim yapılmamasının yaptırımı nedir?
Kurul, 6698 sayılı Kanun m. 18/1-b uyarınca veri güvenliği yükümlülüğünün ihlali nedeniyle her yıl yeniden değerlenen tutarda idari para cezası uygular.
Hukuki bilgilendirme: Bu içerik genel hukuki bilgidir. Somut dosyada sözleşme, tebligat, karar ve deliller incelenmeden süre veya talep sonucu belirlenmemelidir.
Bakırcı & Keskin Hukuk Bürosu – Mersin Ofisi
Adres: İhsaniye, 4903. Sk. Profit İş Merkezi No:23 Kat:3 Daire:14, 33070 Akdeniz/Mersin
Yazar ve Hukuki İnceleme
Bu içerik Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? konusu bakımından Av. Halil Bakırcı tarafından hazırlanmış; Av. Emirhan Keskin tarafından güncel mevzuat, resmî kaynaklar ve hukuki terminoloji yönünden incelenmiştir.
- Hazırlayan
- Av. Halil Bakırcı – Mersin Barosu Sicil No: 3472
- İnceleyen
- Av. Emirhan Keskin – Mersin Barosu Sicil No: 5507
- Hukuk alanı
- Kişisel Veriler Hukuku
- Son kontrol
İçerik genel hukuki bilgilendirme amacı taşır. Somut olayın sonucu; belgeler, yürürlükteki mevzuat ve hukuka uygun deliller üzerinden belirlenir.
### Excerpt
Kişisel veri ihlali öğrenildikten sonra Kurula en geç 72 saatte bildirilir; Türk KVKK sisteminde düşük risk istisnası yoktur. İlgili kişi bildirimi ve yaptırımlar.
### Excerpt
Kişisel veri ihlali öğrenildikten sonra Kurula en geç 72 saatte bildirilir; Türk KVKK sisteminde düşük risk istisnası yoktur. İlgili kişi bildirimi ve yaptırımlar.
### Excerpt
Kişisel veri ihlali öğrenildikten sonra Kurula en geç 72 saatte bildirilir; Türk KVKK sisteminde düşük risk istisnası yoktur. İlgili kişi bildirimi ve yaptırımlar.
Kişisel Veri İhlali Kaç Saat İçinde Bildirilir?: Uygulama ve Dosya Değerlendirmesi
Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? hakkında sağlıklı bir değerlendirme, yalnız sonuca bakılarak yapılamaz. Önce olay kronolojisi kurulmalı; işlem, karar veya sözleşmenin tarihi ile öğrenme ve tebliğ tarihleri ayrı ayrı kaydedilmelidir. Ardından 2577 sayılı İdari Yargılama Usulü Kanunu ve uyuşmazlığa özgü özel mevzuat içindeki maddi koşullar, ispat kuralları ve başvuru yolu birlikte ele alınmalıdır. Aynı başlık altında görünen iki dosya, taraf sıfatı veya belge içeriği değiştiğinde farklı hukuki sonuca ulaşabilir.
Dosya incelemesinde ilk aşama, talebin hukuki niteliğini doğru belirlemektir. Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? bakımından istenen sonuç; bir işlemin iptali, bir hakkın tespiti, para alacağı, kayıt düzeltme, ceza sorumluluğu veya yalnız idari başvuru olabilir. Talep yanlış adlandırılırsa doğru olaylar anlatılmış olsa bile görev, süre ve ispat planı hatalı kurulabilir. Bu nedenle dilekçeden önce amaç, taraflar ve beklenen hukuki sonuç tek sayfalık bir dosya özetiyle netleştirilmelidir.
Belge seti en azından idari karar, tebliğ belgesi, başvuru evrakı, kayıt numarası, ödeme belgesi, kurum yazışmaları ve elektronik başvuru çıktıları üzerinden kontrol edilmelidir. Belgelerin yalnız varlığı değil; hangi tarihte düzenlendiği, kim tarafından oluşturulduğu, aslı veya doğrulanabilir örneğinin bulunup bulunmadığı ve olayın hangi unsurunu kanıtladığı önemlidir. Elektronik kayıtlar mümkünse ham biçimiyle korunmalı; ekran görüntüsüne ek olarak bağlantı, tarih, dosya bilgisi ve doğrulama kaydı saklanmalıdır.
Başvuru mercii genel olarak işlemi kuran idare, varsa zorunlu idari başvuru mercii ve görevli idare veya vergi mahkemesi olabilir. Ancak görev ve yetki, tarafların sıfatı, işlemin yeri, taşınmazın bulunduğu yer, tüketici veya tacir ilişkisi ve özel kanundaki düzenlemeye göre değişebilir. Yanlış merciye başvuru bazı durumlarda süre kaybına yol açabileceğinden, dilekçe gönderilmeden önce görev, yetki ve varsa dava şartı arabuluculuk ayrı kontrol satırları olarak işaretlenmelidir.
Süre hesabında başlangıç anı özellikle belgelenmelidir. Kararın verildiği tarih, öğrenme tarihi ve usulüne uygun tebliğ tarihi aynı değildir. Elektronik tebligat, yurt dışı tebligatı, muhtara bırakma veya resmî başvuruya verilen cevap gibi durumlarda özel hükümler bulunabilir. Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? dosyasında süre sonu hesaplanırken hafta sonu, resmî tatil, adli tatil ve özel kanun istisnaları somut başvuru türüne göre ayrı incelenmelidir.
En önemli uygulama riski, idari başvuru ile dava açma süresinin birbirine etkisini hesaplamadan yalnız kurum cevabını beklemek olarak özetlenebilir. Bu risk yalnız hukuki argümanı değil, delillerin sunuluş sırasını da etkiler. Önce tartışmasız belgeler, sonra taraflar arasındaki çekişmeli olaylar, en sonda hukuki sonuç kurulmalıdır. Belgeyle desteklenmeyen kesin ifadeler yerine hangi hususun hangi delille kanıtlanacağı açıkça gösterilmelidir.
Karşı tarafın muhtemel savunması da baştan test edilmelidir. Yetki itirazı, süre aşımı, ödeme veya ifa iddiası, belgenin geçersizliği, taraf sıfatı, kusur ve illiyet bağı gibi itirazlardan hangilerinin Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? bakımından anlamlı olduğu belirlenmelidir. Bu çalışma, yalnız iddiayı güçlendirmez; gereksiz talep ve masraf riskini de azaltır. Özellikle alternatif talepler kurulacaksa bunların birbirleriyle çelişmemesi gerekir.
Masraf planında harç, gider avansı, bilirkişi veya keşif ihtiyacı, tercüme ve tebligat giderleri ile olası karşı vekâlet ücreti birbirinden ayrılmalıdır. Başvurunun kabul edilmesi garanti edilemez; ancak ön inceleme sırasında eksik belge ve yanlış usul seçimi azaltılabilir. Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? için ekonomik değerlendirme, talebin değeri kadar tahsil veya kararın fiilen uygulanabilir olup olmadığını da kapsamalıdır.
Yurt dışında bulunan taraflar bakımından vekâletname, apostil veya konsolosluk düzenlemesi, tercüme, adres bildirimi ve uluslararası tebligat ek süre yaratabilir. Türkiye’deki dosyanın UYAP üzerinden izlenebilmesi bütün işlemlerin çevrim içi yapılabileceği anlamına gelmez. Islak imza, noterlik, tapu veya mahkeme huzurunda işlem gerekip gerekmediği daha başta belirlenirse son dakika gecikmeleri önlenebilir.
Başvuru yapıldıktan sonra dosya pasif biçimde beklenmemelidir. Evrakın sisteme girip girmediği, eksiklik bildirimi, tebligat, ara karar, bilirkişi raporu ve duruşma günü düzenli izlenmelidir. Her yeni evrak için alınma tarihi, cevap son günü ve yapılacak işlem kaydedilmelidir. Bu basit takvim düzeni, Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? dosyasında aynı konu hakkında mükerrer veya süresinden sonra işlem yapılmasını önler.
Resmî kaynak kontrolü için ilgili mevzuatın güncel metni esas alınmalıdır. Arama sonucu özetleri, sosyal medya paylaşımları veya eski dilekçe örnekleri kanun değişikliklerini ve güncel parasal sınırları yansıtmayabilir. Tarih veya tutar içeren her bilgi, başvuru günündeki resmî metin ve kurum duyurusuyla yeniden doğrulanmalıdır.
Son kontrol, dilekçe ile eklerinin birbiriyle tutarlı olup olmadığıdır. Taraf adları, kimlik veya sicil bilgileri, adresler, tarih ve tutarlar bütün belgelerde karşılaştırılmalı; talep sonucu numaralandırılmalıdır. Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? için hazırlanan dosyada bir sayfalık kronoloji, delil listesi ve süre tablosu bulunması hem hukuki incelemeyi hem de sonradan yapılacak güncellemeyi kolaylaştırır.
Somut olay değerlendirmesi, genel bilgi metninden farklıdır. Buradaki çerçeve hangi soruların sorulacağını ve hangi belgelerin toplanacağını gösterir; tek başına kesin sonuç üretmez. Tarafların hukuki statüsü, önceki başvurular, kesinleşmiş kararlar ve karşı tarafın elindeki belgeler görülmeden geri dönülmez bir işlem yapılmamalıdır.
Kronoloji kontrolü: Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? dosyasındaki her işlem için tarih, belgeyi düzenleyen kişi veya kurum, belgenin karşı tarafa ulaştığı tarih ve buna bağlı son işlem günü ayrı sütunlarda gösterilmelidir. Aynı gün içinde birden fazla işlem varsa evrak kayıt numarası ve saat bilgisi de eklenmelidir. Böylece hangi olayın süreyi başlattığı ve daha önce yapılan başvurunun yeni işleme etkisi somut biçimde görülebilir.
Delil eşleştirmesi: Her iddia karşısına onu destekleyen belge yazılmalı; belgesi bulunmayan anlatımlar ayrıca işaretlenmelidir. Idari karar, tebliğ belgesi, başvuru evrakı, kayıt numarası, ödeme belgesi, kurum yazışmaları ve elektronik başvuru çıktıları tek tek numaralandırıldığında eksik veya çelişkili kayıt daha erken fark edilir. Karşı tarafın sunabileceği aksi belgeler de ayrı listede düşünülmeli ve bunların hangi yöntemle doğrulanacağı belirlenmelidir.
Talep tasarımı: Asıl talep ile buna bağlı faiz, tazminat, kayıt düzeltme, tedbir, yargılama gideri veya vekâlet ücreti gibi sonuçlar birbirinden ayrılmalıdır. Kişisel Veri İhlali Kaç Saat İçinde Bildirilir? bakımından mahkemenin veya idarenin kendiliğinden dikkate almadığı hususlar açık talep gerektirebilir. Dilekçenin sonuç bölümündeki her madde, açıklamalar kısmında anlatılan somut bir olaya ve hukuki dayanağa bağlanmalıdır.
İstanbul Ofisi – Polaris Plaza, Maslak / Sarıyer
Bakırcı & Keskin Hukuk Bürosu
Maslak Ahi Evran Caddesi, Polaris Plaza No:21, Kat:9, 34475 Sarıyer/İstanbul
İstanbul ve Mersin’deki fiziksel ofislerimizden Türkiye genelindeki dosyalar, görev ve yetki kuralları ile gerekli yerel işlemler dikkate alınarak koordine edilir. Yüz yüze görüşme için randevu sırasında tercih ettiğiniz ofisi belirtiniz.
İstanbul ofisini Google Haritalar’da açın · İletişim ve randevu
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
Bakırcı & Keskin Hukuk Bürosu sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.