Veri ihlali bildirimi, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirmesidir. Kurul, kanundaki "en kısa sürede" ifadesini 72 saat olarak yorumlamıştır; bildirim ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır.

Siber saldırı, kaybolan bir dizüstü bilgisayar veya yanlış kişiye gönderilen bir e-posta kişisel veri ihlaline yol açabilir. Veri ihlali bildirimi süresinde yapılmadığında, ihlalin kendisinden bağımsız olarak veri güvenliği yükümlülüğüne aykırılık nedeniyle yüksek idari para cezası gündeme gelir.

Bu yazıda kişisel veri ihlali kavramı, 72 saatlik süre, Kurula bildirimin içeriği, ilgili kişilere bildirim, ilan süresi ve ihlal sonrasında atılması gereken adımlar ayrıntılı olarak ele alınacaktır.

1. Kişisel Veri İhlali Nedir?

Kişisel veri ihlali, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin beşinci fıkrası bu durumda veri sorumlusuna bildirim yükümlülüğü getirir.

Uygulamada veri ihlaline yol açan başlıca durumlar şunlardır:

  • bilgi sistemlerine yönelik siber saldırılar ve fidye yazılımları,

  • kişisel veri içeren cihazların veya belgelerin kaybolması ya da çalınması,

  • e-postanın yanlış alıcıya gönderilmesi,

  • çalışanların yetkisiz olarak verilere erişmesi veya verileri dışarı aktarması,

  • yanlış yapılandırılmış sunucular nedeniyle verilerin internette erişilebilir hâle gelmesi.

İhlalin veri işleyende, örneğin bulut hizmet sağlayıcısında meydana gelmesi veri sorumlusunun yükümlülüğünü ortadan kaldırmaz. Bu nedenle veri işleyenlerle yapılan sözleşmelerde ihlallerin veri sorumlusuna gecikmeden bildirilmesi şartının yer alması önem taşımaktadır.

2. Veri İhlali Ne Kadar Sürede Bildirilir?

Kurul, 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla kanundaki "en kısa sürede" ifadesini 72 saat olarak yorumlamıştır. Bildirim, veri sorumlusunun ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurula yapılmalıdır.

Bildirim

Süre

Muhatap

Kurula bildirim

İhlalin öğrenilmesinden itibaren en geç 72 saat

Kişisel Verileri Koruma Kurulu

İlgili kişilere bildirim

Etkilenen kişiler belirlendikten sonra makul en kısa süre

Verisi etkilenen kişiler

Kurumun ilanı

En fazla 60 gün

Kamuoyu

72 saatlik süre içinde bütün bilgilerin toplanamaması bildirimi geciktirme sebebi değildir. Bu durumda mevcut bilgilerle bildirim yapılır ve eksik bilgiler sonradan tamamlanır; geciken bildirimlerde gecikmenin sebebi de açıklanmalıdır.

3. Kurula Bildirimde Hangi Bilgiler Yer Alır?

Kurula bildirim, Kurum tarafından yayımlanan veri ihlali bildirim formu kullanılarak yapılır. Formda ihlalin nasıl gerçekleştiği ve etkileri hakkında ayrıntılı bilgi istenir.

  1. ihlalin başlangıç ve bitiş tarihi ile öğrenilme tarihi,

  2. ihlalin nasıl meydana geldiği,

  3. etkilenen kişi ve kayıt sayısı,

  4. etkilenen kişisel veri kategorileri,

  5. ihlalin olası sonuçları,

  6. ihlalden önce ve sonra alınan güvenlik tedbirleri,

  7. ilgili kişilere bildirim yapılıp yapılmadığı ve yapılma yöntemi.

Formdaki bilgiler, Kurulun ihlali değerlendirirken başvurduğu temel kaynaktır. Bu nedenle formun doğru, eksiksiz ve teknik incelemeyle uyumlu biçimde doldurulması önem taşımaktadır.

4. İlgili Kişilere Bildirim Nasıl Yapılır?

Veri sorumlusu, ihlalden etkilenen kişileri tespit ettikten sonra makul en kısa süre içinde bu kişilere bildirim yapar. İlgili kişinin iletişim bilgisine ulaşılabiliyorsa bildirim doğrudan, ulaşılamıyorsa veri sorumlusunun internet sitesi gibi uygun yöntemlerle yapılır.

Bildirimde ihlalin ne zaman ve nasıl gerçekleştiği, hangi verilerin etkilendiği, olası sonuçlar ve ilgili kişinin alabileceği önlemler sade bir dille açıklanmalıdır. Bu bilgilendirme, ilgili kişinin şifresini değiştirmek veya bankasını uyarmak gibi önlemler almasına imkân tanır.

5. Kurul Veri İhlalini İlan Eder mi?

Evet, Kurul bildirilen ihlali Kurumun internet sitesinde veya uygun gördüğü başka bir yöntemle ilan edebilir. İlan kararı verilirken etkilenen kişi sayısı, verinin niteliği, ihlalin nasıl gerçekleştiği ve veri sorumlusunun faaliyet alanı gibi ölçütler dikkate alınır.

Kurulun 25 Aralık 2025 tarihli ve 2025/2451 sayılı kararıyla ihlal ilanlarının yayında kalma süresi 60 gün ile sınırlandırılmıştır. Veri sorumlusunun ilgili kişilere bildirimi daha kısa sürede tamamladığını göstermesi hâlinde ilan Kurumun internet sitesinden daha önce kaldırılabilir.

6. Bildirim Yapılmazsa Ne Olur?

Veri ihlalinin süresinde bildirilmemesi, veri güvenliği yükümlülüğüne aykırılık kapsamında değerlendirilir. Bu aykırılık 2026 yılında 256.357 TL ile 17.092.242 TL arasında idari para cezası gerektirir.

Ceza miktarının belirlenmesinde ihlalin büyüklüğü kadar, veri sorumlusunun bildirim yükümlülüğünü yerine getirip getirmediği de dikkate alınır. Ceza tutarlarının tamamı KVKK cezaları yazısında verilmiştir.

7. İhlal Öncesinde Hangi Hazırlıklar Yapılmalıdır?

72 saatlik süre, ihlal anında sıfırdan bir süreç kurmak için yeterli değildir. Bu nedenle şirketlerin ihlal müdahale planını önceden hazırlaması gerekir.

Hazırlık kapsamında ihlal müdahale ekibinin belirlenmesi, iletişim zincirinin oluşturulması, bildirim formu taslağının hazırlanması ve sistem kayıtlarının tutulması önerilir. Şirketin genel uyum yükümlülükleri KVKK nedir yazısında açıklanmıştır.

8. İhlalden Sonra İlk 72 Saatte Neler Yapılmalıdır?

İhlalin öğrenilmesinden sonraki ilk saatler, hem zararın sınırlandırılması hem de bildirim yükümlülüğünün yerine getirilmesi bakımından belirleyicidir. Bu süreçte teknik ve hukuki adımların birlikte yürütülmesi gerekir.

İlk aşamada ihlalin kaynağı durdurulur, etkilenen sistemler izole edilir ve olay kayıtları korunur. Ardından etkilenen veri kategorileri ve kişi sayısı tespit edilerek bildirim formu doldurulur; ilgili kişilere yapılacak bildirimin metni ise bu bilgiler ışığında hazırlanır.

9. Sıkça Sorulan Sorular

Her veri ihlali Kurula bildirilmek zorunda mı?

Kanundaki düzenleme, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde bildirim yükümlülüğü öngörür. Kurul uygulamasında etkilenen kişi sayısı az olsa bile ihlalin bildirilmesi beklenmektedir. Bildirimin gerekip gerekmediğinden tereddüt edilen durumlarda, bildirim yapılması cezai risk bakımından daha güvenli bir yaklaşım olarak değerlendirilir.

72 saat hafta sonunu da kapsar mı?

Evet, 72 saatlik süre takvim saati olarak hesaplanır ve hafta sonu ile resmî tatiller bu süreye dahildir. Süre, veri sorumlusunun ihlali öğrendiği andan itibaren başlar. Bu nedenle ihlal müdahale ekibinin tatil günlerinde de ulaşılabilir olması ve bildirim sürecinin iş günlerine bağlı kalmadan işletilebilmesi gerekir.

Veri işleyen ihlali kime bildirir?

Veri işleyen, kendi sistemlerinde meydana gelen ihlali gecikmeden veri sorumlusuna bildirir. Kurula ve ilgili kişilere bildirim yükümlülüğü ise veri sorumlusuna aittir. Veri sorumlusunun 72 saatlik süreye uyabilmesi için veri işleyenle yapılan sözleşmede ihlalin hangi süre içinde ve hangi bilgilerle bildirileceğinin açıkça düzenlenmesi gerekir.

Veri ihlali nedeniyle tazminat istenebilir mi?

Evet, verileri ihlalden etkilenen kişi, uğradığı maddi ve manevi zarar için veri sorumlusundan tazminat talep edebilir. Tazminat talebi, idari para cezasından bağımsızdır ve genel hükümlere göre hukuk mahkemesinde ileri sürülür. Veri sorumlusunun gerekli güvenlik tedbirlerini alıp almadığı, sorumluluğun değerlendirilmesinde belirleyici olur.

Fidye yazılımı saldırısı veri ihlali sayılır mı?

Fidye yazılımı saldırısında kişisel verilerin şifrelenmesi veya sızdırılması hâlinde kural olarak kişisel veri ihlali söz konusu olur. Saldırganların verileri kopyaladığına ilişkin bir belirti bulunmasa bile verilere erişim sağlanmış olması değerlendirmede dikkate alınır. Bu nedenle fidye yazılımı olaylarında bildirim yükümlülüğü ayrıca incelenmelidir.

10. Sonuç

Veri ihlali bildirimi 6698 sayılı Kanun'un 12. maddesinin beşinci fıkrasına dayanır; Kurulun 2019/10 sayılı kararıyla bildirimin ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılması gerekir. Kurumun ihlal ilanları ise 2025/2451 sayılı kararla en fazla 60 gün yayında kalır.

Bildirimin geç yapılması, ihlalin kendisinden bağımsız olarak yüksek idari para cezasına yol açabilir. Bu nedenle ihlal müdahale planının, ihlal meydana gelmeden önce hazırlanması önem taşımaktadır.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; somut olayınıza ilişkin hukuki danışmanlık yerine geçmez.