KVKK Veri İhlali Bildirimi 2026: 6698 m.12/5, 72 Saat Kuralı, İlgili Kişiye Bildirim, Siber Güvenlik Kanunu ve Cezalar

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 12 nci maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirmesini emreder. Kurul, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla “en kısa süre” ifadesini Kurula bildirim bakımından en geç 72 saat olarak yorumlamıştır; süre, ihlalin gerçekleştiği andan değil veri sorumlusunun ihlali öğrendiği tarihten itibaren işler. Bildirim yükümlülüğü dahil veri güvenliği yükümlülüklerini yerine getirmeyen veri sorumlusuna 2026 yılında 256.357 TL’den 17.092.242 TL’ye kadar idari para cezası uygulanabilir. 19.03.2025 tarihinde yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu ise siber olaylar için Siber Güvenlik Başkanlığına ayrı bir bildirim yükümlülüğü getirmiştir.

Kanuni Dayanak: KVKK m.12 ve Beşinci Fıkra

KVKK’nın 12 nci maddesi “Veri güvenliğine ilişkin yükümlülükler” başlığını taşır ve beş fıkradan oluşur. Veri ihlali bildiriminin doğrudan dayanağı beşinci fıkradır:

“İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.”

Bildirim yükümlülüğü, maddenin diğer fıkralarından bağımsız okunamaz. Birinci fıkra veri sorumlusuna, kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı olarak erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma borcu yükler. İkinci fıkraya göre veriler veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işleniyorsa, bu tedbirlerin alınmasından veri sorumlusu o kişiyle birlikte müştereken sorumludur. Üçüncü fıkra kurum içinde Kanun’un uygulanmasını sağlamak için gerekli denetimleri yapma veya yaptırma zorunluluğunu, dördüncü fıkra ise veri sorumluları ile veri işleyenlerin öğrendikleri verileri Kanun’a aykırı olarak açıklayamayacağını ve bu yükümlülüğün görevden ayrılmadan sonra da süreceğini düzenler.

Bu yapının pratik sonucu şudur: Kurul bir ihlal dosyasını incelerken yalnızca bildirimin zamanında yapılıp yapılmadığına değil, ihlalin gerçekleşmesine imkân veren güvenlik açığına da bakar. Zamanında yapılan bildirim, yetersiz tedbirlerden doğan sorumluluğu ortadan kaldırmaz; bildirimin hiç yapılmaması ise tedbirler yeterli olsa bile ayrı bir aykırılık oluşturur.

Aynı olayda verileri ele geçiren veya yayan kişinin ceza sorumluluğu ayrıca doğar. Bu boyutu kişisel verilerin hukuka aykırı ele geçirilmesi suçu (TCK m.136) rehberinde ayrıntılı ele aldık.

Veri İhlali Nedir? Hangi Olaylar Bildirim Konusudur?

KVKK “veri ihlali” kavramını ayrıca tanımlamaz; m.12/5 bildirim yükümlülüğünü “işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi” olgusuna bağlar. Kişisel veri ise KVKK m.3/1-d uyarınca kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. 7545 sayılı Siber Güvenlik Kanunu m.3/1-g ise “siber olay” kavramını daha geniş tutar: bilişim sistemlerinin veya verinin gizlilik, bütünlük veya erişilebilirliğinin ihlal edilmesi.

Tablodaki “somut olaya göre” satırları, kanun metninin dar ifadesi ile ihlalin gerçek riskinin çatıştığı noktalardır. Bu durumlarda bildirim yapmama kararı verilecekse, dayanağının (şifreleme düzeyi, erişim kayıtlarının incelenmesi, dışarı veri çıkışının bulunmadığını gösteren teknik rapor) yazılı olarak kayda geçirilmesi gerekir. Kurul’un 2019/10 sayılı kararı zaten veri sorumlusundan ihlallere ilişkin bilgilerin, etkilerinin ve alınan önlemlerin kayıt altına alınmasını ve Kurulun incelemesine hazır bulundurulmasını istemektedir.

72 Saat Kuralı: Kurul’un 2019/10 Sayılı Kararı

Kanun “en kısa süre” demekle yetinmiş, bir gün veya saat sınırı koymamıştır. Kişisel Verileri Koruma Kurulu 24.01.2019 tarihli ve 2019/10 sayılı kararıyla uygulamayı standart hâle getirmiştir. Kararın içeriği sekiz başlıkta özetlenebilir:

Sürenin başlangıcı uygulamada en çok tartışılan konudur. Karar süreyi ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği tarihten başlatır. Ancak “öğrenme” yalnızca yönetim kurulunun haberdar olduğu an değildir; bilgi işlem ekibinin, bir hizmet sağlayıcının veya bir çalışanın ihlali fark etmesi, kurum içi raporlama sürecinin nasıl işlediğine bağlı olarak öğrenme sayılabilir. Bu nedenle ihlali ilk fark eden birimin kimi, hangi kanaldan ve ne kadar sürede haberdar edeceği önceden yazılı hâle getirilmelidir.

Süre saat üzerinden hesaplandığından hafta sonu ve resmî tatiller süreyi uzatmaz. Tüm bilgilerin toplanmasını beklemek için bildirimi geciktirmek hatalıdır; karar, eksik bilgilerin sonradan aşamalı olarak tamamlanmasına açıkça izin vermektedir. AB Genel Veri Koruma Tüzüğü de denetim makamına bildirim için benzer biçimde 72 saatlik bir süre öngörür (m.33).

İlgili Kişilere Bildirim: Zaman, Yöntem ve Asgari İçerik

KVKK m.12/5 bildirimi yalnızca Kurula değil, “ilgilisine” de yapılmasını ister. Kurul’un 18.09.2019 tarihli ve 2019/271 sayılı kararı, ilgili kişiye yapılacak bildirimin açık ve sade bir dille yapılmasını ve asgari olarak aşağıdaki unsurları içermesini aramaktadır:

Özel nitelikli verilerin etkilendiği durumlarda bu ayrımın bildirimde açıkça yapılması, ilgili kişinin alacağı önlemler bakımından önemlidir. Sağlık verileri bakımından ayrıntılar için sağlık verilerinin korunması, özel nitelikli verilerin işlenme şartları için KVKK m.6 rehberlerine bakabilirsiniz.

İlgili kişiye bildirim, sorumluluğu kabul eden bir beyan gibi değil, kişinin kendini korumasını sağlayacak bir bilgilendirme olarak kurgulanmalıdır. Şifre değiştirme, kart iptali, hesap hareketlerinin izlenmesi ve sahte arama ile mesajlara karşı uyarı gibi somut öneriler, 2019/271 sayılı kararın “alınması önerilen tedbirler” unsurunu karşılar. Bildirim metninin hukuki değerlendirme yapılmadan kamuoyuna açıklanması, ileride açılabilecek tazminat davalarında aleyhe delil olarak kullanılabilecek ifadeler içerebilir; metnin hukuki süzgeçten geçirilmesi bu nedenle önemlidir.

Kurula Bildirim Nasıl Yapılır?

Kurula bildirim, Kişisel Verileri Koruma Kurumunun internet sitesinde yayımlanan veri ihlali bildirim formu ve bu forma ilişkin kılavuz esas alınarak yapılır; Kurum çevrim içi bir bildirim kanalı da sunmaktadır. Veri ihlali bildirim formu yalnızca veri sorumlusu tarafından doldurulur. İlgili kişilerin şikâyet ve ihbarları ise ayrı bir kanaldan, yazılı olarak veya Kurumun şikâyet sistemi üzerinden iletilir; ikisini karıştırmamak gerekir.

Formun eksiksiz doldurulabilmesi için ihlal anında şirket içinde aşağıdaki bilgilerin hızla derlenmesi gerekir. Bu liste, 2019/10 ve 2019/271 sayılı kararların içeriğinden hareketle hazırlanmış bir iç hazırlık listesidir:

Bildirim yapıldıktan sonra Kurul inceleme başlatabilir. KVKK m.15/3 uyarınca veri sorumlusu, Kurulun inceleme konusuyla ilgili istediği bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır. Veri envanteri ile saklama ve imha politikasının güncel olması bu aşamada belirleyici olur; ayrıntılar için veri envanteri ve saklama-imha politikası rehberine bakabilirsiniz.

Veri İşleyen, Grup Şirketleri ve Yurt Dışındaki Veri Sorumlusu

Günümüzde verilerin önemli bir kısmı bulut hizmet sağlayıcıları, çağrı merkezleri, bordro firmaları ve yazılım şirketleri gibi veri işleyenler nezdinde bulunur. KVKK m.12/2, veri sorumlusunun bu kişilerle güvenlik tedbirleri bakımından müştereken sorumlu olduğunu açıkça belirtir. 2019/10 sayılı karar ise veri işleyen nezdindeki ihlalin gecikmeksizin veri sorumlusuna bildirilmesini ister. Ancak Kurula ve ilgili kişilere bildirim yükümlülüğü veri sorumlusundadır; veri işleyenin geç haber vermesi, veri sorumlusunun kendi süresini kural olarak uzatmaz.

Bu nedenle veri işleme sözleşmelerinde ihlalin veri sorumlusuna hangi sürede, hangi kanaldan ve hangi bilgilerle bildirileceği, adli bilişim incelemesine erişim hakkı ve maliyetlerin paylaşımı açıkça düzenlenmelidir. Veri sorumlusu ile veri işleyen ayrımının nasıl yapılacağını veri sorumlusu ve veri işleyen kimdir rehberinde açıkladık.

Yurt dışında yerleşik bir veri sorumlusu nezdinde yaşanan ihlal, Türkiye’de yerleşik ilgili kişileri etkiliyor ve bu kişiler ürün ve hizmetlerden Türkiye’de yararlanıyorsa, 2019/10 sayılı karar o veri sorumlusunun da aynı esaslarla Kurula bildirimde bulunmasını öngörür. Grup şirketlerinde ihlalin yurt dışındaki merkezde tespit edilmesi hâlinde Türkiye’deki şirketin süreyi hangi tarihten itibaren hesaplayacağı, grup içi bildirim kurallarına bağlıdır ve önceden belirlenmelidir.

Siber Güvenlik Kanunu ile Kesişme: İkinci Bildirim Kanalı

19.03.2025 tarihli Resmî Gazete’de yayımlanan 7545 sayılı Siber Güvenlik Kanunu, siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan kamu kurumlarını, kamu kurumu niteliğindeki meslek kuruluşlarını, gerçek ve tüzel kişileri ve tüzel kişiliği bulunmayan kuruluşları kapsar (m.2/1). Kanun’un 7/1-b maddesi, bilişim sistemleri kullanarak hizmet sunan, veri toplayan veya işleyenlere, hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirme yükümlülüğü yükler.

İki yükümlülük birbirinin yerine geçmez. Kişisel veri içermeyen bir siber olay yalnızca 7545 sayılı Kanun kapsamında, kişisel verilerin kâğıt ortamında kaybolması ise yalnızca KVKK kapsamında değerlendirilebilir; kişisel verilerin siber saldırıyla ele geçirilmesi ise her iki bildirimi birlikte gündeme getirir. Kanun, Başkanlığa yapılacak bildirimlere ilişkin usul ve esasların belirlenmesini Başkanlığın görevleri arasında saymıştır (m.5/1-h); bildirim usulünün uygulamadaki ayrıntıları Başkanlığın düzenlemeleriyle şekillenmektedir.

7545 sayılı Kanun, sızıntı sonrası süreç için önemli ceza hükümleri de içerir. Siber uzayda veri sızıntısı nedeniyle daha önce yer alan kişisel verileri veya kritik kamu hizmeti kapsamındaki kurumsal verileri, kişilerin veya kurumların izni olmaksızın ücretli veya ücretsiz erişime açan, paylaşan veya satışa çıkaranlara üç yıldan beş yıla kadar hapis cezası verilir (m.16/4). Veri sızıntısı olmadığını bildiği hâlde halk arasında endişe, korku ve panik yaratmak ya da kurumları veya kişileri hedef göstermek amacıyla gerçeğe aykırı sızıntı içeriği oluşturan veya yayanlara iki yıldan beş yıla kadar hapis cezası öngörülür (m.16/5). Bu hükümler, sızan verilerin internette dolaşıma girdiği durumlarda veri sorumlusunun ve ilgili kişilerin başvurabileceği ceza hukuku araçlarını genişletmektedir.

İdari Para Cezaları: 2026 Tutarları

KVKK m.18/1’deki idari para cezaları Kanun metninde taban ve tavan tutarlarla gösterilir. 5326 sayılı Kabahatler Kanunu m.17/7 uyarınca idari para cezaları her takvim yılı başından geçerli olmak üzere, 213 sayılı Vergi Usul Kanunu’nun mükerrer 298 inci maddesine göre ilan edilen yeniden değerleme oranında artırılarak uygulanır. 2026 yılı için yeniden değerleme oranı 27.11.2025 tarihli ve 33090 sayılı Resmî Gazete’de %25,49 olarak ilan edilmiştir. Bu orana göre 2026 yılında uygulanan tutarlar şöyledir:

Bildirimin hiç yapılmaması veya geciktirilmesi, KVKK m.12’de düzenlenen veri güvenliği yükümlülüklerinin bir parçası olduğundan m.18/1-b kapsamında değerlendirilir. Güvenlik tedbirlerindeki eksiklik ile bildirimin yapılmaması aynı dosyada ayrı ayrı aykırılık olarak ele alınabilir. Cezanın alt ve üst sınır arasında belirlenmesinde Kabahatler Kanunu m.17/2 uyarınca işlenen kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumu birlikte göz önünde bulundurulur; ihlalden etkilenen kişi sayısı, verinin niteliği, zamanında bildirim ve işbirliği tutumu bu değerlendirmede ağırlık taşır.

Kabahatler Kanunu m.17/6 uyarınca kanunlarında ödeme süresi düzenlenmemiş idari para cezaları tebliğden itibaren bir ay içinde ödenir; bu süre içinde ödenirse cezadan %25 oranında indirim yapılır ve ödeme yapılması karara karşı kanun yoluna başvurma hakkını etkilemez. 7499 sayılı Kanunla eklenen KVKK m.18/2 uyarınca m.18/1-(a), (b), (c) ve (ç) bentlerindeki cezalar veri sorumlusuna uygulanır; (d) bendindeki standart sözleşme bildirimine ilişkin ceza ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanabilir. Kamu kurum ve kuruluşlarında gerçekleşen aykırılıklarda ise idari para cezası yerine, Kurulun bildirimi üzerine görevliler hakkında disiplin hükümlerine göre işlem yapılır (m.18/4). Ayrıntılı ceza ve itiraz rehberi için KVKK idari para cezaları sayfasına bakabilirsiniz.

Kurul İncelemesi ve Kararlara Karşı Yol

Kurul kararlarına karşı yargı yolu, 7499 sayılı Kanunla 1 Haziran 2024 tarihinden itibaren idare mahkemelerine taşınmıştır. İdari Yargılama Usulü Kanunu m.7 uyarınca özel kanunlarda ayrı süre gösterilmeyen hâllerde idare mahkemelerinde dava açma süresi altmış gündür ve yazılı bildirimin yapıldığı tarihi izleyen günden başlar. İYUK m.32 uyarınca yetkili idare mahkemesi, dava konusu işlemi yapan idari merciin bulunduğu yerdeki mahkemedir. Davada, bildirimin zamanında yapıldığını ve güvenlik tedbirlerinin alındığını gösteren belgeler belirleyici olur; bu nedenle ihlal anından itibaren her adımın tarih ve saatiyle kayda geçirilmesi gerekir.

Ceza Hukuku Boyutu: Fail, Veri Sorumlusu ve Sızan Veriyi Paylaşanlar

Veri ihlali çoğu zaman bir suçla başlar. Sisteme izinsiz giren kişi TCK m.243, sistemdeki verileri bozan, değiştiren veya başka bir yere gönderen kişi TCK m.244, kişisel verileri hukuka aykırı olarak ele geçiren, başkasına veren veya yayan kişi TCK m.136 kapsamında sorumludur. KVKK m.17/1, kişisel verilere ilişkin suçlar bakımından TCK m.135 ila 140 hükümlerinin uygulanacağını belirtir. Veri sorumlusu şirket, bu suçlardan zarar gören sıfatıyla suç duyurusunda bulunabilir ve kovuşturmada davaya katılabilir. Bilişim suçlarının unsurlarını TCK 243-244 rehberinde inceledik.

Veri sorumlusunun kendisi de ceza riski taşıyabilir. KVKK m.17/2 uyarınca Kanun’un 7 nci maddesine aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenler TCK m.138’e göre bir yıldan iki yıla kadar hapis cezası ile cezalandırılır. Saklama süresi dolmuş verilerin sızması, hem idari hem ceza sorumluluğu bakımından ağırlaştırıcı bir tablo yaratır. Sızan verilerin internette paylaşılması veya satışa çıkarılması ise 7545 sayılı Kanun m.16/4 kapsamında ayrıca cezalandırılır.

Ceza soruşturmasında delillerin bütünlüğü kritik önemdedir. Sistem kayıtlarının, disk imajlarının ve ağ trafiği kayıtlarının hash değerleriyle korunması hem suç duyurusunun hem de Kurul savunmasının temelini oluşturur. Teknik ayrıntılar için dijital delil ve delil zinciri rehberine bakabilirsiniz.

İhlalden Etkilenen Kişinin Hakları

Verileri sızan kişi, KVKK m.11 uyarınca veri sorumlusuna başvurarak kendisiyle ilgili hangi verilerin işlendiğini, bunların kimlere aktarıldığını öğrenebilir ve kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramışsa zararın giderilmesini talep edebilir (m.11/1-ğ). Veri sorumlusu başvuruyu en geç otuz gün içinde, kural olarak ücretsiz sonuçlandırır (m.13/2). Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse, cevabın öğrenildiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet edilebilir (m.14/1); başvuru yolu tüketilmeden şikâyet yoluna gidilemez (m.14/2).

KVKK m.14/3, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkının saklı olduğunu belirtir. Maddi zarar TBK m.49, manevi zarar TBK m.58 uyarınca istenebilir; saldırının durdurulması ve hukuka aykırılığın tespiti için TMK m.24–25 yolu açıktır. Tazminat istemi, zararın ve tazminat yükümlüsünün öğrenildiği tarihten itibaren iki yıl ve her hâlde fiilden itibaren on yıl içinde zamanaşımına uğrar; tazminat, ceza kanunlarının daha uzun zamanaşımı öngördüğü bir fiilden doğmuşsa o süre uygulanır (TBK m.72). Kurulun verdiği idari para cezası Hazineye gider, ilgili kişiye ödenmez. Başvuru ve şikâyet süreci için ilgili kişi başvurusu ve Kurula şikâyet, dava süreci için veri ihlalinde tazminat davası rehberlerine bakabilirsiniz.

İhlal Anında Adım Adım: İlk 72 Saat

1. Olayı kayda alın ve saati not edin. İhlalin kim tarafından, hangi kanaldan ve hangi saatte fark edildiği, 72 saatlik sürenin başlangıcının ispatı bakımından ilk ve en önemli kayıttır.
2. Sınırlayın, ama delili silmeyin. Etkilenen hesapları kapatmak, parolaları sıfırlamak ve bağlantıları kesmek gerekir; ancak sistemleri yeniden kurmadan önce kayıtların ve disk imajlarının alınması, hem Kurul savunması hem ceza soruşturması için zorunludur.
3. Kapsamı belirleyin. Hangi veri kategorilerinin, kaç kişinin ve hangi sistemlerin etkilendiği veri envanteriyle karşılaştırılarak çıkarılır. Özel nitelikli veriler ayrıca işaretlenir.
4. Bildirim kararını yazılı hâle getirin. Olayın m.12/5 kapsamında olup olmadığı, 7545 sayılı Kanun m.7/1-b kapsamında bir siber olay niteliği taşıyıp taşımadığı hukuken değerlendirilir ve karar gerekçesiyle kayda alınır.
5. Kurula bildirin. Öğrenmeden itibaren en geç 72 saat içinde form doldurulur; bilgiler eksikse aşamalı bildirim yapılacağı belirtilir, gecikme varsa nedenleri açıklanır.
6. İlgili kişileri bilgilendirin. Etkilenen kişiler belirlendikten sonra makul en kısa sürede, 2019/271 sayılı kararın asgari unsurlarını içeren sade bir metinle bildirim yapılır.
7. Suç duyurusunu değerlendirin. Fail belli olsun olmasın, CMK m.158 uyarınca Cumhuriyet başsavcılığına başvurulabilir; bu, ileride kayıtların celbi ve failin tespiti için yol açar.
8. Sonrasını belgeleyin. Alınan tüm önlemler, yazışmalar ve kararlar tarih sırasıyla ihlal kaydına işlenir; müdahale planı olaydan çıkarılan derslerle güncellenir.

Bu süreçte hukuki ve teknik ekiplerin aynı anda çalışması gerekir. İhlal yaşayan şirketler için bildirim metninin hazırlanması, Kurul yazışmaları ve olası idari yaptırıma karşı dava süreçlerinde Hukukçular Evi Ankara’ya 0554 648 37 15 numaralı telefondan ulaşabilirsiniz. Görüşmeye ihlalin tespit saati, etkilenen sistemlerin listesi ve varsa hizmet sağlayıcıyla yazışmalarla gelmeniz değerlendirmeyi hızlandırır.

Veri İhlali Müdahale Planı: Kurulun Beklediği Belge

2019/10 sayılı karar, veri sorumlusundan ihlal hâlinde kimlere raporlama yapılacağını, bildirimlerden ve ihlalin olası sonuçlarının değerlendirilmesinden kimin sorumlu olduğunu belirleyen bir müdahale planı hazırlamasını ve bu planı belirli aralıklarla gözden geçirmesini ister. İyi hazırlanmış bir plan, 72 saatlik sürenin gerçekçi biçimde karşılanmasını sağlayan tek araçtır.

Plan, aydınlatma metinleri ve çalışan verilerine ilişkin politikalarla birlikte ele alınmalıdır. Aydınlatma yükümlülüğü ve işyerinde kişisel verilerin korunması rehberlerimiz bu belgelerin birbirine nasıl bağlanacağını gösterir.

İlgili Kişiye Veri İhlali Bildirimi Metni Örneği

Aşağıdaki metin, 2019/271 sayılı kararın asgari unsurlarını içeren genel bir örnektir. Her olayın özelliğine göre yeniden yazılmalı ve gönderilmeden önce hukuki değerlendirmeden geçirilmelidir.

Sık Yapılan Hatalar

• Tüm bilgileri toplamadan bildirim yapmamak: 2019/10 sayılı karar aşamalı bilgi vermeye açıkça izin verir; eksik bilgi gerekçesiyle 72 saati aşmak gereksiz bir risktir.
• Sürenin yönetim kurulunun haberdar olmasıyla başladığını sanmak: Karar süreyi veri sorumlusunun öğrendiği tarihe bağlar; iç raporlama gecikmesi süreyi uzatmaz.
• Yalnızca Kurula bildirip ilgili kişileri unutmak: KVKK m.12/5 her iki bildirimi de ister.
• 7545 sayılı Kanun’u gözden kaçırmak: Siber olaylarda Siber Güvenlik Başkanlığına bildirim ayrı bir yükümlülüktür ve ayrı idari para cezasıyla desteklenmiştir.
• Sistemi yeniden kurup kayıtları silmek: Delilsiz kalan veri sorumlusu, tedbir aldığını ve ihlalin kapsamını ispat edemez.
• Veri işleyen sözleşmesinde bildirim süresi öngörmemek: Hizmet sağlayıcının geç haber vermesi, veri sorumlusunun sorumluluğunu kural olarak ortadan kaldırmaz.
• Bildirim metninde gereksiz kabul beyanları: İlgili kişiye bildirim bilgilendirici olmalı; hukuki değerlendirme yapılmadan sorumluluk kabulü içeren ifadelerden kaçınılmalıdır.

Sık Sorulan Sorular

KVKK veri ihlali bildirim süresi kaç saattir?

Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunmalıdır.

72 saatlik süre ne zaman başlar?

Süre ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği tarihten itibaren başlar. Saat üzerinden hesaplandığından hafta sonu ve tatiller süreyi uzatmaz.

72 saat içinde tüm bilgileri toplayamazsam ne olur?

2019/10 sayılı karar, formdaki bilgilerin aynı anda sağlanamadığı durumlarda gecikmeye mahal verilmeksizin aşamalı olarak sağlanmasına izin verir. Haklı bir gerekçeyle 72 saat içinde bildirim yapılamamışsa gecikmenin nedenleri bildirimle birlikte açıklanır.

İlgili kişilere ne zaman bildirim yapılmalıdır?

Etkilenen kişiler belirlendikten sonra makul olan en kısa süre içinde bildirim yapılır. İletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun internet sitesinde yayımlama gibi uygun yöntemler kullanılır.

İlgili kişiye yapılan bildirimde neler bulunmalıdır?

Kurul’un 2019/271 sayılı kararına göre bildirim açık ve sade olmalı; ihlalin ne zaman gerçekleştiğini, hangi veri kategorilerinin etkilendiğini, olası sonuçları, alınan veya önerilen tedbirleri ve bilgi alınabilecek iletişim kanallarını içermelidir.

Veri ihlali bildirimi yapmamanın cezası nedir?

Bildirim yükümlülüğü KVKK m.12 kapsamındaki veri güvenliği yükümlülüklerinden olduğundan m.18/1-b uygulanır. 2026 yılı için bu cezanın alt sınırı 256.357 TL, üst sınırı 17.092.242 TL’dir.

Veri ihlali Kurula nasıl bildirilir?

Bildirim, Kişisel Verileri Koruma Kurumunun yayımladığı veri ihlali bildirim formu ve kılavuzu esas alınarak, Kurumun çevrim içi bildirim kanalı üzerinden yapılır. Form yalnızca veri sorumlusu tarafından doldurulur.

Hizmet sağlayıcımız nezdinde sızıntı olursa bildirimi kim yapar?

Kurula ve ilgili kişilere bildirim yükümlülüğü veri sorumlusundadır. Veri işleyen ise ihlali gecikmeksizin veri sorumlusuna bildirmelidir. Veri sorumlusu, güvenlik tedbirleri bakımından veri işleyenle müştereken sorumludur (KVKK m.12/2).

Siber Güvenlik Kanunu kapsamında ayrıca bildirim gerekir mi?

7545 sayılı Kanun m.7/1-b, bilişim sistemleri kullanarak hizmet sunan, veri toplayan veya işleyenlerin tespit ettikleri zafiyet veya siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirmesini öngörür. Bu yükümlülüğe aykırılık için m.16/10’da 1.000.000 TL’den 10.000.000 TL’ye kadar idari para cezası vardır.

Sızan verileri paylaşmak suç mu?

Evet. Kişisel verileri hukuka aykırı olarak yaymak TCK m.136 kapsamında suçtur. Ayrıca 7545 sayılı Kanun m.16/4, veri sızıntısı nedeniyle siber uzayda yer alan kişisel verileri izinsiz erişime açan, paylaşan veya satışa çıkaranlara üç yıldan beş yıla kadar hapis cezası öngörür.

Kurulun cezasına karşı nereye dava açılır?

KVKK m.18/3 uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemesinde dava açılır. Özel süre bulunmadığından İYUK m.7’deki altmış günlük süre uygulanır; yetkili mahkeme işlemi yapan idari merciin bulunduğu yer idare mahkemesidir.

Verilerim sızdıysa şirketten tazminat isteyebilir miyim?

Evet. KVKK m.14/3 uyarınca genel hükümlere göre tazminat hakkı saklıdır. Maddi zarar TBK m.49, manevi zarar TBK m.58 uyarınca istenebilir. Zamanaşımı, zararın ve sorumlunun öğrenilmesinden itibaren iki yıl, her hâlde on yıldır (TBK m.72).

Kurulun verdiği ceza bana ödenir mi?

Hayır. Kurulun verdiği idari para cezası kamuya gelir kaydedilir. Uğradığınız zararın karşılanması için veri sorumlusuna başvurmanız veya tazminat davası açmanız gerekir.

Bu yazı genel bilgilendirme amaçlıdır; her dosyanın kendine özgü koşulları bulunduğundan, ayrıntılı değerlendirme için güncel mevzuat ve uzman hukuki görüş esas alınmalıdır.

Mevzuat kontrolü: Bu yazıdaki KVKK, 7545 sayılı Siber Güvenlik Kanunu, Kabahatler Kanunu, İYUK, TCK, TBK ve TMK hükümleri 23 Eylül 2026 itibarıyla mevzuat.gov.tr’deki güncel metinler üzerinden; Kurul’un 2019/10 ve 2019/271 sayılı kararları ile 2026 yılı ceza tutarları yayımlanmış metinler üzerinden kontrol edilmiştir.