Veri ihlali oldu: 72 saat içinde Kurula ve ilgili kişilere bildirim nasıl yapılır, yapılmazsa ne olur?

Bir sabah muhasebedeki bilgisayarların ekranında fidye notu belirir; ya da bir müşteri, şirketinize ait müşteri listesinin bir forumda satışa çıkarıldığını haber verir; ya da bir çalışan bordro dosyasını yanlış kişiye e-postalar, ayrılan bir satış temsilcisinin müşteri listesini kendi adresine gönderdiği anlaşılır. İlk saatlerde herkes sistemi ayağa kaldırmaya çalışır ve Kurula bildirim çoğu zaman birkaç gün sonra akla gelir. Oysa 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi ve Kurulun bu maddeyi yorumlayan kararı, saat ihlali öğrendiğiniz anda işlemeye başlar diyor ve Kurul geç kalan bildirimi, ihlale yol açan tedbir eksikliğinden ayrı bir ceza konusu yapıyor.

Aşağıda hangi olayın bildirim gerektirdiğini, 72 saatin hesabını, Kurula ve kişilere bildirimin yolunu, veri işleyenin rolünü, bildirimsizliğin sonuçlarını ve Siber Güvenlik Kanunu'ndaki ayrı yükümlülüğü Kanun, Kurumun bildirim formu ve Kurul kararlarıyla anlatıyorum.

Hangi olay "veri ihlali" sayılır?

Kanun'da "veri ihlali" diye bir tanım yok. Bildirim yükümlülüğünü doğuran hüküm 12. maddenin beşinci fıkrasıdır: işlenen kişisel verilerin "kanuni olmayan yollarla başkaları tarafından elde edilmesi" halinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Ölçü, verinin yetkisi olmayan birinin eline geçmesidir; bunun dışarıdan bir saldırıyla mı, içeriden biri eliyle mi olduğu sonucu değiştirmez.

Kurulun kararları bu genişliği gösteriyor. Banka çalışanının üç müşterinin kimlik ve bakiye bilgilerini kendi şahsi e-posta adresine göndermesi (2019/352), başka bir şubenin 346 müşterisinin bilgilerini bir Word dosyasına işleyip üçüncü bir kişiye e-postalaması (2020/744), kuruluşun başkanı ve CEO'sundan geliyormuş gibi görünen sahte bir e-postaya kanan çalışanın üye listesini saldırgana göndermesi (2024/728) ve tedarikçilere verilen geniş bir panel yetkisiyle başka firmaların verilerine erişilmesi (2021/427) Kurul tarafından 12/5 kapsamında incelendi. Son kararda Kurul, erişimi gerçekleştirenler hakkında yürüyen ceza soruşturmasının şirketin bildirim yükümlülüğünü ortadan kaldırmadığını, bunların farklı fiiller olduğunu açıkça belirtti.

Kurumun bildirim formu da ihlalin kaynağı olarak belge ya da cihazın çalınması veya kaybolması, verilerin güvensiz ortamda depolanması, sabotaj, kaza ve ihmal, yetkisiz erişim, zararlı yazılım, sosyal mühendislik ve fidye yazılımı seçeneklerini sayıyor; ihlalin etkisini de gizlilik, bütünlük ve erişilebilirlik olarak işaretletiyor. Yanlış kişiye gönderilen e-posta bu sınıflandırmada "kaza/ihmal" başlığına girer; form, ihlal sonrası tedbirlere örnek olarak "yanlışlıkla gönderilmiş olan verilerin yok edilmesi"ni veriyor.

Fidye yazılımında tereddüt daha sık yaşanır, çünkü verilerin yalnız şifrelendiği, dışarı çıkarılmadığı düşünülebilir. Kanun metni "elde edilme"den söz ediyor; ancak saldırganlar çoğu zaman şifrelemeden önce veriyi kopyalar ve bunu ilk gün bilmek zordur. Kurul, test sunucusundaki veri tabanının silinip yerine fidye notu bırakıldığı ve şirketin verilerin önceden kopyalandığını düşündüğü olayı 12/5 kapsamında inceledi (2020/905). Değerlendirmem şudur: verinin dışarı çıkmadığını kayıtlarla gösteremiyorsanız bildirim yapın. Kanun'da gereksiz bildirimi cezalandıran bir hüküm yok, geç bildirimi ise Kurul düzenli olarak cezalandırıyor.

72 saat ne zaman başlar?

Kurul 24.01.2019 tarihli ve 2019/10 sayılı kararıyla Kanun'daki "en kısa sürede" ifadesini 72 saat olarak yorumladı: veri sorumlusu ihlali "öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde" Kurula bildirir. Kurumun form kılavuzu "tespit tarihi"ni veri sorumlusunun ihlalden ilk haberdar olduğu tarih olarak tanımlıyor ve formda ihlalin başlama, sona erme ve tespit tarihleri saatiyle birlikte ayrı ayrı soruluyor. Kararda hafta sonu ya da resmi tatil için bir uzatma yok ve 72 saat bir azami süredir.

Uygulamada en çok yapılan hata, iç soruşturmanın ya da adli bilişim raporunun sonucunu beklemektir. 2020/744 sayılı kararda ihlal 31.10.2019'da gerçekleşmiş, bankanın veri sızıntısı ekibi olayı 04.11.2019'da teftiş birimine iletmiş, Kurula bildirim ise 06.12.2019'da yapılmıştı; Kurul 72 saatlik sürenin sağlanmadığını tespit etti. 2020/905 sayılı kararda sigorta şirketi ihlali 28.02.2020'de tespit etmiş, 04.03.2020'de bildirmiş ve gecikmeye sunucu ve güvenlik duvarı kayıtlarının incelenmesinin uzamasını gerekçe göstermişti; Kurul yine sürenin aşıldığını kabul etti. Buna karşılık müşterisinin ihbarıyla ve aynı gün USOM'un aramasıyla durumu öğrenen hosting firması 72 saat içinde bildirim yaptığını belirtti; Kurul o dosyada yalnız tedbir eksikliğinden ceza verdi, bildirim için ayrı bir yaptırım uygulamadı (2023/412).

Haklı bir gerekçeyle 72 saat içinde bildirim yapamadıysanız, 2019/10 sayılı karar gereği bildirimle birlikte gecikmenin nedenlerini de açıklarsınız; formda bunun için ayrı bir alan bulunur. Ama gerekçe yazmak cezayı kendiliğinden önlemiyor: 2020/905 sayılı kararda gerekçe yazılmıştı ve Kurul yine ceza verdi.

Kurula bildirim nasıl yapılır?

Bildirim, Kurumun internet sitesindeki Veri İhlali Bildirimi sayfasından erişilen çevrimiçi formla yapılır. Aynı sayfadaki Word formunu doldurup "Kişisel veri ihlali bildirimi" konulu bir e-postayla ihlalbildirimi@kvkk.gov.tr adresine göndermek ya da onaylı postayla Kuruma yollamak da mümkündür. Kurul formun kullanılmasını önemsiyor: hakkında işlem yapmadığı bir veri sorumlusuna bile formun kullanılmasına dikkat edilmesi gerektiğini ayrıca hatırlattı (2025/833).

Çevrimiçi formda ilk bölüm kaydedildiğinde ekranda bir güvenlik kodu (takip numarası) çıkar; sonraki güncellemeler bu kodla yapıldığı için kodu kaydetmeniz gerekir. "Kaydet ve Kuruma Gönder" düğmesine bastıktan sonra yalnız ekler bölümü değiştirilebilir, bu yüzden metin hazır olana kadar yalnız "Kaydet" kullanılmalıdır. Form yalnız veri sorumlusu tarafından doldurulur; avukat ya da danışman sizin adınıza bildirim yapacaksa vekaletname veya sözleşme gibi yetki belgesi eklenir. Forma ihlale konu kişisel verilerin kendisi yazılmaz.

Formun istediği bilgiler beş başlık altında toplanıyor:

• Hakkınızda. Şirketin unvanı, adresi, vergi kimlik numarası, KEP ve UETS adresi ile bildirimi hazırlayan kişinin bilgileri istenir.
• İhlal hakkında. Bildirimin ilk bildirim mi takip bildirimi mi olduğu, ihlalin başlama, sona erme ve tespit tarihi ile saati, ihlal veri işleyende olduysa onun bilgileri ve size bildirdiği an, ihlalin kaynağı ve nasıl tespit edildiği, etkilenen veri kategorileri, kişi ve kayıt sayısı ile etkilenen kişi grupları sorulur. Özel nitelikli veriler ayrıca işaretlenir; sayılar tahminiyse kesin sayının neden belirlenemediği açıklanır.
• Bildirim. 72 saat aşıldıysa gecikmenin sebebi, kişilere bildirimin yapılıp yapılmadığı, tarihi, yöntemi ve örneği, kişilerin bilgi alabileceği iletişim kanalları ve polis gibi yurt içindeki ya da yurt dışındaki başka kurumlara bilgi verilip verilmediği yazılır.
• Olası sonuçlar. Kişiler ve şirket üzerindeki etki düşükten çok yükseğe kadar derecelendirilir.
• Önlemler. İlgili çalışanların son bir yılda aldığı eğitimler ile ihlalden önce alınmış ve ihlalden sonra alınan ya da planlanan teknik ve idari tedbirler belgeleriyle birlikte bildirilir.

2019/10 sayılı karar, bilgilerin aynı anda sağlanamadığı hallerde "gecikmeye mahal verilmeksizin aşamalı olarak" sağlanmasını kabul ediyor. Yani doğru yol, tahmini sayılarla ve "henüz bilinmiyor" seçenekleriyle ilk bildirimi süresinde yapmak, sonra takip bildirimiyle tamamlamaktır. Son bölüme ayrıca özen gösterin: Kurul cezanın büyük kısmını ihlalden önce alınmamış tedbirlerden kuruyor ve bir tedbirin ancak ihlalden sonra devreye alınmasını, örneğin iki aşamalı doğrulamanın ya da saldırı tespit sisteminin sonradan kurulmasını, önceden alınmadığının kanıtı sayıyor (2020/286, 2023/412, 2025/88).

İlgili kişilere bildirim ne zaman ve nasıl yapılır?

2019/10 sayılı karara göre etkilenen kişilerin belirlenmesinden sonra "makul olan en kısa süre içerisinde" bildirim yapılır; kişinin iletişim adresine ulaşılabiliyorsa bildirim doğrudan kişiye, ulaşılamıyorsa internet sitesinde yayım gibi uygun bir yöntemle yapılır. Sitede duyuru yalnız doğrudan ulaşamadığınız kişiler için yedek bir yoldur. 2020/905 sayılı kararda Kurul, ilgili kişiler tespit edilmiş olduğu için şirketin sitesinde yaptığı duyuruyu kişilere bildirim saymadı.

Bildirimin içeriğini Kurul 18.09.2019 tarihli ve 2019/271 sayılı kararıyla belirledi. Bildirim açık ve sade bir dille yapılır ve asgari olarak şunları içerir: ihlalin ne zaman gerçekleştiği; kişisel veri ve özel nitelikli kişisel veri ayrımı yapılarak hangi verilerin etkilendiği; ihlalin olası sonuçları; olumsuz etkileri azaltmak için alınan ya da kişiye önerilen tedbirler; ve kişinin bilgi alabileceği irtibat kişisinin adı ve iletişim bilgileri ya da internet sayfasının tam adresi, çağrı merkezi gibi iletişim yolları. Önerilen tedbirler kısmına şifresini değiştirmesi, kart bilgisi isteyen aramalara itibar etmemesi gibi somut uyarılar yazılır.

Bildirimi kısaltıp ayrıntıyı talep edene bırakmak da yeterli görülmüyor. 4.792 müşterinin verisinin bir forumda satışa çıkarıldığı dosyada şirket herkese kısa bir bilgilendirme yazısı göndermiş, ayrıntılı yazıyı yalnız talep edenlere iletmişti; Kurul ilk yazının 2019/271 unsurlarını içermediğini, ek bilgi istemeyenlerin ihlal hakkında yeterli bilgiye ulaşamayacağını belirterek bildirimlerin etkilenen herkese bu unsurlarla yapılmasını hatırlattı (2021/1021). Kişilere hiç bildirim yapmamak ise ayrı bir cezaya dönüşüyor: 505.337 müşterinin adı, telefonu ve e-posta adresinin ele geçirildiği restoran zinciri dosyasında Kurul, tedbir eksikliği için verdiği 800.000 TL'nin yanında, kişilere 2019/271'e uygun bildirim yapılmadığı için 200.000 TL daha ceza verdi (2025/88).

Kurul da ihlali ilan edebilir (m. 12/5, son cümle). Kurum bu kararı verirken etkilenen kişi grubu ve sayısı, verilerin niteliği, ihlalin gerçekleşme şekli, sektör ve sizin kişilere bildirim yapıp yapmadığınız gibi ölçütlere bakıyor. 25.12.2025 tarihli ve 2025/2451 sayılı kararla ilan süresi 60 günle sınırlandı; kişilere bildirim yaptığınızı belgelerseniz ilan daha önce kaldırılıyor.

İhlal veri işleyende olduysa kim bildirir?

Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişidir (m. 3/1-ğ): bulut sunucu sağlayıcısı, muhasebe ya da bordro yazılımı, e-ticaret entegrasyon firması, kargo şirketi, çağrı merkezi bu konumda olabilir. 2019/10 sayılı karara göre ihlal veri işleyende olursa veri işleyen bunu "herhangi bir gecikmeye yer vermeksizin" veri sorumlusuna bildirir. Kurula ve kişilere bildirim yükümlülüğü ise veri sorumlusundadır; form da yalnız veri sorumlusunca doldurulur.

Süre bakımından kılavuz, veri işleyenin size bildirdiği anı sizin ihlalden haberdar olduğunuz an sayıyor; 72 saat buradan başlar. Ancak formda veri işleyenin ihlali tespit ettiği tarih ve size bildirdiği tarih ayrı ayrı soruluyor ve bu yazışmanın belgesi isteniyor, yani aradaki gecikme Kurulun gözü önünde oluyor. Ayrıca 12. maddenin ikinci fıkrasına göre veri sorumlusu, tedbirlerin alınması konusunda veri işleyenle birlikte müştereken sorumludur. Eski e-ticaret entegrasyon firmasında gerçekleştiği anlaşılan ihlalde Kurul, şirketin 72 saat içinde bildirim yapmasına rağmen veri işleyeni denetlemediği, ondan sızma testi raporu almadığı ve ilişki bittikten sonra verilerin imhasını sağlamadığı gerekçesiyle 450.000 TL ceza verdi (2021/1021). Önerim, veri işleyen sözleşmelerine ihlalin size kaç saat içinde ve hangi bilgilerle bildirileceğini, inceleme sırasında iş birliğini ve sözleşme bitince verilerin tutanakla imhasını açıkça yazmanızdır.

Yurt dışında yerleşik bir veri sorumlusu da, ihlal Türkiye'de yerleşik kişileri etkiliyor ve bu kişiler ürün ve hizmetlerden Türkiye'de yararlanıyorsa aynı esaslarla Kurula bildirim yapar (2019/10). Uluslararası bir meslek kuruluşunun Türk üyelerinin listesi oltalama yoluyla ele geçirildiğinde Kurul, kuruluşa süresinde bildirim yapmadığı için 250.000 TL ceza verdi (2024/728), özette yer bakımından uygulama ayrıca tartışılmıyor; buna karşılık Türkiye'de hiçbir varlığı bulunmayan ve hizmetini yalnız Hong Kong'da sunan bir otel işletmesini bildirimle yükümlü saymadı (2025/601).

Bildirim yapılmazsa ya da geç yapılırsa ne olur?

Kurul bir ihlal dosyasında iki ayrı soruyu inceliyor: ihlalden önce yeterli teknik ve idari tedbir alınmış mıydı (m. 12/1) ve ihlal süresinde Kurula ve kişilere bildirildi mi (m. 12/5). İkisi de 12. maddedeki veri güvenliği yükümlülüğü olduğu için ceza aynı bentten, 18. maddenin birinci fıkrasının (b) bendinden verilir, ama Kurul tutarları ayrı ayrı belirliyor. İncelediğim kararlarda Kurul, tedbir eksikliği ve bildirim için sırasıyla 70.000 TL ile 30.000 TL (2019/352), 1.000.000 TL ile 100.000 TL (2020/286), 225.000 TL ile 50.000 TL (2020/744), 300.000 TL ile geç bildirim ve kişilere usulüne uygun bildirim yapılmaması için 30.000 TL (2020/905), 600.000 TL ile hiç bildirim yapılmaması için 200.000 TL (2021/427), 750.000 TL ile 250.000 TL (2024/728) ve 800.000 TL ile kişilere bildirim yapılmaması için 200.000 TL (2025/88) ceza verdi. Bildirimin süresinde yapıldığı dosyalarda ise bildirim için ayrı bir ceza yok: 2021/1021'de Kurul süreye uyulduğunu tespit etti, 2023/412'de şirketin süresinde bildirim beyanı karşısında ayrı yaptırım uygulamadı.

Bildirim cezası çoğu dosyada tedbir cezasından küçüktür ve asıl yükü ihlalden önceki güvenlik düzeyi belirler; ama zamanında yapılmış bir bildirim cezanın bir kalemini tamamen ortadan kaldırıyor. 18. maddenin (b) bendindeki tutarlar 2016 değerleriyle yazılıdır ve Kabahatler Kanunu m. 17/7 gereği her yıl yeniden değerleme oranında artar; yukarıdaki rakamlar kararların verildiği yıla aittir.

Bildirimden sonra Kurul çoğu zaman bilgi ve belge ister; bunları on beş gün içinde göndermek zorundasınız (m. 15/3). 2021/427 sayılı kararda şirket Kurumun bilgi belge talebine cevap vermemişti ve Kurul ayrıca Kanuna uyum konusunda azami özen gösterilmesi talimatı verdi. Cezaya karşı 2024'ten beri idare mahkemesinde dava açılıyor (m. 18/3); bu yolu KVKK cezası gelen şirketin ilk refleksi yazısında anlattım. Etkilenen kişiler de zararlarının giderilmesini isteyebilir (m. 11/1-ğ) ve kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır (m. 14/3); 2019/352 sayılı dosyada banka müşterilerin tüm zararlarını tazmin ettiğini bildirmişti.

Siber Güvenlik Başkanlığına da bildirim gerekir mi?

19 Mart 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu ayrı bir bildirim yükümlülüğü getiriyor. Kanun'un 7. maddesinin birinci fıkrası, Kanun kapsamında yer alan ve "bilişim sistemleri kullanmak suretiyle hizmet sunan, veri toplayan, işleyen" herkese, hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları "gecikmeksizin Başkanlığa bildirmek" görevini yüklüyor ((b) bendi). Siber olay, bilişim sistemlerinin ya da verinin gizlilik, bütünlük veya erişilebilirliğinin ihlal edilmesidir (m. 3/1-g); fidye yazılımı ve sistem sızmaları bu tanıma doğrudan girer. Bu yükümlülüğü yerine getirmeyenler için 16. maddenin onuncu fıkrasında bir milyon liradan on milyon liraya kadar idari para cezası öngörülüyor.

Kanun metninde bu bildirim için KVKK'daki gibi saat cinsinden bir süre ya da form yok; uygulama düzenlemeleri Başkanlığa bırakılmış. Bu yazıyı hazırlarken Başkanlığın özel sektör için bildirim usulünü belirleyen bir metnini incelemedim; bu yüzden usul konusunda bir şey söylemiyorum. Kesin olan şudur: KVKK'ya yapılan bildirim 7545 sayılı Kanun'daki bildirimin yerine geçmez, iki ayrı makam ve iki ayrı yükümlülük vardır. KVKK formu da yurt içindeki başka kurumlara bilgi verilip verilmediğini ayrıca soruyor. Sızdırılmış kişisel verileri izinsiz olarak paylaşan ya da satışa çıkaranlar için aynı Kanun'da hapis cezası öngörülüyor (m. 16/4); verileriniz satışa çıkarıldıysa bu, suç duyurusu için ayrı bir dayanaktır.

Şirkette nasıl bir ihlal müdahale planı olmalı?

2019/10 sayılı karar veri sorumlusundan bir veri ihlali müdahale planı hazırlamasını ve planı belirli aralıklarla gözden geçirmesini istiyor; plan, ihlal halinde şirket içinde kimlere raporlama yapılacağını, Kanun kapsamındaki bildirimleri, olası sonuçların değerlendirilmesini ve sorumluluğun kimde olduğunu göstermeli. Aynı karar ihlallere ilişkin bilgilerin, etkilerin ve alınan önlemlerin kayıt altına alınmasını ve Kurulun incelemesine hazır tutulmasını da istiyor. Önerim şu düzendir:

• Sorumlu ve vekili. Olay haberini kimin alacağı, kimin karar vereceği ve Kurula kimin bildirim yapacağı adıyla yazılı olsun; plan yılda en az bir kez bir senaryoyla denensin.
• Saat kaydı. Olayın şirkette ilk kez kimin tarafından, hangi gün ve saatte fark edildiği hemen kayda geçsin. 72 saat buradan hesaplanır.
• Delilin korunması. Etkilenen bilgisayar kapatılmadan ve biçimlendirilmeden önce bilgi işlem ya da dış uzmanla görüşülsün, kayıtlar ve imajlar saklansın. 2025/88 sayılı dosyada saldırganlardan mesaj alan çalışan paniğe kapılıp bilgisayarını biçimlendirmiş ve diskini çıkarmıştı; kayıtlar olmadan kişi sayısını ve veri kategorilerini forma doğru yazmak da zorlaşır.
• İlk bildirim taslağı. Formun ilk iki bölümü önceden doldurulmuş bir şablon olarak hazır dursun; 72 saat dolmadan elde olan bilgiyle ilk bildirim gitsin, kalanı takip bildirimiyle tamamlansın.
• Kişilere bildirim şablonu. 2019/271'deki beş unsuru içeren, sade dilde bir metin ve müşteri, çalışan, aday gibi grupların güncel iletişim bilgilerine hızla ulaşma yolu hazır olsun.
• Veri işleyen sözleşmeleri. Bildirim süresi, iş birliği, kayıtların paylaşımı ve sözleşme sonunda imha hükümleri sözleşmelerde bulunsun; veri işleyenin güvenlik testleri dönemsel olarak istensin.
• Diğer makamlar. Siber Güvenlik Başkanlığına bildirim, gerekiyorsa suç duyurusu ve varsa siber sigorta poliçesindeki bildirim süreleri aynı listede yer alsın.
• İhlal kaydı ve eğitim belgeleri. Her olay, Kurula bildirilmeyenler de dahil, gerekçesiyle kayda geçsin. Formda çalışanların son bir yılda aldığı eğitimler sorulduğu için eğitim kayıtları da belgeli tutulsun.

Bu yazı 9 Kasım 2026 itibarıyla durumu anlatıyor.

Süreç, süreler ve sık sorulanlar: Bilişim hukuku, siber güvenlik ve KVKK sayfası