Kişisel Veri İhlali Bildirim Süreci Nasıl İşler?

Veri ihlali, uyum çalışmalarının en çok prova edilmesi gereken başlığıdır; çünkü ihlal gerçekleştiğinde karar vermek için ayrılan süre saatlerle ölçülür. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusuna, durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirme yükümlülüğü yükler.¹

Hangi olaylar “veri ihlali” sayılır?

İhlal yalnızca siber saldırı değildir. Yetkisiz kişilerin sisteme erişmesi, verinin yanlış alıcıya gönderilmesi, toplu e-postada alıcı adreslerinin birbirine açık biçimde görünmesi, kaybolan ya da çalınan dizüstü bilgisayar ve harici bellekler, yanlış yapılandırma nedeniyle internete açık kalan veritabanları ve çalışanın yetkisi dışında veri kopyalaması da bu kapsamda değerlendirilebilir. Belirleyici olan, verinin hukuka aykırı biçimde başkaları tarafından elde edilip edilmediğidir.

Süreler: 72 saat kuralı

Kurul, Kanun’daki “en kısa sürede” ifadesini somutlaştırmıştır. Buna göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapar. Haklı bir gerekçeyle bu süre içinde bildirim yapılamazsa, gecikmenin nedenleri bildirimle birlikte Kurula açıklanır.²

Süre takvim günü üzerinden işler; hafta sonu ve resmî tatiller süreyi durdurmaz. Sürenin başlangıcı ihlalin “öğrenilmesi” anıdır; bu nedenle kuruluş içinde ihlalin kime, nasıl ve ne kadar sürede raporlanacağının önceden tanımlanmış olması gerekir. Bilgi işlem biriminde fark edilen bir olayın günler sonra hukuk birimine ulaşması, pratikte sürenin kaçırılmasının en yaygın sebebidir.

İlgili kişilere bildirim ise, ihlalden etkilenen kişilerin belirlenmesini takiben makul olan en kısa sürede yapılır. Bildirim doğrudan yapılabiliyorsa doğrudan; yapılamıyorsa veri sorumlusunun internet sitesinde yayımlanması gibi uygun yöntemlerle gerçekleştirilir.

Bildirimde hangi bilgiler yer alır?

Kurula yapılacak bildirim, Kurumun internet sitesinde yayımlanan Kişisel Veri İhlal Bildirim Formu üzerinden yapılır. Kurul, bildirimin asgari içeriğini ayrıca belirlemiştir: ihlalin ne zaman gerçekleştiği, kişisel veri kategorileri bazında hangi verilerin etkilendiği, etkilenen kişi ve kayıt sayısı, ihlalin olası sonuçları, alınan veya alınması önerilen tedbirler ile irtibat kişisinin bilgileri.³ Bilgilerin tamamı 72 saat içinde netleşmemişse, eldeki bilgilerle bildirim yapılıp eksikler sonradan tamamlanabilir; bildirimi geciktirmemek esastır.

Kurumun internet sitesinde ilan

Kurul, ihlalin niteliğine ve kapsamına göre bildirimi kendi internet sitesinde ilan edebilir. Değerlendirmede ihlalin ağırlığı, etkilenen kişi sayısı ve veri kategorileri dikkate alınır. Kurul, 2025 yılı sonunda aldığı bir kararla bu ilanların yayımda kalma süresini 60 günle sınırlamış; veri sorumlusunun ilgili kişilere daha kısa sürede bildirim yaptığını ispatlaması hâlinde ilanın daha erken kaldırılabileceğini belirtmiştir.⁴

Veri işleyen nezdinde gerçekleşen ihlaller

Bildirim yükümlülüğü veri sorumlusuna aittir. Buna karşılık ihlal çoğu zaman bir hizmet sağlayıcının sistemlerinde ortaya çıkar. Bu nedenle veri işleyenle yapılan sözleşmede, ihlalin öğrenilmesi hâlinde gecikmeksizin veri sorumlusuna bildirim yapılacağının ve bildirim içeriğinin kararlaştırılması gerekir. Veri güvenliğine ilişkin yükümlülükler bakımından veri sorumlusu ile veri işleyenin müştereken sorumlu olduğu da (m. 12/2) göz önünde bulundurulmalıdır.

İhlal anında izlenecek adımlar

1. Olayı teyit edin ve kayıt altına alın: ne zaman, nasıl fark edildi, hangi sistemler etkilendi?
2. Yayılmayı durdurun: erişim yetkilerini kısıtlayın, parolaları değiştirin, açık uçları kapatın.
3. Kapsamı belirleyin: hangi veri kategorileri, kaç kişi ve kaç kayıt etkilendi?
4. 72 saatlik süreyi başlatın ve Kurula bildirim için gerekli bilgileri toplayın.
5. İlgili kişilere yapılacak bildirimin içeriğini ve kanalını hazırlayın.
6. Kök nedeni giderin, alınan tedbirleri belgeleyin ve ihlal kayıt tablosunu güncelleyin.

Bu adımların ihlal anında değil, önceden yazılı bir ihlal müdahale planına bağlanmış olması gerekir. Planın yılda en az bir kez tatbikat niteliğinde gözden geçirilmesi, sürelerin tutturulabilmesi bakımından belirleyicidir.

Uygulamada sık yapılan hatalar

• 72 saatlik sürenin iş günü sanılması.
• Sürenin, ihlalin öğrenilmesinden değil, incelemenin tamamlanmasından itibaren başlatıldığının düşünülmesi.
• Bilgiler tam olmadığı için bildirimin ertelenmesi; eksik bilgiyle bildirip tamamlamak daha güvenlidir.
• Yalnızca Kurula bildirim yapılıp ilgili kişilere bildirimin atlanması.
• Kuruluş içinde ihlali raporlayacak kişinin ve eskalasyon zincirinin tanımsız bırakılması.
• Tedarikçi sözleşmelerinde ihlal bildirimi için veri sorumlusuna makul süre bırakmayan hükümler.
• İhlal sonrası alınan tedbirlerin belgelenmemesi; Kurul incelemesinde ispat güçlüğü doğurur.

Hukuki Dayanaklar ve Kaynaklar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016, S. 29677.
2. Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kararı.
3. Kişisel Verileri Koruma Kurulunun 18.09.2019 tarihli ve 2019/271 sayılı Kararı.
4. Kişisel Verileri Koruma Kurulunun 25.12.2025 tarihli ve 2025/2451 sayılı Kararı ile Kurumun 20.01.2026 tarihli kamuoyu duyurusu.