Veri ihlali, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. Kanun, veri sorumlusuna bunu en kısa sürede hem Kurula hem ilgilisine bildirme yükümlülüğü yükler. Kişisel Verileri Koruma Kurulu, Kurula bildirim bakımından bu ifadeyi 72 saat olarak yorumlamıştır: süre ihlalin gerçekleştiği andan değil, veri sorumlusunun öğrendiği tarihten itibaren işler. İlgili kişilere bildirim ise etkilenenler belirlendikten sonra makul olan en kısa sürede yapılır.
1. Veri İhlali Nedir?
Ölçüt, kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmiş olmasıdır.
Tanım kanunun kendi ifadesinden çıkar: kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi. Bu kapsama girebilen olaylar siber saldırı ve fidye yazılımı, çalışan eliyle yetkisiz erişim veya sızdırma, verinin yanlış alıcıya gönderilmesi, şifrelenmemiş cihazın kaybı ya da çalınması ve sunucu yapılandırma hatası nedeniyle verilerin dışarıya açılmasıdır.
Ölçüt zararın gerçekleşmiş olması değildir; verinin yetkisiz kişilerce elde edilmiş olması yeterlidir.
2. Veri İhlali Kime Bildirilir?
Veri sorumlusu, ihlali hem ilgili kişiye hem Kurula bildirir. Bu bildirim yükümlülüğü, ihlali önlemek için güvenlik tedbirleri alma yükümlülüğünden ayrıdır. KVKK m.12 önce veri güvenliğini düzenler:
Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.12)
Bildirim yükümlülüğü ise aynı maddenin beşinci fıkrasındadır:
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.12)
Kanun, bildirim süresini “en kısa sürede” ifadesiyle düzenler. Kurulun bu ifadeye ilişkin 72 saatlik süre kararı aşağıda açıklanmıştır.
3. AYM: Bildirim ile Veri Güvenliği Aynı Şey Değildir
Bildirim, kanuni yükümlülüğün yerine getirilmesidir; tek başına kusurun kabulü anlamına gelmez. Süresi ve içeriği, veri güvenliği tedbirlerinden ayrı değerlendirilir.
Veri ihlalini süresinde bildirmek, ihlalden önce alınması gereken teknik ve idari tedbirlerin yeterli olduğu anlamına gelmez. Anayasa Mahkemesi Genel Kurulu, geniş ölçekli bir konaklama veri ihlaline ilişkin idari para cezasını incelerken iki kavramı açıkça ayırmıştır:
Bu noktada kişisel verilerin korunması ile veri güvenliğinin korunmasının birbirinden farklı olduğunun altı çizilmelidir. Kişisel verilerin korunması ile asıl olarak kişisel verilerin işlenmesi sırasında temel hak ve özgürlüklerin korunması ile verilerin işlenmesi sırasındaki hukuki sınırlar ifade edilirken veri güvenliğinin korunmasında ise verilerin bizzat kendisinin korunması için alınması gereken teknik ve idari tedbirler anlaşılmaktadır. Veri güvenliği ile hukuka uygun bir biçimde işlenen ve depolanan kişisel verilere tesadüfen veya yetkisiz kişilerce ulaşılması, bu verilerin değiştirilmesi veya alenileştirilmesi gibi risklere karşı uygun güvenlik önlemleriyle bu verilerin korunması amaçlanmaktadır.
(Anayasa Mahkemesi Genel Kurulu, B. No: 2020/7518, T. 12.10.2023, § 58 — ihlal)
AYM, uygun güvenlik seviyesinin belirlenmesinde işleme faaliyetinin doğurduğu risklerin, işletmenin büyüklüğü ve mali yapısının, yapılan işin ve korunan verinin niteliğinin birlikte değerlendirilmesi gerektiğini belirtmiştir. Buna göre 72 saat içinde bildirim yapılmış olması yalnız bildirim yükümlülüğü bakımından önem taşır; erişim yetkileri, şifreleme, loglama, ağ güvenliği, yedekleme ve olay müdahale düzeni gibi önlemlerin yeterliliği ayrıca incelenir.
Kararın sonucu da dikkatle sınırlandırılmalıdır. AYM, idari para cezasını esastan kaldırmamış; veri sorumlusu sıfatı, cezanın zaman bakımından uygulanması, bildirimin süresi, kusur ve ölçülülük gibi sonuca etkili itirazların yargı merciince karşılanmaması nedeniyle mülkiyet hakkının ihlal edildiğine ve yeniden yargılama yapılmasına karar vermiştir. Bu nedenle karar “bildirim yapılırsa ceza verilemez” şeklinde okunamaz; hem güvenlik tedbirlerinin hem de bildirim zaman çizelgesinin ayrı ayrı belgelenmesi gerektiğini gösterir.
4. KVKK Veri İhlali Bildirimi Kaç Saat İçinde Yapılır?
Süre, Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin Kararı ile belirlenmiştir. Kurul bu kararında, Kanunun 12. maddesinin beşinci fıkrasındaki “en kısa sürede” ifadesinin 72 saat olarak yorumlanmasına ve veri sorumlusunun bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesine karar vermiştir. Aynı kararda, ihlalden etkilenen kişilerin belirlenmesinden sonra ilgili kişilere de makul olan en kısa süre içinde bildirim yapılması öngörülmüştür.
Kararın bağlayıcı süre ölçütü şöyledir:
Kanunun 12 nci maddesinin (5) numaralı fıkrasının “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir….” hükmünde yer alan “en kısa sürede” ifadesinin 72 saat olarak yorumlanmasına ve bu kapsamda veri sorumlusunun bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesine, veri sorumlusunca söz konusu veri ihlalinden etkilenen kişilerin belirlenmesini müteakip ilgili kişilere de makul olan en kısa süre içerisinde, ilgili kişinin iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi web sitesi üzerinden yayımlanması gibi uygun yöntemlerle bildirim yapılmasına,
(Kişisel Verileri Koruma Kurulu, 24.01.2019 tarihli ve 2019/10 sayılı karar)
Kurul ayrıca haklı bir gerekçeyle 72 saat içinde bildirim yapılamamışsa, gecikme nedenlerinin bildirimle birlikte açıklanmasını ister. Bu hüküm süreyi kendiliğinden uzatmaz; gecikmenin gerekçelendirilmesini ve kayıt altına alınmasını gerektirir.
Süre ihlalin öğrenilmesiyle başladığından şirket içi olay müdahale kaydının, ihlalin hangi birimce ne zaman fark edildiğini ve yönetime ne zaman raporlandığını göstermesi gerekir. Öğrenme anını belgeleyemeyen veri sorumlusu, süreyi tuttuğunu da ispatlayamaz.
Yer bakımından uygulama da gündeme gelir. Kurumun Kişisel Verilerin Yurt Dışına Aktarılması Rehberi, 2019/10 sayılı Karara atıfla, ihlalin yurt dışında yerleşik bir veri sorumlusu nezdinde yaşanması hâlinde bile, sonuçlarının Türkiye’de yerleşik ilgili kişileri etkilemesi ve bu kişilerin sunulan ürün ve hizmetlerden Türkiye’de yararlanması durumunda aynı esaslar çerçevesinde Kurula bildirimde bulunulacağı yönündeki değerlendirmeye yer verir. Yurt dışı merkezli bir sağlayıcıda yaşanan ihlali otomatik olarak kapsam dışı saymamak gerekir.
5. Geç Bildirimin Sonucu Ne Oluyor?
Kurul kararları bu noktada oldukça somuttur. Süresinde yapılan bildirimlerde Kurul, veri sorumlusu hakkında bu kapsamda yapılacak bir işlem bulunmadığı yönünde karar verebilmektedir; örneğin ihlalin tespit edildiği tarihten üç gün içinde bildirim yapılan bir dosyada bu sonuca varılmıştır (Kişisel Verileri Koruma Kurulu, 17.09.2020 tarihli ve 2020/715 sayılı karar).
Buna karşılık, ihlalin öğrenilmesinden itibaren 72 saatlik süre geçirildiğinde Kurul bildirim koşulunun sağlanmadığını tespit etmektedir; bir bankaya ilişkin dosyada ihlalin kurum içi tespitinden yaklaşık bir ay sonra yapılan bildirim bu şekilde değerlendirilmiştir (Kişisel Verileri Koruma Kurulu, 29.09.2020 tarihli ve 2020/744 sayılı karar).
Bu kararlar, bildirim yükümlülüğünün yerine getirilip getirilmediğinin ayrıca incelendiğini gösterir.
İhlalin kapsamını belirleme çalışması ile bildirim hazırlığı birlikte yürütülmelidir. İncelemenin sürmesi, öğrenme anında başlayan bildirim süresini kendiliğinden uzatmaz.
6. Veri İhlali Bildirimi Nasıl Hazırlanır?
- Öğrenme anını kayda geçirin. Tarih, saat, fark eden kişi ve bildirim zinciri yazılı olsun; 72 saat buradan işler.
- İhlali sınırlayın. Erişimi kesin, oturumları sonlandırın, şifreleri değiştirin, kanıtları koruyun.
- Kapsamı belirleyin. Hangi veri kategorileri, kaç kişi ve kaç kayıt etkilendi?
- Kurula bildirin. Öğrenmeden itibaren en geç 72 saat içinde, Kurumun öngördüğü form ve asgari unsurlarla.
- İlgili kişilere bildirin. Etkilenenler belirlendikten sonra makul olan en kısa sürede, doğrudan ve anlaşılır biçimde.
- Tedbirleri belgeleyin. Alınan teknik ve idari önlemleri kaydedin; bu kayıtlar incelemede tedbirlerin değerlendirilmesini sağlar.
- Kayıt altına alın. İhlal, etkileri ve alınan aksiyonlar iç kayıtta saklanmalıdır.
7. VERBİS ve Diğer Yükümlülükler
İhlal yönetimi tek başına yeterli değildir; sicil yükümlülüğü ayrıca işler:
Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.16)
İhlale konu verilerin arasında sağlık, biyometrik veya inanç bilgisi gibi hassas veriler varsa ek yükümlülükler doğar; bu verilerin rejimi için özel nitelikli kişisel veri yazımıza bakabilirsiniz.
8. Yaptırım
Yaptırım kademesi m.18/1-b olup tutarlar her yıl yeniden değerlemeye tabidir.
a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında … b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında … c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında … ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında …
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.18)
Bildirim yükümlülüğü m.12 kapsamında olduğundan, geç veya hiç yapılmayan bildirim (b) bendindeki kademeyi gündeme getirir. Kanun metninde yazılı tutarlar eski tarihli taban değerlerdir ve bugün uygulanmaz; bu nedenle yukarıdaki alıntıda gösterilmemiştir. Kişisel Verileri Koruma Kurumunun yayımladığı tabloya göre (b) bendi için 2026 yılında uygulanan ceza 256.357 Türk lirasından 17.092.242 Türk lirasına kadardır.
(Kişisel Verileri Koruma Kurumu, “6698 Sayılı Kişisel Verilerin Korunması Kanunu Kapsamında İdari Para Cezası Tutarları” duyurusu ve eki tablo, yayınlanma tarihi 31 Aralık 2025; kvkk.gov.tr üzerinde 21.09.2026 tarihinde görüldü. Tablo Kurumun idari duyurusudur, kanun metni değildir; tutarlar Kabahatler Kanunu m.17/7 uyarınca her takvim yılı başında yeniden değerlemeyle değişir.)
İlgili yazılar: Veri Sorumlusu Kimdir? Veri İşleyenden Farkı ve Yükümlülükleri · KVKK Kuruluna Şikâyet: Süre, Usul ve Kurul Kararına İtiraz · VERBİS Kaydı: Kimler Zorunlu, Süresi ve Kaydetmemenin Yaptırımı · Özel Nitelikli Kişisel Veri Nedir? İşleme Şartları · TCK 136 Kişisel Verileri Hukuka Aykırı Ele Geçirme ve Yayma Suçu · Bilişim Suçları Nelerdir? Türleri ve Cezaları
Sıkça Sorulan Sorular
Veri ihlali nedir?
Kanun bunu, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi olarak tanımlar. Siber saldırı, yetkisiz erişim, verilerin yanlış alıcıya gönderilmesi, kayıp veya çalınan cihaz ve yanlış yapılandırma sonucu verilerin internete açılması bu kapsamdaki örneklerdir.
Veri ihlali kaç saat içinde bildirilir?
Kanun süreyi en kısa süre olarak yazar. Kurul, 24.01.2019 tarihli ve 2019/10 sayılı Kararında bu ifadeyi 72 saat olarak yorumlamış; veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesi gerektiğini belirlemiştir. Süre öğrenme anından işler.
72 saatlik süre ne zaman başlar?
İhlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği tarihten itibaren başlar. Bu nedenle şirket içinde ihlalin hangi birim tarafından ne zaman fark edildiği ve yönetime ne zaman iletildiği belgelenmelidir; öğrenme anı, sürenin tek başlangıç noktasıdır.
Bildirim yalnızca Kurula mı yapılır?
Hayır. Kanun hem Kurula hem ilgilisine bildirim öngörür. Kurul kararına göre veri sorumlusu, ihlalden etkilenen kişileri belirledikten sonra bu kişilere de makul olan en kısa süre içinde bildirim yapmalıdır. İki bildirim ayrı yükümlülüktür; biri diğerinin yerine geçmez.
Süresinde bildirim yaparsam ceza almaz mıyım?
Kurul, süresinde bildirim yapılan ve ilgili kişilere de bilgi verilen dosyalarda veri sorumlusu hakkında bu kapsamda yapılacak işlem bulunmadığına karar verebilmektedir. Ancak bu, ihlale yol açan güvenlik eksikliği bakımından ayrıca değerlendirme yapılmayacağı anlamına gelmez.
Geç bildirimin sonucu nedir?
Kurul kararlarında, ihlalin öğrenilmesinden itibaren 72 saatlik süre içinde bildirim yapılmadığı hâllerde bildirim koşulunun sağlanmadığı tespit edilmektedir. Bu tespit, veri güvenliğine ilişkin yükümlülüklerin ihlali kapsamında idari para cezası gündeme gelmesinin yolunu açar.
Yurt dışındaki bir sağlayıcıda yaşanan ihlal Türkiye’yi ilgilendirir mi?
Kurumun Yurt Dışına Aktarma Rehberi, 2019/10 sayılı Karara atıfla, ihlal yurt dışında yerleşik veri sorumlusu nezdinde yaşansa bile sonuçları Türkiye’deki ilgili kişileri etkiliyor ve bu kişiler ürün ve hizmetlerden Türkiye’de yararlanıyorsa aynı esaslar çerçevesinde bildirimde bulunulacağı değerlendirmesine yer verir.
İhlal bildiriminde neler yer almalı?
Bildirim, ihlalin ne zaman ve nasıl gerçekleştiğini, etkilenen kişi ve kayıt sayısını, etkilenen veri kategorilerini, olası sonuçlarını ve alınan teknik idari tedbirleri içermelidir. Kurum, bildirimin bu unsurları taşıyan standart form üzerinden yapılmasını öngörmektedir.
Her küçük hata veri ihlali sayılır mı?
Ölçüt, kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmiş olmasıdır. Yetkisiz kişinin veriye erişmediği ve verinin dışarı çıkmadığı bir sistem arızası bu tanıma girmeyebilir; ancak değerlendirme somut olaya göre yapılır ve şüphe hâlinde kayıt tutulması önerilir.
Bildirim yapmak sorumluluğu kabul anlamına gelir mi?
Bildirim, kanuni bir yükümlülüğün yerine getirilmesidir; kusurun kabulü değildir. Aksine, süresinde ve eksiksiz bildirim Kurul incelemesinde veri sorumlusunun lehine değerlendirilebilecek bir unsurdur. Bildirimden kaçınmak ise ayrı bir aykırılık doğurur.
Veri ihlalinde ilgili kişiler ne yapabilir?
İlgili kişi öncelikle veri sorumlusuna başvurur; sonucu yetersiz görürse veya süresinde yanıt alamazsa Kurula şikâyette bulunabilir. Ayrıca ihlal nedeniyle zarara uğradığını ileri süren kişinin genel hükümlere göre tazminat talep etme hakkı saklıdır.
Veri ihlali suç duyurusu gerektirir mi?
İhlal bir siber saldırıdan kaynaklanıyorsa bu durum ayrıca ceza hukukunu ilgilendirir ve suç duyurusunda bulunulabilir. İdari süreç ile ceza süreci birbirinden bağımsızdır; Kurula bildirim yapılmış olması cezai soruşturmayı etkilemez, tersi de geçerlidir.
İlgili çalışma alanı: Bilişim Hukuku ve KVKK
← Tüm makaleler