Veri İhlali Nedir? KVKK Bildirimi Nasıl Yapılır?

Veri ihlali bildirimi, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun hem ilgili kişiye hem Kişisel Verileri Koruma Kuruluna haber vermesidir. Kanun bildirimin en kısa sürede yapılmasını ister. Bu nedenle ilk iş, olayın kimleri ve hangi verileri etkilediğini araştırırken bildirim hazırlığını da başlatmaktır (6698 sayılı Kişisel Verilerin Korunması Kanunu m.12/5).

Verisi etkilenen kişinin şikâyeti ile işletmenin ihlal bildirimi farklı yollardır. Aşağıdaki açıklamalar, önce bildirim yapacak veri sorumlusunun hazırlığını, ardından ilgili kişinin başvuru seçeneklerini ele alır. 72 saat ifadesinin kanundaki süreyle ilişkisi de resmî form üzerinden ayrıca açıklanmıştır.

1. Veri İhlali Nedir, Hangi Olaylarda Bildirim Gündeme Gelir?

Veri ihlali bildiriminde belirleyici soru, kişisel verilerin kanuni olmayan yollarla başka kişilerce elde edilip edilmediğidir. Yalnız olayın adıyla karar verilmez: bir siber saldırının veri üzerindeki etkisi ile yanlış kişiye gönderilen müşteri listesinin etkisi ayrı ayrı araştırılır. Bildirim hükmü, ayrıca maddi zarar gerçekleşmiş olması şartını içermez (KVKK m.12/5).

Bildirim ile kişinin hak arama yollarının ayrımı, KVKK ana rehberinde genel çerçevesiyle ele alınmıştır.

Örneğin çalışanlara ait kimlik bilgilerinin bulunduğu dosyanın yetkisiz bir alıcıya gönderildiğini düşünelim. İnceleme, dosyada hangi bilgilerin bulunduğuna, alıcının bu bilgilere erişimine ve olayın kapsamına yönelir. Sunucunun kısa süre çalışmaması ise tek başına kişisel verilerin başkalarınca elde edildiğini göstermez. Buna karşılık kişisel verilerin korunması yükümlülüğü, bildirim gerekip gerekmediği incelemesinden bağımsız olarak sürer (KVKK m.12/1, m.12/5).

Kayıp bilgisayar, ele geçirilen hesap veya internete açık klasör gibi olaylarda da aynı ayrım yapılır. Cihazın kaybolduğu bilgisiyle yetinmek yerine içinde kişisel veri bulunup bulunmadığı ve yetkisiz elde etme olup olmadığı araştırılır. İnceleme sürerken alınacak koruma tedbirleri, olayın özelliklerine göre belirlenir; kanun her olay için tek bir teknik çözüm saymaz (KVKK m.12/1).

2. Veri İhlali Bildirimini Kim Yapar, Kime Gönderir?

Veri ihlali bildirimini yapmakla yükümlü kişi veri sorumlusudur. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve araçlarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir. Bildirim hem Kurula hem verileri etkilenen ilgili kişiye yönelir (KVKK m.3/1-ı, m.12/5).

İşlem	İşlemi yapan	Muhatap ve amaç
Veri ihlali bildirimi	Veri sorumlusu	Kurula ve ilgili kişiye olayın bil­di­ril­mesi; KVKK m.12/5
Veri sorumlusuna başvuru	İlgili kişi	Kendi verileri hakkında haklarını veri sorumlusuna yöneltmesi; KVKK m.11, m.13
Kurula şikâyet	Kanundaki başvuru yolunu tüketen ilgili kişi	Ret, yetersiz cevap veya süresinde cevap veril­me­me­si­nin ardından şikâyet; KVKK m.14
VERBİS kaydı	Sicil yükümlülüğü kap­sa­mın­daki veri sorumlusu	Veri Sorumluları Siciline kayıt; KVKK m.16

Bir şirketin Kuruma ihlal formu göndermesi, müşterisinin başvurusunu cevaplamış olduğu anlamına gelmez. Aynı şekilde müşterinin şikâyeti, şirketin bildirim yükümlülüğünü karşılamaz. Her işlem, kendi muhatabı ve koşullarıyla ele alınır (KVKK m.12/5, m.13, m.14).

Olayın yazılım, bulut veya bordro hizmeti sunan başka bir işletmede yaşanması, veri sorumlusunun rolünü kendiliğinden ortadan kaldırmaz. Veriler kendi adına işleniyorsa güvenlik tedbirlerinin alınmasında veri işleyenle müşterek sorumluluk söz konusudur. Ancak her tedarikçi sırf sözleşmesi bulunduğu için veri işleyen sayılmaz; amaç ve araçlara kimin karar verdiği incelenir (KVKK m.3, m.12/2). Ayrımın örnekleri veri sorumlusu ve veri işleyen yazısındadır.

3. Veri İhlali Bildirim Süresi ve 72 Saat Nasıl Ayrılır?

Veri ihlali bildirim süresi kanunda en kısa sürede olarak düzenlenmiştir; maddenin lafzında 72 saat yazmaz. Bildirim hazırlığında bu ayrım korunmalı, kanuni yükümlülük yalnız bir formdaki sayısal alanla açıklanmamalıdır (KVKK m.12/5).

Kişisel Verileri Koruma Kurumunun yayımladığı Kişisel Veri İhlali Bildirim Formu Kılavuzu, tespit tarihini veri sorumlusunun ihlalden ilk haberdar olduğu tarih olarak açıklar. Kılavuzun bildirim bölümünde, tespitten Kurula bildirime kadar geçen süre 72 saati aşmışsa nedeninin açıklanması istenir. Buradaki bilgi resmî formun doldurulmasına ilişkindir; kılavuz kanun metni değildir. Kurumun form kılavuzunda ilgili alanlar görülebilir.

Bu nedenle olayın başlama tarihi, teknik ekip tarafından fark edilme zamanı, veri sorumlusunun haberdar olması ve bildirimin gönderilmesi ayrı kaydedilmelidir. İç yazışmalar ve sistem uyarıları, zaman çizelgesini açıklamaya yardımcı olur. Şirket içindeki son onayın tarihi, daha önce öğrenilmiş olayı kendiliğinden yeni bir olay hâline getirmez.

İlgili kişiye haber verme yükümlülüğü de ayrıca takip edilir. Kuruma gönderim tarihi, kişilere ne zaman ve hangi yöntemle açıklama yapıldığı sorusunu cevaplamaz. Kanun her iki muhatabı da sayar; resmî form ise ilgili kişilere bildirimin tarihini, yöntemini ve örneğini ayrıca sorar (KVKK m.12/5).

4. Veri İhlali Bildirimi Nasıl Yapılır?

Veri ihlali bildirimi için veri sorumlusu, olay hakkındaki bilgileri ve dayanak belgelerini hazırlayıp Kurumun bildirim kanalına iletir. Hukuki yükümlülük KVKK m.12/5’e dayanır. Aşağıdaki hazırlık sırası, Kurumun form kılavuzundaki alanları izler; güvenlik müdahalesi olayın teknik özelliklerine göre ayrıca yürütülür.

1. Olayı ve zamanları belirleyin. İhlalin başlangıcı, sona ermesi ve ilk haberdar olma zamanı birbirinden ayrılır. Nasıl tespit edildiğini gösteren e-posta, uyarı veya inceleme kaydı hazırlanır.
2. Veri sorumlusunu ve bildirimi hazırlayan kişiyi belirleyin. Unvan, adres ve iletişim bilgileri kontrol edilir. Başkası adına yapılan bildirimde temsil ilişkisini gösteren belge hazırlanır.
3. Etkilenen kapsamı çıkarın. Kişisel veri kategorileri, kişi grupları, kişi ve kayıt sayıları ayrılır. Henüz belirlenemeyen bilgi ve bunun nedeni açıkça yazılır.
4. Riskleri ve tedbirleri açıklayın. Olayın kişiler üzerindeki olası etkileri, ihlalden önceki koruma tedbirleri ve sonrasında alınan önlemler ayrı gösterilir.
5. İlgili kişilere bildirimi hazırlayın. Bildirimin tarihi, yöntemi, metni ve kişilerin bilgi alabileceği iletişim kanalı belirlenir. Yapılan gönderimlere ilişkin kayıtlar dosyalanır.
6. Formu gönderin ve gönderim kaydını saklayın. Kurumun ihlal bildirimi ekranındaki güncel alanlar kontrol edilir. Kılavuzda kaydetme ile Kuruma gönderme ayrı işlemler olarak anlatıldığından yalnız taslak kaydıyla yetinilmez; takip bilgisi korunur.

Teknik ekipten gelen “inceleme devam ediyor” yanıtı, bütün bildirim hazırlığının durması için tek başına gerekçe değildir. Bilinenler ve belirsiz kalanlar ayrılabilir. Örneğin etkilenen kişi sayısı henüz çıkarılamamışsa, kılavuz bunun nedeninin açıklanmasını öngörür. Bildirim kanunun en kısa sürede koşulu gözetilerek hazırlanır (KVKK m.12/5).

Şifre değişikliği, erişim yetkilerinin sınırlandırılması veya etkilenen sistemin ayrılması gibi müdahaleler olayın gerektirdiği ölçüde düşünülebilir. Bunlar her ihlalde aynı biçimde uygulanacak kapalı bir liste değildir. Tedbirin seçimi, kişisel verilere hukuka aykırı erişimi önleme ve verilerin muhafazasını sağlama yükümlülüğüyle ilişkilendirilir (KVKK m.12/1).

5. Veri İhlali Bildirim Formunda Hangi Bilgiler Yer Alır?

Veri ihlali bildirim formu, olayın yalnız başlığını değil kapsamını ve müdahaleyi açıklayacak bilgiler ister. Kurumun kılavuzunda veri sorumlusu, ihlal, bildirim, olası sonuçlar, önlemler ve ekler ayrı bölümlerde ele alınır. Bu belge form kullanımını açıklar; tek başına yeni bir kanuni yükümlülük kaynağı olarak okunmaz.

Hazırlık dosyasında şu bilgilerin birbirine karıştırılmaması yararlıdır:

• Kişi sayısı ve kayıt sayısı: Aynı kişiye ait birden fazla veri kaydı bulunabilir. Sayı bilinmiyorsa nedeni açıklanır; tahmin kesin tespit gibi yazılmaz.
• Veri kategorisi ve kişi grubu: Kimlik, iletişim veya sağlık bilgisi veri kategorisini; çalışan ya da müşteri olmak kişi grubunu anlatır.
• Olay öncesi ve sonrası tedbirler: Önceden kurulmuş koruma düzeni ile ihlal öğrenildikten sonraki müdahale ayrı açıklanır.
• Kuruma ve ilgili kişiye bildirim: Her iki gönderimin tarihi, yöntemi ve belgesi ayrı tutulur.

Sağlık bilgisi veya biyometrik veri gibi özel nitelikli kişisel veriler etkilenmişse bu kapsam ayrıca belirlenmelidir. Özel nitelikli veri kategorileri kanunda sayılmıştır; dosyadaki her hassas bilgiye aynı hukuki sıfat verilmez (KVKK m.6).

6. Veri İhlalinde İlgili Kişiye Ne Bildirilir?

Veri ihlalinde ilgili kişiye, kendisini etkileyen olay anlaşılabilir biçimde açıklanmalıdır. Kanun ilgili kişiye bildirim yükümlülüğünü kurar; Kurumun form kılavuzu da bu bildirimin yöntemini, tarihini, örneğini ve bilgi alınabilecek iletişim kanalını sorar (KVKK m.12/5).

Açıklamanın hazırlığında kişinin şu sorularına cevap aranabilir: Hangi verilerim etkilendi? Olay ne zaman fark edildi? Benim yönümden hangi riskler değerlendiriliyor? Kurum hangi önlemleri aldı ve ek bilgiyi nereden alabilirim? Bunlar bildirimi anlaşılır kılmaya yönelik hazırlık sorularıdır; bütün olaylar için kanunda aynen yazılmış bir metin şablonu değildir.

Yalnız “teknik aksaklık giderildi” demek, kişiye kendi verileri hakkında bilgi vermeyebilir. Kesinleşmemiş sonuçlar da kesinmiş gibi açıklanmamalıdır. Bildirim, kişinin kanundan doğan bilgi isteme hakkını kullanmasına engel olmaz (KVKK m.11).

7. Veri İhlali Geç Bildirilirse Ceza Uygulanır mı?

Veri ihlalini bildirme yükümlülüğünün yerine getirilmemesi, veri güvenliği yükümlülükleri kapsamında yaptırım değerlendirmesine konu olabilir. Kanun, veri güvenliği tedbirlerini ve bildirimi aynı maddede ayrı fıkralarla düzenler. Bu nedenle zamanında bildirim yapılmış olması, olaydan önce alınması gereken tedbirlerin yeterliliğini tek başına kanıtlamaz (KVKK m.12/1, m.12/5, m.18/1-b).

Kişisel Verileri Koruma Kurumunun resmî idari para cezası tablosunda 2026 yılı için veri güvenliği yükümlülüklerine aykırılığın alt sınırı 256.357 TL, üst sınırı 17.092.242 TL olarak yayımlanmıştır. Bu aralık, her ihlalde veya her gecikmede otomatik olarak aynı tutarın uygulanacağı anlamına gelmez. Muhatap yönünden gerçek kişiler ile özel hukuk tüzel kişileri ve kamu kurumlarındaki disiplin düzeni ayrıca ayrılır (KVKK m.18/2, m.18/4).

Tutarların kaynağı Kişisel Verileri Koruma Kurumunun idari para cezası tablosudur. Tablo mevzuat değildir, Resmî Gazete’de yayımlanmaz. Tutarlar kurum yayımından aynen alınmış; oranla hesaplanmamıştır. Kaynak 17 Ekim 2026 tarihinde kontrol edilmiştir. Diğer yükümlülükler ve yaptırım ayrımı KVKK ihlal cezaları yazısında açıklanır.

8. Veri İhlalinde VERBİS ve Yurt Dışındaki Sağlayıcı Nasıl Değerlendirilir?

Veri ihlali bildirimi, VERBİS kaydıyla karşılanmaz. Sicil kaydı kişisel veri işleme faaliyetlerine, ihlal bildirimi ise kanuni olmayan yollarla elde etme olayına ilişkindir. Sicil yükümlülüğünün kapsamı ve istisnaları ayrıca değerlendirilir; bir sicil istisnasından bütün veri güvenliği yükümlülüklerinin kalktığı sonucu çıkarılmaz (KVKK m.12, m.16, m.28). Ayrıntılar VERBİS kayıt yükümlülüğü yazısındadır.

Yurt dışındaki hizmet sağlayıcıda yaşanan olayda ise önce tarafların rolleri ve etkilenen işleme faaliyeti belirlenir. Sağlayıcının verileri kimin adına işlediği, hangi kişisel verilerin etkilendiği ve veri sorumlusunun olaydan nasıl haberdar olduğu araştırılır. Verilerin başka bir işletmede tutulması, kendi adına veri işlenen veri sorumlusunun m.12’deki sorumluluğunu kendiliğinden sona erdirmez (KVKK m.12/2, m.12/5).

Bu açıklamadan, dünyadaki her yabancı sağlayıcının Türkiye’de aynı yükümlülüğe tabi olduğu sonucu çıkarılmaz. Kanunun kişi ve işleme faaliyeti bakımından kapsamı ayrıca değerlendirilmelidir (KVKK m.2).

9. Veri İhlalinden Etkilenen Kişi Nereye Başvurabilir?

Veri ihlalinden etkilenen kişi, kendi verileri hakkında veri sorumlusuna başvurabilir. Verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme ve kanuna aykırı işleme nedeniyle zarara uğramışsa giderilmesini talep etme hakları kanunda düzenlenmiştir (KVKK m.11, m.13).

Veri sorumlusu talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse ilgili kişi cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet edebilir. Önce veri sorumlusuna başvuru yolu tüketilmelidir; kişilik hakkı ihlalinde genel hükümlere göre tazminat hakkı saklıdır (KVKK m.13/2, m.14).

Başvuruda ihlal bildiriminin örneğini, hangi verilerin etkilendiğine ilişkin soruları ve talebi açıkça belirtmek hazırlığı kolaylaştırır. Yöntem ve süre ayrımı veri sorumlusuna KVKK başvurusu ile Kurula şikâyet yazılarında ele alınmıştır.

Olay, kişisel verilerin hukuka aykırı verilmesi, yayılması veya ele geçirilmesi şüphesi taşıyorsa TCK m.136 kapsamındaki suç ayrıca incelenir. Suç ihbarı veya şikâyeti Cumhuriyet başsavcılığına ya da kolluğa yapılabilir; bu işlem veri sorumlusunun Kurula ve ilgili kişiye bildirim yükümlülüğünü karşılamaz (TCK m.136; CMK m.158; KVKK m.12/5). Teknik olayın diğer suçlarla ilişkisi bilişim suçları kapsamında ayrıca değerlendirilir.