Türkiye’de Kişisel Veri İhlali Bildirim Rejimi: 72 Saat Kuralı, Süreç Yönetimi ve 2026 Risk Analizi
Türkiye’de kişisel verilerin korunması hukuku, dijital ekonominin ve veri temelli iş modellerinin yükselişiyle birlikte hukuk düzeninin en dinamik alanlarından biri haline gelmiştir. Artık veri, “yeni petrol” olarak adlandırılmanın ötesinde, kurumların en büyük varlığı ve aynı zamanda en kritik risk alanı konumundadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 12. maddesinin 5. fıkrası, veri sorumlularına işlenen verilerin kanuna aykırı yollarla başkaları tarafından elde edilmesi durumunda bu durumu “en kısa sürede” bildirme yükümlülüğü getirmiştir.
Ancak hukuk dünyasında “en kısa süre” gibi muğlak ifadeler, operasyonel süreçlerde ciddi belirsizliklere yol açabilmektedir. Bu belirsizlik, Kişisel Verileri Koruma Kurulu’nun (Kurul) 2019/10 sayılı ilke kararı ile giderilmiş ve bu süre 72 saat olarak somutlaştırılmıştır. Bu süre zarfı, bir veri sorumlusunun sadece teknik bir tespiti değil, aynı zamanda idari ve hukuki bir savunma mekanizmasını da inşa etmesi gereken oldukça dar bir penceredir.
Hızlı Navigasyon & Önemli Veriler
Veri sorumluları için en kritik 4 veri noktası:
- 72 Saat: İhlali öğrendiğiniz andan itibaren Kurul’a bildirim için tanınan süre.
- Derhal: Veri işleyenin veri sorumlusuna ihlali bildirme hızı.
- 17.092.242 TL: 2026 yılı için öngörülen tavan ceza miktarı.
- Aşamalı Bildirim: Tüm bilgiler henüz netleşmemişse başvurulacak “can kurtaran” yöntem.
1. Veri İhlali Kavramı ve Hukuki Arka Plan
Kişisel veri ihlali, sadece bir sistem zafiyeti değil, aynı zamanda veri sorumlusunun kontrolü altındaki kişisel verilerin güvenliğini sağlamak amacıyla alınan teknik ve idari tedbirlerin bir şekilde aşılması veya işlevsiz kalması durumudur. Bu durum sonucunda verilerin gizliliği, bütünlüğü veya erişilebilirliği bozulur.
Sıklıkla yapılan en büyük hata, veri ihlalini sadece “hacker” saldırılarıyla sınırlı görmektir. Oysa veri ihlalleri; siber saldırganların sisteme sızmasından personelin hatalı işlemlerine, fiziksel veri kayıtlarının (evrak, dosya) kaybından sistem arızalarına kadar çok geniş bir senaryo yelpazesinde ortaya çıkabilmektedir. Örneğin, yanlışlıkla atılan bir e-posta veya çöpe atılan imha edilmemiş bir müşteri listesi, KVKK kapsamında bildirim gerektiren bir ihlaldir.
İhlalin Teknik Boyutları: CIA Üçlüsü
Hukuki doktrinde veri ihlali, Bilgi Güvenliği Üçlüsü (CIA – Confidentiality, Integrity, Availability) çerçevesinde değerlendirilir. Veri sorumlusunun sorumluluğu sadece verinin çalınmasıyla sınırlı değildir:
| İhlal Türü | Teknik Tanım | Gerçek Hayat Senaryosu |
|---|---|---|
| Gizlilik İhlali | Verilerin yetkisiz kişilerce görüntülenmesi veya ele geçirilmesi. | Bir çalışanın müşteri listesini içeren USB belleği kafe ortamında unutması veya bir personelin merak saikiyle yetkisi olmayan verilere bakması. |
| Bütünlük İhlali | Verilerin yetkisiz şekilde değiştirilmesi veya bozulması. | Veritabanındaki finansal kayıtların siber saldırıyla manipüle edilmesi veya verilerin yanlışlıkla güncellenmesi sonucunda doğruluğunu yitirmesi. |
| Erişilebilirlik İhlali | Verilere hukuka uygun şekilde erişimin engellenmesi. | Fidye yazılımı (Ransomware) ile sistemlerin kilitlenmesi veya yedeklerin bozulması sonucunda veri sorumlusunun kendi verilerine erişememesi. |
Özellikle erişilebilirlik ihlalleri, veri sorumluları tarafından genellikle “teknik arıza” olarak görülüp geçiştirilse de, Kurul bu durumu verinin kontrolünün kaybedilmesi olarak yorumlamakta ve bildirim yükümlülüğü doğurduğunu vurgulamaktadır.
2. 2019/10 Sayılı İlke Kararı ve 72 Saat Kuralı
KVKK’nın 12/5 maddesindeki “en kısa sürede” ibaresi, Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyum sağlama amacı taşıyan Kurul’un 2019/10 sayılı kararıyla 72 saat olarak yorumlanmıştır. Bu karar, Türk veri koruma hukukunda bir milat olarak kabul edilir; zira veri sorumlularına ihlali öğrendikleri andan itibaren başlayan keskin bir kronometre yüklemiştir.
Sürenin Başlangıcı: “Öğrenme” Anının Tespiti
72 saatlik sürenin başlangıç noktası, veri sorumlusunun ihlalden haberdar olduğu andır. Ancak buradaki kritik husus, öğrenme anının ne zaman gerçekleştiğidir. Kurul, veri sorumlusunun ihlali fark ettiği andan itibaren sürenin işleyeceğini belirtmekle birlikte; veri sorumlusunun gerekli denetim ve gözetim yükümlülüğünü (örneğin log izleme) yerine getirmemesi nedeniyle geç haberdar olması durumunda da sorumluluğunun devam edebileceğini ima etmektedir.
Veri İşleyenler İçin Kritik Süreç
Veri işleyen (örneğin SaaS hizmeti aldığınız bir firma) nezdinde gerçekleşen ihlallerde süreç iki aşamalıdır:
- Veri işleyen, durumu öğrendiği anda derhal veri sorumlusuna bildirmelidir.
- Veri sorumlusu ise kendisine yapılan bu bildirimden itibaren 72 saat içinde Kurul’a başvurmalıdır.
Bu durum, veri işleyen ile veri sorumlusu arasındaki sözleşmelerde “bildirim süreleri”nin ne kadar hayati olduğunu açıkça göstermektedir.
3. Kurumsal Veri İhlali Müdahale Planı (VİMP)
Veri ihlali durumunda 72 saatlik sürenin etkin kullanılabilmesi için kurumların önceden hazırlanmış, onaylanmış ve test edilmiş bir müdahale planına sahip olmaları şarttır. Kurul, bu planın hazırlanmasını idari tedbirlerin ayrılmaz bir parçası olarak görmekte ve denetimlerde bu planı talep etmektedir.
Müdahale Ekibinin (VİME) Yapılandırılması
Etkin bir süreç yönetimi için oluşturulan Veri İhlali Müdahale Ekibi (VİME), farklı disiplinlerden uzmanları bünyesinde barındırmalıdır. İhlal anında her birimin ne yapacağı saniyeler mertebesinde planlanmalıdır.
| Birim | Temel Sorumluluk | İhlal Anındaki Kritik Görevi |
|---|---|---|
| BT (Bilgi Teknolojileri) | Teknik Güvenlik | İhlal kaynağını izole etme, sızmayı durdurma ve adli (forensic) analiz. |
| Hukuk ve Uyum | Mevzuata Uyum | Resmi bildirim formunun hazırlanması, risk analizi ve hukuki savunma stratejisi. |
| İnsan Kaynakları | İletişim ve Disiplin | Personel hatalarından kaynaklı ihlallerde soruşturma ve eğitim planlama. |
| Kurumsal İletişim | İtibar Yönetimi | İlgili kişilere yapılacak bildirimin tonu, basın açıklaması ve sosyal medya yönetimi. |
| Veri Sorumlusu Temsilcisi | Nihai Karar Verici | Kurul’a yapılacak resmi bildirimden ve gerekli bütçenin/kaynağın tahsisinden sorumludur. |
72 Saatin Saatlik Planlaması
Müdahale planı, ihlal tespitinden sonraki ilk 72 saati şu ideal döngüyle yönetmelidir:
- 0-3 Saat: İhlalin durdurulması ve sistem izolasyonu.
- 3-12 Saat: Risk analizi, etkilenen veri kategorilerinin ve kişi sayısının tespiti.
- 12-24 Saat: VİME ekibinin toplanması ve ilk bulguların değerlendirilmesi.
- 24-72 Saat: Kurul’a resmi bildirimin yapılması ve ilgili kişilere bildirim stratejisinin netleştirilmesi.
4. Bildirim Süreci: Teknik Detaylar ve “Aşamalı Bildirim”
Veri ihlali bildirimi, Kişisel Verileri Koruma Kurumu’nun resmi internet sitesinde yer alan “Kişisel Veri İhlal Bildirim Sistemi” üzerinden elektronik ortamda yapılır. Bildirim formu, veri sorumlusundan ihlalin teknik ve idari anatomisini çıkarmasını bekleyen kapsamlı bir dokümandır.
Formda Yer Alması Gereken Zorunlu Bilgiler:
- İhlalin Kronolojisi: Başlama, sona erme ve tespit edilme tarihleri.
- Veri Kategorileri: Kimlik, iletişim, finansal veriler veya özel nitelikli (sağlık, din vb.) veriler bazında ayrım.
- Etkilenen Gruplar: Müşteriler, çalışanlar, aboneler gibi ilgili kişi grupları.
- Kayıt Sayıları: Etkilenen tekil kişi sayısı ve toplam veri kaydı sayısı.
- Alınan Tedbirler: İhlalden önce alınan önlemler ve ihlal sonrası devreye sokulan aksiyonlar.
- Gecikme Nedeni: Eğer bildirim 72 saati aşmışsa, bunun haklı gerekçeleri detaylandırılmalıdır.
İlgili Kişilere Bildirim: Şeffaflık ve Zararı Azaltma
KVKK 12/5 uyarınca ihlalin yalnızca Kurul’a değil, aynı zamanda ihlalden etkilenen ilgili kişilere de bildirilmesi zorunludur. Kurul’a yapılan bildirimdeki 72 saatlik kesin sınır, ilgili kişilere bildirimde “makul olan en kısa süre” olarak ifade edilmiştir.
Makul sürenin tayininde, ihlalin bireyler üzerindeki olası zararlarının büyüklüğü esastır. Eğer ihlal kredi kartı bilgilerinin sızması gibi doğrudan finansal kayıp riski taşıyorsa, bildirim süresi Kurul bildiriminden hemen sonra gerçekleşmelidir.
5. 2024-2026 Ekonomik Yaptırım Analizi
KVKK kapsamındaki veri güvenliği yükümlülüklerine aykırılık, veri sorumluları için en ağır mali yaptırımların öngörüldüğü alandır. İdari para cezaları, her yıl yeniden değerleme oranında artırılmaktadır.
2026 yılı için belirlenen yeniden değerleme oranı %25,49 olup, bu artış veri güvenliğine ilişkin ihlallerde tavan ceza miktarını 17 milyon TL‘nin üzerine taşımıştır.
| İhlal Edilen Yükümlülük | 2024 Üst Sınır (TL) | 2025 Üst Sınır (TL) | 2026 Üst Sınır (TL) |
|---|---|---|---|
| Aydınlatma Yükümlülüğü | 946.308 | 1.362.000 | 1.709.200 |
| Veri Güvenliği Yükümlülüğü | 9.463.213 | 13.621.000 | 17.092.242 |
| Kurul Kararlarına Aykırılık | 9.463.213 | 13.621.000 | 17.092.242 |
| VERBİS Kayıt ve Bildirim | 9.463.213 | 13.621.000 | 17.092.242 |
Kurul, ceza miktarını belirlerken ihlalin ciddiyetini, etkilenen kişi sayısını, verinin niteliğini ve veri sorumlusunun ihlalden sonraki tutumunu baz alır. Bildirimin gecikmeksizin yapılması bir hafifletici neden olarak görülürken; ihlalin gizlenmeye çalışılması en üst sınırdan cezalandırılma riskini doğurur.
6. Örnek Vaka Analizleri ve Kurul İçtihatları
Kurul kararları, veri sorumluları için yol gösterici birer içtihat niteliğindedir. Aşağıdaki 2025-2026 güncel vakaları, bildirim sürecindeki kritik hataları ve doğruları yansıtmaktadır:
Louis Vuitton (2025) Vakası
Kurul’un 10.07.2025 tarihli duyurusunda, çok uluslu şirketlerin global sistemlerindeki bir sızıntının Türkiye’deki müşterileri nasıl etkilediği incelenmiştir. Kurul, global bir koordinasyon sürecinin varlığını bildirim süresi için makul bir gerekçe olarak tartışmış, ancak Türkiye’deki ilgili kişilere bildirim hızını mercek altına almıştır.
Üniversite Veri İhlali (2026) Analizi
Bir üniversitenin 26.12.2025 tarihinde başlayan ancak 05.01.2026 tarihinde tespit edilen ihlali üzerine yapılan kamuoyu duyurusu, “başlangıç” ile “tespit” arasındaki 10 günlük süreyi odak noktasına almıştır. Kurul, üniversitenin sistem izleme (logging) faaliyetlerinin yetersizliğini ağır bir teknik kusur olarak görmüştür.
“Haklı Gerekçe” Analizi: Kurul Neyi Kabul Eder?
72 saatlik sürenin aşılması veri sorumlusunu otomatik olarak kusurlu kılmaz, ancak Kurul nezdinde geçerli bir gerekçe şarttır.
- Kabul Edilebilir Gerekçeler: Çok uluslu yapılarda global koordinasyon çalışmaları, siber saldırının teknik karmaşıklığı ve adli bilişim incelemesinin zaman alması.
- Reddedilen Gerekçeler: Personel eksikliği, sistemlerin yavaşlığı, yönetim kurulu onayı beklenmesi gibi bürokratik nedenler kesinlikle “haklı gerekçe” olarak kabul görmemektedir.
7. Teknik ve İdari Tedbirler: Bildirim Sürecindeki Savunma Hattı
Veri ihlali bildirimi yapılırken Kurul, veri sorumlusuna “İhlali engellemek için ne yapmıştınız?” sorusunu sormaktadır. Burada sunulan tedbirler, yaptırım miktarını doğrudan etkiler.
Kritik Teknik Tedbirler
- Yetki Matrisi ve Erişim Kontrolü: Verilere yalnızca görev tanımı gereği ihtiyacı olan personelin erişmesi.
- Kriptolama: Verilerin şifreli tutulması, çalınması durumunda risk seviyesini “düşük” kategoriye indirebilir.
- Log Yönetimi: İhlalin tam olarak ne zaman başladığını ve hangi verilere erişildiğini kanıtlamak için tek yoldur.
- Sızma Testleri: Sistemsel zafiyetlerin saldırganlardan önce tespit edilmesi.
Kritik İdari Tedbirler
- Veri İhlali Müdahale Planı (VİMP): Sürecin yazılı anayasasıdır.
- Çalışan Eğitimleri: Kurul, bildirim formunda son bir yıl içinde verilen eğitimlerin belgelerini talep etmektedir.
- Gizlilik Taahhütnameleri: Personel ve veri işleyenlerle yapılan sözleşmelerin KVKK uyumlu olması.
8. Sık Sorulan Sorular (SSS)
Süre hafta sonu veya resmi tatillerde durur mu?
Hayır. 72 saatlik süre takvim saati üzerinden işler ve kesintisizdir. Kurumun elektronik bildirim sistemi 7/24 hizmet vermektedir.
İhlalden emin değilsek bildirim yapmalı mıyız?
İhlal şüphesi güçlü bir seviyedeyse, “öğrenme” anının gecikmemesi adına eldeki ilk verilerle aşamalı bildirim yoluna gidilmesi, süreci dürüstlükle yönettiğinizin bir göstergesi sayılır.
Fidye yazılımı saldırısında veri sızmadıysa bildirim gerekir mi?
Evet. Verilerin şifrelenmesi bir erişilebilirlik ihlalidir. Veri sorumlusu kendi verilerine erişemediği için KVKK kapsamında Kurul’a bildirim yapılması zorunludur.
Bildirim yapmamanın cezası nedir?
Bildirim yükümlülüğüne aykırılık, veri güvenliğine ilişkin yükümlülüklerin ihlali kapsamında değerlendirilir ve 2026 projeksiyonuna göre 17.092.242 TL‘ye kadar idari para cezası ile sonuçlanabilir.
Stratejik Sonuç: Krizde Şeffaflık Kazanır
Kişisel veri ihlali bildirimi, Türk hukuk sisteminde veri sorumluları için bir “dürüstlük testi” mahiyetindedir. 72 saat kuralı, kurumların kriz anındaki organizasyonel yeteneklerini ve şeffaflık vizyonlarını ölçen keskin bir araçtır.
2026 yılı projeksiyonları, siber saldırıların karmaşıklaşmaya devam edeceğini ve idari yaptırımların ekonomik etkisinin katlanarak artacağını teyit etmektedir. Hazırlıklı olmak artık bir seçenek değil, kurumsal itibarın ve finansal sürdürülebilirliğin yegane teminatıdır.
