Veri İhlali Kurula Kaç Saatte Bildirilir?

Kişisel veriler kanuni olmayan yollarla başkalarının eline geçtiğinde veri sorumlusu olayı en kısa sürede Kişisel Verileri Koruma Kuruluna ve etkilenen kişilere bildirmelidir. Kurulun 24 Ocak 2019 tarihli, 2019/10 sayılı kararı “en kısa süre”yi Kurula bildirim bakımından 72 saat olarak yorumlar; bilgi eksikse gerekçesiyle birlikte kademeli bildirim yapılmalı, bütün ayrıntılar tamamlanana kadar beklenmemelidir.

Veri ihlali nedir?#

Yetkisiz erişim, yanlış alıcıya e-posta, çalınan cihaz, hesap ele geçirme, fidye yazılımı, kağıt dosyanın kaybı ve çalışanın veriyi amaç dışı kullanması ihlal oluşturabilir. Her güvenlik olayı kişisel veri ihlali değildir; ancak kişisel verinin gizliliği, bütünlüğü veya erişilebilirliği etkilenmişse KVKK süreci açılmalıdır.

KVKK 12. madde, veri sorumlusuna uygun teknik ve idari tedbir, denetim ve ihlal halinde bildirim yükümlülüğü getirir. Veri işleyen olayı veri sorumlusuna gecikmeden aktarmalıdır; Kurula karşı asıl bildirim sorumluluğu rol dağılımına göre belirlenir.

İlk 72 saatte hangi adımlar atılmalı?#

Önce olay kontrol altına alınmalı; etkilenen hesaplar kapatılmalı, parolalar değiştirilmeli, erişim anahtarları iptal edilmeli ve deliller korunmalıdır. Aynı anda olayın başlangıcı, tespit zamanı, etkilenen kişi ve veri kategorileri, yaklaşık kayıt sayısı, olası sonuçlar ve alınan tedbirler belirlenmelidir.

Bildirim kararı yalnız kesin sayı ortaya çıktıktan sonra verilmemelidir. İlk bildirimde bilinmeyen alanlar açıkça belirtilip inceleme ilerledikçe ek bilgi sunulabilir. 72 saat aşılmışsa gecikme nedeni somut ve belgeli olarak açıklanmalıdır.

İlgili kişiye bildirim nasıl yapılır?#

Etkilenen kişiler belirlendikten sonra doğrudan ve anlaşılır biçimde bilgilendirilmelidir. Bildirim, olayın ne zaman ve nasıl gerçekleştiğini, hangi verilerin etkilendiğini, muhtemel sonuçları, alınan önlemleri, kişinin kendini korumak için yapabileceklerini ve iletişim kanalını içermelidir.

“Bir güvenlik olayı yaşandı” gibi belirsiz açıklama yeterli değildir. Kimlik dolandırıcılığı, finansal zarar veya hesap ele geçirme riski varsa parola değişikliği, banka bildirimi, hat güvenliği ve sahte ileti uyarıları somutlaştırılmalıdır.

Kayıt ve saklama yükümlülüğü#

Olay küçük görülüp Kurula bildirilmemiş olsa bile değerlendirme, karar ve gerekçesi kayıt altına alınmalıdır. Zaman çizelgesi, loglar, etki analizi, bildirim kopyaları, yönetim kararları ve iyileştirme planı birlikte saklanmalıdır. Bu kayıtlar sonraki Kurul incelemesinde tedbirlerin yeterliliğini gösterir.

Uygulamalı örnek#

Bir yönetici sahte giriş sayfasına parolasını yazar; hesabından bin müşteriye zararlı bağlantı gönderilir. Şirket aynı gün hesabı kapatır fakat etkilenen alıcı listesini kesinleştirmek için beş gün bekler. Doğru yaklaşım, mevcut bilgilerle 72 saat içinde ilk bildirimi yapmak, alıcı sayısını ve teknik ayrıntıyı sonraki bildirimle tamamlamaktır.

Güncel ve dikkat çekici kararlar#

Kurulun 28 Aralık 2022 tarihli, 2022/1407 sayılı kararı#

Şirket adı kullanılarak sahte borç aramaları yapılmış, sınırlı kişisel veri kötüye kullanılmıştı. Veri sorumlusu önceden teknik ve idari tedbirleri test etmiş, olayı öğrendiği gün kamuoyu bilgilendirmesi yapmış ve kapsamı hızla araştırmıştı. Kurul, olayın koşullarında ek yaptırım uygulamadı. Somut ilke, hızlı, şeffaf ve belgeli müdahalenin Kurul değerlendirmesinde belirleyici olduğudur. Kararın tam metni

Kurulun 21 Temmuz 2022 tarihli, 2022/714 sayılı kararı#

Bir yöneticinin e-posta hesabı ele geçirilmiş ve yaklaşık bin kişiye oltalama iletisi gönderilmişti. Kurul, çok faktörlü kimlik doğrulama, anomali tespiti ve log izleme gibi temel tedbirlerin yetersiz olduğunu belirleyerek yaptırım uyguladı. Karar, ihlal sonrası bildirim yapılmasının ihlal öncesi güvenlik eksikliklerini ortadan kaldırmadığını gösterir. Kararın tam metni

Kurulun 24 Mart 2022 tarihli, 2022/277 sayılı kararı#

Kişisel veri içeren paket yanlış kişiye teslim edilmiş, bildirim yükümlülüğü tartışılmıştı. Kurul, veri sorumlusunun olayın ilgili kişilere etkisini değerlendirip gelecekte benzer olayları en kısa sürede bildirmesi gerektiğini vurguladı; somut koşullarda ayrıca yaptırım uygulamadı. Somut ilke, fiziksel yanlış teslimatların da veri ihlali sürecine alınması ve bildirim kararının gerekçelendirilmesidir. Kararın tam metni

Kararların soruya verdiği net cevap#

Şirket ihlali öğrendiğinde tüm ayrıntıların kesinleşmesini beklemeden 72 saatlik Kurul bildirim sürecini başlatmalıdır. Bildirim, güvenlik tedbirinin yerine geçmez; MFA, log izleme, erişim kontrolü ve çalışan farkındalığı olaydan önce kurulmuş olmalıdır. Hızlı müdahale, açık iletişim ve kapsamlı kayıt yaptırım değerlendirmesinde olumlu etkili olabilir. Fiziksel yanlış teslimat da siber saldırı kadar bildirim değerlendirmesi gerektirir. Bildirim yapılmaması kararı alınırsa düşük risk gerekçesi ve dayanakları dosyalanmalıdır.

Okuyucu için yapılacaklar listesi#

Olay saatini ve öğrenme anını ayrı kaydedin.
Erişimi kesin, delilleri koruyun ve etkilenen sistemleri izole edin.
Etkilenen veri ve kişi gruplarını belirleyin.
72 saat içinde ilk Kurul bildirimini değerlendirin.
Etkilenen kişilere anlaşılır ve eylem odaklı bildirim yapın.
Kök neden, düzeltici faaliyet ve tekrar testini belgeleyin.

Sık sorulan sorular#

72 saat ne zaman başlar?#

Veri sorumlusunun ihlali öğrendiği andan itibaren hesaplanır. Öğrenme anı olay kayıtlarıyla belgelenmelidir.

Tüm bilgiler hazır değilse bildirim yapılır mı?#

Evet. Mevcut bilgilerle ilk bildirim yapılabilir, eksikler gerekçesiyle birlikte kademeli olarak tamamlanabilir.

Her olay ilgili kişiye bildirilir mi?#

Kanun en kısa sürede ilgili kişiye bildirim öngörür. Etkilenen kişilerin belirlenmesi ve riskin niteliği doğrultusunda doğrudan, anlaşılır iletişim kurulmalıdır.

Veri işleyen mi, veri sorumlusu mu bildirir?#

Roller sözleşme ve fiili sürece göre belirlenir. Veri işleyen olayı gecikmeden veri sorumlusuna iletmeli; Kurul bildirim yükümlülüğü veri sorumlusu tarafından yönetilmelidir.

İlgili yazılara iç bağlantı önerileri#

Son hukuki kontrol tarihi: 2 Eylül 2026

Kaynakça#

Bilgilendirme notu

Bu metin genel hukuki bilgi amacıyla hazırlanmıştır. Somut uyuşmazlığın özellikleri, süreler ve başvuru yolu ayrıca değerlendirilmelidir.