Veri ihlali bildiriminde önce kapsamı belirleyin
Bu rehber, kişisel veri ihlali şüphesinde veri sorumlusunun bildirim hazırlığını ele alır. Bir şirketin güvenlik ekibi, dış hizmet sağlayıcısı ve hukuk birimi aynı olay için farklı belgeler üretebilir. Çalışmanın amacı bu kayıtları aynı zaman çizelgesinde toplamak, doğrulanan bilgiyi belirsizlikten ayırmak ve resmî bildirim kanalını doğru seçmektir. Buradaki kontrol önerileri dosyaya özgü hukuki değerlendirme veya hazır başvuru yerine geçmez.
6698 sayılı Kanun m.12/1, veri sorumlusunun hukuka aykırı işlemeyi ve erişimi önlemek, kişisel verileri muhafaza etmek için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almasını öngörür. 2019/10, KVKK m.12.
İlk çalışma notunda sistemin adını, olayın nasıl fark edildiğini ve hangi belgenin bu bilgiyi desteklediğini yazın. Henüz incelenmeyen bir sunucuyu etkilenmiş gibi göstermeyin; erişim kaydı bulunmamasını da tek başına olay yaşanmadığının kanıtı saymayın. Bu yaklaşım teknik inceleme ekibiyle hukuk ekibinin aynı olguları değerlendirmesine yardımcı olabilecek bir hazırlık önerisidir.
Kanundaki ifade ile 72 saat kuralının kaynağı
KVKK m.12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgilisine ve Kurula bildirmesini düzenler. 2019/10, KVKK m.12.
Kurulun 2019/10 sayılı kararı, Kurula bildirimi veri sorumlusunun durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde yapılacak şekilde açıklar. 2019/10, KVKK m.12.
Bu nedenle taslakta kanun maddesi ile Kurul kararını birlikte gösterin. Yetmiş iki saat ifadesini doğrudan kanunun içinde yazıyormuş gibi aktarmayın. Olayın gerçekleştiği zaman ile veri sorumlusunun öğrendiği zamanı ayrı sütunlara koymak yararlıdır. İki zaman arasında fark varsa inceleme belgesiyle açıklayın. Bu rehber sizin olayınız için öğrenme anını belirlemez ve otomatik son saat hesabı üretmez.
Gecikme ve eksik bilgi nasıl ele alınır?
2019/10 sayılı karar, haklı bir gerekçeyle 72 saat içinde bildirim yapılamaması hâlinde bildirimle birlikte gecikme nedenlerinin de Kurula açıklanmasını öngörür. 2019/10, KVKK m.12.
Aynı karara göre formdaki bilgilerin aynı anda sağlanamadığı hâllerde bilgiler gecikmeye mahal verilmeden aşamalı olarak sağlanır. 2019/10, KVKK m.12.
Bu iki açıklamayı bir genel erteleme izni gibi okumayın. Çalışma dosyasında hangi bilginin neden hazır olmadığını, kim tarafından araştırıldığını ve ek bilginin hangi sürümde tamamlandığını açıkça ayırın. Bilinmeyen kişi sayısını tahmini bir kesin rakama çevirmeyin. İlk belgeyle sonraki eklerin farkını gösteren bir değişiklik listesi hazırlamak, dosyayı tekrar okuyan kişinin gelişmeleri izlemesini kolaylaştıran editoryal bir yöntemdir.
Kurula bildirim ile kişinin şikâyetini ayırın
2019/10 duyurusu Kurula bildirimde Kişisel Veri İhlal Bildirim Formunun kullanılmasını belirtir; duyurudaki not formun veri sorumlusu tarafından doldurulacağını, şikâyet ve ihbar başvurularının ayrı kanaldan iletileceğini açıklar. 2019/10, KVKK m.12.
Bir veri ihlalinden etkilendiğinizi düşünüyorsanız önce hangi sıfatla hareket ettiğinizi belirleyin. Kurumun resmî duyurusundan ilgili kanala gidin; arama sonucunda bulduğunuz rastgele bir formu doldurmayın. Kurum adına işlem yapan bir ekip için de başvuran kuruluşun adı, işlemi hazırlayan kişi ve gönderim kaydının aynı dosyada bulunmasını öneriyoruz. Bu, Kurumun zorunlu tuttuğu ek bir form veya temsil yetkisi değerlendirmesi değildir.
İlgili kişiye bildirim için ayrıca izin beklenir mi?
2019/10 sayılı karara göre etkilenen kişiler belirlendikten sonra bu kişilere makul olan en kısa sürede bildirim yapılır; iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa web sitesinde yayımlama gibi uygun yöntemler kullanılır. 2019/10, KVKK m.12.
Kurula yapılan bildirim ile ilgili kişiye gönderilen metni aynı görev olarak kapatmayın. Çalışma listenizde alıcı grubunu, iletişim yolunu, metnin sürümünü ve gönderim kaydını ayrı tutabilirsiniz. Bir duyurunun gerçekten kimlere ulaştığına ilişkin belgeyi, yalnız taslak hazırlanmış olmasından ayırın. Kanundaki bildirim yükümlülüğünü, her olayda önce Kuruldan kişiye haber verme izni alınacakmış gibi anlatan genel bir kural kullanmayın.
Kişiye gönderilecek metinde hangi bilgiler bulunur?
2019/271 sayılı karar, ilgili kişiye bildirimin açık ve sade dille yapılmasını; ihlalin zamanı, etkilenen veri kategorileri, olası sonuçlar, alınan veya önerilen tedbirler ve bilgi alınabilecek iletişim yollarını içermesini öngörür. 2019/271, KVKK m.12/5.
Okuyucunun teknik uzman olduğunu varsaymayın. Sunucu günlüklerindeki bir kodu tek başına açıklama yerine koymak yerine, doğrulanmış olayın kişi açısından ne ifade ettiğini sade biçimde yazın. Kişisel veri ile özel nitelikli kişisel veri ayrımını metin incelemesinde ayrıca kontrol edin. Olası sonuçlar değerlendirmesini kesin zarar gerçekleştiği iddiasına dönüştürmeyin; henüz araştırılan bir sonucu kesinleşmiş olay gibi duyurmayın. İletişim bilgisinin çalıştığını ekip içinde kontrol etmenizi öneriyoruz.
Dış hizmet sağlayıcı ve veri işleyen tarafı
2019/10 sayılı karar, veri işleyen nezdindeki kişisel verilerin kanuni olmayan yollarla elde edilmesi hâlinde veri işleyenin gecikmeye yer vermeden veri sorumlusuna bildirimde bulunmasını öngörür. 2019/10, KVKK m.12.
Dış hizmet sağlayıcısından gelen teknik raporu incelerken olayın kapsamıyla raporu yazanın rolünü ayırın. Bir yazılım hizmetinin adı, tek başına tarafların hukuki sıfatını belirleyen bir değerlendirme değildir. Önerilen çalışma düzeninde sağlayıcı bildiriminin ulaştığı saat, dayanak dosyalar ve ek soru listesi yer alabilir. Eksik raporu tamamlatmak için oluşturduğunuz iç görevin, yukarıdaki resmî süre değerlendirmesini kendiliğinden durdurduğu sonucunu çıkarmayın.
İhlal kaydı ve müdahale planı
2019/10 sayılı karar, ihlale ilişkin bilgilerin, etkilerin ve alınan önlemlerin kaydedilip Kurulun incelemesine hazır tutulmasını; iç raporlama ve sorumlulukları içeren müdahale planının hazırlanıp belirli aralıklarla gözden geçirilmesini öngörür. 2019/10, KVKK m.12.
Olay klasörünü teknik kayıtlar, yazışmalar, karar notları ve gönderim belgeleri olarak düzenlemek bir hazırlık seçeneğidir. Her belgenin hangi soruya yanıt verdiğini kısa notla belirtin. Erişim yetkisi olmayan kişilere olay dosyasını yaymayın; ekip içinde gerekli paylaşım kapsamını ayrıca değerlendirin. Bu rehber belirli bir saklama süresi veya herkes için geçerli zorunlu klasör yapısı ileri sürmez. Tek bir genel şablonu bütün kurumların müdahale planı yerine kullanmayın.
Yurt dışındaki olaylar ve yaptırım tutarı sınırı
2019/10 sayılı karar, yurt dışındaki veri sorumlusunda yaşanan ihlalin Türkiye’deki ilgili kişileri etkilemesi ve kişilerin ürün veya hizmetten Türkiye’de yararlanması durumunda aynı esaslarla Kurula bildirim yapılmasını öngörür. 2019/10, KVKK m.12.
Bu rehberde güncel idari para cezası alt veya üst tutarı verilmez. İnceleme kapsamındaki iki resmî karar, her somut olay için bugünkü ceza tutarını hesaplayan bir tablo değildir. Eski bir karar örneğindeki para tutarını bu yılın genel yaptırımı olarak aktarmayın. Yaptırım konusunda dosyaya özgü değerlendirme gerektiğinde güncel hükmü ve uygulanacak dönemi uzmanla birlikte ayrıca doğrulayın; burada cezasızlık veya belirli ceza sonucu vaadi yoktur.
Kaynak kontrolü ve sonraki okuma
Her hukuki açıklamanın bağlı olduğu resmî karar ve maddeyi kaynakçadan açıp kontrol edin. İhlal bildirimi özelindeki bu akışın genel veri işleme ilkelerinden farkını bilişim hukuku ve KVKK rehberinde inceleyebilirsiniz. Araştırma çıktısına nasıl yaklaşılacağı hukuk yapay zekâ asistanının görev ve çıktı sınırlarında açıklanır. Kaynaklı sayıları başlangıç koşullarıyla birlikte okumak için temel hukuki süreler veri tablosuna bakın.
Bilgilendirme amaçlıdır; hukuki görüş değildir. Güncel mevzuat için resmî kaynağa bakınız. Kaynak çapraz kontrolü 20 Ekim 2026 tarihinde Hukuk AI Editöryel Kurulunun otomatik editoryal çalışmasıdır; bağımsız insan hukukçu onayı olarak sunulmaz. Gerçek olayda bildirim kararı, belge incelemesi ve başvurunun yapılması yetkili kişilerin değerlendirmesini gerektirir.
Kişisel verilerin korunmasının anayasal çerçevesi ve hak arama yollarının ayrımı için anayasa hukuku ve temel haklar rehberine bakabilirsiniz.
İhlal bildirimi hazırlığından ayrı olarak dosyanın aktarım koşullarını araştırmak için kişisel verilerin yurt dışına aktarımı rehberini inceleyebilirsiniz. Somut olaya ilişkin değerlendirmeyi ilgili rehberin kaynakları ve kapsamıyla birlikte yapın.