Veri İhlali Bildirimi 2026: 72 Saat Kuralı ve Kriz Yönetimi

Bir sabah bilgi işlem ekibi, müşteri veritabanının bir kopyasının dışarı sızdığını fark eder. O andan itibaren şirketin önünde teknik bir kriz kadar hukuki bir takvim de vardır: kişisel verilerin hukuka aykırı biçimde başkaları tarafından elde edilmesi hâlinde, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin beşinci fıkrası veri sorumlusuna bildirim yükümlülüğü getirir.

Uygulamada bu yükümlülük tek bir "72 saat" cümlesine indirgenerek anlatılır. Oysa birbirinden ayrı üç bildirim, farklı süreler ve farklı muhataplar söz konusudur. 2026 yılına girerken tabloya bir de yenilik eklendi: ihlal duyurularının Kurumun internet sitesinde ne kadar süre yayında kalacağı sınırlandı ve bu süre, şirketin bildirim hızına bağlandı.

Bu yazı, bir veri ihlalinin fark edildiği andan itibaren işleyen hukuki süreci, güncel Kurul kararları ve Kurumun 2025 yılı verileri ışığında ele almaktadır.

Hangi olay "veri ihlali" sayılır?

Kanun'un 12. maddesinin beşinci fıkrası, bildirim yükümlülüğünü "işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi" hâline bağlar. Ölçüt, verinin yetkisiz kişilerin eline geçmesi ya da geçme ihtimalinin doğmasıdır; olayın kötü niyetli bir saldırıdan mı yoksa bir dikkatsizlikten mi kaynaklandığı belirleyici değildir.

Uygulamada en sık karşılaşılan durumlar şunlardır:

• Fidye yazılımı veya yetkisiz erişim yoluyla sistemlere sızılması
• Müşteri listesinin yanlış alıcıya e-postayla gönderilmesi
• Şifrelenmemiş dizüstü bilgisayarın, telefonun veya harici diskin kaybolması
• Bulut depolama alanının yanlışlıkla herkese açık hâle getirilmesi
• Çalışanın yetkisi dışındaki kayıtlara erişmesi veya bunları dışarı aktarması
• Tedarikçinin sistemlerinde yaşanan ve müşteri verilerini etkileyen bir olay

Her teknik arıza bildirime tabi değildir. Verilerin yalnızca erişilemez hâle geldiği, ancak yetkisiz kimsenin eline geçmediği bir sunucu arızası bu kapsamda değerlendirilmez. Buna karşılık ihlalin gerçekleşip gerçekleşmediği konusunda kuşku varsa, bu belirsizliği bildirim yapmama yönünde yorumlamak riskli bir tercihtir.

72 saatlik süre ne zaman başlar?

Kanun metni "en kısa sürede" ifadesini kullanır ve bir gün sayısı vermez. Bu boşluğu Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararı doldurmuştur: Kurul, "en kısa süre" ifadesinin 72 saat olarak yorumlanması gerektiğine karar vermiştir.

Sürenin başlangıcı, veri sorumlusunun ihlali öğrendiği andır. Bu nokta uygulamada tartışmalıdır: bir sistem uyarısının düştüğü an mı, yoksa güvenlik ekibinin olayın gerçekten bir ihlal olduğunu doğruladığı an mı esas alınacaktır? Kurul kararı bu ayrımı açıkça düzenlememiştir. Pratik yaklaşım, şüphenin doğduğu andan itibaren kayıt tutmak ve doğrulama sürecinin ne kadar sürdüğünü belgeleyebilmektir.

Aynı karar, 72 saat içinde bildirim yapılamaması ihtimalini de öngörür: haklı bir gerekçenin varlığı hâlinde bildirim gecikebilir, ancak gecikmenin nedenleri Kurula açıklanmalıdır. Bu, süreyi esneten bir istisna değil, gecikmeyi belgelendirme yüküdür.

Kime, ne zaman, nasıl bildirilir?

Tek bir yükümlülük yerine birbirinden bağımsız üç yükümlülük vardır. Bunları ayırmamak, uygulamadaki en yaygın hatadır.

Tablodaki üçüncü satır özellikle önemlidir. Veri işleyen sıfatıyla hizmet veren bir tedarikçinin — bulut sağlayıcı, çağrı merkezi, bordro firması — doğrudan Kurula bildirim yükümlülüğü bulunmaz; yükümlülüğü, ihlali gecikmeksizin veri sorumlusuna iletmektir. Bu nedenle tedarikçi sözleşmelerinde bildirim süresinin ve kanalının açıkça yazılması, veri sorumlusunun kendi 72 saatlik takvimini tutturabilmesinin ön koşuludur. Rollerin nasıl belirlendiği konusunda ayrıntılı değerlendirme için veri sorumlusu – veri işleyen ayrımına ilişkin yazımıza bakılabilir.

İlgili kişiye bildirim: doğrudan mı, ilanla mı?

2019/10 sayılı karara göre ilgili kişilere bildirim "makul olan en kısa sürede" yapılmalıdır. Kurul burada bilinçli olarak gün sayısı vermemiştir; makul süre, ihlalin niteliğine ve etkilenen kişi sayısına göre değişir.

Yöntem konusunda ise bir sıralama vardır. İlgili kişinin iletişim adresi biliniyorsa bildirim doğrudan yapılır; e-posta, SMS veya posta bu kapsamdadır. İletişim adresi bilinmiyorsa veri sorumlusunun kendi internet sitesinde yayımlanacak bir duyuru gibi uygun yöntemler kullanılır. İnternet sitesinde duyuru, doğrudan bildirim mümkünken tercih edilebilecek bir kolaylık değil, adres bilinmediğinde başvurulan ikincil yoldur.

Bildirim metninin ihlalin kapsamını, olası sonuçlarını ve ilgili kişinin alabileceği önlemleri anlaşılır bir dille içermesi beklenir. Teknik terimlerle yazılmış, sorumluluğu başka yere yönlendiren bir metin, bildirim yükümlülüğünü şeklen yerine getirse de amacına ulaşmaz.

2019/10 sayılı karar, yurt dışında yerleşik veri sorumlularının da Türkiye'deki ilgili kişileri etkileyen ihlaller bakımından aynı esaslara tabi olduğunu ortaya koymaktadır. Yurt dışı merkezli bir grup şirketinin Türkiye'deki iştiraki üzerinden veri işlediği yapılarda, bildirim yükümlülüğünün grubun merkezî güvenlik ekibince değil, Türkiye'deki veri sorumlusu sıfatını taşıyan tüzel kişi tarafından yerine getirileceğinin önceden netleştirilmesi gerekir. Kurumun 2025 yılı verilerinde yurt dışından yapılan 32 bildirim, bu yapının uygulamada işlediğini göstermektedir.

2026'nın yeniliği: ilan süresi azami 60 gün

Kurum, kendisine bildirilen veri ihlallerini kamuoyu duyurusu olarak kendi internet sitesinde yayımlar. Bu duyurular uzun süre herhangi bir süre sınırı olmaksızın yayında kalıyordu.

Kişisel Verileri Koruma Kurulu'nun 25.12.2025 tarihli ve 2025/2451 sayılı kararı bu uygulamayı değiştirdi; karar 20.01.2026 tarihli bir kamuoyu duyurusuyla ilan edildi. Yeni düzenlemeye göre ihlal bildirimleri Kurumun sitesinde azami 60 gün yayımlanır. Veri sorumlusu, ilgili kişilere bu süreden daha kısa bir sürede bildirim yaptığını ispatlarsa duyuru daha erken kaldırılır.

Bu, kurumsal açıdan alışılmadık biçimde doğrudan bir teşvik mekanizmasıdır. İlgili kişilere bildirimin hızı, artık yalnızca yaptırım riskini değil, şirketin adının Kurumun sitesinde ne kadar süre görünür kalacağını da belirlemektedir. Uygulamada bunun tek bir pratik karşılığı vardır: ilgili kişilere yapılan bildirimin tarihi ve yöntemi belgelenmelidir. İspat edilemeyen erken bildirim, erken kaldırma sonucunu doğurmaz.

İlk 72 saat: adım adım kriz yönetimi

Aşağıdaki sıralama, ihlal müdahale planı hazırlanırken başlangıç noktası olarak kullanılabilir. Süreler mevzuattan değil, 72 saatlik bildirim takvimini tutturabilmenin pratik gereğinden çıkmaktadır.

1. İlk saat — doğrulama ve durdurma. Olayın gerçekten bir ihlal olup olmadığı teyit edilir, etkilenen sistem ağdan izole edilir, kayıt (log) dosyaları silinmeye karşı korunur. Bu aşamada yapılan en yaygın hata, delilleri koruma altına almadan sistemi yeniden kurmaktır.
2. 1–6. saatler — kapsamın tespiti. Hangi kişisel veri kategorilerinin, kaç ilgili kişinin ve hangi zaman aralığının etkilendiği belirlenir. Özel nitelikli kişisel veri bulunup bulunmadığı ayrıca değerlendirilir.
3. 6–24. saatler — risk değerlendirmesi. İhlalin ilgili kişiler bakımından doğurabileceği sonuçlar değerlendirilir; bildirim metinleri hazırlanır. Hukuki değerlendirme bu aşamada devreye girer.
4. 24–72. saatler — bildirimler. Bildirim formu Kuruma iletilir. İlgili kişilere bildirim süreci başlatılır ve her bildirimin tarihi kaydedilir.
5. 72. saatten sonra — belgelendirme. İhlal kayıt tablosu doldurulur, kök neden analizi yapılır, alınan teknik ve idari tedbirler yazılı hâle getirilir. İlgili kişilere bildirimin ispatına ilişkin kayıtlar, 60 günlük ilan süresinin erken sonlandırılması bakımından bu aşamada değer kazanır.

Bildirim formu ve elektronik kanal

Bildirim, Kurumun belirlediği Kişisel Veri İhlali Bildirim Formu aracılığıyla yapılır. Form; ihlalin ne zaman ve nasıl gerçekleştiği, etkilenen kişisel veri kategorileri, etkilenen kişi sayısı, olası sonuçlar ve alınan tedbirler gibi başlıkları içerir. Kurum, bildirimlerin elektronik ortamda iletilmesine ilişkin bir kanal da işletmektedir.

Formun 72 saat içinde eksiksiz doldurulamaması sık karşılaşılan bir durumdur; etkilenen kişi sayısı çoğu zaman ilk günlerde netleşmez. Bu hâlde bildirimin süresi içinde yapılıp bilgilerin sonradan tamamlanması, hiç bildirim yapmamaya tercih edilir.

Bildirmemenin maliyeti: 2026 tutarları ve Kurumun verileri

Bildirim yükümlülüğünün ihlali, Kanun'un 12. maddesine aykırılık kapsamında değerlendirilir. 2026 yılı için bu kapsamdaki idari para cezası 256.357 TL ile 17.092.242 TL arasındadır. Ceza tutarlarının hesaplanması, Kurulun ceza belirlerken gözettiği ölçütler ve cezaya karşı başvuru yolu, KVKK idari para cezaları hakkındaki yazımızda ayrıntılı olarak ele alınmıştır.

Bu rakamların pratikte ne ölçüde uygulandığı, Kurumun 2025 Yılı Faaliyet Raporu'ndan izlenebilir:

Tablodaki iki satırın birlikte okunması aydınlatıcıdır. Bir yıl boyunca Kuruma ulaşan ihlal bildirimi sayısı 328'ken, veri ihlali bildirimi yükümlülüğü nedeniyle 142 veri sorumlusu hakkında idari para cezası uygulanmıştır. Yaptırımın esas olarak süresinde veya usulüne uygun bildirim yapılmaması üzerinde yoğunlaştığı görülmektedir.

Ayrıca 7499 sayılı Kanunla eklenen 18. maddenin ikinci fıkrası uyarınca idari para cezaları, veri sorumlusunun yanı sıra veri işleyen hakkında da uygulanabilmektedir. Tedarikçi konumundaki şirketler bakımından bu, sözleşmesel sorumluluğun ötesinde doğrudan bir idari yaptırım riskidir.

Karıştırılan iki yükümlülük: KVKK bildirimi ve siber olay bildirimi

Kritik altyapı sektörlerinde faaliyet gösteren şirketler bakımından ayrıca değerlendirilmesi gereken bir nokta vardır. 19.03.2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanan 7545 sayılı Siber Güvenlik Kanunu, kendi kapsamındaki kuruluşlar için ayrı bir siber olay bildirim rejimi öngörmektedir.

Bu iki yükümlülük birbirinin yerine geçmez. Kişisel veri içeren bir siber olayda, KVKK kapsamındaki bildirim ile 7545 sayılı Kanun kapsamındaki bildirim ayrı ayrı değerlendirilir. İhlal müdahale planı hazırlanırken her iki rejimin de aynı olay için tetiklenebileceği göz önünde bulundurulmalıdır.

Önceden hazırlanması gerekenler: ihlal müdahale planı

2019/10 sayılı karar, veri sorumlularının bir veri ihlali müdahale planı hazırlamasını ve bu planı düzenli olarak gözden geçirmesini öngörür. 72 saatlik süre içinde rol dağılımı yapmaya, yetkili kişiyi aramaya veya bildirim metnini sıfırdan yazmaya çalışmak gerçekçi değildir.

Planın asgari olarak içermesi beklenen unsurlar şunlardır:

• İhlal müdahale ekibinin üyeleri, yedekleri ve mesai dışı ulaşılabilecek iletişim bilgileri
• Karar alma yetkisinin kimde olduğu — özellikle bildirim kararının
• Kurula ve ilgili kişilere gönderilecek bildirim metinlerinin taslakları
• Veri işleyenlerle yapılan sözleşmelerdeki bildirim süresi ve kanalının listesi
• Tüm ihlallerin kaydedildiği ihlal kayıt tablosu — bildirime tabi olmayanlar dâhil
• Yıllık tatbikat ve planın gözden geçirilme takvimi

Kurum içinde yapay zekâ araçlarının denetimsiz kullanımı gibi, ihlal riskini artıran ancak çoğu zaman gözden kaçan uygulamalar için gölge yapay zekâ riskine ilişkin yazımıza bakılabilir.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu — mevzuat.gov.tr
• Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin 24.01.2019 tarihli ve 2019/10 sayılı Kurul kararına ilişkin duyuru — kvkk.gov.tr
• Kişisel Veri İhlali Bildirimi — kvkk.gov.tr
• 7545 sayılı Siber Güvenlik Kanunu — 19.03.2025 tarihli ve 32846 sayılı Resmî Gazete

Sık sorulan sorular