72 Saat Veri İhlali Bildirimi: Kurula ve İlgili Kişilere Bildirim Kuralları (2026)
Kişisel veri ihlali bildiriminin üç saati vardır. Birincisi: veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirim yapar (m.12/5 ve Kurulun 2019/10 sayılı kararı); bildirim, Kurumca yayımlanan Kişisel Veri İhlali Bildirim Formu ile yapılır ve 72 saat içinde tamamlanamayan bilgiler gerekçesiyle birlikte aşamalı olarak sunulabilir. İkincisi: ihlalden etkilenen ilgili kişilere, makul olan en kısa süre içinde bildirim yapılır; kişilere doğrudan ulaşılamıyorsa veri sorumlusunun web sitesinde ilan yoluyla duyurulur. Üçüncüsü: veri işleyen nezdinde gerçekleşen ihlaller, veri işleyen tarafından derhal veri sorumlusuna bildirilir; 72 saatlik süre veri sorumlusunun öğrenmesiyle işler. Geç bildirimde gecikme gerekçesi Kurula sunulmak zorundadır; ayrıca tüm ihlallerin kaydedildiği bir ihlal kayıt defteri tutulur. Bildirim yapmak ceza sebebi değildir; bildirmemek ise hem güvenlik ihlalini hem şeffaflık kusurunu ağırlaştırır.
Hangi Olaylar Veri İhlalidir?
6698 sayılı Kanun m.12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halini bildirim yükümlülüğüne bağlar. Kapsam sanılandan geniştir: dış saldırılar kadar iç olaylar da (yanlış alıcıya e-posta, kaybolan dizüstü, yetkisiz kopyalama) ihlaldir. Bu yazı bildirim kurallarını anlatır; olay anının saat saat operasyonel yönetimi için veri ihlali yaşadık, ne yapmalıyız kriz rehberimizi, önleyici hazırlık için müdahale planı yazımızı inceleyiniz.
Üç Bildirim, Üç Süre (Genel Şema)
| Bildirim | Süre | Yöntem |
|---|---|---|
| Veri sorumlusundan Kurula | Öğrenmeden itibaren en geç 72 saat | Kişisel Veri İhlali Bildirim Formu |
| Veri sorumlusundan ilgili kişilere | Makul olan en kısa süre | Doğrudan iletişim; olmuyorsa web sitesinde ilan |
| Veri işleyenden veri sorumlusuna | Derhal | Sözleşmede öngörülen kanal; yazılı kayıt |
Şemanın dayanağı, Kurulun 2019/10 sayılı ilke kararıdır; karar, formu, süreleri ve kayıt yükümlülüklerini tek çerçevede toplar.
Kurula Bildirim: 72 Saat ve Form
Kurul Kararı 2019/10
Saat esaslı süre, form esaslı içerik
Bildirim; ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde, Kurumca yayımlanan formla yapılır. Formun kalbi dört alandır: ihlalin kaynağı ve zaman çizelgesi, etkilenen veri kategorileri (özel nitelikli veri işaretlemesi cezayı doğrudan etkiler), etkilenen kişi ve kayıt sayısı tahmini, alınan tedbirler. Tahminlerin sonradan güncellenmesi mümkündür; hiç bildirmemek veya süreyi kaçırmaktansa eldeki veriyle bildirmek her zaman üstündür.
Avukata Sor
İhlal Bildirimi Acil Desteği ve benzeri uyuşmazlıklarda durumunuzu bir avukatla değerlendirin; her dosya kendi delil durumuna göre incelenir.
İlgili Kişilere Bildirim
Kurul Beklentisi
Kişi bildiriminin asgari içeriği
Bildirimde; ihlalin ne zaman ve nasıl gerçekleştiği, etkilenen veri kategorileri, olası sonuçlar, alınan tedbirler, kişinin kendini koruması için somut öneriler ve başvuru kanalı yer almalıdır. Genel geçer “güvenliğiniz bizim için önemlidir” metinleri, bildirim yükümlülüğünü karşılamaz.
Kurul bildirimi kadar kritik ikinci ayak, etkilenen kişilerin makul en kısa sürede bilgilendirilmesidir: amaç, kişinin kendi zararını azaltacak önlemleri (şifre değişimi, kart iptali, oltalama uyanıklığı) alabilmesidir. Doğrudan ulaşım (e-posta, SMS, arama) esastır; iletişim bilgisi bulunmayan kişiler için veri sorumlusunun web sitesinde ilan yoluna gidilir. Bildirimin dili savunma değil bilgilendirme dili olmalıdır; eksik veya geç kişi bildirimi, tazminat davalarında bağımsız kusur kalemi olarak okunur ve ilgili kişilere dört koldan hak arama kapısını açar.
Veri İşleyenden Veri Sorumlusuna Bildirim
Zincir Kuralı
İşleyenin gecikmesi, sorumlunun savunması değildir
Bulut sağlayıcı, yazılım firması veya çağrı merkezi gibi veri işleyenler nezdinde gerçekleşen ihlaller, işleyen tarafından derhal veri sorumlusuna bildirilir; 72 saat, sorumlunun öğrenmesiyle başlar. Ancak Kurul, sorumlunun işleyeni sözleşmeyle denetleme yükümlülüğünü de sorgular: sözleşmesinde ihlal bildirim maddesi bulunmayan veri sorumlusu, tedbir eksikliğiyle karşılaşır. Bu maddelerin kurgusu ve yurt dışı işleyen zinciri için yurt dışına veri aktarımı rehberimize bakınız.
Geç ve Aşamalı Bildirim
72 saatin aşıldığı durumlarda bildirim yine yapılır ve gecikmenin gerekçesi Kurula sunulur: adli mercilerin yayın yasağı, ihlal kapsamının tespitindeki teknik zorluk gibi gerekçeler somut belgeyle desteklenmelidir; “fark etmedik” bir gerekçe değil, tedbir eksikliği ikrarıdır.
Gerekçe Denetimi
“Fark etmedik” gerekçe değil, ikrardır
Gecikme gerekçesi olarak loglama ve izleme eksikliğini ileri sürmek, m.12 tedbir yükümlülüğünün ihlalini ikrar etmektir ve dosyayı hafifletmez, ağırlaştırır. Kabul gören gerekçeler; adli mercii kısıtları ve kapsam tespitinin belgelenmiş teknik zorluğu gibi dışsal nedenlerdir.
Aşamalı bildirim imkanı, formun eksik alanlarının makul aralıklarla tamamlanmasına izin verir; her güncelleme yazılı iz bırakmalıdır. Sektör düzenleyicilerine (BDDK, SEDDK gibi) yapılacak paralel bildirimler ayrıca takvimlenmelidir; katmanlı rejim için sektörel KVKK uyumu yazımızı inceleyiniz.
İhlal Kayıt Defteri ve Belgeleme
Kurula bildirim eşiğine ulaşmayan olaylar dahil tüm ihlaller; etkileri ve alınan önlemlerle birlikte kaydedilir ve Kurulun incelemesine hazır tutulur. Sağlıklı defter; olay tarihi, tespit kanalı, etkilenen veriler, risk değerlendirmesi, bildirim kararı ve gerekçesi, alınan tedbirler ile kök neden analizini içerir. Defter iki işlev görür: denetimde tedbir kültürünün kanıtıdır ve tekrarlayan olay örüntülerini görünür kılarak önleyici yatırımı yönlendirir; imha ve saklama disipliniyle birlikte (bkz. veri saklama ve imha politikası) uyumun yaşayan belgesidir.
Bildirmemenin Bedeli
Karar Pratiği
Sessizlik, en pahalı strateji
Kurulun yayımlanan karar özetlerinde en yüksek cezalar; ihlali bildirmeyen veya aylar sonra bildiren, etkilenen kişileri bilgilendirmeyen ve temel güvenlik tedbirlerini (şifreleme, erişim kontrolü, loglama) almadığı anlaşılan veri sorumlularında toplanır. Bildirim yapan ve tedbirlerini belgeleyen sorumlularda ise takdir belirgin biçimde yumuşar. İhlal sonrası cephede ceza tebliğ edilirse başvuru ve dava yolları, süre zinciriyle birlikte KVKK şikayeti nasıl yapılır ana rehberimizde ele alınmıştır.
Bu yazıda atıf yapılan kanunun güncel ve resmi metnine mevzuat.gov.tr üzerinden ulaşabilirsiniz.
İhlal Bildirimi Acil Desteği ve Avukat Desteği
İhlal şüphesinde 72 saatlik sürecin yönetimi, bildirim formunun hazırlanması ve sorumluluk analiziniz için hızlı destek sağlıyoruz.
Sık Sorulan Sorular
Hangi olaylar 72 saatlik bildirime tabidir?
Bildirim yükümlülüğü, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde doğar. Tipik örnekler: sistemlere yetkisiz erişim ve sızıntı, fidye yazılımıyla verilerin ele geçirilmesi veya şifrelenmesi, kişisel veri içeren e-postanın yanlış alıcılara gönderilmesi, laptop-telefon-taşınabilir disk kaybı veya çalınması, çalışanın verileri yetkisiz kopyalayıp dışarı çıkarması, yanlış kişiye evrak teslimi. Verinin yalnızca kaybolduğu ama üçüncü kişilerce elde edilmediği kesin olan olaylar (şifreli cihazın kaybı gibi) risk analiziyle değerlendirilir; şüphe halinde bildirim tarafında kalmak güvenli yoldur.
72 saat ne zaman başlar, hafta sonu süreyi durdurur mu?
Süre, veri sorumlusunun ihlali öğrendiği andan itibaren saat esasıyla işler; hafta sonu ve tatil süreyi durdurmaz. Öğrenme anı; ihlalin makul kesinlikte tespit edildiği andır, ilk şüphe anı değildir; ancak şüpheyi doğrulama süreci de makul hızla yürütülmelidir, doğrulamayı geciktirmek süreyi ötelemez. Veri işleyen nezdindeki ihlallerde süre, işleyenin derhal yapacağı bildirimle veri sorumlusunun öğrenmesinden itibaren hesaplanır. Cuma akşamı öğrenilen ihlalin bildirimi pazartesiye bırakılamaz; bu yüzden müdahale planında hafta sonu erişilebilir ekip şarttır.
Bildirim formunda hangi bilgiler istenir?
Kurumca yayımlanan Kişisel Veri İhlali Bildirim Formu özetle şunları sorar: veri sorumlusunun kimlik ve iletişim bilgileri; ihlalin gerçekleşme ve tespit tarihleri ile öğrenme anı; ihlalin kaynağı ve nasıl gerçekleştiği; etkilenen veri kategorileri ve özel nitelikli veri bulunup bulunmadığı; etkilenen ilgili kişi ve kayıt sayısı (tahmini olabilir); olası sonuçlar; alınan ve alınması planlanan teknik-idari tedbirler; ilgili kişilere bildirim durumu ve yöntemi; yurt dışı bildirimleri. Bilgilerin tamamı 72 saatte netleşmemişse eldeki verilerle bildirim yapılır, kalanlar gerekçeli biçimde aşamalı sunulur.
Etkilenen kişilere bildirimde ne yazmalıyız?
İlgili kişi bildirimi; sade bir dille ihlalin ne zaman ve nasıl gerçekleştiğini, hangi veri kategorilerinin etkilendiğini, olası sonuçları, veri sorumlusunun aldığı tedbirleri ve kişinin kendini koruması için önerileri (şifre değişikliği, şüpheli aramalara karşı uyarı, bankasını bilgilendirme gibi) ile başvuru yapılabilecek iletişim kanalını içermelidir. Amaç hukuki savunma metni değil, kişinin zararını azaltacak dürüst bilgilendirmedir; Kurul, ilgili kişi bildiriminin yapılıp yapılmadığını ve içeriğini denetler. Doğrudan ulaşım mümkün değilse web sitesi ilanı devreye girer.
Bildirim yaparsak ceza alır mıyız, yapmazsak ne olur?
Bildirim tek başına ceza sebebi değildir; Kurul, ihlalin kaynağındaki güvenlik tedbirlerini inceler ve tedbirleri yeterli olan veri sorumlusuna yalnızca bildirdiği için yaptırım uygulamaz. Bildirmemek ise iki yönden ağırlaştırır: ihlal başka yoldan (şikayet, basın, ihbar) öğrenildiğinde hem m.12 güvenlik ihlali hem bildirim yükümlülüğüne aykırılık birlikte değerlendirilir ve 2026 itibarıyla 17.092.242 TL’ye ulaşan üst sınıra yaklaşan takdirler görülür. Ayrıca geç bildirim, ilgili kişilerin zararını büyüttüğünden tazminat davalarında kusuru katmerler. Doğru strateji şeffaflık ve hızdır.
