KVKK Kapsamında Veri İhlali Bildirimi: Şirketler Ne Zaman Kurul’a Bildirim Yapmalıdır?

Giriş

Şirketlerin dijital sistemler üzerinden yürüttüğü faaliyetlerin artmasıyla birlikte kişisel veri ihlalleri de ciddi bir hukuki risk alanı haline gelmiştir. E-ticaret siteleri, sağlık kuruluşları, hukuk büroları, sigorta şirketleri, kargo firmaları, yazılım şirketleri, oteller, eğitim kurumları, çağrı merkezleri ve insan kaynakları şirketleri; müşteri, çalışan, tedarikçi, ziyaretçi ve kullanıcı verilerini günlük olarak işlemektedir. Bu veriler arasında ad-soyad, telefon numarası, e-posta adresi, T.C. kimlik numarası, adres, fatura bilgisi, sağlık verisi, ödeme bilgisi, araç plakası, IP adresi, kullanıcı adı, şifre, kamera görüntüsü ve müşteri işlem bilgileri bulunabilir.

Kişisel verilerin yetkisiz kişilerce ele geçirilmesi, yanlış kişiye gönderilmesi, siber saldırı sonucu dışarı sızması, sistem açığı nedeniyle üçüncü kişilerce görüntülenebilmesi, personel tarafından izinsiz kopyalanması veya kaybolan cihaz içinde kişisel verilerin bulunması halinde KVKK kapsamında veri ihlali bildirimi gündeme gelebilir. Bu noktada şirketler açısından en önemli soru şudur: Her güvenlik olayı Kurul’a bildirilmeli midir, yoksa yalnızca kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiği hallerde mi bildirim yükümlülüğü doğar?

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesinin 5. fıkrasına göre, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirmek zorundadır. Kurul, gerekmesi halinde veri ihlalini kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir. KVKK Kurumu’nun birçok veri ihlali duyurusunda bu hüküm aynen hatırlatılmaktadır.

Veri İhlali Nedir?

KVKK anlamında veri ihlali, kişisel verilerin güvenliğinin ihlal edilmesi sonucunda kişisel verilerin yetkisiz kişilerce elde edilmesi, erişilebilir hale gelmesi, kaybolması, silinmesi, değiştirilmesi, ifşa edilmesi veya hukuka aykırı biçimde aktarılmasıdır. Kanun metninde özellikle “işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi” ifadesi kullanılmaktadır. Bu nedenle veri ihlali değerlendirmesinde temel mesele, olayın kişisel veri güvenliğini etkileyip etkilemediği ve kişisel verilerin yetkisiz kişi veya kişilerin erişimine açılıp açılmadığıdır.

Bir veri ihlali mutlaka büyük çaplı siber saldırı şeklinde gerçekleşmek zorunda değildir. Tek bir müşterinin sağlık raporunun yanlış kişiye gönderilmesi, bir çalışanın bordro bilgisinin ilgisiz kişilere e-posta ile iletilmesi, kargo etiketi hatası nedeniyle başka kişiye ait adres bilgilerinin üçüncü kişinin eline geçmesi veya internet sitesindeki yetkilendirme açığı nedeniyle başka kullanıcıların bilgilerine ulaşılabilmesi de veri ihlali niteliği taşıyabilir.

KVKK Kurumu’nun kamuoyu duyurularında veri ihlalinin çok farklı şekillerde ortaya çıkabildiği görülmektedir. Örneğin 2026 yılında yayımlanan bir duyuruda, bir şirketin sunucusundaki muhasebe programında yer alan verilere yetkisiz erişim sağlandığı, etkilenen veri kategorileri arasında kimlik, iletişim, vergi numarası, adres, abone numarası ve cari hesap bilgilerinin bulunduğu açıklanmıştır. Başka bir duyuruda ise bir sigorta şirketinin internet sitesindeki sorgulama ekranında yetkilendirme kontrollerinin yetersizliği ve sorgu parametrelerinin manipülasyonu nedeniyle, ilgisiz üçüncü kişilere ait hasar dosyası içeriklerine erişim sağlandığı belirtilmiştir.

Her Siber Olay Veri İhlali Sayılır mı?

Her siber olay otomatik olarak KVKK kapsamında bildirime tabi veri ihlali sayılmaz. Örneğin şirket sistemine başarısız giriş denemesi yapılması, zararlı e-posta alınması veya güvenlik duvarının saldırı girişimini engellemesi tek başına veri ihlali bildirim yükümlülüğü doğurmayabilir. Ancak olay sonucunda kişisel verilerin yetkisiz kişilerce elde edildiği, görüntülendiği, kopyalandığı, dışarı aktarıldığı veya erişilebilir hale geldiği tespit ediliyorsa veri ihlali bildirimi gündeme gelir.

Bu nedenle şirketler, siber olay yaşandığında yalnızca teknik ekibin “sistem çalışıyor” değerlendirmesiyle yetinmemelidir. Hukuki açıdan şu sorular sorulmalıdır: Olay kişisel veri içeren sistemleri etkiledi mi? Yetkisiz erişim gerçekleşti mi? Hangi kişi grupları etkilendi? Hangi veri kategorileri risk altında? Veriler kopyalandı mı, sızdırıldı mı, silindi mi veya değiştirildi mi? Verilerin kötüye kullanılma ihtimali var mı? Etkilenen kişiler açısından kimlik hırsızlığı, dolandırıcılık, itibar kaybı, ayrımcılık veya maddi-manevi zarar riski oluştu mu?

Eğer olayın kişisel veriler açısından etkisi belirsizse, şirketin hızlı bir iç inceleme yürütmesi gerekir. Ancak bu inceleme, bildirim süresini fiilen etkisiz hale getirecek şekilde uzatılmamalıdır. Kurul’un 2019/10 sayılı kararı uyarınca veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirim yapması gerekir.

72 Saatlik Bildirim Süresi Ne Zaman Başlar?

KVKK uygulamasında en kritik noktalardan biri 72 saatlik sürenin başlangıcıdır. Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca “en kısa sürede” ifadesi 72 saat olarak yorumlanmış; veri sorumlusunun veri ihlalini öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirim yapması gerektiği açıklanmıştır.

Burada süre, her olayda ihlalin teknik olarak başladığı tarihten değil, veri sorumlusunun ihlali öğrendiği tarihten itibaren değerlendirilir. Örneğin bir siber saldırı 1 Mart’ta başlamış, şirket bunu 10 Mart’ta tespit etmişse, 72 saatlik süre kural olarak tespit/öğrenme tarihinden itibaren işlemeye başlar. Ancak şirketin ihlali öğrenmiş sayıldığı tarih, yalnızca yönetim kurulunun haberdar olduğu an olarak dar yorumlanmamalıdır. Bilgi işlem ekibinin, güvenlik biriminin, veri koruma sorumlusunun veya şirket adına hareket eden ilgili birimin ihlali öğrenmesi de süre bakımından önem taşıyabilir.

Kurul kararlarında 72 saatlik sürenin önemi açıkça görülmektedir. Bir sigorta şirketine ilişkin 2020/532 sayılı karar özetinde, sistem hatasının 01.01.2020 tarihinde gerçekleştiği, 06.01.2020 tarihinde tespit edildiği ve 08.01.2020 tarihinde Kurum’a veri ihlal bildiriminde bulunulduğu belirtilmiş; bildirim 72 saatlik süre içinde yapıldığı için bildirim süresi bakımından ayrıca işlem yapılmasına gerek görülmemiştir. Buna karşılık Kurum’un geç bildirimle ilgili karar özetinde, veri ihlalinin ilgili kişilere 17 ay, Kurul’a ise 10 aylık gecikmeyle bildirilmesinin “en kısa süre” şartını aşan bir süre olduğu ve bu nedenle idari yaptırım uygulandığı açıklanmıştır.

Kurul’a Bildirim Ne Zaman Yapılmalıdır?

Şirketler, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrendiği anda Kurul’a bildirim yapma yükümlülüğünü değerlendirmelidir. Bildirim için ihlalin tüm detaylarının yüzde yüz netleşmesini beklemek her zaman doğru değildir. Çünkü 72 saatlik süre, şirketin olayın bütün teknik analizini tamamlaması için değil, Kurul’un ve ilgili kişilerin ihlalden haberdar edilmesi için öngörülmüştür.

Uygulamada şirketler çoğu zaman “etkilenen kişi sayısı henüz belli değil”, “hangi verilerin sızdığı araştırılıyor”, “adli bilişim raporu bekleniyor” veya “saldırının kapsamı netleşmedi” gerekçeleriyle bildirimi geciktirmektedir. Ancak Kurul duyurularında, ihlalden etkilenen kişi sayısı veya veri kategorileri henüz kesinleşmemiş olsa dahi veri sorumlularının bildirim yaptığı görülmektedir. Örneğin 2026 tarihli Vimeo duyurusunda, Türkiye’de ihlalden etkilenen kişi sayısının henüz tespit edilemediği, araştırmaların devam ettiği, ancak mevcut ve muhtemel müşterilere ait ad, e-posta adresi ve kullanıcı adı bilgilerinin etkilendiği belirtilmiştir.

Benzer şekilde sağlık sektörüne ilişkin bir duyuruda, siber saldırı sonrası verilerin ele geçirildiği, ancak verinin büyüklüğü ve etkilenen kişi sayısı hakkında tespit yapılamadığı açıklanmış; buna rağmen ihlal Kurul’a bildirilmiş ve Kurul duyurusu yayımlanmıştır. Bu örnekler, şirketlerin “her şey netleşsin, sonra bildiririz” yaklaşımının riskli olduğunu göstermektedir.

İlgili Kişilere Bildirim Ne Zaman Yapılmalıdır?

KVKK m.12/5 yalnızca Kurul’a değil, ilgili kişilere de bildirim yapılmasını öngörmektedir. Kurul’un 2019/10 sayılı kararında, veri ihlalinden etkilenen kişilerin belirlenmesini takiben ilgili kişilere de makul olan en kısa süre içinde bildirim yapılması gerektiği; ilgili kişinin iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi internet sitesi üzerinden yayımlama gibi uygun yöntemlerle bildirim yapılabileceği belirtilmiştir.

İlgili kişilere bildirim yapılmasının amacı yalnızca şekli bir duyuru değildir. Amaç, kişilerin veri ihlali nedeniyle doğabilecek zararları azaltabilmesini sağlamaktır. Örneğin şifre bilgileri sızmışsa kullanıcıların şifrelerini değiştirmesi, kimlik bilgileri sızmışsa dolandırıcılık riskine karşı dikkatli olması, kredi kartı bilgileri etkilenmişse bankasıyla iletişime geçmesi, sağlık verileri ifşa olmuşsa mahremiyet risklerini bilmesi gerekir.

İlgili kişilere yapılacak bildirim anlaşılır, sade ve yönlendirici olmalıdır. Bildirimde ihlalin ne zaman gerçekleştiği, ne zaman tespit edildiği, hangi kişisel verilerin etkilendiği, ihlalin muhtemel sonuçları, veri sorumlusunun aldığı önlemler ve ilgili kişilerin hangi yollarla bilgi alabileceği açıklanmalıdır. Kurum’un birçok kamuoyu duyurusunda ilgili kişilerin veri sorumlusunun e-posta adresi, çağrı merkezi veya internet sitesi üzerinden ihlal hakkında bilgi alabileceği belirtilmektedir. Örneğin Civil Mağazacılık veri ihlali duyurusunda etkilenen kişilerin veri sorumlusuna ait özel e-posta adresi aracılığıyla bilgi alabileceği açıklanmıştır.

Veri İhlali Bildiriminde Hangi Bilgiler Yer Almalıdır?

Kurul’a yapılacak veri ihlali bildirimi, olayın hukuki ve teknik çerçevesini ortaya koymalıdır. Bildirimde veri sorumlusunun kimliği, ihlalin ne zaman başladığı, ne zaman sona erdiği, ne zaman tespit edildiği, ihlalin nasıl gerçekleştiği, hangi sistemlerin etkilendiği, hangi kişi gruplarının etkilendiği, hangi veri kategorilerinin ihlale konu olduğu, etkilenen kişi sayısı, alınan veya planlanan önlemler ve ilgili kişilerin nasıl bilgilendirileceği yer almalıdır.

Eğer bazı bilgiler henüz kesin değilse, bu durum açıkça belirtilmeli ve araştırmanın devam ettiği ifade edilmelidir. Ancak eksik bilgi, bildirimin hiç yapılmamasına gerekçe olmamalıdır. Kurul duyurularında, etkilenen kişi sayısının tespit edilemediği veya araştırmaların sürdüğü hallerde dahi bildirim yapıldığı görülmektedir.

Bildirim metninde olayın küçümsenmemesi, belirsiz ifadelerle geçiştirilmemesi ve gerçeğe aykırı bilgi verilmemesi gerekir. Örneğin “önemsiz bir teknik sorun” denilen olayda aslında milyonlarca müşteri verisi dışarı aktarılmışsa, bu durum Kurul incelemesinde şirket aleyhine değerlendirilir. Civil Mağazacılık duyurusunda, CRM sisteminin çalıştığı Windows Server üzerindeki veritabanlarına yönetici ve veritabanı seviyesinde hesap kullanılarak erişim sağlandığı ve veritabanı içeriklerinin sistem dışına aktarıldığı belirtilmiş; etkilenen kişi sayısının tahmini 4.500.000 olabileceği açıklanmıştır.

Hangi Olaylarda Veri İhlali Bildirimi Gündeme Gelir?

Veri ihlali bildirimi birçok farklı olayda gündeme gelebilir. En yaygın örneklerden biri siber saldırıdır. Fidye yazılımı, zararlı yazılım, phishing, yetkisiz erişim, SQL injection, zayıf parola kullanımı, yönetici hesabının ele geçirilmesi, sunucu açığı veya yanlış yapılandırılmış bulut sistemi kişisel verilerin ele geçirilmesine neden olabilir.

İkinci yaygın durum insan hatasıdır. Yanlış kişiye e-posta gönderilmesi, alıcıların gizli kopya yerine açık şekilde yazılması, kargo veya barkodlama hatası, yanlış kişiye fatura veya sağlık raporu gönderilmesi, müşteri ekranının başka kişiye açılması gibi olaylar veri ihlali doğurabilir. KVKK bakımından ihlalin kasıtlı olması şart değildir. Tedbirsizlik, ihmal veya sistemsel hata da veri güvenliği yükümlülüğünün ihlali olarak değerlendirilebilir.

Üçüncü durum içeriden kaynaklanan ihlallerdir. Çalışanın müşteri listesini kişisel e-postasına göndermesi, eski çalışanların sistem erişimlerinin kapatılmaması, yetkisi olmayan personelin sağlık veya bordro verilerine erişmesi, verilerin USB bellekle dışarı çıkarılması veya ticari amaçla üçüncü kişilerle paylaşılması bu kapsamdadır.

Dördüncü durum yazılım ve yetkilendirme hatalarıdır. Kullanıcıların URL parametresini değiştirerek başka kişilerin bilgilerini görmesi, hasar dosyası sorgulama ekranından ilgisiz kişilerin dosyalarına erişilmesi veya üyelik sisteminde başka kullanıcıya ait bilgiler görüntülenmesi gibi olaylar ciddi ihlal niteliği taşıyabilir. Türk Nippon Sigorta duyurusunda, internet sitesi üzerinden sunulan hasar dosyası sorgulama ekranındaki yetkilendirme eksikliği nedeniyle üçüncü kişilere ait hasar dosyası içeriklerine yetkisiz erişim sağlandığı açıklanmıştır.

Veri Sorumlusu ve Veri İşleyen İlişkisi

Veri ihlali bildirimi bakımından en önemli sorumluluk veri sorumlusuna aittir. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişidir. Ancak kişisel veriler çoğu zaman şirketin kendi sistemlerinde değil, dış hizmet sağlayıcılar nezdinde işlenmektedir. Bulut hizmet sağlayıcıları, yazılım firmaları, çağrı merkezleri, bordro şirketleri, muhasebeciler, e-posta pazarlama platformları, kargo firmaları ve güvenlik şirketleri veri işleyen veya bazı hallerde bağımsız veri sorumlusu olabilir.

Şirket, “veriler yazılım firmasında tutuluyordu, ben sorumlu değilim” diyerek yükümlülükten tamamen kurtulamaz. Veri sorumlusu, kendi adına veri işleyen kişilerle çalışırken gerekli teknik ve idari tedbirlerin alınmasını sağlamak, veri işleyenlerle uygun sözleşmeler yapmak, erişim yetkilerini sınırlandırmak ve ihlal halinde hızlı bildirim mekanizması kurmak zorundadır.

Bu nedenle şirketlerin veri işleyen sözleşmelerinde mutlaka veri ihlali bildirimi hükümleri bulunmalıdır. Hizmet sağlayıcı, herhangi bir veri ihlali veya şüpheli olay tespit ettiğinde veri sorumlusunu derhal bilgilendirmelidir. Aksi halde veri sorumlusu 72 saatlik süreyi kaçırabilir ve bu durum Kurul nezdinde ayrıca sorumluluk doğurabilir.

Geç Bildirim Yapılırsa Ne Olur?

Veri ihlalinin geç bildirilmesi, KVKK kapsamında idari yaptırım riskini artırır. Kanun’un 12. maddesinin 5. fıkrası bildirim yükümlülüğünü açıkça düzenlediğinden, bu yükümlülüğün ihlali veri güvenliği yükümlülüklerinin yerine getirilmemesi kapsamında değerlendirilebilir. Kurum’un geç bildirim karar özetinde, veri ihlalinin ilgili kişilere 17 ay, Kurul’a 10 ay gecikmeyle bildirilmesi nedeniyle idari yaptırım uygulandığı belirtilmiştir.

2026 yılı için KVKK idari para cezaları yeniden değerleme oranına göre güncellenmiş olup, Kurum 2017-2026 yılları için artırılmış tutarları gösteren tabloyu yayımlamıştır. Veri güvenliği yükümlülüklerinin ihlali halinde uygulanabilecek idari para cezaları şirketler açısından ciddi seviyelere ulaşabildiğinden, veri ihlali bildirimi süreci yalnızca teknik bir prosedür değil, doğrudan mali risk yönetimi konusudur.

Geç bildirim yalnızca idari para cezası riskini doğurmaz. İlgili kişilerin zararlarını artırabilir, şirketin kamuoyu nezdindeki güvenilirliğini zedeleyebilir, tazminat davalarında şirket aleyhine delil niteliği taşıyabilir ve Kurul’un teknik-idari tedbirleri daha sıkı incelemesine yol açabilir. Özellikle sağlık verisi, finansal veri, kimlik verisi veya milyonlarca kişiyi ilgilendiren müşteri verilerinde gecikme, ihlalin etkisini ağırlaştırır.

Veri İhlali Sonrası Şirketler Ne Yapmalıdır?

Veri ihlali şüphesi ortaya çıktığında şirketlerin hızlı, planlı ve belgelenebilir şekilde hareket etmesi gerekir. İlk aşamada olay teknik olarak izole edilmelidir. Yetkisiz erişim devam ediyorsa kesilmeli, zararlı yazılım temizlenmeli, etkilenen sistemler güvenli hale getirilmeli, şifreler ve erişim anahtarları değiştirilmelidir.

İkinci aşamada olayın kapsamı belirlenmelidir. Hangi sistemler etkilendi, hangi veriler erişime açıldı, hangi kişi grupları etkilendi, veri dışarı aktarıldı mı, log kayıtları ne gösteriyor, saldırgan hâlâ sistemde mi, yedekler güvenli mi, veri bütünlüğü bozuldu mu gibi sorular cevaplanmalıdır.

Üçüncü aşamada hukuki değerlendirme yapılmalıdır. Olay KVKK m.12/5 kapsamında bildirime tabi veri ihlali mi? Kurul’a bildirim yapılmalı mı? İlgili kişilere doğrudan bildirim mümkün mü? Bildirim metninde hangi bilgiler yer almalı? Başka düzenleyici kurumlara bildirim gerekir mi? Savcılığa suç duyurusu yapılmalı mı? Sigorta, banka, ödeme kuruluşu veya sektörel otorite yükümlülükleri var mı?

Dördüncü aşamada Kurul’a ve ilgili kişilere bildirim yapılmalıdır. 72 saatlik süre kaçırılmamalı; eksik bilgiler varsa daha sonra tamamlanmak üzere ilk bildirim yapılmalıdır. Bildirim, olayın ciddiyetini saklamadan ama gereksiz paniğe de yol açmadan hazırlanmalıdır.

Beşinci aşamada ihlal sonrası düzeltici tedbirler uygulanmalıdır. Zayıf parolalar değiştirilmeli, çok faktörlü kimlik doğrulama kurulmalı, erişim yetkileri gözden geçirilmeli, loglama artırılmalı, çalışan eğitimi yapılmalı, veri minimizasyonu uygulanmalı ve olayın tekrarını önleyecek teknik-idari tedbirler belgelenmelidir.

Veri İhlali Müdahale Planı Neden Gereklidir?

Veri ihlali yaşandığında şirketlerin en çok zorlandığı konu, kimin ne yapacağını bilmemesidir. Bilgi işlem ekibi teknik inceleme yaparken hukuk birimi 72 saatlik süreyi takip etmeyebilir; insan kaynakları çalışan verilerinin etkilenip etkilenmediğini geç bildirebilir; yönetim kamuoyu açıklamasını erteleyebilir. Bu da hem bildirim süresinin kaçmasına hem de delillerin kaybolmasına neden olabilir.

Bu nedenle şirketlerin önceden hazırlanmış bir veri ihlali müdahale planı olmalıdır. Bu planda ihlal şüphesinin kime bildirileceği, olay müdahale ekibinde kimlerin bulunacağı, bilgi işlem, hukuk, insan kaynakları, pazarlama, çağrı merkezi ve yönetim birimlerinin görevleri, Kurul bildirimi için gerekli bilgilerin nasıl toplanacağı ve ilgili kişilere yapılacak bildirimin nasıl hazırlanacağı belirlenmelidir.

Ayrıca şirketler düzenli tatbikat yapmalıdır. Veri ihlali planı yalnızca dosyada duran bir belge olmamalıdır. Özellikle müşteri verisi, sağlık verisi, finansal veri veya büyük çaplı çalışan verisi işleyen şirketler, ihlal senaryolarını önceden test etmelidir.

İlgili Kişilerin Hakları Nelerdir?

Veri ihlalinden etkilenen kişiler, KVKK kapsamında ilgili kişi sıfatıyla veri sorumlusuna başvuru yapabilir. Hangi verilerinin ihlale konu olduğunu, verilerin kimlerin eline geçmiş olabileceğini, ihlalin etkilerinin ne olduğunu, veri sorumlusunun hangi önlemleri aldığını ve verilerin silinip silinmeyeceğini sorabilir. Veri sorumlusu bu başvuruları süresi içinde cevaplamalıdır.

İlgili kişi ayrıca Kurul’a şikâyet yoluna başvurabilir. Veri ihlali nedeniyle maddi veya manevi zarara uğramışsa tazminat davası açabilir. Olay kişisel verilerin hukuka aykırı olarak ele geçirilmesi, verilmesi, yayılması veya kaydedilmesi niteliğindeyse Cumhuriyet Başsavcılığı’na suç duyurusunda bulunulması da gündeme gelebilir.

Bu nedenle şirketlerin ilgili kişi iletişim kanallarını açık tutması önemlidir. İhlal duyurusunda yalnızca “veri ihlali yaşanmıştır” denilmesi yeterli değildir. İlgili kişilerin hangi e-posta adresinden, çağrı merkezinden veya web sayfasından bilgi alabileceği açıkça gösterilmelidir. Kurum’un veri ihlali duyurularında da ilgili kişilerin veri sorumlusuna ait e-posta adresi, internet sitesi veya çağrı merkezi aracılığıyla bilgi alabileceğine sıkça yer verilmektedir.

Şirketlerin En Sık Yaptığı Hatalar

Şirketlerin veri ihlali sürecinde en sık yaptığı ilk hata, olayın yalnızca teknik bir sorun olarak görülmesidir. Oysa veri ihlali aynı zamanda hukuki bir krizdir. Bilgi işlem ekibinin sistemi düzeltmesi yeterli değildir; Kurul bildirimi, ilgili kişi bildirimi, delil koruma, tazminat riski ve ceza hukuku boyutu birlikte değerlendirilmelidir.

İkinci hata, 72 saatlik sürenin ihlalin tamamen netleşmesinden sonra başlayacağının düşünülmesidir. Süre, veri sorumlusunun ihlali öğrendiği andan itibaren işlemeye başlar. Şirketin kapsamı araştırması önemlidir; ancak araştırma bildirimi geciktirecek gerekçeye dönüştürülmemelidir.

Üçüncü hata, ilgili kişilere bildirim yapılmamasıdır. Kurul’a bildirim yapılmış olması, ilgili kişilere bildirim yükümlülüğünü ortadan kaldırmaz. Etkilenen kişilere makul olan en kısa sürede uygun yöntemlerle bildirim yapılmalıdır.

Dördüncü hata, veri işleyenlerle sözleşme yapılmamasıdır. Yazılım firması, bulut sağlayıcı veya çağrı merkezi ihlali geç bildirirse, veri sorumlusu da Kurul’a geç bildirim yapmak zorunda kalabilir. Bu nedenle hizmet sözleşmelerinde veri ihlali bildirimi ve iş birliği hükümleri bulunmalıdır.

Beşinci hata, olay sonrası düzeltici tedbirlerin belgelenmemesidir. Kurul incelemesinde yalnızca ihlalin bildirimi değil, ihlal öncesi ve sonrası alınan teknik-idari tedbirler de değerlendirilir. Şirket, hangi önlemleri ne zaman aldığını yazılı ve teknik kayıtlarla gösterebilmelidir.

Sonuç

KVKK kapsamında veri ihlali bildirimi, şirketlerin en hızlı hareket etmesi gereken hukuki yükümlülüklerden biridir. Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirim yapmalıdır. Ayrıca ihlalden etkilenen kişiler belirlendikten sonra ilgili kişilere de makul olan en kısa süre içinde bildirim yapılmalıdır.

Veri ihlali yalnızca büyük çaplı siber saldırılarla sınırlı değildir. Yanlış kişiye e-posta gönderilmesi, yetkisiz erişim, yazılım açığı, çalışan hatası, veri tabanının dışarı aktarılması, sağlık verisinin ifşası, müşteri bilgilerinin internette satışa sunulması veya muhasebe programına yetkisiz erişim de veri ihlali oluşturabilir. Kurum’un güncel duyuruları, farklı sektörlerde ve farklı ölçeklerde veri ihlali bildirimi yapıldığını açıkça göstermektedir.

Şirketler açısından en güvenli yaklaşım, veri ihlali yaşanmadan önce hazırlıklı olmaktır. Veri envanteri çıkarılmalı, teknik-idari tedbirler alınmalı, erişim yetkileri sınırlandırılmalı, log kayıtları tutulmalı, çalışanlar eğitilmeli, veri işleyenlerle sözleşmeler yapılmalı ve veri ihlali müdahale planı oluşturulmalıdır. İhlal yaşandığında ise olay saklanmamalı, geciktirilmemeli, hukuki ve teknik ekip birlikte çalışmalı, Kurul’a ve ilgili kişilere zamanında bildirim yapılmalıdır.

Sonuç olarak, KVKK veri ihlali bildirimi yalnızca bir form doldurma işlemi değildir. Bu süreç; şirketin veri güvenliği kültürünü, kriz yönetimini, şeffaflık anlayışını ve hukuki sorumluluk bilincini gösterir. Zamanında ve doğru yapılan bildirim, hem ilgili kişilerin zararını azaltır hem de şirketin idari para cezası, tazminat ve itibar kaybı riskini önemli ölçüde düşürür.