Kişisel Veri İhlali Bildirimi Nasıl Yapılır?

Kişisel veri ihlali şüphesi ortaya çıktığında veri sorumlusunun yapması gereken yalnızca teknik açığı kapatmak değildir. İhlalin öğrenilmesiyle yayılımı durdurmak, delilleri korumak, etkilenen veri ve kişileri belirlemek ve gerekiyorsa en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirim yapmak gerekir. İhlalden etkilenen kişilerin de makul olan en kısa sürede ve somut riskleri anlayabilecekleri açıklıkta bilgilendirilmesi ayrı bir yükümlülüktür.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12/5. maddesi, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgilisine ve Kurula bildirmesini öngörür. 24.01.2019 tarihli ve 2019/10 sayılı Kurul kararı, Kurula bildirim bakımından “en kısa süre”yi ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat olarak belirlemiştir. Kişisel Verileri Koruma Kurumunun 20.01.2026 tarihli kamuoyu duyurusu da aynı süreyi ve ilgili kişilere makul olan en kısa sürede bildirim esasını yeniden açıklamıştır.

Kişisel Veri İhlali Nedir?

Her bilgi güvenliği olayı otomatik olarak kişisel veri ihlali değildir. Sunucunun kısa süreli yavaşlaması, kişisel veri içermeyen bir sistemdeki hata veya başarısız bir saldırı girişimi tek başına bildirim yükümlülüğünü doğurmayabilir. Buna karşılık olay kişisel verilere yetkisiz erişim, verilerin yetkisiz kişiye açıklanması, kaybolması, değiştirilmesi, silinmesi ya da erişilemez hâle gelmesi sonucunu doğuruyorsa ihlal olarak değerlendirilir.

Kişisel Verileri Koruma Kurumunun kullandığı ihlal bildirim formu ve kılavuzu, olayın veri gizliliği, veri bütünlüğü ve veriye erişim/ulaşılabilirlik üzerindeki etkilerinin ayrı ayrı açıklanmasını ister. Bu nedenle yalnız “veri dışarı sızdı mı?” sorusuna odaklanmak yeterli değildir. Örneğin kişisel veri içeren bir dosyanın yanlış alıcıya gönderilmesi gizlilik; kayıtların yetkisiz biçimde değiştirilmesi bütünlük; fidye yazılımı nedeniyle kişisel verilere ve yedeklere erişilememesi ise erişilebilirlik yönünden değerlendirme gerektirir.

İhlal bildirim formundaki “çok yüksek, yüksek, orta, düşük veya henüz bilinmiyor” biçimindeki risk derecelendirmesi, bildirimin içeriğini ve alınacak önlemleri yapılandırır. Ancak 6698 sayılı Kanun’un 12/5. maddesi ile 2019/10 sayılı Kurul kararı, bildirimi yalnız “yüksek riskli” ihlallerle sınırlayan bir istisna öngörülmediğinin altını çizmek gerekir.

72 Saatlik Bildirim Süresi Ne Zaman Başlar?

Kurula bildirim süresi, veri sorumlusunun ihlali öğrendiği tarihten itibaren başlar. Bu nedenle kurum içindeki ilk örneğin çağrı merkezi kaydı, veri işleyenin e-postası, çalışan bildirimi, saldırgan mesajı veya sistem uyarısının ne zaman ve kim tarafından alındığı kayda geçirilmelidir.

Kurul kararı “72 saat” demekte, iş günü veya mesai saati ayrımı yapmamaktadır. Bu nedenle hafta sonu, resmî tatil veya şirketin kapalı olduğu saatlerde süre durmaz.

Geç bildirim yapılması gerekiyorsa bildirim yine yapılmalı; gecikmenin nedenleri somut olay zaman çizelgesiyle birlikte açıklanmalıdır. Hangi bilginin ne zaman elde edildiği, bildirimin neden daha önce gönderilemediği ve gecikmeyi azaltmak için ne yapıldığı gösterilmelidir.

Veri İhlali Öğrenildiğinde İlk Saatlerde Ne Yapılmalıdır?

İlk saatlerde teknik ekip, hukuk/KVKK ekibi ve olayın sahibi iş birimi paralel çalışmalıdır. Teknik müdahale bildirimi; hukuki değerlendirme de sistemin güvenli hâle getirilmesini beklememelidir.

Olay müdahale planı devreye alınmalıdır

Kurulun 2019/10 sayılı kararı, veri sorumlusunun kimlere raporlama yapılacağını, Kanun kapsamındaki bildirimlerden kimin sorumlu olduğunu ve olası sonuçların kim tarafından değerlendirileceğini içeren bir veri ihlali müdahale planı hazırlamasını ister. Önceden belirlenmiş plan yoksa olay için derhâl küçük ve yetkili bir ekip kurulmalıdır.

Yayılım durdurulurken deliller korunmalıdır

Yetkisiz hesaplar kapatılabilir, sızan erişim anahtarları değiştirilebilir, etkilenen sistem ağdan ayrılabilir ve yanlış alıcıdan veriyi silmesi istenebilir. Ancak acele müdahale sırasında logların, e-posta üst bilgilerinin, dosya zaman damgalarının, erişim kayıtlarının veya zararlı yazılım izlerinin yok edilmemesi gerekir. Alınan her teknik tedbir; saat, işlemi yapan kişi, gerekçe ve sonuç bilgisiyle kaydedilmelidir. Sistem görüntüsü, log veya ekran çıktısı gibi deliller üzerinde çalışılacaksa orijinal kayıtların bütünlüğünü koruyacak yöntem belirlenmelidir. Kuruma sunulacak olay anlatımı, daha sonra teknik raporla çelişmemelidir.

Tek bir olay zaman çizelgesi oluşturulmalıdır

En az şu anlar ayrı ayrı kaydedilmelidir:

ihlalin başladığı tahmin edilen tarih ve saat,
ihlalin sona erdiği veya kontrol altına alındığı tarih ve saat,
ilk sinyalin alındığı tarih ve saat,
veri sorumlusunun ihlali öğrendiği tarih ve saat,
veri işleyenin olayı tespit ve veri sorumlusuna bildirim zamanı,
Kurula ilk bildirimin gönderildiği zaman,
ilgili kişilere bildirimin başladığı ve tamamlandığı zaman,
takip bildirimlerinin tarihleri.

Kişisel Veri İhlali Bildirimi Adım Adım Nasıl Yapılır?

Kuruma elektronik bildirim, Kişisel Veri İhlali Bildirim Portalı üzerinden yapılabilir.

Adım 1: Veri sorumlusu ve bildirim yetkilisi belirlenir

İhlalin gerçekleştiği gerçek veya tüzel kişi veri sorumlusunun adı/unvanı ve adresi doğru yazılmalıdır. Bildirimi veri sorumlusu bünyesindeki yetkilendirilmiş personel hazırlayabilir. Avukat veya danışman veri sorumlusu adına işlem yapıyorsa kılavuz, yetkiyi gösteren sözleşme veya vekâletname gibi belgenin eklenmesini ister.

Adım 2: İlk bildirim veya takip bildirimi seçilir

Olay ilk kez Kurula iletiliyorsa “ilk bildirim” seçilir. Daha önce bildirilen olayla ilgili yeni bilgi sunulacaksa takip numarası kullanılarak “takip bildirimi” hazırlanır. Aynı olayı yeni ve bağımsız bir ihlal gibi tekrar kaydetmek yerine önceki bildirimle bağ kurulmalıdır. Portalın verdiği takip/güvenlik kodu kaydedilmelidir. Bu kod sonraki sorgulama ve güncellemelerde kullanılır.

Adım 3: İhlalin başlangıç, bitiş ve tespit bilgileri yazılır

İhlalin ne zaman başladığı kesin olarak bilinmiyorsa bilinen en erken ve en geç sınırlar ile belirsizliğin nedeni açıklanmalıdır. İhlalin sona erme tarihi, saldırının tamamen analiz edildiği tarih değil; kişisel veriler üzerindeki ihlal etkisinin sonlandırıldığı veya kontrol altına alındığı zamanla ilişkilendirilmelidir. Tespit tarihi bakımından veri sorumlusunun ihlalden ilk haberdar olduğu an ve bu bilgiyi destekleyen kayıt gösterilmelidir. Olay veri işleyen nezdinde gerçekleşmişse veri işleyenin tespit tarihi, veri sorumlusuna bildirim tarihi ve bildirim yöntemi de açıklanmalı; e-posta veya yazı gibi belge eklenmelidir.

Adım 4: İhlalin kaynağı ve gerçekleşme biçimi açıklanır

Form; siber saldırı, zararlı yazılım, sosyal mühendislik, fidye yazılımı, parola saldırısı, belge veya cihaz kaybı, güvensiz depolama, sabotaj, kaza ve ihmal gibi kaynakları sorgular. Birden fazla kaynak söz konusuysa hepsi işaretlenebilir. Açıklama, olayın teknik özünü taşımalıdır. Hangi sistemin etkilendiği, yetkisiz erişimin nasıl tespit edildiği, erişimin hangi hesap veya kanal üzerinden gerçekleştiği, olayın ne kadar sürdüğü ve hangi önlemin ihlali durdurduğu belirtilmelidir.

Adım 5: Etkilenen veri ve kişi grupları somutlaştırılır

Veri kategorileri yalnız “müşteri verisi” veya “çalışan bilgisi” şeklinde yazılmamalıdır. Kimlik verileri içindeki ad-soyad ve kimlik numarası; iletişim verileri içindeki telefon ve e-posta; finans verileri içindeki hesap veya işlem bilgisi ayrı ayrı belirtilmelidir. Özel nitelikli kişisel veriler ayrıca işaretlenmelidir. Etkilenen kişi sayısı ile kayıt sayısı aynı kavram değildir. Bir kişinin ad, telefon ve adres bilgilerinin etkilenmesi bir kişi ve birden fazla kayıt anlamına gelebilir. Kesin sayı henüz bulunamıyorsa tahmini sayı, hesaplama yöntemi ve belirsizliğin nedeni yazılmalıdır. İlgili kişi grupları çalışan, müşteri, hasta, öğrenci, kullanıcı, çocuk veya başka bir grup olarak ayrılmalıdır. İhlalin kişiler üzerindeki olası etkileri de kimlik hırsızlığı, dolandırıcılık, finansal kayıp, ayrımcılık, itibar kaybı veya kişisel veriler üzerindeki kontrol kaybı gibi somut sonuçlarla değerlendirilmelidir.

Adım 6: Önceki ve sonraki tedbirler birbirinden ayrılır

Form, ihlalden önce mevcut olan teknik ve idari tedbirlerle olay sonrasında alınan veya planlanan tedbirleri ayrı sorar. Olaydan sonra uygulanan bir kontrol, ihlal tarihinde zaten varmış gibi gösterilmemelidir. Kişisel Veri Güvenliği Rehberi; risk analizi, erişim yetkileri, çalışan eğitimi, kişisel veri güvenliği politikaları, veri işleyen yönetimi, siber güvenlik, güvenlik takibi, güvenli ortam, bulut sistemleri, tedarik ve bakım ile yedekleme başlıklarını birlikte ele alır. Bildirimde tedbir yalnız isim olarak sayılmamalı; olay tarihinde nerede, nasıl ve hangi kapsamda uygulandığı belgeyle desteklenmelidir. Olay sonrası tedbirler için tamamlanma tarihi ve sorumlu belirlenmelidir.

Adım 7: Ekler hazırlanır ve veri minimizasyonu uygulanır

Kılavuz; tespit kayıtları, veri işleyen bildirimi, ilgili kişilere yapılan duyuru, eğitim belgeleri ve teknik/idari tedbirleri gösteren kayıtlar gibi destekleyici belgelerin eklenmesini öngörür. Her ekin hangi soruya cevap verdiği anlaşılmalıdır. Bununla birlikte ihlale konu kişisel verilerin kendisi gereksiz yere formun içine veya eklerine kopyalanmamalıdır. Resmî formda, ihlale konu kişisel verilerin forma dâhil edilmemesi yönünde açık uyarı bulunur. Kurumun olayı değerlendirmesi için gerekli kategori, kapsam ve örnek yapı açıklanmalı; gerçek kişilere ait ham veri yalnız zorunlu ve ölçülü olduğu ölçüde ele alınmalıdır.

Adım 8: Gönderim kaydı ve nihai kopya korunur

Form Kuruma gönderilmeden önce tarihlerin, kişi sayılarının, veri kategorilerinin, ilgili kişi bildirim planının ve eklerin birbirini doğruladığı kontrol edilmelidir. Gönderim sonrası oluşan takip numarası, teslim ekranı ve Kuruma gönderilen nihai içerik bir kopya olarak saklanmalıdır. Kurul, bildirimden sonra inceleme başlatabilir ve ek bilgi isteyebilir. Kurumun kamuoyu duyurusunda da bildirim yükümlülüğünün yerine getirilmesinden sonra Kurul tarafından inceleme kararı alınabileceği belirtilmiştir.

Bütün Bilgiler 72 Saat İçinde Toplanamazsa Ne Yapılmalıdır?

Kurulun 2019/10 sayılı kararı, formdaki bilgilerin aynı anda sağlanamadığı durumlarda aşamalı bildirime izin verir. İlk bildirimde en azından veri sorumlusunun kimliği, ihlalin öğrenilme zamanı, bilinen olay özeti, etkilenen sistemler ve veri kategorileri, mevcut kişi/kayıt tahmini, ilk risk değerlendirmesi ve alınan acil önlemler yer almalıdır.

Henüz bilinmeyen noktalar boş bırakılıp unutulmamalıdır. Her biri için:

neden belirlenemediği,
hangi ekip veya veri işleyenin araştırdığı,
hangi kaydın beklendiği,
tahmini tamamlanma zamanı,
Kurula hangi takip bildirimiyle sunulacağı

olay gösterilmelidir.

İlgili Kişilere Veri İhlali Bildirimi Nasıl Yapılır?

Kurula bildirim ile ihlalden etkilenen kişilere bildirim iki ayrı yükümlülüktür. Kurula ilişkin 72 saatlik sınır, ilgili kişiye bildirim için aynı rakamsal süre olarak düzenlenmemiştir. Kurulun 2019/10 sayılı kararı, etkilenen kişiler belirlendikten sonra bildirimin makul olan en kısa sürede yapılmasını ister.

İletişim adresine ulaşılabiliyorsa bildirim doğrudan yapılmalıdır. Adrese ulaşılamıyorsa veri sorumlusunun internet sitesinde yayımlama gibi uygun yöntemler kullanılabilir. Yöntem belirlenirken ihlalin ciddiyeti, etkilenen kişi grubu ve kişilerin kendilerini korumak için ne kadar hızlı harekete geçmesi gerektiği dikkate alınmalıdır.

18.09.2019 tarihli ve 2019/271 sayılı Kurul kararı, ilgili kişiye yapılacak açıklamanın açık ve sade dille hazırlanmasını ve en az şu unsurları içermesini ister:

ihlalin ne zaman gerçekleştiği,
kişisel veri ve özel nitelikli kişisel veri ayrımı yapılarak hangi veri kategorilerinin etkilendiği,
ihlalin olası sonuçları,
olumsuz etkileri azaltmak için alınan veya ilgili kişiye önerilen tedbirler,
kişinin ayrıntılı bilgi alabileceği irtibat kişisinin adı ve iletişim yolları.

Bildirimde, kişinin yapabileceği işlemler somut olmalıdır. Parolasını değiştirmesi, çok faktörlü doğrulamayı etkinleştirmesi, hesabını veya banka hareketlerini kontrol etmesi, sahte iletişimlere karşı dikkatli olması ya da belirli bir iletişim kanalına başvurması gerekiyorsa bunlar olayın niteliğine uygun biçimde açıklanmalıdır.

İlgili kişiye yapılan açıklama, teknik soruşturmayı tehlikeye atacak veya başka kişilerin verilerini ifşa edecek ayrıntılar içermemelidir. Buna karşılık kurumsal itibarı koruma amacıyla risklerin belirsizleştirilmesi de bildirimin koruyucu amacını zedeler. Kurula sunulan olay tarihi, veri kategorileri ve etki değerlendirmesi ile ilgili kişiye açıklanan bilgiler birbiriyle tutarlı olmalıdır.

Veri İşleyen Nezdindeki İhlalde Sorumluluk Kime Aittir?

Kurulun 2019/10 sayılı kararı, veri işleyenin ihlali herhangi bir gecikmeye yer vermeden veri sorumlusuna bildirmesini öngörür. Kurula yapılacak bildirimin muhatabı ise veri sorumlusudur. Kurumun Veri Sorumlusu ve Veri İşleyen rehberinde açıklandığı üzere somut veri işleme faaliyetinde amaç ve temel vasıtaları kimin belirlediğine göre değerlendirme yapılmalıdır.

Bildirim Dosyasında Hangi Kayıtlar Saklanmalıdır?

Kurul kararı, ihlale ilişkin bilgilerin, etkilerin ve alınan önlemlerin kayıt altına alınmasını ve incelemeye hazır tutulmasını ister. Asgari kayıt seti şu şekilde kurulabilir:

olay ve karar zaman çizelgesi,
ilk alarm ve iç bildirim kayıtları,
veri işleyen yazışmaları,
etkilenen sistem, veri, kişi ve kayıt analizleri,
risk değerlendirmesinin dayanakları,
olay öncesi mevcut tedbirleri gösteren kayıtlar,
olay sonrası alınan tedbirlerin tarih ve sorumluları,
Kurula gönderilen ilk ve takip bildirimleri,
ilgili kişilere gönderilen metin ve teslim kayıtları,
portal takip numarası ve teslim ekranı,
yönetim onayları ve açık kalan işlerin takip listesi.

Olay kayıtları, genel saklama ve imha düzeni içinde özel olarak korunmalıdır. İnceleme için gerekli delili olağan silme döngüsünde yok etmek de her kaydı süresiz tutmak da doğru değildir. Kapsam, saklama gerekçesi, erişim yetkisi ve gözden geçirme tarihi belirlenmelidir.

Geç, Eksik veya Çelişkili Bildirimin Sonucu Ne Olabilir?

Kanun’un 18. maddesi, 12. maddede öngörülen veri güvenliği yükümlülüklerine aykırılığı idari para cezası kapsamında düzenler. Güncel yaptırım yapısı ayrıca KVKK Kurulu idari para cezaları rehberinde ele alınmıştır.

Özellikle şu durumlar inceleme riskini artırabilir:

öğrenme anının belgelendirilememesi,
72 saat geçmesine rağmen gerekçesiz beklenmesi,
ilk ve takip bildirimlerinde çelişen tarihler bulunması,
olay sonrası tedbirlerin olay öncesi mevcutmuş gibi sunulması,
kişi ve kayıt sayısının dayanak gösterilmeden değiştirilmesi,
ilgili kişilere geç, belirsiz veya eksik açıklama yapılması,
veri işleyenin bildiriminin izlenmemesi,
Kurula gönderilen form ve eklerin kopyasının saklanmaması,
teknik logların müdahale sırasında kaybedilmesi.

Sonuç ve Hukuki Destek

Kişisel veri ihlali bildiriminin güvenli yönetimi; öğrenme anını sabitlemek, 72 saatlik takvimi başlatmak, teknik müdahale ile hukuki değerlendirmeyi paralel yürütmek, eldeki bilgilerle süresinde ilk bildirim yapmak ve eksikleri takip bildirimiyle tamamlamak üzerine kuruludur. İlgili kişilere yapılacak açıklama ise Kurul bildiriminden ayrı planlanmalı ve kişilerin olası zararı azaltabilecekleri kadar açık olmalıdır.

Her olayın bildirim gerektirip gerektirmediği; verinin niteliği, yetkisiz erişimin kapsamı, koruma tedbirleri, etkilenen kişiler ve olası sonuçlar üzerinden değerlendirilir. Bu nedenle hazır bir bildirim metnini yalnız şirket adı ve tarih değiştirerek kullanmak yerine olay zaman çizelgesi, teknik kayıtlar ve hukuki nitelendirme birlikte incelenmelidir.

Sık Sorulan Sorular

KVKK veri ihlali bildirimi kaç saat içinde yapılmalıdır?

Veri sorumlusu, kişisel veri ihlalini öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır. Süre iş günü olarak düzenlenmemiştir; hafta sonu ve tatil nedeniyle kendiliğinden durduğu varsayılmamalıdır.

72 saat içinde bütün bilgiler bulunamazsa bildirim ertelenebilir mi?

Bütün bilgilerin tamamlanması beklenmemelidir. Elde bulunan doğrulanmış bilgilerle ilk bildirim süresinde yapılmalı; belirlenemeyen hususlar nedeni ve çalışma planıyla gösterilerek takip bildirimiyle gecikmeden tamamlanmalıdır.

Kişisel veri ihlali bildirimi nereye yapılır?

Veri sorumlusu, Kişisel Verileri Koruma Kurumunun elektronik ihlal bildirim portalını kullanabilir. Bu portal veri sorumlusunun ihlal bildirimi içindir; ilgili kişinin şikâyet veya ihbar kanalı değildir.

İlgili kişilere de 72 saat içinde bildirim yapılması zorunlu mudur?

Kurula bildirim için 72 saatlik sınır vardır. İlgili kişiler bakımından Kurul kararı, etkilenen kişiler belirlendikten sonra makul olan en kısa sürede bildirim yapılmasını ister. Somut olayda zararı azaltma ihtiyacı bildirim zamanını ve yöntemini etkiler.

Yanlış kişiye e-posta gönderilmesi veri ihlali sayılır mı?

E-posta kişisel veri içeriyor ve yetkisiz alıcı bu verilere erişmiş veya erişebilir hâle gelmişse kişisel veri ihlali değerlendirmesi gerekir. Verinin niteliği, ekin açılıp açılmadığı, geri çekme veya silme imkânı ve olası sonuçlar somut olarak incelenmelidir.

Veri işleyen Kurula doğrudan bildirim yapar mı?

Kurul kararındaki temel düzen, veri işleyenin olayı gecikmeden veri sorumlusuna bildirmesi; veri sorumlusunun da Kurula karşı bildirim sürecini yürütmesidir. Sözleşmedeki roller ve somut olay ayrıca kontrol edilmelidir.

Geç bildirim artık yapılamaz mı?

Süre geçmiş olsa da bildirim yapılmalıdır. Gecikmenin nedenleri olay zaman çizelgesi ve destekleyici kayıtlarla birlikte Kurula açıklanmalıdır. Geç kalındığı için hiç bildirim yapmamak yükümlülüğü ortadan kaldırmaz.

Kurula bildirim yapınca inceleme kapanır mı?

Hayır. Kurul bildirimden sonra inceleme başlatabilir, ek bilgi ve belge isteyebilir ve veri güvenliği tedbirlerini ayrıca değerlendirebilir. Bu nedenle gönderilen form, ekler, ilgili kişi bildirimleri ve düzeltici tedbirler olay dosyasında takip edilmelidir.

İhlal bildirimi formuna örnek kişisel veriler eklenmeli midir?

Kurumun resmî formunda, ihlale konu kişisel verilerin forma dâhil edilmemesi yönünde uyarı vardır. Olayın değerlendirilebilmesi için veri kategorileri ve kapsam açıklanmalı; gerçek kişilere ait ham veriler gereksiz biçimde kopyalanmamalıdır.

Kişisel veri ihlalinin bildirim gerektirip gerektirmediğinin, 72 saatlik sürenin, portal formunun ve ilgili kişi açıklamasının somut olay üzerinden değerlendirilmesi için iletişim formumuzdan randevu talep edebilirsiniz.

Yasal Uyarı: Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; somut olaya ilişkin hukuki görüş niteliği taşımaz. İçerikte yer alan bilgiler, yayın tarihindeki mevzuat ve uygulama esas alınarak hazırlanmış olup zaman içinde değişiklik gösterebilir. Her dosya kendi koşulları çerçevesinde değerlendirilmelidir.