# Veri İhlali Bildirimi

- Yazar: Av. Ersan Çetin
- Alan: Kişisel Verilerin Korunması
- Yayın: 2025-03-15
- Son güncelleme: 2026-07-08
- Kaynak: https://ersancetin.av.tr/makaleler/kvkk-veri-ihlali/

> Kişisel veri ihlali, verilerin kazara veya yasadışı olarak yok edilmesi, kaybedilmesi, değiştirilmesi, yetkisiz ifşası veya erişilmesi anlamına gelir. KVKK, veri sorumlularına ihlal halinde Kurul'a ve ilgili kişilere bildirim yükümlülüğü getirmektedir.

## 1. Giriş

Kişisel veri ihlali, günümüz dijital dünyasında her ölçekteki kuruluşun karşılaşabileceği kritik bir risk alanıdır. KVKK, veri ihlali durumunda veri sorumlularına Kurul'a ve ilgili kişilere bildirim yükümlülüğü getirmektedir. Hızlı ve etkin müdahale, hem yasal yükümlülüklerin yerine getirilmesi hem de zararın minimize edilmesi açısından büyük önem taşımaktadır.

**Karşılaştırmalı Hukuk**

**AB (GDPR Madde 33-34):** Veri ihlali yetkili denetim otoritesine 72 saat içinde bildirilmelidir. İlgili kişilere bildirim, yüksek risk durumunda "gecikmeksizin" yapılmalıdır.

**ABD:** 50 eyaletin ayrı bildirim yasaları vardır. Genellikle "makul sürede" bildirim öngörülür. CCPA, California sakinleri için 72 saat kuralı getirir.

**Almanya:** GDPR kuralları geçerlidir. BSI (Federal Bilgi Güvenliği Ofisi) kritik altyapı ihlalleri için ek bildirim gereksinimleri belirler.

**Türkiye:** KVKK m.12/5 "en kısa sürede" der. Kurul bunu 72 saat olarak yorumlamaktadır.

## 2. Veri İhlali Kavramı

Kişisel veri ihlali, kişisel verilerin güvenliğinin ihlal edilmesi sonucu verilerin kazara veya yasadışı olarak yok edilmesi, kaybedilmesi, değiştirilmesi, yetkisiz olarak açıklanması veya bunlara erişilmesidir.

> **KVKK m. 12/5 (İhlal Bildirimi)**
>
> İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

### İhlal Türleri

| İhlal Türü | Açıklama | Örnek |
| --- | --- | --- |
| Gizlilik ihlali | Yetkisiz veya kazara ifşa/erişim | Veri sızıntısı, yanlış alıcıya e-posta gönderimi |
| Bütünlük ihlali | Yetkisiz veya kazara değiştirme | Veritabanı manipülasyonu, ransomware şifrelemesi |
| Erişilebilirlik ihlali | Yetkisiz veya kazara kayıp/yok etme | Yedeksiz veri kaybı, fiziksel hasar |

**KARŞILAŞTIRMALI HUKUK**

GDPR Madde 33-34 - Veri İhlali Bildirimi

GDPR, veri ihlalinin yetkili denetim otoritesine 72 saat içinde bildirilmesini zorunlu kılar. İhlal, kişilerin hak ve özgürlükleri için yüksek risk oluşturuyorsa ilgili kişilere de "gecikmeksizin" bildirim yapılmalıdır. KVKK'da süre "en kısa sürede" olarak belirlenmiş, Kurul bu süreyi 72 saat olarak yorumlamaktadır.

## 3. Kurul'a Bildirim

### Bildirim Süresi

KVKK'da "en kısa sürede" ifadesi kullanılmış olup, Kurul bu süreyi ihlali öğrendikten itibaren 72 saat olarak belirlemiştir.

> **KURUL KARARI 2019/10 (BİLDİRİM SÜRESİ)**
>
> Veri sorumlusu, veri ihlalini öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunmalıdır. 72 saatin üzerinde bir sürede yapılan bildirimlerde gecikmenin gerekçesi de açıklanmalıdır.

### Bildirim Yöntemi

Kurul'a bildirim, kvkk.gov.tr adresindeki "Veri İhlali Bildirim Formu" aracılığıyla yapılır. Form, elektronik ortamda doldurulur ve sisteme yüklenir.

### Bildirimde Bulunması Gereken Bilgiler

| Bilgi Kategorisi | İçerik |
| --- | --- |
| İhlalin tanımı | İhlalin niteliği, nasıl gerçekleştiği, etkilenen veri kategorileri |
| Etki kapsamı | Etkilenen kişi sayısı, etkilenen veri kayıt sayısı |
| İrtibat bilgileri | Detaylı bilgi alınabilecek kişi/birim iletişim bilgileri |
| Olası sonuçlar | İhlalin ilgili kişiler üzerindeki muhtemel etkileri |
| Alınan tedbirler | İhlalin etkilerini azaltmak için alınan/alınacak tedbirler |
| Gecikme gerekçesi | 72 saatten geç bildirim yapılıyorsa sebebi |

**KURUL UYGULAMASI**

Eksik Bildirim

Kurul uygulamasında, veri ihlali bildiriminde etkilenen kişi sayısını ve veri kategorilerini eksik bildiren kuruluşlara idari para cezası uygulandığı görülmektedir. Bildirim, ihlalin tam kapsamını yansıtmalı ve soruşturmayı mümkün kılacak detayları içermelidir.

## 4. İlgili Kişilere Bildirim

Veri ihlali, ilgili kişilerin hak ve özgürlükleri üzerinde olumsuz etki yaratabilecek nitelikteyse, ilgili kişilere de bildirim yapılması gerekmektedir.

### Bildirim Yapılması Gereken Durumlar

| Risk Düzeyi | Bildirim Gereksinimi | Örnek Senaryo |
| --- | --- | --- |
| Yüksek risk | Zorunlu - derhal bildirim | Kimlik bilgileri, finansal veriler, sağlık verileri sızıntısı |
| Orta risk | Değerlendirmeye bağlı | Şifrelenmiş verilerin sızıntısı, sınırlı kapsamlı ihlal |
| Düşük risk | Genellikle gerekli değil | Anonimleştirilmiş verilerin kaybı, iç erişim ihlali |

### Bildirim İçeriği

| Bilgi | Açıklama |
| --- | --- |
| İhlalin açıklaması | Ne olduğunun anlaşılır dilde açıklanması |
| Etkilenen veriler | Hangi kişisel verilerin etkilendiği |
| Olası sonuçlar | İlgili kişi için potansiyel riskler |
| Alınan tedbirler | Veri sorumlusunun aldığı önlemler |
| Önerilen eylemler | İlgili kişinin kendini korumak için yapabilecekleri |
| İletişim bilgileri | Daha fazla bilgi için başvuru yolu |

**KURUL UYGULAMASI**

İlgili Kişilere Bildirim Eksikliği

Kurul uygulamasında, kimlik ve finansal verilerin sızdığı ihlallerde ilgili kişilere bildirim yapmayan veri sorumlularına idari para cezası uygulandığı görülmektedir. Bu tür hassas verilerin sızması halinde ilgili kişilerin kimlik hırsızlığı ve dolandırıcılık riski altında olduğu, bu nedenle mutlaka bilgilendirilmesi gerektiği vurgulanmaktadır.

## 5. İhlal Müdahale Süreci

Etkin bir veri ihlali müdahalesi için önceden hazırlanmış bir süreç ve ekip bulunmalıdır.

### Müdahale Aşamaları

| Aşama | Eylemler | Süre |
| --- | --- | --- |
| 1. Tespit | İhlalin belirlenmesi, ilk değerlendirme | Derhal |
| 2. Sınırlama | İhlalin yayılmasının engellenmesi, sistemlerin izolasyonu | İlk saatler |
| 3. Değerlendirme | Kapsamın belirlenmesi, etkilenen verilerin tespiti | 24-48 saat |
| 4. Bildirim | Kurul'a ve ilgili kişilere bildirim | 72 saat içinde |
| 5. İyileştirme | Güvenlik açığının giderilmesi, sistemlerin onarımı | İhlale bağlı |
| 6. Dokümantasyon | İhlal raporunun hazırlanması, dersler çıkarılması | İhlal sonrası |

### İhlal Müdahale Ekibi

| Rol | Sorumluluk |
| --- | --- |
| Ekip lideri | Müdahale sürecinin koordinasyonu, karar alma |
| BT/Güvenlik | Teknik analiz, sınırlama, iyileştirme |
| Hukuk | Yasal değerlendirme, bildirim yükümlülükleri |
| İletişim | İç/dış iletişim, basın açıklamaları |
| İnsan Kaynakları | Çalışan verilerinin etkilendiği durumlarda |
| Üst Yönetim | Stratejik kararlar, kaynak tahsisi |

**UYGULAMA ÖNERİSİ**

İhlal Müdahale Planı

Her kuruluş, veri ihlali durumunda izlenecek adımları tanımlayan yazılı bir müdahale planına sahip olmalıdır. Plan, ekip üyelerini, iletişim zincirini, sorumlulukları ve kontrol listelerini içermelidir. Planın etkinliği düzenli tatbikatlarla test edilmelidir.

## 6. Kurul İncelemesi ve Kararları

Kurul, bildirilen veri ihlallerini inceler ve gerekli gördüğü hallerde idari yaptırım uygular.

### Kurul'un Değerlendirme Kriterleri

| Kriter | Değerlendirme |
| --- | --- |
| Güvenlik tedbirlerinin yeterliliği | İhlal öncesi alınan teknik ve idari tedbirler |
| İhlalin önlenebilirliği | Makul tedbirlerle önlenip önlenemeyeceği |
| Müdahale hızı | İhlalin tespit ve bildirim süresi |
| İyileştirme çabaları | Alınan düzeltici tedbirler ve işbirliği |
| İhlalin kapsamı | Etkilenen kişi sayısı ve veri hassasiyeti |

**KURUL UYGULAMASI**

Gecikmiş Bildirim

Kurul uygulamasında, veri ihlalini öğrendikten sonra makul süre içinde bildirim yapmayan kuruluşlara idari para cezası uygulandığı görülmektedir. Teknik inceleme sürmekte olsa bile 72 saat içinde en azından ön bildirim yapılması gerekmektedir.

## 7. Yaygın İhlal Senaryoları ve Önlemler

| Senaryo | Önleme Tedbirleri |
| --- | --- |
| Phishing saldırısı | Çalışan eğitimi, e-posta filtreleme, çok faktörlü kimlik doğrulama |
| Ransomware | Düzenli yedekleme, uç nokta güvenliği, ağ segmentasyonu |
| Yanlış alıcıya gönderim | Otomatik tamamlama kontrolü, gönderim onayı, DLP |
| Çalışan kaynaklı sızıntı | Erişim kontrolü, izleme, gizlilik taahhütnamesi |
| Fiziksel cihaz kaybı | Disk şifreleme, uzaktan silme, MDM |
| Tedarikçi kaynaklı ihlal | Sözleşme şartları, düzenli denetim, erişim sınırlaması |

## 8. İhlal Sonrası Süreç

Veri ihlalinin ardından, sadece acil müdahale değil, uzun vadeli iyileştirme çalışmaları da yapılmalıdır.

-   **Kök neden analizi:** İhlalin temel nedeninin belirlenmesi
-   **Güvenlik iyileştirmeleri:** Benzer ihlalleri önleyecek teknik tedbirler
-   **Politika güncellemeleri:** Prosedürlerin gözden geçirilmesi
-   **Eğitim:** Tespit edilen eksikliklere yönelik eğitimler
-   **Test:** İyileştirmelerin etkinliğinin doğrulanması
-   **Dokümantasyon:** İhlal dosyasının arşivlenmesi

## 9. Sonuç

Veri ihlali bildirimi, hem yasal bir yükümlülük hem de kurumsal sorumluluk göstergesidir. Hızlı ve şeffaf bildirim, ilgili kişilerin kendilerini korumak için önlem almasını sağlar ve Kurul nezdinde iyi niyet göstergesi olarak değerlendirilir.

KVKK m. 12/5 uyarınca veri ihlali bildiriminin 72 saat içinde yapılması gerekmekte olup, bu süre içinde ihlalin kapsamı, etkilenen kişi grupları ve alınan tedbirlerin belirlenmesi zorunludur. Kurul kararlarında, olay müdahale planı bulunan ve ihlali proaktif şekilde bildiren veri sorumlularına yönelik daha olumlu bir değerlendirme yapıldığı görülmektedir.

---

Bu çalışma yalnızca bilgilendirme amacıyla hazırlanmış olup hukuki tavsiye niteliği taşımaz. Mevzuat ve içtihatlarda meydana gelebilecek değişiklikler nedeniyle içerik zamanla geçerliliğini yitirebilir. İçeriğin somut olaylara uygulanması veya bu içeriğe dayanılarak alınan kararlar nedeniyle doğabilecek sonuçlardan sorumluluk kabul edilmez.