KVKK Veri İhlali Bildirimi: 72 Saat Süresi ve Bildirim Formu

Kısa cevap: İşlenen kişisel veriler kanuni olmayan yollarla başkalarının eline geçtiğinde veri sorumlusu bunu en kısa sürede Kurula ve ilgili kişiye bildirir (6698 sayılı Kanun m.12/5). Kurul, Kurula bildirim için bu süreyi ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlamıştır.

Son güncelleme: 11 Kasım 2026

Veri ihlali yaşayan bir şirketin ilk sorusu genellikle “kaç saatimiz var” olur. Verisi sızan kişinin sorusu ise “bana haber verilmesi gerekiyor muydu, şimdi ne yapabilirim” olur. Bu yazıda iki tarafın da bilmesi gereken çerçeveyi, Kanun ve Kurulun yayımladığı resmî metinlerle sınırlı tutarak anlatıyorum.

Bildirim yükümlülüğü nereden geliyor?

6698 sayılı Kişisel Verilerin Korunması Kanununun 12. maddesi veri güvenliğine ilişkin yükümlülükleri düzenler. Maddenin beşinci fıkrasına göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Aynı fıkra, Kurulun gerekirse bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebileceğini de öngörür.

Kanun metninde saat olarak bir süre yazmaz; “en kısa sürede” der. 72 saat, Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kararından gelir. Kurumun bu karara ilişkin resmî duyurusuna göre Kurul, “en kısa sürede” ifadesinin 72 saat olarak yorumlanmasına ve veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesine karar vermiştir. Yani 72 saat bir üst sınırdır; daha erken bildirim mümkünse beklemek için bir gerekçe değildir.

72 saat ne zaman başlar, gecikirse ne olur?

Süre, veri sorumlusunun ihlali öğrendiği andan işler. Kurumun bildirim formu kılavuzu da “ihlalin tespit tarihi”ni veri sorumlusunun ihlalden ilk haberdar olduğu tarih olarak tanımlar; ihlalin başladığı ve sona erdiği tarihler ayrı alanlarda sorulur. Bu yüzden ihlalin kim tarafından, hangi kanaldan ve ne zaman fark edildiğinin ilk andan yazılı olarak kayda geçirilmesi önemlidir.

Kurul kararına göre haklı bir gerekçeyle 72 saat içinde bildirim yapılamazsa, yapılacak bildirimle birlikte gecikmenin nedenleri de Kurula açıklanır. Formdaki bilgilerin aynı anda sağlanması mümkün değilse bilgiler gecikmeye mahal verilmeksizin aşamalı olarak verilir. Pratikte bu şu anlama gelir: etkilenen kişi sayısı veya ihlalin kaynağı henüz netleşmediyse bildirim bekletilmez, elde olan bilgilerle süre içinde yapılır ve sonra tamamlanır.

Kılavuza göre çevrimiçi formda her bildirime bir güvenlik kodu (takip numarası) verilir ve bildirim bu kodla sorgulanıp güncellenir. Ancak “Kaydet ve Kuruma Gönder” seçildikten sonra yalnız “Ekler” bölümünde değişiklik yapılabildiği belirtilir. Göndermeden önce metnin dikkatle gözden geçirilmesi bu nedenle önemlidir.

İhlal veri işleyende veya yurt dışında yaşandıysa

Bildirim yükümlülüğü Kanunda veri sorumlusuna yüklenmiştir. Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde gerekli tedbirlerin alınması konusunda bu kişilerle birlikte müştereken sorumludur (m.12/2). Kurul kararı da veri işleyen nezdindeki ihlalde veri işleyenin gecikmeksizin veri sorumlusuna bildirimde bulunmasını öngörür. Bulut hizmeti, yazılım sağlayıcısı veya çağrı merkezi gibi bir hizmet sağlayıcıda yaşanan ihlalde de Kurula bildirimi kural olarak veri sorumlusu yapar; formda veri işleyenin ihlali ne zaman bildirdiği ayrıca sorulur.

Kararda ayrıca, yurt dışında yerleşik bir veri sorumlusunda yaşanan ihlalin sonuçları Türkiye’de yerleşik ilgili kişileri etkiliyor ve bu kişiler ürün ve hizmetlerden Türkiye’de yararlanıyorsa, o veri sorumlusunun da aynı esaslarla Kurula bildirimde bulunacağı belirtilir.

İlgili kişilere bildirim

Kurul kararına göre veri sorumlusu, ihlalden etkilenen kişileri belirledikten sonra onlara makul olan en kısa süre içinde bildirim yapar. İlgili kişinin iletişim adresine ulaşılabiliyorsa bildirim doğrudan yapılır; ulaşılamıyorsa veri sorumlusunun kendi internet sitesinde yayımlanması gibi uygun yöntemler kullanılır. Kurul formunda da ilgili kişilere bildirimin yapılıp yapılmadığı, tarihi, yöntemi ve ilgili kişilerin bilgi alabileceği iletişim kanalları sorulur; yapılan bildirimin bir örneğinin eklenmesi istenir.

İlgili kişiye gönderilecek metin, ihlalin ne olduğunu ve kişinin kendini korumak için neler yapabileceğini sade bir dille anlatmalıdır. Bu metin ileride şikâyet ve tazminat dosyalarında da okunacağından, ihlali küçümseyen veya olmayan bir güvence veren ifadelerden kaçınmak gerekir.

Bildirim formu: hazırlanacak bilgiler

Kurula bildirimde Kurumun yayımladığı Kişisel Veri İhlal Bildirim Formu kullanılır; Kurumun duyurusunda formun yalnız veri sorumlusu tarafından doldurulması gerektiği belirtilir. Kılavuza göre form şu başlıklardan oluşur. Taslak hazırlarken bu alanlara karşılık gelen bilgileri önceden toplamak süreyi rahatlatır:

Hakkınızda: veri sorumlusunun unvanı ve adresi; bildirimi hazırlayan kişinin bilgileri. Bildirim avukat veya danışman tarafından yapılıyorsa vekaletname ya da sözleşme gibi belgeler eklenir.
İhlal hakkında: bildirim türü (ilk bildirim veya güncelleme), ihlalin başlama, sona erme ve tespit tarihleri; ihlal veri işleyende yaşandıysa onun tespit ve bildirim tarihleri.
Kaynak ve etki: ihlalin kaynağı ve nasıl gerçekleştiği; gizlilik, bütünlük veya erişilebilirlikten hangisinin etkilendiği; ihlalin nasıl ve kim tarafından tespit edildiği.
Etkilenen veriler ve kişiler: etkilenen veri kategorileri, varsa özel nitelikli veriler; etkilenen kişi ve kayıt sayısı (tespit edilemiyorsa nedeni); etkilenen kişi grupları.
Bildirim: 72 saat aşıldıysa gecikmenin nedenleri; ilgili kişilere bildirimin tarihi, yöntemi ve iletişim kanalı; yurt içinde veya yurt dışında yargı, kolluk ya da başka bir kamu kurumuna bilgi verilip verilmediği.
Olası sonuçlar: ilgili kişilerin olumsuz etkilenme olasılığı ve ihlalin kuruluşa etkisi.
Önlemler ve ekler: çalışanların son bir yılda aldığı eğitimler; ihlalden önce ve sonra alınan teknik ve idari tedbirler; bunları gösteren belgeler.

Bu liste bir doldurma rehberi değil, bir hazırlık çerçevesidir. Hangi bilginin nasıl ifade edileceği, hangi belgenin eklenip eklenmeyeceği ve etki değerlendirmesi somut olaya göre değişir; bu yüzden bildirim metnini dosyaya özgü hazırlamak gerekir.

Bildirimden sonra: kayıt, inceleme ve yaptırım

Kurul kararı, veri ihlallerine ilişkin bilgilerin, etkilerinin ve alınan önlemlerin kayıt altına alınmasını ve Kurulun incelemesine hazır tutulmasını, ayrıca belirli aralıklarla gözden geçirilen bir veri ihlali müdahale planı hazırlanmasını öngörür. Kurul şikâyet üzerine veya ihlal iddiasını öğrenince resen inceleme yapabilir; veri sorumlusu, istenen bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde incelemeye imkân sağlamak zorundadır (m.15/1, m.15/3).

Kanunun 18. maddesi, 12. maddedeki veri güvenliği yükümlülüklerini yerine getirmeyenler hakkında idari para cezası öngörür (m.18/1-b); bildirim yükümlülüğü de 12. maddenin içindedir. Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir (m.18/3).

İhlal sonrasında sistemleri temizlerken log ve erişim kayıtlarını silmeyin; bu kayıtlar hem Kurula yapılacak açıklamanın hem de olası bir ceza soruşturmasının dayanağıdır. Kayıtların değiştirilmeden saklanması ve kimin ne zaman kopya aldığının not edilmesi yerinde olur.

Verileri sızan kişi sizseniz

Bir şirketten “verileriniz etkilendi” bildirimi aldıysanız veya verilerinizin sızdığını başka yoldan öğrendiyseniz şunlar yapılabilir:

Veri sorumlusuna yazılı olarak başvurup hangi verilerinizin işlendiğini, kimlere aktarıldığını öğrenmek ve zararınızın giderilmesini istemek (m.11, m.13). Veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırır.
Başvurunuz reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse Kurula şikâyette bulunmak (m.14/1). Başvuru yolu tüketilmeden şikâyet yoluna gidilemez (m.14/2). Kurumun duyurusuna göre şikâyet ve ihbarlar ihlal bildirim formuyla değil, yazılı olarak veya Kurumun şikâyet sistemi üzerinden iletilir. Ayrıntılar için KVKK şikâyeti nasıl yapılır yazısına bakabilirsiniz.
Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır (m.14/3; TBK m.49). Bu konu veri ihlali tazminatı yazısında ayrıca anlatılıyor.
Verileriniz biri tarafından hukuka aykırı olarak ele geçirildi, başkasına verildi veya yayıldıysa olay TCK m.136 kapsamında da değerlendirilebilir; bkz. TCK 136 ve güncel içtihat.

Hangi yolun önce kullanılacağı, sürelerin nereden başlayacağı ve hangi delillerin saklanacağı dosyaya göre değişir; şikâyet dilekçesini veya tazminat talebini hazırlamadan önce elinizdeki bildirim ve yazışmaları bir arada tutun.

Sık sorulan sorular

72 saat kuralı Kanunda mı yazıyor?

Hayır. 6698 sayılı Kanunun 12/5. maddesi “en kısa sürede” bildirim öngörür. 72 saat, Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kararıyla bu ifadeye verilen yorumdur; Kurula bildirim ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılır.

Bütün bilgiler hazır değilse bildirimi bekletebilir miyim?

Bekletmemek gerekir. Kurul kararına göre formdaki bilgilerin aynı anda sağlanması mümkün değilse bilgiler gecikmeye mahal verilmeksizin aşamalı olarak verilir. Haklı bir gerekçeyle 72 saat aşılırsa gecikmenin nedenleri bildirimle birlikte açıklanır.

İhlal hizmet aldığımız bir firmada yaşandı; bildirimi kim yapar?

Kurula bildirim yükümlülüğü veri sorumlusundadır (m.12/5). Kurul kararına göre veri işleyen, kendi nezdindeki ihlali gecikmeksizin veri sorumlusuna bildirir; veri sorumlusu da tedbirler bakımından veri işleyenle birlikte müştereken sorumludur (m.12/2).

Bildirim yapılmazsa yaptırımı nedir?

Kanunun 18/1-b maddesi, 12. maddedeki veri güvenliği yükümlülüklerini yerine getirmeyenler hakkında idari para cezası öngörür; bildirim yükümlülüğü de 12. maddededir. Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir (m.18/3).

Verilerim sızdı; ihlal bildirim formunu ben doldurabilir miyim?

Hayır. Kurumun duyurusuna göre ihlal bildirim formu yalnız veri sorumlusu tarafından doldurulur. İlgili kişi önce veri sorumlusuna başvurur (m.13); başvurusu reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse Kurula şikâyette bulunabilir (m.14).

Bir ihlalin bildirim gerektirip gerektirmediği, sürenin hangi andan başladığı ve formun nasıl doldurulacağı her olayda ayrı değerlendirilir; somut dosyanın incelenmesi gerekir.

Resmî kaynaklar

İlgili rehberler

Yasal uyarı: Bu yazı genel bilgilendirme amacı taşır ve hukuki danışmanlık yerine geçmez. Somut olayınız için bir avukattan görüş alınız.

Av. Bilal Alyar, İstanbul Barosu
ALYAR LAW & CONSULTANCY