Veri İhlali Bildirim Rehberi 2026 | KVKK 72 Saat, Form ve Yaptırımlar

Veri İhlali Bildirim Yükümlülüğü 2026

6698 sayılı KVKK m.12/5 uyarınca veri sorumlusu, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin tespit edilmesi halinde durumu en kısa sürede ilgili kişiye ve KVK Kuruluna bildirir. KVK Kurulu 24.01.2019 tarihli ve 2019/10 sayılı kararı ile bu sürenin “veri sorumlusu tarafından öğrenilmesinden itibaren 72 saat” olarak belirlemiştir. Bu süre, AB GDPR m.33’teki 72 saatlik bildirim süresiyle benzerlik taşır.

Bildirim İçeriği ve Form

KVK Kurulu Veri İhlal Bildirim Formu zorunludur. Form içeriği: ihlalin gerçekleşme zamanı, etkilenen veri kategorileri (kimlik, iletişim, finans, sağlık vb.), etkilenen kişi sayısı, ihlalin niteliği (hack, çalıntı, yanlış aktarım), olası sonuçlar, alınan/alınacak tedbirler, ilgili kişilere bildirim planı. Form KVK Kurulu portalı üzerinden elektronik olarak iletilir. Bildirim gecikirse gecikme nedeni izah edilir.

İlgili Kişilere Bildirim ve İçerik

Veri sorumlusu etkilenen veri sahiplerine ihlalin niteliği, türü, etkileri ve alınacak önlemleri açık ve sade dilde bildirir. Bildirim e-posta, SMS, posta veya web sitesi duyurusu ile yapılır. KVKK m.12/5 son cümle: Kurul, gerekmesi hâlinde ihlali kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir. Veri güvenliği yükümlülüklerinin ihlali hâlinde KVKK m.18/1-b uyarınca 15.000 TL’den 1.000.000 TL’ye kadar (her yıl yeniden değerleme oranıyla artırılan tutarlarla) idari para cezası verilir.

KVK Kurulu Yaptırım Süreci

KVK Kurulu bildirimi inceler, gerekirse yerinde inceleme yapar, eksik tedbir saptanırsa veri sorumlusunu uyarır. Veri güvenliği önlemlerinin yetersizliği halinde KVKK m.18/1-b uyarınca idari para cezası uygulanır. Veri sorumlusu, Kurulca verilen idari para cezasına karşı KVKK m.18/3 uyarınca idare mahkemesinde dava açabilir (süre için İYUK m.7). Aynı zamanda etkilenen kişiler genel hükümler uyarınca (TBK m.49; TMK m.24-25) tazminat davası açabilir.

72 Saat Yönetimi ve Hazırlık

Veri ihlali müdahale planının önceden hazırlanması, KVKK m.12 kapsamındaki teknik ve idari tedbirlerin bir parçası olarak tavsiye edilir. Plan unsurları: tespit (SOC alert), izolasyon, delil koruma (chain of custody), iç bildirim hattı, KVK Kurulu bildirim formatı, kamuoyu iletişim metni, hukuk birimi koordinasyonu, sigorta poliçesi (cyber insurance) tetikleme. Saat 0’dan itibaren her saat değerlidir. Kurumsal adli bilişim ve hukuki destek sürecin başında devreye sokulmalıdır.