KVKK 72 Saat Veri İhlal Bildirim: Adım Adım Rehber — Av. Bilal Alyar 2026
KVKK veri ihlali bildirimi, m.12/5 uyarınca ihlali öğrenmeden 72 saat içinde Kurul’a yapılması zorunlu süreçtir. Bildirim yapılmaması KVKK m.18 idari para cezası ile cezalandırılır. Süreç; tespit → durdurma → değerlendirme → Kurul bildirimi → ilgili kişilere bildirim → düzeltici tedbirler şeklinde işler.
Adım Adım Süreç
Adım 1: İhlal tespiti ve durdurma
Sistem alarmı, çalışan ihbarı veya dış uyarı ile ihlal tespit edilir. Etkilenen sistemler izole edilir, kayıt-log toplanır.
İpucu: İlk 24 saat kritik — adli bilişim ekibinin müdahalesi önemlidir.
Adım 2: Etki değerlendirmesi
Etkilenen veri kategorileri (kimlik, finansal, özel nitelikli), etkilenen kişi sayısı, olası zarar boyutu analiz edilir.
İpucu: Özel nitelikli veri (sağlık, biyometrik) içeriyorsa Kurul süreci daha sıkı işler.
Adım 3: KVKK Kurul bildirim formu
kvkk.gov.tr veri ihlal bildirim formu doldurulur. İhlal tarihi, niteliği, etkilenen veri, alınan tedbirler beyan edilir.
İpucu: 72 saatte tüm bilgiler net olmayabilir; “ek bilgi sonradan iletilecektir” notu konabilir.
Adım 4: 72 saat süresine uy
Bildirim öğrenme tarihinden 72 saat içinde yapılır. Gecikme halinde gerekçesi belirtilir.
İpucu: Hafta sonu/tatil günleri süreyi etkilemez; süre kesintisiz işler.
Adım 5: İlgili kişilere bildirim
Yüksek risk varsa ilgili kişilere makul süre içinde bireysel bildirim (e-posta, SMS, posta) yapılır. Maksiyondan veriyi koruma adımları açıklanır.
İpucu: Geniş çaplı ihlalde web sitesi duyurusu da uygundur.
Adım 6: Düzeltici tedbirler
Güvenlik açıkları kapatılır, erişim kontrolü revize edilir, şifre sıfırlamaları yapılır, log izleme sıkılaştırılır.
İpucu: Tedbirler Kurul incelemesinde dikkate alınır; ne kadar hızlı ve eksiksiz olursa cezada hafifletici etki yapar.
Adım 7: Kurul incelemesi ve takip
Kurul ek bilgi talep edebilir, denetim başlatabilir, idari para cezası kararı verebilir. Karar 4-12 ay içinde çıkar.
İpucu: Karar aleyhine idare mahkemesinde iptal davası mümkündür (İYUK m.7 — 60 gün).