Veri İhlalinde 72 Saat İçinde Bildirim Rehberi 2026

KVKK m.12/5 uyarınca veri sorumlusu, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde bunu en kısa sürede ilgili kişiye ve Kurula bildirir; Kurul’un ilke kararına göre Kurula bildirim, ihlalin öğrenilmesinden itibaren 72 saat içinde yapılır. İlgili kişilere bildirim ise ‘makul süre’ içinde yapılır. Bu rehber bildirim içeriğini ve sürecini ele alır.

İhlal Tanımı

Kişisel verilerin kaybı, yok edilmesi, değiştirilmesi, yetkisiz açıklanması veya erişimi ihlal sayılır. Gizlilik, bütünlük ve erişilebilirlik ihlalleri ayrı ayrı değerlendirilir.

72 Saat Sayımı

Süre, ihlalin öğrenildiği andan itibaren başlar. Öğrenme anının objektif olarak belirlenmesi için iç süreçler (ticket sistemi, olay logu) önem taşır.

Bildirim İçeriği

İhlalin tanımı, etkilenen veri kategorileri, kişi sayısı, olası sonuçlar, alınan/önerilen tedbirler ve irtibat kişisi bilgileri bildirimde yer almalıdır.

İlgili Kişiye Bildirim

İhlalin kişisel verilerin hukuka aykırı elde edilmesi sonucunu doğurması halinde ilgili kişilere de ayrıca bildirim yapılır. İletişim yöntemi pratik olmalıdır.

Bildirmeme Yaptırımı

KVKK m.18/1-b uyarınca bildirim yükümlülüğüne aykırılık idari para cezasına tabidir. Ceza miktarı ihlalin boyutuna göre ağırlaştırılır.

Sıkça Sorulan Sorular

Her ihlal Kurul’a bildirilir mi?

Hayır; m.12/5 kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde en kısa sürede bildirim öngörür, 72 saatlik süre ise Kurul kararına dayanır.

Gecikme halinde ne olur?

Gecikme gerekçesi bildirim ile birlikte sunulur; ciddi gecikmeler ceza sebebi olabilir.

Toplu bildirim yapılabilir mi?

Aynı ihlal farklı kişileri etkiliyorsa tek bildirim yeterli; kişi başına ayrı kayıt tutulmalıdır.

Etkilenen kişi sayısı belirsizse?

İlk bildirim tahmini sayı ile yapılır; kesin sayı sonradan güncellenir.

Bu içerik bilgilendirme amaçlıdır ve bireysel hukuki danışmanlık yerine geçmez. Somut olayınız için bir avukatla görüşmeniz önerilir.

Bu içerik 17 Nisan 2026 tarihinde gözden geçirilmiştir.