Veri İhlali Bildirim Rehberi 2026 | KVKK 72 Saat, Form ve Yaptırımlar
Veri İhlali Bildirim Yükümlülüğü 2026
6698 sayılı KVKK m.12/5 uyarınca veri sorumlusu, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin tespit edilmesi halinde durumu en kısa sürede ilgili kişiye ve KVK Kuruluna bildirir. KVK Kurulu 24.01.2019 tarihli ve 2019/10 sayılı kararı ile bu sürenin “veri sorumlusu tarafından öğrenilmesinden itibaren 72 saat” olarak belirlemiştir. AB GDPR m.33 ile uyumludur ve 72 saat süresi yoğun bakım periyodu olarak nitelendirilir.
Bildirim İçeriği ve Form
KVK Kurulu Veri İhlal Bildirim Formu zorunludur. Form içeriği: ihlalin gerçekleşme zamanı, etkilenen veri kategorileri (kimlik, iletişim, finans, sağlık vb.), etkilenen kişi sayısı, ihlalin niteliği (hack, çalıntı, yanlış aktarım), olası sonuçlar, alınan/alınacak tedbirler, ilgili kişilere bildirim planı. Form KVK Kurulu portalı üzerinden elektronik olarak iletilir. Bildirim gecikirse gecikme nedeni izah edilir.
İlgili Kişilere Bildirim ve İçerik
Veri sorumlusu etkilenen veri sahiplerine ihlalin niteliği, türü, etkileri ve alınacak önlemleri açık ve sade dilde bildirir. Bildirim e-posta, SMS, posta veya web sitesi duyurusu ile yapılır. KVKK m.12/5 son cümle: KVK Kurulu gerekirse kamuoyu duyurusu yapılmasını da isteyebilir. Bildirim olmazsa idari para cezası 1.117.717 TL’ye kadar uygulanır (2025 tutarı, KVKK m.18).
KVK Kurulu Yaptırım Süreci
KVK Kurulu bildirimi inceler, gerekirse yerinde inceleme yapar, eksik tedbir saptanırsa veri sorumlusunu uyarır. Veri güvenliği önlemlerinin yetersizliği halinde KVKK m.18/1-b uyarınca idari para cezası uygulanır. Veri sorumlusu 60 gün içinde idare mahkemesinde iptal davası açabilir (2577 İYUK m.7). Aynı zamanda etkilenen kişiler tazminat davası açabilir (TBK m.49 ve KVKK m.7/3 atıfla TBK hükümleri).
72 Saat Yönetimi ve Hazırlık
Veri ihlali müdahale planının (Incident Response Plan) önceden hazırlanması zorunludur. Plan unsurları: tespit (SOC alert), izolasyon, delil koruma (chain of custody), iç bildirim hattı, KVK Kurulu bildirim formatı, kamuoyu iletişim metni, hukuk birimi koordinasyonu, sigorta poliçesi (cyber insurance) tetikleme. Saat 0’dan itibaren her saat değerlidir. kurumsal adli bilişim ve hukuki destek sürecin başında devreye sokulmalıdır.