KVKK Veri İhlali Bildirimi: 72 Saatte Atılması Gereken Adımlar

Eski bir yedek diskiniz kayboldu ya da bir çalışanınızın hesabı ele geçirildi. O anda elinizde ne kadar süre var: iki gün mü, bir hafta mı? KVKK’nın cevabı nettir: 72 saat. Ama bu süre olayın gerçekleştiği andan değil, sizin öğrendiğiniz andan işlemeye başlar — ve çoğu firma bu farkı ilk ihlalinde öğreniyor.

72 saat nereden başlar, nereye biter?

6698 sayılı Kanun’un 12/5. maddesi, hukuka aykırı biçimde ele geçirilen kişisel veriler için veri sorumlusuna “en kısa sürede” bildirim yükümlülüğü getiriyor. Kurul, 24.01.2019 tarih ve 2019/10 sayılı ilke kararıyla bu ifadeyi somutlaştırdı: en kısa süre, en geç 72 saat.

Saatin başlangıcı sıkça karıştırılıyor. Süre, veri sorumlusunun ihlali öğrendiği andan itibaren işler — sızıntının teknik olarak ne zaman başladığından değil. Bir saldırı üç hafta önce gerçekleşmiş ama loglarda dün fark edilmiş olabilir; saat dünden başlar. Bu yüzden tespit mekanizmanız (log izleme, uyarı sistemi, EDR) ne kadar geç çalışırsa, elinizdeki manevra alanı da o kadar daralır.

İlk saatlerde ekip ne yapmalı?

72 saat kısa bir süre; panikle geçirilirse daha da kısalır. Sıra şöyle işlemeli:

• Olayı durdurun. Etkilenen hesabı, sunucuyu ya da ağ segmentini izole edin. Kanıtı silmeden müdahale edin — disk imajı almadan sistemi sıfırlamak, sonradan neyin kaybolduğunu anlamayı imkânsızlaştırır.
• Kapsamı belirleyin. Hangi veri kategorisi (kimlik, iletişim, finansal, sağlık), kaç kişi, hangi sistem etkilendi? Belirsizlik varsa tahmini rakamla ilerleyin, netleştikçe güncelleyin.
• Sorumlu kişiyi devreye sokun. KVKK sorumlunuz veya dış danışmanınız ilk saatte haberdar olmalı; 72 saat onun da hazırlık süresidir.
• Kayıt tutmaya başlayın. Ne zaman fark edildiği, kim tarafından, hangi adımların atıldığı — bu kayıt hem bildirim formunun hem olası bir denetimin temelini oluşturur.

Kurul’a bildirim: hangi kanal, ne içerik

Bildirim, Kurum’un yayımladığı Kişisel Veri İhlali Bildirim Formu ile yapılır ve elektronik ortamda ihlalbildirim.kvkk.gov.tr üzerinden iletilir. Form; ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını ve alınan/alınacak önlemleri sorar.

Her bilgiye 72 saat içinde ulaşmış olmanız şart değil. Kurul, aşamalı bildirime izin veriyor: elinizdeki bilgiyle ilk bildirimi yapıp netleştikçe ek bilgi gönderebilirsiniz. Süreyi kaçırırsanız da form yine gönderilir, ancak gecikmenin gerekçesi ayrıca açıklanmalıdır.

İlgili kişiye ne zaman, nasıl haber verilir?

Kurul’a bildirim süresi net (72 saat) ama ilgili kişiye — yani verisi etkilenen kişiye — bildirim için Kanun “makul en kısa süre” diyor, sabit bir saat vermiyor. Ölçüt, kişinin olası zarar riskinin büyüklüğü: şifre, kimlik ya da finansal veri sızmışsa bildirim gecikmemeli; daha düşük riskli bir ihlalde birkaç günlük değerlendirme süresi kabul edilebilir.

Bildirim tercihen doğrudan yapılır: e-posta, telefon, SMS. Doğrudan iletişim mümkün değilse — örneğin iletişim bilgisi elde bile değilse — web sitesinde duyuru veya başka uygun bir kanal kullanılabilir. Kurul’un yayımladığı örnek kararlarda, yüzlerce ya da binlerce kişiyi etkileyen ihlallerde bu ikinci yöntem sık görülüyor.

72 saati kaçırırsanız ceza nedir?

Gecikme tek başına otomatik ceza doğurmuyor; Kurul gerekçeyi değerlendiriyor. Ama altta yatan sebep genelde “yeterli teknik tedbir alınmamış olması” ise, devreye giren madde farklı ve çok daha ağır:

İhlal türü	2026 alt sınır	2026 üst sınır
Bildirim yükümlülüğüne aykırılık	85.437 TL	1.709.200 TL
Veri güvenliği tedbirleri (m.12)	256.357 TL	17.092.242 TL

Yani asıl risk, bildirimi geç yapmak değil; ihlale zemin hazırlayan güvenlik açığının kendisi. Bildirim süreci düzgün işletildiğinde bile, altyapı tedbirsizse Kurul kararı çok daha yüksek bir kalemden çıkıyor.

Sık sorulan sorular

72 saat hafta sonuna denk gelirse süre uzar mı? Hayır, süre takvim günü olarak işler; resmi tatil veya hafta sonu bildirimi ertelemez.

İhlali önce mi durdururuz, önce mi bildiririz? Önce müdahale. Bildirim formunu doldururken bile sistem hâlâ açık bir zafiyet taşıyorsa, önceliğiniz kapatmak olmalı — form paralelde hazırlanabilir.

Küçük bir işletme de bu bildirimi yapmak zorunda mı? Evet. Bildirim yükümlülüğü çalışan sayısından veya VERBİS eşiğinden bağımsızdır; herhangi bir veri sorumlusu hukuka aykırı erişimle karşılaştığında bu sürece tabidir.

Bir ihlal anında elinizin altında hazır bir müdahale planı ve bildirim şablonu olması, 72 saati paniksiz geçirmenin en pratik yolu. Mevcut sürecinizi birlikte gözden geçirmek isterseniz bizimle iletişime geçin.