Tedarikçiniz Hacklenirse KVKK Cezasını Kim Öder? 33 İhlalin Dersi

2 Eylül 2026 Çarşamba günü Kişisel Verileri Koruma Kurumu’nun sitesinde aynı anda 33 ayrı veri ihlali duyurusu yayımlandı. Hazır giyim, ayakkabı, kozmetik, spor ve gıda gibi birbiriyle hiçbir ortak noktası olmayan 22 şirketin duyurusunda ise neredeyse birebir aynı cümle geçiyordu: veri sorumlusu adına veri işleyen bir sunucuya yetkisiz erişim sağlanmış. Hangi tedarikçinin hacklendiği tek bir duyuruda bile açıklanmadı. Sonuç aynı kaldı: 22 farklı marka, tek bir ortak zafiyetin faturasını kendi adına ödedi.

Aynı cümle, 22 farklı şirket: ne oldu?

Duyuruların dokuzunda etkilenen kişi sayısı da paylaşılmış; toplamı 74.600’ü buluyor. Etkilenen veriler ad-soyad, telefon, e-posta ve bazı duyurularda hash’lenmiş şifre bilgisi. İhlalin Ağustos sonu ile Eylül başında tespit edildiği, aradan geçen sürenin kısa tutulduğu belirtiliyor. Bir hafta sonra, 9 Eylül tarihli kararlarla Kurul altı ihlali daha ilan etti; bu kez fidye yazılımı ve sunucuya yetkisiz erişim ortak deseni yine öne çıktı. İki hafta içinde tekrarlanan bu tablo tesadüf değil: KOBİ’lerin çoğu artık veriyi kendi sunucusunda değil, kullandığı e-ticaret altyapısı, kargo takip sistemi veya CRM sağlayıcısının bulutunda tutuyor.

Veri sorumlusu mu, veri işleyen mi?

6698 sayılı Kanun bu ikisini net ayırır. Veri sorumlusu, verinin işlenme amacını ve yöntemini belirleyen taraftır (yukarıdaki örnekte müşteri verisini toplayan giyim markası). Veri işleyen ise veri sorumlusunun talimatıyla, onun adına veriyi işleyen üçüncü taraftır: e-ticaret altyapı firması, ödeme sağlayıcısı, kargo takip yazılımı. Kanun’un 12. maddesinin birinci fıkrası, veri sorumlusuna yalnızca kendi sistemini değil, veri işleyenin de yeterli tedbir aldığını denetleme yükümlülüğü yüklüyor. Yani tedarikçiniz hacklendiğinde sorumluluk otomatik olarak ona geçmiyor; Kurul kararlarının büyük çoğunluğunda ceza yine veri sorumlusuna, yani markanın kendisine kesiliyor.

Yükümlülük	Veri Sorumlusu (marka)	Veri İşleyen (tedarikçi)
KVKK’ya bildirim	Yapmakla yükümlü (m.12/5)	Veri sorumlusuna en kısa sürede haber vermekle yükümlü
Teknik/idari tedbir	Tedarikçiyi seçerken ve denetlerken sorumlu	Sözleşmedeki tedbirleri uygulamakla sorumlu
Kurul cezası	Muhatap genelde bu taraf	Doğrudan muhatap olması nadir
Sözleşmesel tazminat	Tedarikçiden talep edebilir	Sözleşme varsa tazmin yükümlüsü

Tablodaki son satır önemli: KVKK cezası markaya kesilse bile, tedarikçiyle aranızdaki sözleşme sağlamsa o parayı kısmen veya tamamen tedarikçiden geri isteyebilirsiniz. Sözleşme yoksa ya da genel geçer birkaç cümleden ibaretse, elinizde kalan tek şey kendi ödediğiniz ceza oluyor.

Sözleşmenizde bu dört madde var mı?

Bir veri işleyenle çalışıyorsanız (bugün hemen her KOBİ bulut tabanlı en az bir hizmetle çalışıyor) sözleşmede şunları arayın:

• Talimat sınırı: Tedarikçi veriyi yalnızca sizin verdiğiniz talimatla işleyeceğini yazılı olarak taahhüt etmeli, kendi amaçları için kullanamamalı.
• Alt yüklenici onayı: Tedarikçi işi kendi de bir başka firmaya (alt-işleyene) devrediyorsa, bunu önceden size bildirip onayınızı almalı.
• Bildirim süresi: Sizin KVKK’ya 72 saat içinde bildirim yapabilmeniz için tedarikçinin size çok daha kısa bir sürede — örneğin 24 saat içinde — haber vermesi gerekir. Süre yazılı değilse tedarikçi isterse günlerce sessiz kalabilir.
• Denetim hakkı: Yılda bir kez güvenlik anketi göndermek ya da ISO 27001 / SOC 2 sertifikası istemek hakkınız olmalı; sözleşmede bu madde yoksa tedarikçi denetimi reddedebilir.

Bu dört madde yoksa mevcut sözleşmeye ek protokolle sonradan eklenebilir; yeni bir sözleşme imzalamayı beklemenize gerek yok. Küçük bir tedarikçiyle çalışıyorsanız, örneğin tek kişilik bir yazılım stüdyosu ya da bölgesel bir kargo firmasıyla, bu maddeleri sözleşmeye koymak genelde zor olmuyor; asıl direnç büyük ve standart sözleşme sunan uluslararası SaaS sağlayıcılarından geliyor. Onlarla da en azından denetim hakkını ve bildirim süresini netleştiren bir ek protokol imzalanabiliyor.

Marka itibarı: müşteri kimin hatası olduğuna bakmıyor

74.600 kişiye giden “verileriniz sızdı” bildirimi, alıcı için hangi firmanın veri işleyen hangi firmanın veri sorumlusu olduğunu ayırt etmiyor. Müşteri, kendi verdiği bilgiyi kime emanet ettiyse ondan hesap sorar — tedarik zincirinin neresinde koptuğuyla ilgilenmez. 2 Eylül’deki 22 duyurunun ortak noktası tam da bu: farklı sektörlerden, farklı büyüklükte firmalar aynı gün kendi müşterilerine aynı kötü haberi vermek zorunda kaldı. KVKK cezası zaman içinde ödenip kapanan bir kalem; müşteri güveni öyle hızlı geri gelmiyor.

Sık sorulan sorular

Tedarikçimle veri işleyen sözleşmesi hiç yoksa ne olur? KVKK denetiminde bu, veri sorumlusunun m.12/1 kapsamındaki denetleme yükümlülüğünü yerine getirmediği şeklinde değerlendirilir ve cezayı ağırlaştıran bir unsur olarak kayda geçer.

Duyurudan hangi tedarikçinin hacklendiğini nasıl öğrenirim? KVKK’nın kamuoyu duyurularında tedarikçi ismi neredeyse hiç geçmiyor. Bunu öğrenmenin tek yolu kendi tedarikçinize doğrudan sormak; sözleşmenizde bildirim maddesi varsa zaten size haber vermiş olması gerekir.

Küçük bir işletme tedarikçisini denetlemek zorunda mı? Evet, çalışan sayısı veya VERBİS eşiği bu yükümlülüğü kaldırmıyor. Denetim büyük bir bütçe gerektirmiyor; yıllık bir soru formu ve sözleşmeye eklenecek birkaç madde çoğu KOBİ için yeterli başlangıç noktası.

Kullandığınız tedarikçilerin listesini çıkarıp hangisinde veri işleyen sözleşmesi eksik olduğunu birlikte gözden geçirmek isterseniz bizimle iletişime geçebilirsiniz.