KVKK Veri İhlali Bildirimi: 72 Saat Kuralı ve Madde 12

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı şekilde ele geçirilmesi halinde bildirim yükümlülüğü yükler. Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kararı bu yükümlülüğü somutlaştırmış, Kurula bildirimin en geç 72 saat içinde yapılması gerektiğini ortaya koymuştur. Bu yazıda 72 saatlik sürenin nasıl işlediği, ilgili kişiye bildirimin nasıl yapılacağı ve gecikmenin sonuçları ele alınmaktadır.

Veri ihlali bildirimi, yalnızca büyük ölçekli siber saldırıları değil; yanlış kişiye gönderilen bir e-postayı, kaybolan bir taşınabilir belleği veya izinsiz erişilen bir müşteri kaydını da kapsayabilir. Bu nedenle kurumların, olayın büyüklüğünden bağımsız olarak her bildirim adayını aynı usulle değerlendirmesi gerekir.

KVKK Madde 12 Veri Güvenliği Yükümlülüğü Nedir?

KVKK madde 12, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini önleme, verilere hukuka aykırı erişimi engelleme ve verileri uygun güvenlik düzeyinde muhafaza etme yükümlülüğü getirir. Bu yükümlülük idari ve teknik tedbirlerin birlikte alınmasını gerektirir.

Kanun koyucu madde 12/1’de üç ayrı yükümlülük sıralamıştır: kişisel verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak. Kurul, bu yükümlülüklere uyumu değerlendirirken sektöre özgü riskleri ve veri hacmini dikkate alır.

Madde 12/3 ise veri sorumlusunun, kendi kurumu içinde gerekli denetimleri yaptırmakla yükümlü olduğunu düzenler. İşlenen verilerin bir kısmının veya tamamının bir başka veri sorumlusuna aktarılması halinde de bu yükümlülükler ortadan kalkmaz; aktarım sözleşmelerinde veri güvenliğine ilişkin hükümlere yer verilmesi beklenir.

Teknik tedbirler arasında erişim yetkilendirmesi, ağ güvenliği duvarları, şifreleme ve günlük kaydı (log) tutma sayılabilir. İdari tedbirler ise çalışanlara yönelik farkındalık eğitimleri, veri işleme envanterinin güncel tutulması ve tedarikçilerle yapılan sözleşmelerde veri güvenliği maddelerine yer verilmesi şeklinde sıralanabilir. Kurul, bir inceleme sırasında bu iki tedbir grubunun birlikte var olup olmadığını araştırır.

Veri Sorumlusu ve Veri İşleyen Arasında Bildirim Yükümlülüğü Kimde?

Bildirim yükümlülüğü kural olarak veri sorumlusuna aittir; ancak ihlal veri işleyen nezdinde meydana gelmişse veri işleyenin durumu derhal veri sorumlusuna bildirmesi gerekir. Kurula ve ilgili kişiye bildirim yine veri sorumlusu tarafından yapılır.

Bulut hizmet sağlayıcısı, çağrı merkezi veya bordro şirketi gibi veri işleyenlerle yapılan sözleşmelerde, ihlalin veri sorumlusuna kaç saat içinde bildirileceği ayrıca kararlaştırılmalıdır. Bu süre kısa tutulmazsa veri sorumlusunun kendi 72 saatlik süresini tutturması fiilen zorlaşır.

Kişisel Veri İhlali Ne Zaman Oluşur?

Kişisel veri ihlali, işlenen kişisel verilerin kasıt veya kaza sonucu hukuka aykırı biçimde başkaları tarafından elde edilmesi durumunda oluşur. Yetkisiz erişim, veri sızıntısı, e-posta hatası veya fiziksel evrak kaybı bu kapsamda değerlendirilebilir.

İhlal Türleri

Uygulamada ihlaller üç başlıkta incelenir: gizlilik ihlali verinin yetkisiz kişilerce görülmesi, bütünlük ihlali verinin izinsiz değiştirilmesi, erişilebilirlik ihlali ise veriye veya verinin yedeğine erişimin geçici ya da kalıcı olarak kaybedilmesidir. Bir olay bu türlerden birden fazlasını aynı anda içerebilir.

Gizlilik ihlaline örnek olarak yanlış kişiye gönderilen bir toplu e-posta, bütünlük ihlaline örnek olarak bir veri tabanı kaydının izinsiz değiştirilmesi, erişilebilirlik ihlaline örnek olarak ise yedeği alınmamış bir sunucunun arızalanması gösterilebilir. Her üç durumda da veri sorumlusu olayın kapsamını belirlemek zorundadır.

Örneğin bir fidye yazılımı saldırısı hem erişilebilirlik hem de gizlilik ihlaline yol açabilir; veriler şifrelenirken aynı zamanda saldırgan tarafından kopyalanmış olabilir. Bu nedenle olay müdahale sürecinde ihlalin kapsamı teknik ekip tarafından ayrıntılı incelenmelidir.

72 Saat Kuralı: Kurula Bildirim Süresi Nasıl İşler?

Veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirim yapmakla yükümlüdür. Bu süre, Kurulun 24.01.2019 tarihli ve 2019/10 sayılı Kararı ile KVKK’deki “en kısa sürede” ifadesinin somutlaştırılmasından doğmuştur.

Sürenin Başlangıcı Ne Zaman Sayılır?

72 saatlik süre, ihlalin fiilen meydana geldiği an değil, veri sorumlusunun ihlali somut olarak öğrendiği andan itibaren işlemeye başlar. Öğrenme anı; iç denetim bulgusu, bilgi işlem uyarısı, dışarıdan gelen bir ihbar veya siber güvenlik izleme sisteminin alarmı ile gerçekleşebilir.

Bu ayrım uygulamada önemlidir çünkü bir saldırı aylar önce başlamış olsa bile, bildirim süresi ancak kurumun durumu fark ettiği tarihte başlar. Yine de veri sorumlusunun makul özenle daha erken fark edip fark edemeyeceği, Kurul incelemesinde ayrıca değerlendirilebilir.

Gecikmeli Bildirim Mümkün müdür?

Haklı bir gerekçe bulunması halinde bildirim 72 saati aşabilir; ancak bu durumda yapılan bildirimle birlikte gecikmenin nedenlerinin de Kurula açıklanması gerekir. Gerekçesiz gecikme, ayrı bir aykırılık olarak değerlendirilebilir.

Uygulamada gecikme genellikle olayın kapsamının netleşmemesi, adli süreçlerle eş zamanlı yürütülen bir soruşturma veya teknik ekibin olayı doğrulama sürecinin uzaması nedeniyle yaşanır. Kurul, gecikme gerekçesini değerlendirirken veri sorumlusunun olay anındaki iç yazışmalarını ve müdahale kayıtlarını da inceleyebilir. Bu nedenle her adımın belgelenmesi, gecikme savunmasının inandırıcılığı açısından önemlidir.

İlgili Kişiye Bildirim Yükümlülüğü

Kurula yapılan bildirimden ayrı olarak, ihlalden etkilenen ilgili kişilere de bildirim yapılması gerekir. Kanun bu bildirim için saat bazında bir süre öngörmez; bildirimin makul olan en kısa sürede yapılması esastır.

İlgili kişinin iletişim adresine ulaşılabiliyorsa bildirim doğrudan yapılır. Adrese ulaşılamıyorsa veri sorumlusunun kendi internet sitesinde yayımlama gibi uygun yöntemlerle kamuya duyuru yapılması yoluna gidilebilir. Bildirimde ihlalin niteliği, olası sonuçları ve alınan tedbirler açıkça belirtilmelidir.

İlgili kişiye yapılan bildirimin amacı, kişinin kendi verilerini koruma açısından gerekli tedbirleri alabilmesidir. Örneğin şifre sızıntısı yaşandıysa kişiye şifresini değiştirmesi, kart bilgisi sızıntısı yaşandıysa ilgili bankayı bilgilendirmesi önerilebilir. Bildirimin teknik jargon yerine anlaşılır bir dille yazılması, amacına ulaşmasını kolaylaştırır.

Veri İhlali Bildirim Formu ve Bildirim İçeriği

Kurula bildirim, kvkk.gov.tr üzerinden erişilen Kişisel Veri İhlali Bildirim Formu doldurularak elektronik ortamda yapılır. Form; ihlalin tarihini, öğrenilme tarihini, etkilenen kişi ve kayıt sayısını, ihlalin olası sonuçlarını ve alınan/alınacak önlemleri kapsar.

Form eksiksiz doldurulmadığında Kurul ek bilgi talep edebilir. Bu nedenle olay müdahale planı kapsamında hukuk ve bilgi işlem birimlerinin bildirim formunu birlikte hazırlaması, sürecin 72 saat içinde tamamlanmasını kolaylaştırır.

Formda yer alan bilgiler eksiksiz olsa bile olayın niteliği zamanla değişebilir. Bu durumda veri sorumlusu, ilk bildirimden sonra elde ettiği yeni bilgileri Kurula ek bildirim yoluyla iletebilir. Kurul, ilk bildirimin süresinde yapılmış olmasını, sonradan yapılan tamamlayıcı bildirimlerden ayrı değerlendirir.

Bildirim Yapılmazsa Ne Olur?

Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi, KVKK md. 18 uyarınca idari para cezası yaptırımına bağlanmıştır. Bu tutarlar her yıl yeniden değerleme oranına göre güncellenir ve Kurul tarafından ilan edilir.

Tutarlar Vergi Usul Kanunu genel tebliği kapsamındaki yeniden değerleme oranına göre güncellenen 2026 yılı rakamlarıdır; kesin tutar için Kurul duyuruları esas alınmalıdır.

İdari para cezasının yanı sıra Kurul, veri işleme faaliyetinin durdurulmasına da karar verebilir. Tekrarlanan ihlallerde ceza üst sınıra yaklaşır; bu nedenle bildirim sürecinin usulüne uygun yürütülmesi ayrı bir önem taşır.

Veri İhlaline Karşı Alınması Gereken Önlemler

Kurul, bir ihlal incelemesinde olayın kendisinden çok öncesinde ve sonrasında alınan tedbirleri değerlendirir. Şifreleme, erişim yetkilendirmesi, günlük kaydı tutma ve düzenli sızma testleri önleyici tedbirler arasında sayılabilir.

Olay müdahale planının önceden yazılı hale getirilmesi, ihlal anında 72 saatlik sürenin kaçırılmaması açısından pratik fayda sağlar. Planda bildirim formunu kimin dolduracağı, hangi birimlerin bilgilendirileceği ve ilgili kişilere ulaşım yönteminin ne olacağı önceden belirlenmelidir.

Kişisel verilerin yedeklenme sıklığı ve yedeklerin ayrı bir ortamda tutulması, erişilebilirlik ihlallerinin etkisini azaltır. Üçüncü taraf hizmet sağlayıcılarla yapılan sözleşmelerde veri güvenliği yükümlülüklerinin açıkça düzenlenmesi de önerilir.

Bildirim Sürecinde Sık Karşılaşılan Hatalar

Uygulamada en sık görülen hata, olayın tamamı netleşmeden bildirim sürecinin ertelenmesidir. Oysa bildirim, o ana kadar bilinen bilgilerle yapılabilir ve eksik kısımlar sonradan tamamlanabilir. Bekleme süresi uzadıkça 72 saatlik sınırın aşılma riski artar.

Bir diğer hata, ilgili kişiye bildirimin yalnızca Kurula bildirim yapıldıktan sonra gündeme alınmasıdır. Oysa iki bildirim süreci birbirinden bağımsızdır ve ilgili kişiye bildirim, koşullar uygunsa Kurul bildirimiyle eş zamanlı da yürütülebilir. Son olarak, bildirim formunun teknik ekip olmadan yalnızca hukuk birimi tarafından doldurulması, olayın kapsamının eksik yansıtılmasına yol açabilir.

Bir başka yaygın hata, ihlalin yalnızca büyük veri kayıtlarını etkilediği düşünülen olaylarda ciddiye alınmasıdır. Sınırlı sayıda kişiyi etkileyen bir ihlal de, etkilenen kişilerin özel nitelikli verilerini içeriyorsa aynı titizlikle ele alınmalıdır. Kurul, değerlendirmesinde etkilenen kişi sayısı kadar verinin niteliğini de dikkate alır.

Kişisel Verileri Koruma Kurumunun yayımladığı rehberler, sektöre özgü teknik ve idari tedbir örnekleri içerir. Bu rehberlerin takip edilmesi, olası bir incelemede iyi niyetin ve özenin gösterilmesine katkı sağlar. Detaylı bilgi için Kişisel Verileri Koruma Kurumunun veri ihlali bildirimi sayfasına başvurulabilir.

Bilişim hukuku ve KVKK uyum süreçleri, her kurumun veri işleme faaliyetine göre ayrı bir değerlendirme gerektirir. KCD Hukuk’un Bilişim Hukuku ve KVKK alanındaki çalışmaları hakkında bilgi almak için uzmanlık sayfası incelenebilir.

Kişisel veri ihlali bazen fikri mülkiyet haklarının ihlaliyle iç içe geçebilir; marka tescil başvurularında karşılaşılabilecek uyuşmazlıklar için marka başvurusuna itiraz yazımıza bakabilirsiniz.

Farklı Sektörlerde Bildirim Yükümlülüğü Nasıl İşler?

Bildirim yükümlülüğünün hukuki çerçevesi tüm sektörler için aynıdır; ancak ihlalin niteliği ve etkilediği veri kategorisi sektöre göre farklılaşır. Finans, sağlık ve e-ticaret alanlarında işlenen veri hacmi ve hassasiyeti daha yüksek olduğundan, olay müdahale sürecinin de buna göre kurgulanması gerekir.

Finans sektöründe kart bilgisi veya hesap hareketi içeren bir ihlal, ilgili kişinin mali kaybına yol açabileceğinden bildirim içeriğinde somut önlem tavsiyelerine yer verilmesi beklenir. Sağlık sektöründe özel nitelikli kişisel veri niteliğindeki sağlık verileri söz konusu olduğundan, KVKK md. 6 kapsamındaki ek yükümlülükler de birlikte değerlendirilmelidir. E-ticaret sektöründe ise müşteri hesap bilgilerinin veya sipariş geçmişinin sızması durumunda, hesap güvenliğine yönelik ek tedbirlerin bildirimde belirtilmesi önerilir.

Kamu kurumlarında ihlal bildirimi ayrıca iç denetim ve disiplin süreçleriyle birlikte yürütülebilir. Bu durumlarda dahi Kurula bildirim süresi olan 72 saat değişmez; iç süreçlerin uzunluğu bildirim süresini erteleme gerekçesi olarak kabul edilmez.

Uluslararası Veri Aktarımı Yapan Kurumlar İçin Ek Hususlar

Kişisel verileri yurt dışındaki sunucularda barındıran veya yurt dışı hizmet sağlayıcısı kullanan kurumlar için ihlal bildirim süreci ek bir koordinasyon gerektirir. Yurt dışındaki veri işleyenden gelen ihlal bilgisinin, dil ve zaman dilimi farkı gözetilerek en kısa sürede değerlendirilmesi gerekir.

Bu tür kurumların sözleşmelerinde, veri işleyenin ihlali fark ettiği andan itibaren kaç saat içinde veri sorumlusuna bilgi vereceği açıkça yazılmalıdır. Aksi halde veri sorumlusu, kendi 72 saatlik süresini büyük ölçüde veri işleyenin bildirim hızına bağımlı hale getirmiş olur; bu da Kurul nezdinde ayrı bir özensizlik değerlendirmesine konu olabilir.

Yurt dışı aktarımın KVKK md. 9 kapsamındaki uygun güvence mekanizmalarına dayanıp dayanmadığı da ayrı bir inceleme konusudur. Bir ihlal, hem veri güvenliği hem de aktarım rejimine ilişkin yükümlülüklerin aynı anda gözden geçirilmesini gerektirebilir. Bu tür karma olaylarda hukuk ve bilgi işlem birimlerinin koordineli çalışması, bildirim içeriğinin eksiksiz hazırlanmasına katkı sağlar.

Kişisel Verileri Koruma Kurulu’nun bildirim usulüne ilişkin güncel duyuru ve rehberlerine KVKK’nın resmi internet sitesinden ulaşabilirsiniz. Bildirim yükümlülüğüne uyulmaması idari para cezasına yol açabilir; idari para cezalarına karşı dava yoluna ilişkin genel bilgi için vergi ve idari para cezasına karşı dava yazımızı inceleyebilirsiniz.

Veri ihlalinin bilişim sistemlerine yönelik bir saldırı veya dolandırıcılık girişimiyle birlikte ortaya çıktığı dosyalarda dolandırıcılık ve nitelikli dolandırıcılık ayrımını ele alan yazımız faydalı olabilir. İhlalin adli boyuta taşınması halinde şüphelinin ifade ve sorgu aşamasındaki hakları için ifade ve sorgu aşamasında şüphelinin haklarını konu alan yazımıza bakılabilir. Kurumların KVKK uyum süreçlerini yürütürken hukuki danışmanlık ihtiyacı doğduğunda anonim şirketlerde avukat bulundurma zorunluluğunu anlatan yazımız da yol gösterici olabilir. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun güncel metnine mevzuat.gov.tr üzerinden ulaşılabilir.

Karşı Taraf Ne Yapacak?

KVKK veri ihlali bildirimi süreçlerinde Kurul incelemesi veya ilgili kişinin şikayeti karşısında veri sorumlusunun da savunma stratejisi bulunur; bu stratejiyi önceden bilmek, iç süreçlerin buna göre belgelenmesini sağlar.

Bildirimin gecikmeksizin yapıldığı savunması. Veri sorumlusu, ihlali öğrendiği andan itibaren süreyi hiç geciktirmediğini ileri sürebilir. Bu iddia, iç tespit kayıtları, IT departmanı olay günlükleri ve Kurula yapılan bildirimin zaman damgasıyla karşılanır.

Bildirim yükümlülüğü doğuracak nitelikte bir ihlal olmadığı savunması. Verinin niteliği ve etkisinin sınırlı olduğu ileri sürülebilir. Bu durumda etkilenen veri kategorisi ve kişi sayısına ilişkin etki değerlendirmesi raporu belirleyici olur.

Gerekli teknik ve idari tedbirlerin alındığı savunması. Kanun kapsamında kusur bulunmadığı ileri sürülebilir. Bu iddia, mevcut güvenlik politikaları, şifreleme uygulamaları ve varsa sızma testi raporlarıyla değerlendirilir.

İlgili kişilere ayrıca bildirim gerekmediği savunması. Riskin yüksek olmadığı ileri sürülebilir. Bu durumda risk değerlendirme kriterlerinin somut olaya uygulanması gerekir.

Bildirimin doğru mercie yapılmadığı savunması. Karşı taraf, bildirimin usulüne uygun kanaldan veya yetkili kişi tarafından yapılmadığını ileri sürebilir. Bu iddia, bildirim formunun içeriği ve gönderim kayıtlarının incelenmesiyle değerlendirilir.

Hangi savunmanın öne çıkacağı, ihlalin niteliğine ve veri sorumlusunun iç kayıtlarına göre değişir; bu nedenle olay tespit ve bildirim süreçlerinin eksiksiz belgelenmesi önemlidir. İhlalin tespit edildiği andan bildirim yapılana kadar geçen sürece ilişkin iç yazışmaların ve log kayıtlarının düzenli tutulması, hangi savunmanın öne çıkacağını önceden değerlendirmeyi kolaylaştırır. Dosyanızın hangi savunmayla karşılaşacağını önceden değerlendirmek için iletişime geçebilirsiniz.

Sık Sorulan Sorular

KVKK’da veri ihlali bildirim süresi kaç saattir?

Veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirim yapmakla yükümlüdür. Bu süre 2019/10 sayılı Kurul Kararı ile belirlenmiştir.

72 saatlik süre hangi andan itibaren başlar?

Süre, ihlalin fiilen gerçekleştiği tarihten değil, veri sorumlusunun ihlali somut şekilde öğrendiği tarihten itibaren işlemeye başlar.

İlgili kişiye bildirim için de 72 saatlik süre mi geçerlidir?

Hayır. İlgili kişiye bildirim için kanunda somut bir saat sınırı bulunmaz; bildirimin makul olan en kısa sürede yapılması gerekir.

72 saat içinde bildirim yapılmazsa ne olur?

Haklı bir gerekçe olmaksızın süre aşılırsa veri güvenliği yükümlülüğüne aykırılık nedeniyle idari para cezası uygulanabilir; 2026 yılı için üst sınır 17.092.242 TL’dir.

Bildirim nereye ve nasıl yapılır?

Bildirim, kvkk.gov.tr üzerindeki Kişisel Veri İhlali Bildirim Formu doldurularak elektronik ortamda Kişisel Verileri Koruma Kurumuna iletilir.

Her veri kaybı bildirim gerektirir mi?

Bildirim yükümlülüğü, verilerin hukuka aykırı şekilde başkaları tarafından elde edilmesi halinde doğar. Somut olayın bildirim gerektirip gerektirmediği, dosya özelinde ayrıca değerlendirilmelidir.

Gecikmeli bildirim yapılabilir mi?

Haklı bir gerekçe varsa bildirim 72 saati aşabilir; ancak bu durumda gecikmenin nedenleri de bildirimle birlikte Kurula açıklanmalıdır.

Veri işleyen nezdinde oluşan ihlali kim bildirir?

İhlal veri işleyen nezdinde meydana gelse dahi Kurula ve ilgili kişiye bildirim veri sorumlusu tarafından yapılır; veri işleyenin görevi durumu derhal veri sorumlusuna iletmektir.

Bildirim formu hangi bilgileri içermelidir?

Form; ihlalin tarihi, öğrenilme tarihi, etkilenen kişi ve kayıt sayısı, ihlalin olası sonuçları ile alınan ve alınacak önlemleri içermelidir.

Süre Tablosu

Kaynaklar

• Kişisel Verilerin Korunması Kurumu (KVKK)
• Kişisel Verilerin Korunması Kurumu (KVKK)
• Mevzuat Bilgi Sistemi (mevzuat.gov.tr)

İlgili Yazılar

• Marka Başvurusuna İtiraz ve Benzerlik Değerlendirmesi
• Vergi ve İdari Para Cezasına Karşı Dava: Süre ve Yürütmenin Durdurulması
• Dolandırıcılık ve Nitelikli Dolandırıcılık Ayrımı: Bilişim Yoluyla İşlenme
• İfade ve Sorgu Aşamasında Şüphelinin Hakları: İlk 24 Saat
• Anonim Şirkette Avukat Bulundurma Zorunluluğu (2026)
• İmar Kirliliğine Neden Olma Suçu (TCK 184): Ruhsatsız Yapı
• Erişimin Engellenmesi ve İçeriğin Kaldırılması (5651 s. K.)
• Unutulma Hakkı: Arama Sonuçlarından Kaldırma Başvurusu
• KVKK VERBİS Kaydı: Kimler Yükümlü, Nasıl Yapılır?
• Çalışanın Kurumsal E-Postasının İşveren Tarafından İncelenmesi
• Kripto Para Dolandırıcılığında Hukuki ve Cezai Başvuru Yolları

Bu yazı genel bilgi amaçlıdır, hukuki danışmanlık yerine geçmez. Somut durumunuz için dosyanızın ayrıca değerlendirilmesi gerekir.

Bu yazı 17.09.2026 tarihli mevzuat esas alınarak hazırlanmıştır.

KCD Hukuk
Büromuz hakkında bilgi alın