Kişisel veri ihlali bildirimi: 72 saatlik süreç nasıl işler?

Kişisel veri ihlalinden haberdar olduğunuzda ilk iş, olayın etkisini sınırlamak ve bildirim için gereken bilgileri düzenli biçimde toplamaktır. Bu rehber, Kurula bildirim süresini, form hazırlığını ve ilgili kişilere yapılacak bilgilendirmeyi uygulama sırasına göre açıklar.

Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.

İhlal ne zaman fark edilmiş sayılır?

Bir olayın fark edilme anı, teknik sorunun ilk ortaya çıktığı zamanla her zaman aynı değildir. Bir hesaba yetkisiz erişim gerçekleşmiş olabilir; işletme bunu ancak olağan dışı oturum kaydını incelediğinde ya da bir çalışan şüpheli bir e-posta bildirdiğinde öğrenebilir. Süre değerlendirmesinde önemli olan, veri sorumlusunun kişisel verilerin güvenliğinin ihlal edilmiş olabileceğine ilişkin yeterli bilgiye hangi anda ulaştığıdır. Olayın başlangıcı, ilk uyarı ve ihlalin anlaşıldığı zaman bu nedenle ayrı ayrı kaydedilmelidir.

İlk belirti tek başına ihlal olduğunu göstermeyebilir. Çalışanın dosyaya erişememesi sistem arızasından kaynaklanabileceği gibi, yanlış yetkilendirme ya da dışarıdan erişim ihtimaline de işaret edebilir. İşletme, hızlı bir ilk incelemeyle olayın kişisel verileri etkileyip etkilemediğini araştırmalıdır. Her ayrıntının kesinleşmesini beklemek de doğrulanmamış şüpheyi kesin ihlal gibi sunmak da sağlıklı değildir. Ön değerlendirmede eldeki kanıtlar ve henüz bilinmeyenler açıkça ayrılmalıdır.

Örneğin muhasebe çalışanı müşteri belgelerinin ortak klasörde yetkisiz kişilere açık olabileceğini fark ettiğinde işletme, önce klasör izinlerini ve erişim kayıtlarını inceler. Yanlış yapılandırma doğrulanırsa bu bulgu, tespitin yapıldığı zaman ve incelemenin dayanakları olay kaydına yazılır. Olası erişimin ne zaman başladığı ayrıca araştırılır; bu tarih, işletmenin olayı fark ettiği zamanla karıştırılmaz. İlk uyarıyı kimin yaptığı ve incelemenin hangi bulgularla ilerlediği de eklenir.

Sık yapılan hata, ihlalin ancak verilerin indirildiği veya kötüye kullanıldığı kanıtlanınca fark edilmiş sayılacağını düşünmektir. Zararın kesinleşmesini beklemek yerine güvenlik olayının kişisel veri ihlaline işaret edip etmediği değerlendirilmelidir. Veri güvenliğine ilişkin yükümlülükleri düzenleyen 6698 sayılı Kanun'un m.12'si, bu olayların yalnızca teknik ekibe bırakılmaması gereken çerçeveyi oluşturur. Pratik olarak şüpheli olay için hemen kayıt açın, incelemeden sorumlu kişiyi belirleyin ve fark edilme anını dayanaklarıyla belgeleyin. Sürece başlarken KVKK ihlali nedir? rehberini de inceleyebilirsiniz.

Bildirim süresi nasıl değerlendirilir?

Kişisel veri ihlali bildirimi için uygulamada öne çıkan süre, veri sorumlusunun ihlali öğrendiği andan itibaren Kurula yapılacak bildirimin gecikmeksizin ve en geç 72 saat içinde gerçekleştirilmesidir. Başlangıç noktası olayın gerçekten fark edildiği zamandır; olayın teknik olarak ilk oluştuğu an otomatik biçimde başlangıç kabul edilmez. Buna karşılık, işletme içinde yeterli ve güvenilir bilgi oluştuğu hâlde bildirimi ertelemek de süreyi sonradan başlatmaz. Her olayın tarihleri ve bilgi akışı kendi kayıtlarıyla değerlendirilmelidir.

Olay fark edildiğinde ayrı bir zaman çizelgesi oluşturmak, bu değerlendirmeyi somutlaştırır. İlk uyarının alındığı, yöneticinin bilgilendirildiği, teknik incelemenin başladığı ve kişisel verilerin etkilenmiş olabileceğinin doğrulandığı zamanlar kaydedilebilir. Tarih ve saatleri olay anında yazmak, sonradan hafızaya dayanarak açıklama yapma riskini azaltır. Olay hafta sonu veya çalışma saatleri dışında fark edilirse işletmenin iç işleyişi süreyi kendiliğinden durdurmaz. Bu nedenle yetkili kişiye ulaşma ve olayın değerlendirilmesini başlatma düzeni önceden düşünülmelidir.

İlk incelemede bütün etkilenen kişilerin kimlikleri ya da olayın teknik nedeni bilinmeyebilir. Bu belirsizlik, eldeki bilgileri derlemeye ve bildirim gerekip gerekmediğini değerlendirmeye engel olmamalıdır. Kurula sunulan açıklamada doğrulanmış olgular, geçici tahminler ve araştırması süren noktalar birbirinden ayrılmalıdır. “Önce her şeyi kesinleştirelim, sonra süreyi başlatalım” yaklaşımı, süre hesabını olayın gerçek akışından koparabilir. Bir belirsizlik varsa nedeninin, çözmek için yapılan incelemenin ve sonraki adımın da kaydedilmesi yararlıdır.

Örneğin küçük bir mağazada erişim ayarındaki sorun mesai dışında fark edilirse, görevli çalışan erişimi sınırlandırabilir ve olay sorumlusuna haber verebilir. İşletme, ilk uyarı saatini ve yapılan işlemleri hemen kayda geçirerek ertesi gün başlamayı beklemez. Yaygın hata, olayın yalnızca yöneticinin önüne geldiği anı esas almak veya ilk uyarı tarihini hiç kaydetmemektir. Pratik adım olarak olay sorumlusu belirleyin; erişimi sınırlama, kayıtları koruma, verileri değerlendirme ve bildirim hazırlığını ayrı görevler hâlinde takip edin. Tereddütte hukuki değerlendirme için avukatınıza veya hukukçunuza danışın. Hazırlıkta KVKK kontrol listesi ve Kurul kararları indeksi bağlantılarındaki kaynaklardan yararlanabilirsiniz.

Kurul formuna hangi bilgiler girilir?

Kurula yapılacak bildirim, olayın ne olduğunu ve veri sorumlusunun nasıl karşılık verdiğini anlaşılır biçimde ortaya koymalıdır. Formun güncel alanları ve istenen biçim zaman içinde değişebileceğinden gönderim öncesinde Kurulun güncel bildirim formu ve açıklamaları kontrol edilmelidir. İşletmenin hazırlığı, olayın kısa tanımını, fark edilme zamanını, muhtemel başlangıcını, etkilenen sistemi veya süreci, kişisel veri kategorilerini, etkilenen kişi gruplarını ve sonuçlara ilişkin bilinen bulguları içerebilir. Bunlar resmî alanların yerine geçen bir liste değil, doğru bilgi toplamaya yarayan başlıklardır.

Olayın kapsamını açıklarken hangi tür kişisel verilerin söz konusu olduğu, verilerin kimlere ait olabileceği, yetkisiz erişim veya açıklama ihtimali ve olayın devam edip etmediği değerlendirilir. Kesin kişi sayısı ya da veri miktarı bilinmiyorsa kesinmiş gibi yazılmamalıdır. Mevcut tahmin geçiciyse bu açıkça belirtilmeli, tahminin hangi kayıt veya incelemeye dayandığı anlatılmalıdır. Kimlik ve iletişim bilgileri ya da özel nitelikli kişisel veriler gibi kategoriler ancak olayda gerçekten bulunan veriler doğrultusunda açıklanmalıdır.

Bildirim hazırlığının başka bir bölümü, müdahale ve zarar azaltma adımlarıdır. Erişimin kapatılması, parolanın değiştirilmesi, dışa açık bağlantının devre dışı bırakılması, kayıtların korunması veya hizmet sağlayıcıyla inceleme yürütülmesi gibi işlemler gerçekten yapıldıysa tarihleriyle yazılır. Henüz alınmamış bir önlem yapılmış gibi gösterilmemelidir. Olası etkiler, risk değerlendirmesinin dayanakları ve planlanan sonraki adımlar da açıklanabilir. Kurumun iletişim kurabileceği yetkili kişi ile veri sorumlusuna ait bilgiler güncel formun yapısına göre hazırlanmalıdır.

Örneğin çevrim içi mağazanın destek kayıtları yanlış yetkilendirme nedeniyle erişilebilir olduysa yalnızca “müşteri dosyaları açığa çıktı” demek yeterli bir hazırlık değildir. Hangi kayıtların etkilendiği, içlerinde ne tür bilgiler bulunduğu, erişimin kimlere açık olduğu ve kayıt incelemesinin ne gösterdiği araştırılır. Sık yapılan hata, formu genel ifadelerle doldurmak veya doğrulanmamış tahmini kesin bilgi gibi sunmaktır. Pratik adım olarak formdaki her önemli iddiayı bir olay kaydı ya da teknik bulguyla ilişkilendirin; belirsiz noktaları açıkça işaretleyin. Aydınlatma yükümlülüğünü düzenleyen 6698 sayılı Kanun'un m.10'u, ilgili kişiye sunulacak bilgilerin konusudur; bu, Kurul formunu doldurmakla aynı işlem değildir.

Eksik bilgi sonradan tamamlanabilir mi?

İlk incelemede her ayrıntının ortaya çıkması beklenemez. Olayın kaynağı, erişimin süresi, etkilenen kişi grupları veya verilerin kopyalanıp kopyalanmadığı araştırma gerektirebilir. Ancak bilgi eksikliği, bilinen olguları derleyip bildirim yükümlülüğünü değerlendirmeyi ertelemek için tek başına gerekçe yapılmamalıdır. Veri sorumlusu doğrulanmış bilgileri mevcut alanlara girmeli, doğrulanmamış noktaları kesin ifadelerle sunmamalı ve araştırmanın sürdüğünü anlaşılır biçimde belirtmelidir. Yeni bilgi edinildiğinde bunun hangi usulle iletileceği güncel form ve Kurulun yönlendirmelerine göre kontrol edilmelidir.

Bilginin eksik olmasıyla hiç araştırılmamış olması farklıdır. Örneğin işletme etkilenen kayıtların tamamını henüz belirleyememiş olabilir; buna rağmen hangi sistemin etkilendiğini, hangi veri türlerinin sistemde tutulduğunu ve erişimin ne zaman sınırlandırıldığını biliyor olabilir. Bunlar ilk değerlendirmeye dâhil edilmelidir. “Sayı henüz belli değil” demek için incelemeye başlanmış olması, sorumlu kişinin belirlenmesi ve araştırmanın nasıl sürdürüleceğinin planlanması önemlidir. Açıklama belirsizliği saklamamalı, fakat işletmenin araştırma yapmadığı izlenimini de vermemelidir.

Sonradan yapılacak tamamlamaları izlemek için küçük işletmelerde de bir değişiklik kaydı tutulabilir. İlk gönderimdeki bilgi, sonradan edinilen yeni bulgu, değişikliğin nedeni, doğrulama kaynağı ve Kurula iletilme zamanı bu kayıtta yer alır. Örneğin ilk incelemede veri kategorisi genel olarak açıklanmış, kayıt incelemesinden sonra başka bir kategori daha belirlenmiş olabilir. Yeni bulgu, hangi incelemeden çıktığı belirtilerek sunulmalı; önceki tahmin değişiyorsa güncellemenin nedeni de anlatılmalıdır. Böylece farklı tarihlerde verilen bilgiler, birbirini açıklayan bir kayıt bütünlüğü içinde tutulur.

Yaygın hata, ilk bildirimi kusursuz bir rapora dönüştürmeye çalışırken süreyi kaçırmak veya yeni bulguları yalnızca iç kayıtta bırakmaktır. Bir başka hata, ilk tahmini açıklamasız biçimde kesin bilgi gibi sunmaktır. Pratik adım olarak gönderilen metnin sürümünü ve gönderim kanıtını saklayın, güncellemeleri aynı olay dosyasıyla ilişkilendirin ve eksik bilgileri tamamlamak için sorumlu kişi ile inceleme adımını belirleyin. Form alanları konusunda tereddüt varsa güncel açıklamaları takip edin; hukuki değerlendirme için avukatınıza veya hukukçunuza danışın. E-postaları, teknik kayıtları ve ilgili belgeleri tutarlı bir dosya yapısında bir araya getirmek sonraki incelemeyi kolaylaştırır.

İlgili kişilere nasıl bilgi verilir?

Kurula bildirim ile ilgili kişilere bilgi verme, aynı olaydan doğsa da farklı muhataplara yöneliktir. İlgili kişiye yapılacak açıklama, olayın onu nasıl etkileyebileceğini anlamasına ve gerekli tedbirleri değerlendirmesine yardımcı olmalıdır. Metin teknik ekibin kullandığı iç terimlerle değil, açık ve doğrudan ifadelerle hazırlanmalıdır. Hangi veri türlerinin etkilenmiş olabileceği, olayın bilinen kısmı, muhtemel sonuçlar, alınan önlemler ve kişinin soru sorabileceği iletişim kanalı açıklanmalıdır. Kesinleşmemiş bilgi varsa belirsizliği anlaşılır biçimde ifade edin; dayanağı olmayan güvence vermeyin.

Bilgilendirme, olaydan etkilenebilecek kişilere ulaşabilecek bir yöntemle yapılmalıdır. İşletmenin elindeki iletişim bilgileri, olayın kapsamı ve kullanılacak kanal birlikte değerlendirilir. E-posta, kısa mesaj, telefon veya başka bir yol seçilirken mesajın gerçek muhataba ulaşması ve yanlış kişiye yeni kişisel veri açıklanmaması gözetilmelidir. Kamuya açık duyurunun her durumda kişiye özel bilgilendirmenin yerine geçeceği varsayılmamalı; iletişim yöntemi olayın niteliğine göre değerlendirilmelidir. Gönderim zamanı, kanal, kullanılan metnin sürümü ve teslim ya da başarısız gönderim kayıtları saklanmalıdır.

Örneğin bir klinik randevu listesinin yetkisiz kişilere açık kalmış olabileceği durumda, kişiye yalnızca “veri güvenliği olayı yaşandı” demek açıklayıcı olmaz. Hangi tür bilgisinin etkilenmiş olabileceği, işletmenin erişimi durdurmak için ne yaptığı ve kişinin nereden bilgi alabileceği anlatılmalıdır. Öte yandan olayın kapsamı kesinleşmeden herkese doğrulanmamış ayrıntılar göndermek de kafa karışıklığı yaratabilir. Metni hazırlayan ekip, teknik bulguları doğrulamalı, anlaşılmayan sistem adlarını sadeleştirmeli ve güncelleme yapılacaksa bu bilginin hangi kanaldan duyurulacağını belirlemelidir.

Sık yapılan hata, kişiye yalnızca genel bir özür mesajı göndermek veya işletmenin aldığı önlemleri açıklamamaktır. Başka bir hata, risk bulunmadığına dair doğrulanmamış güvence vermektir. Pratik adım olarak mesajda olayı, olası etkileri, alınan önlemleri ve soru yöneltme kanalını ayrı ve anlaşılır ifadelerle ele alın. İlgili kişilerin haklarını düzenleyen 6698 sayılı Kanun'un m.11'i, kişilerin veri sorumlusuna yöneltebileceği hakların konusudur; ihlal bilgilendirmesi ise olay ve önlemler hakkında ayrı bir iletişim adımıdır. Mesaj taslağını, gönderim listesini ve geri dönüşleri aynı olay dosyasında tutun; hukuki yeterlilik konusunda tereddütte avukatınıza veya hukukçunuza danışın.

Kurula bildirim ile ilgili kişiye bildirim arasındaki fark nedir?

Kurula yapılan bildirim, yetkili kuruma olayın kapsamı, olası etkisi ve veri sorumlusunun müdahalesi hakkında bilgi sunar. İlgili kişiye yapılan bildirim ise olaydan etkilenebilecek kişinin kendi durumunu anlamasına ve gerekli adımları değerlendirmesine yarar. Alıcılar farklı olduğu için metinlerin amacı, dili ve ayrıntı düzeyi de aynı olmamalıdır. Kurula sunulan açıklama olayın değerlendirilmesini destekleyecek teknik ve idari ayrıntılar içerebilir; kişiye sunulan açıklama onun anlayacağı ve kendisi açısından işe yarar bilgileri öne çıkarır.

Örneğin hizmet sağlayıcının sistemindeki yanlış ayar müşterilerin iletişim bilgilerini erişilebilir kılmış olabilir. Kurula gönderilecek bildirimde sistemin hangi bölümünün etkilendiği, olayın ne zaman fark edildiği, teknik inceleme ve sınırlandırma adımları anlatılır. İlgili kişiye gönderilecek açıklamada ise hangi bilgilerinin etkilenmiş olabileceği, işletmenin aldığı önlemler ve daha fazla bilgi alabileceği kanal öne çıkar. Kurum formundaki teknik terimleri açıklamasız biçimde kişiye iletmek, açıklamanın anlaşılmasını zorlaştırabilir.

Yaygın hata, iki muhataba aynı metni göndererek iletişim görevini tamamlanmış saymaktır. Başka bir hata, Kurula bilgi verildiğinde kişilerin de otomatik olarak bilgilendirildiğini düşünmektir. Pratik olarak iki süreci ayrı sorumlulara, ayrı metinlere ve ayrı kayıt adımlarına bağlayın. Kişiye yönelik mesaj Kurula sunulan açıklamayla çelişmemeli, fakat kişinin işine yaramayacak operasyonel ayrıntılarla da doldurulmamalıdır. Soru ve başvuru kanalını belirtin; gelen taleplerin kim tarafından yanıtlanacağını önceden kararlaştırın. Aydınlatma yükümlülüğünü düzenleyen 6698 sayılı Kanun'un m.10'u ile kişilerin haklarını düzenleyen m.11, kendi konuları bakımından değerlendirilmelidir; bu hükümler iki muhataba yönelik iletişimi tek bir mesaja dönüştürmez.

İç olay kaydı nasıl tutulur?

Olay kaydı, bildirim gönderildikten sonra kapanan bir evrak değil, müdahale boyunca güncellenen çalışma dosyasıdır. Dosyanın başında işletme içinde kullanılacak olay tanımı, sorumlu kişi, ilk uyarının kaynağı ve olayın fark edildiği zaman bulunmalıdır. Ardından olayın başlangıcına ilişkin mevcut bulgular, etkilenen sistemler, olası veri kategorileri ve değerlendirme notları eklenir. Her bilgiye mümkün olduğunca kaynağı iliştirilmelidir: teknik kayıt, çalışan bildirimi, hizmet sağlayıcı açıklaması veya yapılan kontrol sonucu. Böylece sonradan hazırlanan açıklama hafızaya dayanan yorumlardan değil, izlenebilir kayıtlardan oluşur.

Olay sırasında alınan kararlar da kayda geçirilmelidir. Erişimi kapatma, hesabı askıya alma, yedekleri koruma, dış erişimi sınırlama veya ilgili taraflardan bilgi isteme adımları; kimin tarafından ve hangi gerekçeyle yapıldığıyla birlikte yazılabilir. Bilinmeyen konular için “araştırılıyor” notu düşmek tek başına yeterli değildir. Sorumlu kişi, sonraki inceleme adımı ve güncelleme zamanı da belirlenmelidir. Bu yaklaşım, olayın beklemede kalıp unutulmasını önler. Kayıtta tarih ve saatlerin tutarlı olması, belgelerin sürümünün korunması da olay çizelgesini anlaşılır kılar.

Örneğin küçük bir işletmede bu düzen için karmaşık bir yazılım şart değildir. Yetkili kişilerin erişebildiği, erişimi sınırlandırılmış bir olay dosyası ve tutarlı kayıt düzeni başlangıç için kullanılabilir. Ancak dosyanın herkesin düzenleyebildiği ortak klasörde tutulması, olayla ilgisi olmayan çalışanlara açılması veya kişisel verilerin gereksiz kopyalarının eklenmesi yeni risk yaratabilir. Olay dosyasında yalnızca inceleme ve bildirim için gerekli bilgi tutulmalı; teknik kayıtlar, ekran görüntüleri ve yazışmalar kontrollü biçimde saklanmalıdır. Erişim yetkisi ve dosyanın saklama usulü de belirlenmelidir.

Sık yapılan hata, yalnızca Kurula gönderilen formu saklayıp formun hangi bulgulara dayandığını kaydetmemektir. İlk uyarı, alınan önlemler, kararların gerekçesi, kişilere gönderilen mesajlar ve sonradan gelen bilgiler olayın bütününü oluşturur. Başka bir hata, olay kapandıktan sonra bütün kayıtları aceleyle silmektir. Saklama ve imha kararı işletmenin ilgili kayıt politikalarıyla uyumlu biçimde ele alınmalıdır. Silme, yok etme veya anonim hâle getirmeyi düzenleyen 6698 sayılı Kanun'un m.7'si, saklama ihtiyacı sona eren kişisel verilerin ele alınmasıyla ilgilidir. Pratik adım olarak kayıt sorumlusunu belirleyin; olay dosyasını erişimi kontrollü, tarihçesi izlenebilir bir yerde tutun.

Tedarikçi ihlali nasıl ele alınır?

Kişisel veriler işletme adına hizmet veren bir tedarikçinin sisteminde tutuluyorsa olayın ilk işareti tedarikçiden gelebilir. Veri sorumlusu, tedarikçinin bildirimini almakla kendi olay değerlendirmesini tamamlamış olmaz. İşletme hangi hizmetin etkilendiğini, bu hizmette hangi veri gruplarının bulunduğunu, olayın ne zaman fark edildiğini ve tedarikçinin hangi önlemleri aldığını anlamaya çalışmalıdır. Açıklamada doğrulanmış bulgularla tahminler ayrılmalı; olayın sürüp sürmediği, erişimin sınırlandırılıp sınırlandırılmadığı ve teknik kayıtların korunup korunmadığı sorulmalıdır.

Tedarikçiyle iletişim için önceden belirlenmiş bir kanal ve sorumlu kişi bulunması müdahaleyi kolaylaştırır. Sözleşme ve işleyiş belgeleri, olay bildiriminin nasıl yapılacağını, hangi kişilerin aranacağını ve teknik bilgilerin nasıl paylaşılacağını açıklamalıdır. Olay anında yalnızca sözleşme metnini aramak yerine hizmet sağlayıcının acil iletişim kişisine ulaşılmalı, aynı zamanda işletmenin kendi olay kaydı açılmalıdır. Tedarikçiden gelen mesaj, rapor ve bulgular tarihleriyle kaydedilmeli; işletmenin kendi kayıtlarıyla karşılaştırılmalıdır. Tedarikçinin “sorun giderildi” demesi, işletmenin değerlendirme ve kayıt sorumluluğunu ortadan kaldırmaz.

Örneğin dışarıdan alınan insan kaynakları hizmetinde çalışan bilgilerini içeren dosya yanlış alıcıya gönderilmiş olabilir. İşletme tedarikçiden dosyanın ne zaman gönderildiğini, alıcısını, içindeki bilgi türlerini, dosyanın açılıp açılmadığına ilişkin eldeki kanıtları ve düzeltici adımları ister. Aynı zamanda kendi personelinin erişim durumunu ve ilgili kişilerin bilgilendirilmesinin gerekip gerekmediğini değerlendirir. Tedarikçinin olayı kendi içinde çözdüğünü bildirmesi, işletmenin bildirim süresi hesabını veya ilgili kişilerle iletişim değerlendirmesini kendiliğinden ortadan kaldırmaz. Olayın işletme tarafından ne zaman öğrenildiği ayrıca kaydedilmelidir.

Sık rastlanan hata, tedarikçinin geç bildirim yapmasının işletmenin işlem sırasını da durdurduğunu düşünmektir. Başka bir hata, tedarikçinin sınırlı açıklamasını doğrulamadan olduğu gibi Kurula veya ilgili kişilere aktarmaktır. Pratik adım olarak eksik bilgileri belirli sorularla isteyin, kendi kayıtlarınızı paralel biçimde inceleyin ve güncellemeleri aynı olay dosyasına ekleyin. Yurt dışına aktarımı düzenleyen 6698 sayılı Kanun'un m.9'u, ancak olayın yurt dışına aktarım boyutu varsa kendi konusu bakımından değerlendirilmelidir; sırf tedarikçi kullanılması bu hükmü otomatik olarak gündeme getirmez. Sözleşme yükümlülükleri ve hukuki sorumluluk konusunda avukatınıza veya hukukçunuza danışın.

Örnek hesap: olası ihlalin değerlendirilmesi

Bir işletmenin müşteri destek belgelerini ortak klasörde sakladığını ve klasör erişim ayarlarının yanlışlıkla geniş tutulduğunu fark ettiğini düşünelim. İlk incelemede kişisel veri içeren belgelerin bulunduğu anlaşılmış, ancak hangi dosyalara erişildiği ve erişimin ne kadar sürdüğü henüz kesinleşmemiş olsun. İşletme önce erişimi sınırlar, kayıtları korur, olası veri kategorilerini belirlemeye başlar ve Kurul bildirimi ile ilgili kişi bilgilendirmesini ayrı ayrı değerlendirir. Bu senaryoda amaç, kesinleşmemiş kişi sayısı veya zarar varsaymak değil; bilinenleri, bilinmeyenleri ve atılan adımları birbirinden ayırmaktır.

İlk olarak klasörün hangi iş sürecinde kullanıldığı ve erişim yetkilerinin kimlere tanımlandığı incelenir. Ardından yetkisiz erişim ihtimalini gösteren kayıtlar korunur; erişim ayarının ne zaman değiştiğine ilişkin bilgiler aranır. İşletme, klasörde hangi tür belgelerin bulunduğunu ve bu belgelerde hangi kişisel verilerin yer aldığını belirlemeye çalışır. Henüz doğrulanmamış ihtimaller olay kaydında kesin bulgu gibi yazılmaz. Erişim sınırlandırma işleminin kim tarafından yapıldığı, ne zaman tamamlandığı ve incelemenin hangi adımlarla süreceği de kayda eklenir.

Sık yapılan hata, bütün dosyaların açıldığını varsaymak veya tam tersine erişim kaydı bulunmadığı için hiç kimsenin erişmediğini kesin kabul etmektir. Kayıtların sınırlı olması, tek başına iki sonucu da kanıtlamaz. Pratik olarak doğrulanmış bulguları, makul ihtimalleri ve bilinmeyenleri ayrı başlıklar altında tutun. Olayın kapsamı geliştikçe değerlendirmeyi güncelleyin; her yeni sonucun hangi incelemeye dayandığını not edin. Bildirim hazırlığı sırasında eldeki bilgileri anlaşılır biçimde sunun ve yeni bilgi edinildiğinde kullanılacak iletişim yolunu kontrol edin. Örneğin destek kayıtlarında kişilerin iletişim bilgilerinin bulunduğu belirlenmiş, fakat kayıtların dışarıdan görüntülendiği henüz doğrulanmamış olabilir. Bu durumda iki bilgiyi aynı kesinlik düzeyindeymiş gibi anlatmamak gerekir.

Senaryo: Bir bulut sağlayıcı sızıntı haber verir; işletme olay zaman çizelgesi ve bildirim dosyası oluşturur.

Uygulanabilir kalemler ve kanundaki bantlar:

• Kurul kararlarının yerine getirilmemesi: 427.263 TL – 17.092.242 TL

Kalemlerin alt sınırları toplandığında 427.263 TL, üst sınırları toplandığında 17.092.242 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.

Kanundaki bantlar

Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.

Kurul kararlarında 72 saat içinde kişisel veri ihlali bildirimi

Bu bölüm, belirli bir Kurul kararının olayını veya karar numarasını aktarmak yerine bildirim sürecinde izlenmesi gereken pratik noktaları özetler. İşletme, her olayda kendi fark edilme zamanını, eldeki bulguları ve aldığı önlemleri kayıtlarıyla değerlendirmelidir. Karar incelemesi yaparken yalnızca sonuç cümlesine bakmak yerine olayın hangi koşullarda ortaya çıktığını, veri sorumlusunun ne zaman haberdar olduğunu ve hangi adımları attığını anlamaya çalışmak gerekir. Farklı işletmelerin süreçleri aynı olmayabileceğinden, başka bir olayı kendi durumuyla doğrudan eşitlemek doğru bir yöntem değildir.

Örneğin bir işletme, çalışanından gelen uyarı üzerine ortak klasör izinlerini inceleyebilir; başka bir işletme ise hizmet sağlayıcının olay bildirimini alabilir. Her iki durumda da ilk bilgi kaynağı, olayın fark edilme anı ve alınan önlemler ayrı ayrı kaydedilmelidir. Bir olay hakkında yayımlanan açıklama, işletmenin kendi teknik kayıtlarının yerine geçmez. Kararları incelemek, olası sorunları fark etmeye yardımcı olabilir; ancak olayın kapsamı ve uygulanacak işlem, işletmenin kendi verileri ve süreçleri üzerinden değerlendirilmelidir.

Yaygın hata, bir kararın sonucunu tek başına okuyup bütün olaylarda aynı sonucun çıkacağını varsaymaktır. Karar metnindeki olgular, işletmenin sistemleri, veri türleri ve müdahale biçimiyle aynı olmayabilir. Pratik adım olarak inceleme sırasında olayın türünü, veri sorumlusunun bildirim zamanını, aldığı önlemleri ve ilgili kişilere yönelik iletişim şeklini not edin. Ardından bu gözlemleri kendi olay kayıt düzeninizde hangi bilgileri toplamanız gerektiğini belirlemek için kullanın. Belirli bir olayda hukuki sonuç çıkarmaya çalışırken avukatınıza veya hukukçunuza danışın.

• İlk uyarı zamanı ile kişisel veri ihlalinin fark edildiği zaman aynı olmayabilir; bu iki zamanı ayrı kaydedin ve fark edilme anını hangi bulguların desteklediğini açıklayın.
• Süreçteki belirsizlikleri saklamayın; doğrulanmış bilgi, geçici tahmin ve araştırması süren noktaları birbirinden ayırın.
• Kurula ve ilgili kişilere yönelik iletişimi ayrı hazırlayın; gönderilen metinleri, kanıtları ve sonraki güncellemeleri aynı olay dosyasında ilişkilendirin.

Sık sorulan sorular

Aşağıdaki yanıtlar, olay yönetiminde sık karşılaşılan pratik soruları genel hatlarıyla açıklar. Her olayın kapsamı farklı olabileceğinden, işletmenin kendi kayıtları ve mevcut bulguları üzerinden değerlendirme yapılmalıdır. Bilginin henüz kesinleşmemiş olması, bilinenleri kaydetme ve incelemeyi sürdürme ihtiyacını ortadan kaldırmaz.

72 saat hangi andan itibaren hesaplanır?

Süre, olayın teknik olarak başladığı andan değil, veri sorumlusunun kişisel veri ihlalinden haberdar olduğu andan itibaren değerlendirilir. İlk uyarı ile ihlalin anlaşıldığı zamanı ayrı kaydedin. Fark edilme anını destekleyen teknik kayıtları ve işletme içindeki bilgilendirmeleri olay dosyasına ekleyin. Tereddüt varsa hukuki değerlendirme için avukatınıza veya hukukçunuza danışın.

Bütün ayrıntılar belli değilse Kurula bildirim yapılabilir mi?

İlk aşamada bazı bilgilerin kesinleşmemiş olması mümkündür. Doğrulanmış bilgileri, geçici tahminleri ve araştırması süren noktaları açıkça ayırın. Eksik bilgi için incelemenin nasıl sürdürüldüğünü ve hangi adımın planlandığını kaydedin. Sonradan elde edilen bilgilerin hangi usulle iletileceğini güncel form ve Kurul yönlendirmelerine göre kontrol edin.

Kurula bildirim yapmak ilgili kişilere de haber vermek anlamına gelir mi?

Hayır, bu iki iletişimin amacı ve muhatabı farklıdır. Kurul bildirimi kuruma olay hakkında bilgi sunar; ilgili kişiye bildirim ise kişinin olası etkileri, alınan önlemleri ve soru sorabileceği kanalı anlamasına yardımcı olur. Her iletişim için ayrı metin ve kayıt düzeni oluşturun. Birine gönderilen açıklamanın diğer muhataba da ulaştığını varsaymayın.

İhlal bir tedarikçinin sisteminde olduysa ne yapılmalıdır?

Tedarikçiden olayın kapsamını, ilgili veri türlerini, fark edilme zamanını ve alınan önlemleri belgeleyen bilgi isteyin. Kendi olay kaydınızı da açın ve tedarikçinin açıklamasını kendi kayıtlarınızla karşılaştırın. İşletme bakımından bildirim ve iletişim gerekliliğini ayrıca değerlendirin. Sözleşme veya hukuki sorumluluk konusunda avukatınıza veya hukukçunuza danışın.

İlgili kişiye gönderilecek mesajda hangi bilgiler bulunmalıdır?

Mesaj, kişinin hangi bilgilerinin etkilenmiş olabileceğini ve işletmenin hangi önlemleri aldığını açık bir dille anlatmalıdır. Kişinin soru sorabileceği bir iletişim kanalı ekleyin ve teknik terimleri sadeleştirin. Kesinleşmemiş bilgileri kesinmiş gibi sunmayın. Doğrulanmamış güvence vermek yerine, araştırması süren noktaları anlaşılır biçimde açıklayın.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
• Kişisel Verileri Koruma Kurumu
• Kurul ilke kararları
• VERBİS — Veri Sorumluları Sicil Bilgi Sistemi