KVKK İhlali Nedir? En Sık Yapılan İhlaller ve İhlal Bildirimi

"İhlal" kelimesi iki farklı şeyi anlatır ve karıştırılınca yanlış adım atılır:

1. Yükümlülük ihlali — kanunun gerektirdiği bir şeyi yapmamak (aydınlatma metni koymamak, süresi dolan veriyi silmemek)
2. Veri ihlali — verinin yetkisiz kişilerin eline geçmesi (sızıntı, hack, yanlış kişiye gönderilen e-posta, çalınan dizüstü bilgisayar)

İkisi de sonuç doğurur ama ikincisinin bildirim yükümlülüğü vardır ve saati işler. Kanunun kapsamı ve temel kavramları konusunda emin değilseniz önce şuraya bakın: KVKK nedir?

Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. İhlal yaşadıysanız vakit kaybetmeden hukukçuya danışın.

En sık görülen yükümlülük ihlalleri

Uygulamada şikâyetlerin çoğu rızasız pazarlama iletisi ve eski çalışan verileri başlıklarından çıkar.

Veri ihlali: saat işlemeye başlar

Kişisel verileriniz yetkisiz kişilerin eline geçtiyse (siber saldırı, kaybolan cihaz, yanlış alıcıya gönderim, yanlış yapılandırılmış bulut klasörü) bildirim yükümlülüğü doğar:

• Kurul'a bildirim: İhlali öğrendiğiniz andan itibaren en kısa sürede, 72 saat içinde
• İlgili kişilere bildirim: Makul olan en kısa sürede — kimlerin etkilendiği belirlenebiliyorsa doğrudan, belirlenemiyorsa uygun yöntemlerle duyurarak

Bildirim, Kurum'un veri ihlali bildirim formu üzerinden yapılır.

İhlal anında ilk 48 saat

0-4. saat — Durdur

• Sızıntının kaynağını kapatın (erişimi kesin, parolaları değiştirin, sistemi izole edin)
• Delilleri koruyun: log kayıtlarını silmeyin

4-24. saat — Tespit et

• Hangi veri kategorileri etkilendi?
• Kaç kişi etkilendi?
• Özel nitelikli veri var mı?
• Ne zaman başladı, ne zaman fark edildi?

24-72. saat — Bildir

• Kurul'a bildirimi yapın (bilgi eksikse "aşamalı bildirim" yolu vardır)
• Etkilenen kişilere bilgilendirme metnini hazırlayıp iletin
• Aldığınız önlemleri yazılı kayıt altına alın

Sonrası

• Kök nedeni giderin, tedbirleri güçlendirin
• Envanteri ve politikaları güncelleyin
• Süreci tutanaklayın — Kurul'un ilk soracağı şey budur

İhlal bildirimi kararlarından çıkan tablo

Yayımlanmış Kurul karar özetlerinden derlediğimiz 313 kararın 75'i doğrudan veri ihlali bildirimi kaynaklı — yani en kalabalık ikinci kategori. Ve en ağır cezalar buradan çıkıyor:

Dikkat edilmesi gereken nokta: bu şirketlerin hepsi ihlali kendisi bildirmişti. Ceza, bildirim yapıldığı için değil, incelemede ortaya çıkan teknik ve idari tedbir eksikliği nedeniyle kesildi. Yani bildirim cezadan kurtarmaz; ama bildirmemek, üzerine ayrı bir kalem ekler.

İncelemede tekrar tekrar sorulan sorular şunlar:

• Parolalar nasıl saklanıyordu (düz metin mi, güncel bir algoritma ile mi)?
• Yönetici erişimlerinde çok faktörlü doğrulama var mıydı?
• Log kayıtları tutuluyor muydu, kim neye erişti izlenebiliyor mu?
• Yetkiler görev bazlı mı, yoksa herkes her şeyi görebiliyor mu?
• Sızma testi / güvenlik denetimi yapılmış mıydı?
• Etkilenen kişiler ne kadar sürede ve nasıl bilgilendirildi?

Bu altı sorunun cevabı, cezanın alt banttan mı üst banttan mı hesaplanacağını belirliyor (ceza aralıkları).

Yükümlülük ihlali ile veri ihlali: karıştırmayın

Aynı kelime iki farklı şeyi anlatıyor ve yükümlülükleri farklı:

Pratik sonuç: yükümlülük ihlalinde acil bir saat işlemez, veri ihlalinde işler. İkisi bir arada da olabilir — kararların çoğunda öyledir.

Bildirim formunda istenenler

72 saatlik süre, formu doldurmakla değil, cevapları hazırlamakla geçiyor. Kurum sizden şunları ister:

1. İhlalin ne zaman ve nasıl gerçekleştiği, ne zaman tespit edildiği
2. Etkilenen kişisel veri kategorileri (kimlik, iletişim, finans, özel nitelikli…)
3. Etkilenen ilgili kişi sayısı ve grupları (müşteri, çalışan, aday…)
4. Olası sonuçlar ve riskler
5. Alınan/alınacak teknik ve idari tedbirler
6. İlgili kişilere bildirim yapılıp yapılmadığı, yöntemi
7. İrtibat kişisi bilgileri

1., 2. ve 3. maddeler doğrudan envanterinizden gelir. Envanteriniz yoksa 72 saatin çoğu "hangi sistemde kimin verisi vardı?" sorusuna cevap ararken geçer (envanter rehberi).

Sayı ve kapsam ilk gün net değilse, bildirimi geciktirmek yerine bilinenlerle bildirip eksikleri sonradan tamamlamak tercih edilir; gecikmenin kendisi ayrı bir bulgudur.

İhlal ile karşılaşan kişi ne yapar?

Verisi ihlal edilen taraf sizseniz sıra şudur:

1. Önce veri sorumlusuna başvurun — yazılı, tarihli, kimliğinizi doğrulayacak şekilde. Süre: 30 gün.
2. Yanıt gelmezse veya yetersizse Kurul'a şikâyet — cevabı öğrendiğiniz tarihten itibaren 30 gün, her hâlde başvuru tarihinden itibaren 60 gün içinde.
3. Zararınız varsa tazminat — genel hükümlere göre yargı yoluna gidebilirsiniz.

Kurul'a doğrudan şikâyet, önce veri sorumlusuna başvurmadan kural olarak kabul edilmez.

Cezai boyut

İdari para cezalarının yanı sıra, kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi/yayılması veya yok edilmemesi Türk Ceza Kanunu kapsamında ayrı suçlar oluşturabilir. Yani sorumluluk yalnızca parasal değildir.

Tutar ve kapsam: KVKK cezaları ne kadar.

İhlal riskini düşüren 6 tedbir

1. Erişim yetkilerini daraltın — herkes her dosyayı görmesin
2. Tüm kritik hesaplarda iki adımlı doğrulama
3. Yedekleri şifreleyin ve geri yükleme testini yapın
4. Çalışanlara kısa ve düzenli farkındalık eğitimi (ihlallerin büyük kısmı insan hatası)
5. Ayrılan çalışanın erişimini aynı gün kapatın
6. Saklama sürelerini uygulayın — tutmadığınız veri sızmaz

Sık sorulan sorular

Küçük bir sızıntı da bildirilmeli mi?

Kişisel veri içeren her ihlal değerlendirilmelidir. Etki düşükse dahi iç kayıt tutmak, bildirim kararınızı gerekçelendirmenizi sağlar.

Yanlış kişiye gönderilen e-posta ihlal midir?

Evet, kişisel veri içeriyorsa veri ihlalidir. En sık karşılaşılan ihlal türlerinden biridir — özellikle toplu e-postada alıcıların "Kime" alanına yazılması.

Bildirim yapmazsam nasıl anlaşılır?

İhlaller genellikle etkilenen kişilerin şikâyeti, basına yansıma veya forumlarda paylaşılan veri setleri yoluyla ortaya çıkar. Bildirmemek, değerlendirmede ağırlaştırıcı bir unsurdur.

72 saati kaçırdım, ne olur?

Gecikmiş bildirim yapmayın demek değildir — gerekçesiyle birlikte derhâl bildirin. Bildirmemek, geç bildirmekten daha ağır sonuç doğurur.

Kaynaklar

• Kişisel Verileri Koruma Kurumu
• 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)

Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.

Önce eksiklerinizi görün: KVKK Otomat sihirbazı süreçlerinizi tarar, yanlış hukuki sebep ve süresiz saklama gibi en sık ihlal sebeplerini işaretler. Genel yol haritası: KVKK Uyum Rehberi. Müdahale planını ve belge setini sizin adınıza kuralım isterseniz: uyum dosyası hizmeti.