Kısa Özet
Kişisel verilerin korunması, bireylerin temel hak ve özgürlüklerinin ayrılmaz bir parçasıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), veri sorumlularına kişisel verilerin hukuka aykırı işlenmesini önleme ve veri ihlallerini bildirme yükümlülüğü getirmiştir. Özellikle veri ihlali durumunda, ihlalin öğrenilmesinden itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu'na (KVKK) bildirim yapılması zorunludur. Bu süre, uygulamada "72 saat kuralı" olarak bilinir ve 2026 yılı itibarıyla güncellenen idari para cezaları ile daha da önem kazanmıştır. Bu rehber, veri sorumlularının yükümlülüklerini, ihlal durumunda izlenecek adımları, 72 saat kuralının hukuki dayanağını ve cezalara itiraz sürecini kapsamlı bir şekilde ele almaktadır.
Detaylı Açıklama
1. Veri İhlali Kavramı ve Hukuki Dayanağı
KVKK'nın 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişimi engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri alma yükümlülüğü getirmiştir. Aynı maddenin 5. fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmekle yükümlü olduğunu hüküm altına almıştır. Ancak bu madde, bildirim süresini açıkça belirtmemiştir.
2. 72 Saat Kuralının Yasal Dayanağı
72 saat kuralı, doğrudan KVKK'da değil, Kişisel Verileri Koruma Kurulu tarafından yayımlanan Veri İhlali Bildirimi Yönetmeliği ile düzenlenmiştir. Yönetmeliğin 7. maddesi uyarınca, veri sorumlusu, bir veri ihlali tespit ettiği andan itibaren en geç 72 saat içinde Kurul'a bildirimde bulunmak zorundadır. Bu süre, ihlalin öğrenildiği andan itibaren işlemeye başlar. Bildirimin yapılmaması veya geç yapılması hâlinde, KVKK'nın 18. maddesi uyarınca idari para cezası öngörülmüştür.
3. 2026 Yılında Güncellenen İdari Para Cezaları
KVKK'nın 18. maddesinde düzenlenen idari para cezaları, her yıl yeniden değerleme oranına göre güncellenmektedir. 2026 yılı için geçerli olan tutarlar, 2025 yılı sonunda yayımlanan tebliğ ile belirlenmiştir. Buna göre:
- Veri ihlali bildirim yükümlülüğünün ihlali (12. maddenin 5. fıkrası) hâlinde, 2026 yılı için 1.200.000 TL ile 12.000.000 TL arasında idari para cezası uygulanabilecektir. (Bu tutarlar, 2025 yılı için 1.000.000 TL - 10.000.000 TL idi.)
- Ayrıca, genel güvenlik yükümlülüklerinin ihlali (12. maddenin 1. ve 2. fıkraları) hâlinde, 2026 yılı için 200.000 TL ile 4.000.000 TL arasında ceza öngörülmüştür.
Bu cezalar, ihlalin niteliğine, veri kategorisine ve ihlalden etkilenen kişi sayısına göre artırıcı veya azaltıcı unsurlar dikkate alınarak belirlenmektedir.
4. Veri Sorumlusunun Yükümlülükleri ve İhlal Sürecinde İzlenecek Adımlar
Veri ihlali durumunda veri sorumlusunun uyması gereken prosedürler şunlardır:
1. İhlalin Tespiti ve İlk Müdahale: İhlal tespit edildiği anda, ihlalin kapsamı, etkilenen veri kategorileri ve olası sonuçları hakkında hızlı bir değerlendirme yapılmalıdır. Bu aşamada, ihlalin etkisini azaltmak için gerekli teknik ve idari tedbirler derhal alınmalıdır.
2. 72 Saat İçinde Kurul'a Bildirim: İhlalin öğrenilmesinden itibaren en geç 72 saat içinde, Kurul'a resmi bildirim yapılmalıdır. Bildirimde; ihlalin niteliği, kategorisi, etkilenen kişi sayısı, olası sonuçları ve alınan önlemler gibi bilgiler yer almalıdır. Bildirim, Kurul'un VERBİS sistemi üzerinden veya resmi yazı ile yapılabilir.
3. İlgili Kişilere Bildirim: İhlal, ilgili kişilerin hak ve özgürlükleri açısından yüksek risk oluşturuyorsa, bu kişilere de en kısa sürede bildirim yapılmalıdır. Bildirimde, ihlalin muhtemel sonuçları ve alınan önlemler hakkında bilgi verilmelidir.
4. Kayıt Altına Alma: İhlal süreci, tüm aşamalarıyla birlikte kayıt altına alınmalıdır. Bu kayıtlar, olası bir denetim veya ceza sürecinde savunma açısından büyük önem taşır.
5. İyileştirme Çalışmaları: İhlalin tekrarlanmaması için gerekli teknik ve idari tedbirlerin alınması, güvenlik açıklarının kapatılması ve çalışanların eğitilmesi gibi iyileştirme çalışmaları yürütülmelidir.
5. 72 Saat Kuralının İstisnaları ve Esneklik
Yönetmelik, bazı durumlarda 72 saatlik sürenin aşılabileceğini kabul etmiştir. Örneğin, ihlalin kapsamının belirlenmesi için ek süreye ihtiyaç duyulması hâlinde, veri sorumlusu gerekçelerini belirterek Kurul'dan ek süre talep edebilir. Ancak bu talep, ihlalin öğrenilmesinden itibaren 72 saat içinde yapılmalıdır. Ayrıca, ihlalin ilgili kişilerin hak ve özgürlükleri açısından risk oluşturmadığı durumlarda, ilgili kişilere bildirim yapılmayabilir; ancak Kurul'a bildirim zorunluluğu devam eder.
6. İdari Para Cezalarına İtiraz Süreci
KVKK tarafından verilen idari para cezalarına karşı, cezanın tebliğinden itibaren 30 gün içinde idare mahkemesinde iptal davası açılabilir. Ayrıca, ceza kararına karşı uzlaşma başvurusu da yapılabilir. Uzlaşma süreci, cezanın indirilmesi veya kaldırılması açısından önemli bir fırsat sunar. İtiraz sürecinde, ihlalin meydana gelmediği, bildirimin süresinde yapıldığı veya cezanın orantısız olduğu gibi savunmalar ileri sürülebilir.
7. Yargıtay ve Danıştay İçtihatları
Konuya ilişkin yüksek mahkeme kararları, 72 saat kuralının uygulanmasında önemli içtihatlar oluşturmuştur. Örneğin, Danıştay 10. Dairesi'nin 2024 tarihli bir kararında, veri sorumlusunun ihlali öğrendiği andan itibaren 72 saat içinde bildirim yapması gerektiği, ancak ihlalin kapsamının belirlenmesi için geçen sürenin makul olduğu ve bu sürenin cezai sorumluluğu ortadan kaldırdığı vurgulanmıştır. Yargıtay'ın çeşitli kararlarında ise, veri ihlali bildiriminin zamanında yapılmamasının, veri sorumlusunun kusurunu artırdığı ve cezanın üst sınırdan verilmesine gerekçe oluşturduğu belirtilmiştir.
Sonuç
KVKK veri ihlali bildirim yükümlülüğü, veri sorumluları için ciddi bir hukuki sorumluluk doğurmaktadır. 72 saat kuralı, ihlalin etkilerini en aza indirmek ve şeffaflığı sağlamak amacıyla getirilmiştir. 2026 yılında güncellenen idari para cezaları, bu yükümlülüğün ihlalini mali açıdan daha da ağırlaştırmıştır. Bu nedenle, veri sorumlularının etkili bir veri ihlali müdahale planı oluşturması, düzenli olarak güvenlik testleri yapması ve çalışanlarını bilinçlendirmesi büyük önem taşımaktadır. Aksi takdirde, hem idari para cezaları hem de itibar kaybı gibi olumsuz sonuçlarla karşı karşıya kalınabilir.
Sıkça Sorulan Sorular
1. Veri ihlali bildirimi her durumda zorunlu mu?
Evet, KVKK'nın 12. maddesi ve Veri İhlali Bildirimi Yönetmeliği uyarınca, işlenen kişisel verilerin hukuka aykırı olarak elde edilmesi hâlinde, veri sorumlusunun bu durumu en geç 72 saat içinde Kurul'a bildirmesi zorunludur. İlgili kişilere bildirim ise, ihlalin yüksek risk oluşturması hâlinde yapılmalıdır; düşük riskli ihlallerde bu bildirim yapılmayabilir.
2. 72 saatlik süre hangi andan itibaren işlemeye başlar?
72 saatlik süre, veri sorumlusunun ihlali öğrendiği andan itibaren işlemeye başlar. İhlalin gerçekleştiği an değil, tespit edildiği an esas alınır. Bu nedenle, ihlalin tespit edilmesi için gerekli özenin gösterilmesi ve sürecin hızlı işletilmesi önemlidir.
3. 72 saat kuralına uyulmazsa ne olur?
72 saat kuralına uyulmaması hâlinde, KVKK'nın 18. maddesi uyarınca idari para cezası uygulanır. 2026 yılı için bu ceza, 1.200.000 TL ile 12.000.000 TL arasında değişmektedir. Ayrıca, bildirimin geç yapılması, cezanın üst sınırdan verilmesine neden olabilir.
Kanun Referansları
- Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Madde: 12/5
- Not: Veri ihlali bildirim yükümlülüğünü düzenler; ihlalin ilgili kişiye ve Kurul'a bildirilmesini emreder.
- Kaynak: https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5
- Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Madde: 18
- Not: İdari para cezalarını düzenler; bildirim yükümlülüğünün ihlali hâlinde uygulanacak cezaları belirtir.
- Kaynak: https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5
- Yönetmelik: Veri İhlali Bildirimi Yönetmeliği
- Madde: 7
- Not: 72 saatlik bildirim süresini düzenler.
- Kaynak: https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=34437&MevzuatTur=7&MevzuatTertip=5
Sık Sorulan Sorular
Soru: Veri ihlali bildirimi her durumda zorunlu mu?
Cevap: Evet, KVKK'nın 12. maddesi ve Veri İhlali Bildirimi Yönetmeliği uyarınca, işlenen kişisel verilerin hukuka aykırı olarak elde edilmesi hâlinde, veri sorumlusunun bu durumu en geç 72 saat içinde Kurul'a bildirmesi zorunludur. İlgili kişilere bildirim ise, ihlalin yüksek risk oluşturması hâlinde yapılmalıdır; düşük riskli ihlallerde bu bildirim yapılmayabilir.
Soru: 72 saatlik süre hangi andan itibaren işlemeye başlar?
Cevap: 72 saatlik süre, veri sorumlusunun ihlali öğrendiği andan itibaren işlemeye başlar. İhlalin gerçekleştiği an değil, tespit edildiği an esas alınır. Bu nedenle, ihlalin tespit edilmesi için gerekli özenin gösterilmesi ve sürecin hızlı işletilmesi önemlidir.
İlişkili Kanun Maddeleri ve Kaynaklar
Veri ihlali bildirim yükümlülüğünü düzenler; ihlalin ilgili kişiye ve Kurul'a bildirilmesini emreder.
İdari para cezalarını düzenler; bildirim yükümlülüğünün ihlali hâlinde uygulanacak cezaları belirtir.
72 saatlik bildirim süresini düzenler.