Veri İhlali Bildirimi: 72 Saat Kuralı Adım Adım

Bir veri ihlali yaşadığınızda KVKK size düşünmek için zaman tanımaz: Kurul'a bildirim için 72 saatiniz vardır ve bu saat, ihlali öğrendiğiniz anda işlemeye başlar. Panik hâlinde doğru bildirim yapmak neredeyse imkânsızdır — bu yüzden bu yükümlülük, ihlal olmadan önce hazırlanmış bir planla yönetilir.

Bu yazıda 72 saat kuralının dayanağını, kimin nereye hangi sürede bildirim yapacağını ve en sık yapılan hataları adım adım anlatıyoruz.

Hukuki dayanak: m.12/5 + Kurul'un 2019/10 sayılı kararı

KVKK m.12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bunu "en kısa sürede" ilgilisine ve Kurul'a bildirmesini emreder. Kanundaki "en kısa süre" ifadesini somutlaştıran, Kurul'un 2019/10 sayılı kararıdır (24.01.2019):

Veri sorumlusu, ihlali öğrenmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirmelidir.

Saat, ihlalin gerçekleştiği anda değil, öğrenildiği anda başlar. Ancak "geç öğrendik" savunması, makul bir tespit ve izleme düzeniniz yoksa sizi korumaz — güvenlik tedbirlerinin (m.12/1) bir parçası da ihlali fark edebilecek durumda olmaktır.

En sık yapılan hata: "İlgili kişiye de 72 saat" sanmak

Yaygın blog içeriklerinin aksine, 72 saat yalnızca Kurul'a bildirim süresidir. Etkilenen kişilere bildirim için sabit bir saat sınırı yoktur; Kurul kararları bunun "makul olan en kısa süre içinde" yapılmasını arar — etkilenen kişiler belirlenebildiği andan itibaren, gecikmeksizin.

İlgili kişiye bildirimin asgari içeriği de Kurul'un 2019/271 sayılı kararıyla (18.09.2019) belirlenmiştir; özetle bildirimde en azından şunlar bulunmalıdır:

İhlalin ne zaman gerçekleştiği,
Hangi veri kategorilerinin etkilendiği (kişisel veri / özel nitelikli veri ayrımıyla),
İhlalin olası sonuçları,
Etkiyi azaltmak için alınan ve önerilen tedbirler,
İlgili kişinin bilgi alabileceği iletişim yolları (isim, e-posta, telefon vb.).

Kurul'a bildirim nasıl yapılır?

Bildirim, Kurum'un yayımladığı Kişisel Veri İhlali Bildirim Formu ile yapılır. Formda ihlalin kapsamı, etkilenen kişi ve kayıt sayısı, veri kategorileri, olası sonuçlar ve alınan tedbirler beyan edilir. 72 saat içinde tüm bilgilere sahip değilseniz, elinizdeki bilgiyle bildirim yapıp eksikleri aşamalı olarak tamamlayabilirsiniz — bilgi eksikliği bildirimi geciktirme sebebi değildir. 72 saati aştıysanız bildirime gecikme gerekçesini de eklemeniz gerekir.

72 saatlik müdahale planı: hazırda tutulacak 6 adım

Tespit ve alarm: İhlal şüphesini kimin, kime, hangi kanaldan bildireceği önceden tanımlı olsun. 72 saat, bir ihlalin gerçekleştiğine makul kesinlikle kanaat getirdiğiniz (öğrendiğiniz) anda başlar; ilk şüpheyi doğrulamak için gecikmesiz bir inceleme yapabilirsiniz, ancak inceleme bildirimi geciktirmenin gerekçesi olamaz. Öğrenme anını ve inceleme adımlarının saatlerini kayıt altına alın.
Kapsamı dondurun ve belgeleyin: Etkilenen sistemler, veri kategorileri, kayıt sayısı, ihlalin başlangıcı. Her tespitin saatini not edin; bu kayıtlar hem forma hem olası incelemeye girecektir.
Teknik müdahale: Erişimi kesin, açığı kapatın, delilleri koruyun.
Kurul bildirimi (≤72 saat): Eldeki bilgiyle formu doldurun; eksikler için aşamalı bildirim yolunu kullanın.
İlgili kişilere bildirim: Etkilenenler belirlendikçe, 2019/271'deki asgari içerikle, makul en kısa sürede.
Ders çıkarma: Kök neden analizi, tedbir güncellemesi ve ihlal kayıt defterine işleme.

Bildirmemenin bedeli

İhlal bildirimi yükümlülüğü, m.12 kapsamındaki veri güvenliği yükümlülüklerinin parçasıdır; aykırılık hâlinde 2026 itibarıyla üst sınırı 17.092.242 TL'ye ulaşan idari para cezaları gündeme gelir. Kurul kararlarında geç bildirim, başlı başına ceza gerekçesi olarak yer almaktadır — ihlalin kendisi kadar, yönetilme biçimi de denetlenir.

Danışmanlar için not

Birden fazla müşterinin uyumunu yönetiyorsanız, 72 saatlik pencere müşteri sayısıyla çarpılır: her müşteri için ayrı iletişim zinciri, ayrı form, ayrı takip. Danışman portalımız, ihlal bildirimi dahil süreye bağlı tüm KVKK yükümlülüklerini müşteri başına takvimleyip Türkiye iş günü hesabıyla hatırlatır.

Bu yazı bilgilendirme amaçlıdır; hukuki danışmanlık yerine geçmez.