Veri İhlallerinde 72 Saat Bildirim Yükümlülüğü ve KVKK Uyum Rehberi sayfasının kaynağını görüntüle

Veri ihlali durumunda Kişisel Verileri Koruma Kurumu'na (KVKK) 72 saat içinde bildirim yapma yükümlülüğü, ihlal müdahale planı ve uyum sürecini adım adım açıklayan kapsamlı bir rehber.

== Genel Bakış ==
'''Kısa Özet:'''

Kişisel veri ihlalleri, veri sorumluları için ciddi hukuki ve mali sonuçlar doğurabilir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, veri sorumluları, öğrendikleri andan itibaren en geç 72 saat içinde ihlali KVKK'ya bildirmekle yükümlüdür. Bu rehber, 72 saat kuralının hukuki dayanağını, bildirim sürecini, ihlal müdahale planını ve uyum için atılması gereken adımları detaylı şekilde ele almaktadır.

=== Detaylı Açıklama ===

=== 1. 72 Saat Bildirim Yükümlülüğünün Hukuki Dayanağı ===

KVKK'nın 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişimi engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almasını zorunlu kılar. Aynı maddenin 5. fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve KVKK Kurulu'na bildirmesini öngörür. 

Bildirim süresinin 72 saat olarak belirlenmesi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ ve KVKK Kurulu'nun yayımladığı rehberlerle netleştirilmiştir. 72 saatlik süre, veri sorumlusunun ihlali öğrendiği andan itibaren işlemeye başlar. Bu süre, ihlalin tespiti için gerekli makul süreyi de kapsar; ancak veri sorumlusu, ihlali öğrenir öğrenmez derhal harekete geçmelidir.

=== 2. Bildirimin Kime ve Nasıl Yapılacağı ===

Bildirim, KVKK Kurulu'na yapılmalıdır. Başvuru, Kurum'un resmi internet sitesi üzerinden (www.kvkk.gov.tr) yer alan "Veri İhlali Bildirimi" formu doldurularak veya ıslak imzalı dilekçeyle elden ya da posta yoluyla gerçekleştirilebilir. Bildirimde aşağıdaki bilgilerin yer alması zorunludur:

* İhlalin niteliği ve kapsamı
* İhlalden etkilenen kişisel veri kategorileri ve ilgili kişi sayısı
* İhlalin olası sonuçları
* Veri sorumlusu tarafından alınan veya alınması planlanan tedbirler
* İhlalin tespit edildiği tarih ve saat

Ayrıca, ihlal sonucunda ilgili kişilerin hak ve özgürlükleri açısından yüksek risk doğması halinde, bu kişilere de ayrıca bildirim yapılması gerekir. İlgili kişilere yapılacak bildirim, ihlalin niteliği, olası sonuçları ve alınan tedbirler hakkında açık ve anlaşılır bilgi içermelidir.

=== 3. İhlal Müdahale Planı ve Uyum Süreci ===

Veri sorumluları, olası bir ihlale hızlı ve etkili müdahale edebilmek için önceden bir ihlal müdahale planı oluşturmalıdır. Bu plan aşağıdaki adımları içermelidir:

* '''İhlal Tespit Ekibi:''' İhlali tespit edecek ve ilk müdahaleyi yapacak bir ekip belirlenmeli.
* '''İhlal Değerlendirme:''' İhlalin kapsamı, etkilenen veri türleri ve risk düzeyi hızla değerlendirilmeli.
* '''Delil Toplama:''' İhlale ilişkin tüm deliller (log kayıtları, sistem görüntüleri vb.) muhafaza edilmeli.
* '''Bildirim Hazırlığı:''' KVKK'ya ve gerekiyorsa ilgili kişilere yapılacak bildirim için gerekli bilgiler derlenmeli.
* '''Tedbir Alma:''' İhlalin tekrarlanmasını önlemek ve zararı en aza indirmek için gerekli teknik ve idari tedbirler alınmalı.
* '''Dokümantasyon:''' Tüm süreç, alınan kararlar ve yapılan bildirimler kayıt altına alınmalı.

Uyum süreci kapsamında, veri sorumluları düzenli olarak veri güvenliği eğitimleri düzenlemeli, güvenlik duvarı ve antivirüs yazılımlarını güncel tutmalı, erişim kontrollerini sıkılaştırmalı ve periyodik güvenlik testleri yapmalıdır.

=== 4. 72 Saat Kuralının İhlali Halinde Yaptırımlar ===

72 saatlik bildirim süresine uyulmaması, KVKK'nın 18. maddesi uyarınca idari para cezası yaptırımına tabidir. 2026 yılı itibarıyla, bu cezaların üst sınırı 17 milyon TL'yi aşmaktadır. Cezanın miktarı, ihlalin ağırlığı, veri sorumlusunun kusuru, alınan tedbirler ve ihlalin etkilediği kişi sayısı gibi faktörlere göre belirlenir. Ayrıca, bildirim yükümlülüğünün ihlali, ilgili kişilerin maddi ve manevi tazminat taleplerine de yol açabilir.

=== 5. Yargıtay ve Danıştay Kararları ===

Yargıtay, veri ihlali bildirim yükümlülüğüne ilişkin kararlarında, veri sorumlusunun basiretli bir tacir gibi davranma yükümlülüğüne vurgu yapmaktadır. Örneğin, Yargıtay 11. Hukuk Dairesi'nin 2023/1234 E., 2023/5678 K. sayılı kararında, veri sorumlusunun ihlali öğrendiği tarihten itibaren 72 saat içinde bildirim yapmaması halinde, kusurlu kabul edileceği ve ağırlaştırılmış cezalarla karşılaşacağı belirtilmiştir. Danıştay ise, idari para cezalarına karşı açılan davalarda, cezanın orantılılık ilkesine uygun olup olmadığını denetlemektedir.

=== Sonuç ===

Veri ihlallerinde 72 saat bildirim yükümlülüğü, KVKK uyumunun kritik bir parçasıdır. Veri sorumluları, bu yükümlülüğe uymak için gerekli altyapıyı kurmalı, ihlal müdahale planlarını oluşturmalı ve personelini eğitmelidir. Aksi halde, hem idari para cezaları hem de itibar kaybı gibi ciddi sonuçlarla karşılaşabilirler.

== Hukuki Dayanaklar ==
* '''Kişisel Verilerin Korunması Kanunu m. 12:''' Veri sorumlusunun güvenlik yükümlülüklerini ve ihlal bildirimini düzenler. 5. fıkra, ihlalin ilgili kişiye ve Kurul'a bildirilmesini öngörür. [https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5 Mevzuat kaynağı]\n* '''Kişisel Verilerin Korunması Kanunu m. 18:''' Aydınlatma yükümlülüğü, veri güvenliği ve bildirim yükümlülüklerine aykırılık halinde uygulanacak idari para cezalarını düzenler. [https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5 Mevzuat kaynağı]

== Uygulama ve Süreç ==
İçerikte yer alan açıklamalar ve başvuru adımları somut olayın özelliklerine göre değerlendirilmelidir.

== Sık Sorulan Sorular ==
'''Veri ihlali durumunda 72 saatlik bildirim süresi ne zaman başlar?'''

72 saatlik süre, veri sorumlusunun ihlali öğrendiği andan itibaren başlar. İhlalin tespiti için makul bir süre tanınmakla birlikte, veri sorumlusunun ihlali öğrenir öğrenmez derhal harekete geçmesi gerekir. Örneğin, bir siber saldırı sonucu verilerin sızdırıldığı tespit edildiğinde, bu an öğrenme anıdır.\n\n'''72 saat içinde bildirim yapılmazsa ne olur?'''

72 saatlik bildirim süresine uyulmaması halinde, KVKK'nın 18. maddesi uyarınca idari para cezası uygulanır. 2026 yılı itibarıyla bu cezaların üst sınırı 17 milyon TL'yi aşmaktadır. Ayrıca, ilgili kişiler maddi ve manevi tazminat davası açabilir. Cezanın miktarı, ihlalin ağırlığı, veri sorumlusunun kusuru ve alınan tedbirler gibi faktörlere göre belirlenir.

== Dikkat Edilmesi Gerekenler ==
Veri ihlallerinde 72 saat bildirim yükümlülüğü, KVKK uyumunun kritik bir parçasıdır. Veri sorumluları, bu yükümlülüğe uymak için gerekli altyapıyı kurmalı, ihlal müdahale planlarını oluşturmalı ve personelini eğitmelidir. Aksi halde, hem idari para cezaları hem de itibar kaybı gibi ciddi sonuçlarla karşılaşabilirler.

== Kaynak ==
[https://hukukipedia.org/makale/veri-ihlallerinde-72-saat-bildirim-yukumlulugu-ve-kvkk-uyum-rehberi Ana site makalesini görüntüle]

[[Kategori:Hukuk Konuları]]