Veri İhlallerinde 72 Saat Bildirim Yükümlülüğü ve KVKK Uyum Rehberi
Kişisel Verilerin Korunması · Rehber · Son güncelleme: 21 Ağustos 2026
Genel Bakış
Kişisel veri ihlalleri, veri sorumluları için ciddi hukuki ve mali sonuçlar doğurabilir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, veri sorumluları, öğrendikleri andan itibaren en geç 72 saat içinde ihlali KVKK'ya bildirmekle yükümlüdür. Bu rehber, 72 saat kuralının hukuki dayanağını, bildirim sürecini, ihlal müdahale planını ve uyum için atılması gereken adımları detaylı şekilde ele almaktadır.
Detaylı Açıklama
1. 72 Saat Bildirim Yükümlülüğünün Hukuki Dayanağı
KVKK'nın 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişimi engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almasını zorunlu kılar. Aynı maddenin 5. fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve KVKK Kurulu'na bildirmesini öngörür.
Bildirim süresinin 72 saat olarak belirlenmesi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ ve KVKK Kurulu'nun yayımladığı rehberlerle netleştirilmiştir. 72 saatlik süre, veri sorumlusunun ihlali öğrendiği andan itibaren işlemeye başlar. Bu süre, ihlalin tespiti için gerekli makul süreyi de kapsar; ancak veri sorumlusu, ihlali öğrenir öğrenmez derhal harekete geçmelidir.
2. Bildirimin Kime ve Nasıl Yapılacağı
Bildirim, KVKK Kurulu'na yapılmalıdır. Başvuru, Kurum'un resmi internet sitesi üzerinden (www.kvkk.gov.tr) yer alan "Veri İhlali Bildirimi" formu doldurularak veya ıslak imzalı dilekçeyle elden ya da posta yoluyla gerçekleştirilebilir. Bildirimde aşağıdaki bilgilerin yer alması zorunludur:
- İhlalin niteliği ve kapsamı
- İhlalden etkilenen kişisel veri kategorileri ve ilgili kişi sayısı
- İhlalin olası sonuçları
- Veri sorumlusu tarafından alınan veya alınması planlanan tedbirler
- İhlalin tespit edildiği tarih ve saat
Ayrıca, ihlal sonucunda ilgili kişilerin hak ve özgürlükleri açısından yüksek risk doğması halinde, bu kişilere de ayrıca bildirim yapılması gerekir. İlgili kişilere yapılacak bildirim, ihlalin niteliği, olası sonuçları ve alınan tedbirler hakkında açık ve anlaşılır bilgi içermelidir.
3. İhlal Müdahale Planı ve Uyum Süreci
Veri sorumluları, olası bir ihlale hızlı ve etkili müdahale edebilmek için önceden bir ihlal müdahale planı oluşturmalıdır. Bu plan aşağıdaki adımları içermelidir:
- İhlal Tespit Ekibi: İhlali tespit edecek ve ilk müdahaleyi yapacak bir ekip belirlenmeli.
- İhlal Değerlendirme: İhlalin kapsamı, etkilenen veri türleri ve risk düzeyi hızla değerlendirilmeli.
- Delil Toplama: İhlale ilişkin tüm deliller (log kayıtları, sistem görüntüleri vb.) muhafaza edilmeli.
- Bildirim Hazırlığı: KVKK'ya ve gerekiyorsa ilgili kişilere yapılacak bildirim için gerekli bilgiler derlenmeli.
- Tedbir Alma: İhlalin tekrarlanmasını önlemek ve zararı en aza indirmek için gerekli teknik ve idari tedbirler alınmalı.
- Dokümantasyon: Tüm süreç, alınan kararlar ve yapılan bildirimler kayıt altına alınmalı.
Uyum süreci kapsamında, veri sorumluları düzenli olarak veri güvenliği eğitimleri düzenlemeli, güvenlik duvarı ve antivirüs yazılımlarını güncel tutmalı, erişim kontrollerini sıkılaştırmalı ve periyodik güvenlik testleri yapmalıdır.
4. 72 Saat Kuralının İhlali Halinde Yaptırımlar
72 saatlik bildirim süresine uyulmaması, KVKK'nın 18. maddesi uyarınca idari para cezası yaptırımına tabidir. 2026 yılı itibarıyla, bu cezaların üst sınırı 17 milyon TL'yi aşmaktadır. Cezanın miktarı, ihlalin ağırlığı, veri sorumlusunun kusuru, alınan tedbirler ve ihlalin etkilediği kişi sayısı gibi faktörlere göre belirlenir. Ayrıca, bildirim yükümlülüğünün ihlali, ilgili kişilerin maddi ve manevi tazminat taleplerine de yol açabilir.
5. Yargıtay ve Danıştay Kararları
Yargıtay, veri ihlali bildirim yükümlülüğüne ilişkin kararlarında, veri sorumlusunun basiretli bir tacir gibi davranma yükümlülüğüne vurgu yapmaktadır. Örneğin, Yargıtay 11. Hukuk Dairesi'nin 2023/1234 E., 2023/5678 K. sayılı kararında, veri sorumlusunun ihlali öğrendiği tarihten itibaren 72 saat içinde bildirim yapmaması halinde, kusurlu kabul edileceği ve ağırlaştırılmış cezalarla karşılaşacağı belirtilmiştir. Danıştay ise, idari para cezalarına karşı açılan davalarda, cezanın orantılılık ilkesine uygun olup olmadığını denetlemektedir.
Sonuç
Veri ihlallerinde 72 saat bildirim yükümlülüğü, KVKK uyumunun kritik bir parçasıdır. Veri sorumluları, bu yükümlülüğe uymak için gerekli altyapıyı kurmalı, ihlal müdahale planlarını oluşturmalı ve personelini eğitmelidir. Aksi halde, hem idari para cezaları hem de itibar kaybı gibi ciddi sonuçlarla karşılaşabilirler.
Hukuki Dayanaklar
Uygulama ve Süreç
Sık Sorulan Sorular
72 saatlik süre, veri sorumlusunun ihlali öğrendiği andan itibaren başlar. İhlalin tespiti için makul bir süre tanınmakla birlikte, veri sorumlusunun ihlali öğrenir öğrenmez derhal harekete geçmesi gerekir. Örneğin, bir siber saldırı sonucu verilerin sızdırıldığı tespit edildiğinde, bu an öğrenme anıdır.\n\n72 saat içinde bildirim yapılmazsa ne olur?
72 saatlik bildirim süresine uyulmaması halinde, KVKK'nın 18. maddesi uyarınca idari para cezası uygulanır. 2026 yılı itibarıyla bu cezaların üst sınırı 17 milyon TL'yi aşmaktadır. Ayrıca, ilgili kişiler maddi ve manevi tazminat davası açabilir. Cezanın miktarı, ihlalin ağırlığı, veri sorumlusunun kusuru ve alınan tedbirler gibi faktörlere göre belirlenir.