Bir şirketin sistemlerinde kişisel veri ihlali fark edildiğinde ilk sorulan soru genellikle aynıdır: "Kurul'a ne kadar sürede bildirmemiz gerekiyor?" Kişisel Verileri Koruma Kurumu'nun (KVKK) veri ihlali duyuruları listesinde yalnızca 21 Ekim 2026 tarihini taşıyan on duyuru bulunuyor. Konu, her ölçekten kurum için güncel.
Bu yazıda bildirim süresini, sürenin ne zaman başladığını, Kurul'a ve etkilenen kişilere bildirimin nasıl yapıldığını birincil kaynaklardan özetliyoruz. İhlal tedarikçide başladığında sorumluluğun nasıl paylaşıldığı tedarikçi kaynaklı veri ihlali yazısında, teknik olay müdahalesi ise siber ihlal ve olay müdahalesi yazısında ele alındı.
Kanun ne diyor: "en kısa sürede"
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin 5. fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurula bildireceğini söylüyor. Kanun metninde saat ya da gün yazmıyor. Aynı fıkraya göre Kurul, gerekirse durumu kendi internet sitesinde ya da uygun gördüğü başka bir yöntemle ilan edebiliyor.
72 saat nereden geliyor?
Süreyi Kanun değil, Kurul belirledi. Kişisel Verileri Koruma Kurulu'nun 24 Ocak 2019 tarihli ve 2019/10 sayılı Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin Kararı, "en kısa sürede" ifadesini 72 saat olarak yorumladı. KVKK'nın 15 Şubat 2019 tarihli duyurusuna göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve "en geç 72 saat içinde Kurula bildirmesine" karar verildi.
Kararın diğer hükümleri de bildirimin çerçevesini çiziyor:
- Gecikme gerekçesi: Haklı bir gerekçeyle 72 saat içinde bildirim yapılamazsa, bildirimle birlikte gecikmenin nedenleri de Kurul'a açıklanmalı.
- Form: Kurul'a bildirimde Kişisel Veri İhlal Bildirim Formu kullanılmalı.
- Aşamalı bildirim: Formdaki bilgiler aynı anda sağlanamıyorsa, gecikmeye yer vermeden aşamalı olarak sağlanabilir.
- Kayıt: İhlale ilişkin bilgiler, etkileri ve alınan önlemler kayıt altına alınıp Kurul'un incelemesine hazır tutulmalı.
- Yurt dışındaki veri sorumlusu: İhlal yurt dışında yerleşik bir veri sorumlusunda yaşansa da Türkiye'de yerleşik kişileri etkiliyor ve bu kişiler ürün ya da hizmetten Türkiye'de yararlanıyorsa, aynı esaslarla Kurul'a bildirim yapılmalı.
- Müdahale planı: Kurum içinde kime raporlama yapılacağını ve sorumluluğun kimde olduğunu belirleyen bir veri ihlali müdahale planı hazırlanmalı, belirli aralıklarla gözden geçirilmeli.
Güncel durum: Bu koşuda açılan Kurum kaynaklarında 72 saat kuralını değiştiren bir karara rastlanmadı. KVKK'nın 20 Ocak 2026 tarihli duyurusu 2019/10 sayılı Kararı ve 72 saat yorumunu aynen hatırlatıyor. Bu duyuruyla gelen değişiklik süreyle değil ilanla ilgili: Kurul, 25 Aralık 2025 tarihli ve 2025/2451 sayılı kararıyla daha önce süre sınırı olmadan yayımlanan ihlal ilanlarını 60 gün ile sınırladı. İlgili kişilere bildirimin daha kısa sürede yapıldığı belgelenirse ilan internet sitesinden kaldırılıyor.
Süre ne zaman başlar?
Karar, süreyi veri sorumlusunun ihlali öğrendiği tarihe bağlıyor. Kurum'un bildirim formu ve form kılavuzu ise geç bildirim alanını ihlalin tespitinden Kurul'a bildirime kadar geçen sürenin 72 saati aşması hâline bağlıyor. Formda ihlalin başlama, sona erme ve tespit tarih-saatleri ayrı ayrı soruluyor; ihlal bir veri işleyen tarafından bildirildiyse, veri işleyenin tespit ve bildirim saatleri de isteniyor.
Pratik sonuç şu: ihlalin fark edildiği an, dakikasıyla ve belgeli kaydedilmeli. 72 saat hesabının ve gerekirse gecikme gerekçesinin dayanağı bu kayıttır.
Kurul'a bildirim: formda neler soruluyor?
Bildirim, Kurum'un ihlal bildirim sayfasındaki çevrim içi form üzerinden ya da formun doldurulup gönderilmesiyle yapılıyor. Kılavuza göre çevrim içi formda kaydın ardından bir takip numarası üretiliyor; bildirimin sorgulanması ve sonradan güncellenmesi bu kodla yapılıyor. Formun başında ihlale konu kişisel verinin forma eklenmemesi uyarısı yer alıyor. Form beş bölümden oluşuyor:
- Hakkınızda: Veri sorumlusunun kimlik ve iletişim bilgileri, bildirimi hazırlayan kişi; başkası adına gönderiliyorsa yetki belgesi.
- İhlal hakkında: İlk bildirim mi takip bildirimi mi; ihlalin kaynağı (yetkisiz erişim, fidye yazılımı, cihaz kaybı, kaza/ihmal gibi seçenekler), gizlilik, bütünlük ya da erişilebilirlik etkisi, nasıl tespit edildiği, etkilenen veri kategorileri, kişi ve kayıt sayısı. Sayılar tahminiyse kesin sayının neden belirlenemediği açıklanmalı.
- Bildirim: 72 saat aşıldıysa nedeni, ilgili kişilere bildirim yapılıp yapılmadığı, yöntemi ve tarihi, yurt içi ve yurt dışındaki diğer kurumlara bilgi verilip verilmediği.
- Olası sonuçlar: İhlalin ilgili kişiler ve kurum üzerindeki etkisinin düşükten çok yükseğe derecelendirilmesi.
- Önlemler: İlgili çalışanların son bir yılda aldığı eğitimler, ihlalden önce ve sonra alınan teknik ve idari tedbirler, planlanan tedbirlerin tahmini tamamlanma zamanı.
Etkilenen kişilere bildirim
Karara göre veri sorumlusu, etkilenen kişileri belirledikten sonra makul olan en kısa süre içinde onlara da bildirim yapmalı. İletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi internet sitesinde yayımlama gibi uygun yöntemlerle bildirim yapılabiliyor. Formda ilgili kişilerin bilgi alabileceği iletişim kanalları da soruluyor. 2025/2451 sayılı karar sonrası, ilgili kişilere bildirimin belgelenmesi ilanın ne kadar süre yayımda kalacağını da etkiliyor.
Yükümlülük yerine getirilmezse
6698 sayılı Kanun'un 18. maddesi, 12. maddedeki veri güvenliği yükümlülüklerini yerine getirmeyenler için alt ve üst sınırı kanunda belirlenen bir idari para cezası öngörüyor; bu ceza veri sorumlusuna uygulanıyor. Aynı maddeye 2024'te eklenen fıkraya göre Kurul'un verdiği idari para cezalarına karşı idare mahkemelerinde dava açılabiliyor. Güncel tutarlar ve somut olayın değerlendirmesi için hukuk danışmanınıza başvurmanızı öneririz.
İlk 72 saat için çalışma planı
Aşağıdaki adımlar, yukarıdaki kaynaklardan türetilmiş genel bir çerçevedir; şirketin yapısına göre hukuk ve bilgi güvenliği ekipleriyle uyarlanmalıdır.
- 0. saat — kaydı açın. Tespit anını, kimin tespit ettiğini ve ilk bulguları belgeleyin. Veri işleyenden geldiyse gelen yazı ya da e-postayı saklayın; form bunları ek olarak istiyor.
- İlk saatler — planı devreye alın. Müdahale planında tanımlı hukuk, bilgi teknolojileri ve iletişim sorumluları toplanır; ihlalin sürüp sürmediği ve hangi sistemlerin etkilendiği belirlenir.
- İlk gün — kapsamı çıkarın. Etkilenen veri kategorileri, özel nitelikli veri olup olmadığı, tahmini kişi ve kayıt sayısı ve kişi grupları belirlenir. Bu başlıklar formun ikinci bölümüyle birebir örtüşüyor.
- 72. saatten önce — ilk bildirimi gönderin. Bütün bilgiler tamamlanmadıysa, karar aşamalı bildirime izin veriyor; eksikler takip bildirimiyle tamamlanır. Takip numarası güvenli bir yerde saklanır.
- Sonrasında — kişileri bilgilendirin ve kapatın. Etkilenen kişilere bildirim yapılır ve belgelenir, alınan tedbirler kayda geçirilir, müdahale planı olaydan çıkan derslerle güncellenir.
Bu adımları tatbikatla denemek, gerçek bir olayda sürenin bilgi toplamakla geçmesini önler. Bildirim formunun bölümleri, kurum içi olay kayıt şablonunun iskeleti olarak da kullanılabilir.
Sık sorulan sorular
KVKK veri ihlali bildirim süresi kaç saat? 2019/10 sayılı Kurul Kararı'na göre ihlalin öğrenildiği tarihten itibaren gecikmeksizin ve en geç 72 saat.
72 saat iş günü mü, takvim saati mi? Karar metni "72 saat" diyor ve iş günü ayrımı yapmıyor. Hafta sonu ve tatil günlerini kapsayan bir nöbet düzeni kurmak bu nedenle önemli.
Bilgilerin tamamı yoksa bildirim beklemeli mi? Hayır. Karar, bilgilerin aynı anda sağlanamadığı hâllerde aşamalı bildirime izin veriyor.
Veri işleyen de Kurul'a bildirim yapar mı? Karara göre veri işleyen, ihlali gecikmeksizin veri sorumlusuna bildirir; Kurul'a bildirim yükümlülüğü veri sorumlusundadır.
Sonuç
Kanun "en kısa sürede" diyor, Kurul bunu 72 saat olarak yorumluyor ve bu yorum 2026 başındaki Kurum duyurusunda da aynen yer alıyor. Değişen, ihlal ilanlarının 60 günle sınırlanması oldu. Orient Global'in bakışıyla, ihlal hiç yaşanmadan önce müdahale planını yazıp bildirim formunun bölümlerine göre bir olay kayıt şablonu hazırlamak, 72 saatin baskısını yönetilebilir kılan en somut adım.
Bu yazı genel bilgilendirme amaçlıdır; hukuki ya da mali tavsiye niteliği taşımaz. Kendi durumunuz için uzmanınıza danışın.
#interimmanagement #forwarddeployedengineering