"E-ticaret altyapımızı ya da yazılımımızı sağlayan firma ihlal yaşarsa sorumlu kim olur; sözleşmede ve olay anında ne yapmalıyız?" Bu soru, operasyonunun önemli bir bölümünü dış sağlayıcılara emanet eden her şirketin gündeminde olmalı. Kişisel Verileri Koruma Kurumu'nun (KVKK) Eylül 2026'da yayımladığı ihlal duyuruları, sorunun kuramsal olmadığını gösteriyor.
30 Eylül 2026 tarihli bir duyuruda ihlalin, veri sorumlusunun e-ticaret altyapısına ilişkin hizmet sağlayıcısının sistemlerinde yaşanan bir bilgi güvenliği olayından kaynaklandığı ve veri işleyenin bildirimiyle tespit edildiği belirtiliyor; etkilenen kişi sayısı 3.642. 23 Eylül 2026 tarihli başka bir duyuruda ise veri işleyen sistemlerindeki bir sunucuya yetkisiz erişim sağlandığı, ihlalin yine veri işleyenin bildirimiyle öğrenildiği ve 779 kişinin etkilendiği aktarılıyor. Listede 30 Eylül tarihini taşıyan dokuz duyuru bulunuyor.
Bu yazıda olayın teknik müdahale adımlarına değil, tedarikçi ilişkisinin hukuki ve yönetsel tarafına odaklanıyoruz. Olay anındaki teknik müdahale için siber ihlal ve olay müdahalesi yazımıza bakabilirsiniz.
Çerçeve: kanun sorumluluğu nasıl paylaştırıyor?
6698 sayılı Kişisel Verilerin Korunması Kanunu iki rol tanımlıyor. Veri sorumlusu, işleme amaçlarını ve vasıtalarını belirleyen taraf; veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen gerçek ya da tüzel kişi. KVKK'nın Haziran 2025 tarihli rehberine göre bulut hizmeti sağlayıcısı, sözleşme gereği verileri kendi amaçları için kullanamadığı durumda veri işleyen statüsünde. E-ticaret altyapısı, barındırma ya da yazılım hizmeti veren firmalar da çoğu senaryoda bu konumda yer alıyor; kesin nitelendirme ise ilişkinin içeriğine göre yapılmalı.
Kanunun "Veri güvenliğine ilişkin yükümlülükler" başlıklı 12. maddesi bu ilişkide belirleyici:
- Tedbir yükümlülüğü (fıkra 1): Veri sorumlusu, hukuka aykırı işlemeyi ve erişimi önlemek, verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almak zorunda.
- Müşterek sorumluluk (fıkra 2): Veriler veri sorumlusu adına başka bir kişi tarafından işleniyorsa, bu tedbirlerin alınmasında veri sorumlusu o kişiyle birlikte müştereken sorumlu. KVKK, bu nedenle veri işleyenlerin de tedbir alma yükümlülüğü altında olduğunu vurguluyor.
- Denetim (fıkra 3): Veri sorumlusu, kanunun uygulanmasını sağlamak için gerekli denetimleri yapmak ya da yaptırmak zorunda.
- Bildirim (fıkra 5): Veriler kanuni olmayan yollarla başkalarınca elde edilirse, veri sorumlusu durumu en kısa sürede ilgilisine ve Kurula bildirir; Kurul gerekirse durumu ilan edebilir.
Kısacası, olay tedarikçinin sisteminde yaşansa da bildirim yükümlülüğü metinde veri sorumlusuna yükleniyor. Ayrıca kanunun 18. maddesi, 12. maddedeki veri güvenliği yükümlülüklerini yerine getirmeyenler için idari para cezası öngörüyor.
72 saat kuralı ve tedarikçinin rolü
Kurul, 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla "en kısa sürede" ifadesini yorumladı. Buna göre veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalı. Kararın tedarikçi ilişkisi açısından öne çıkan hükümleri şunlar:
- Veriler veri işleyen nezdinde ele geçirilirse, veri işleyen bunu gecikmeksizin veri sorumlusuna bildirmeli.
- Etkilenen kişiler belirlendikten sonra onlara da makul en kısa sürede, mümkünse doğrudan bildirim yapılmalı.
- Haklı bir gerekçeyle 72 saat aşılırsa gecikmenin nedenleri açıklanmalı; formdaki bilgiler aynı anda sağlanamıyorsa aşamalı olarak iletilebilir.
- İhlale ilişkin bilgiler, etkiler ve alınan önlemler kayıt altına alınmalı; düzenli gözden geçirilen bir veri ihlali müdahale planı hazırlanmalı.
Pratikteki kırılma noktası şu: 72 saatlik süre veri sorumlusunun ihlali öğrendiği andan işliyor. Eylül duyurularında ihlaller veri işleyenin bildirimiyle öğrenildiğine göre, tedarikçinin ne kadar hızlı ve ne kadar ayrıntılı haber verdiği, şirketin kendi yükümlülüğünü zamanında yerine getirip getiremeyeceğini doğrudan etkiliyor.
İlan tarafında da bir güncelleme var. KVKK'nın 20 Ocak 2026 tarihli duyurusuna göre Kurul, 2025/2451 sayılı kararıyla ihlal ilanlarını 60 gün ile sınırladı; ilgili kişilere bildirimin daha erken yapıldığı belgelenirse ilan daha önce kaldırılabiliyor. Bu da etkilenen kişilere hızlı ve belgeli bildirimi, itibar açısından da önemli kılıyor.
Pratik yol: sözleşmede ve olay anında kontrol listesi
Aşağıdaki maddeler, yukarıdaki kaynaklardan türetilmiş genel bir çerçevedir; her şirketin sözleşme yapısına ve sektörüne göre hukuk ekibiyle birlikte uyarlanmalıdır.
Sözleşme aşamasında
- Rolü yazılı hâle getirin. Tedarikçinin hangi veriyi, hangi amaçla ve kimin talimatıyla işlediğini tanımlayın. KVKK rehberi, veri sorumlusunun bir veri işleme sözleşmesiyle güvenlik önlemlerinin detayları gibi konularda karar yetkisini veri işleyene bırakabileceğini belirtiyor; bu yetkinin sınırı sözleşmede açık olmalı.
- Bildirim süresini 72 saatin içine yerleştirin. Tedarikçinin şüpheli bir olayı size hangi süre içinde, hangi kanaldan ve hangi asgari bilgilerle (etkilenen veri kategorileri, kişi sayısı tahmini, olayın başlangıcı) bildireceğini yazın.
- Tedbirleri ve denetimi tanımlayın. Müşterek sorumluluk nedeniyle tedarikçinin aldığı teknik ve idari tedbirleri belgeleyin; denetim, rapor talep etme ve bilgi alma hakkınızı sözleşmeye ekleyin.
- Alt yüklenicileri kapsayın. Tedarikçinin verileri başka bir firmaya işletip işletmediğini ve bu durumda aynı yükümlülüklerin nasıl aktarılacağını netleştirin.
- Kayıt ve iş birliği yükümlülüğü koyun. Olay sonrası kayıtların korunması, Kurul'a verilecek bilgiler için destek ve iletişimde koordinasyon sözleşmede yer almalı.
Olay anında
- Saati kaydedin. Tedarikçiden ilk bildirimin geldiği anı belgeleyin; 72 saat hesabı bu kayda dayanacaktır.
- Müdahale planını devreye alın. Kurul kararının öngördüğü planda tanımlanan sorumlular (hukuk, BT, iletişim) hemen toplanmalı.
- Bilgiyi aşamalı toplayın. Tüm ayrıntılar beklenmeden bildirim hazırlığına başlayın; eksik bilgiler sonradan tamamlanabilir.
- Etkilenen kişileri belirleyin ve bilgilendirin. Doğrudan iletişim mümkünse onu tercih edin; bildirimin yapıldığını belgeleyin.
- Sonrasını değerlendirin. Olay kapandığında sözleşmeyi, tedarikçi seçim ölçütlerini ve müdahale planını gözden geçirin.
Sonuç
Eylül 2026 duyuruları, ihlalin şirketin kendi sistemlerinden değil, hizmet aldığı sağlayıcıdan da başlayabildiğini somut biçimde gösteriyor. 6698 sayılı Kanun'un 12. maddesi bu durumda sorumluluğu paylaştırıyor, ancak Kurul'a ve ilgili kişilere bildirim yükümlülüğünü veri sorumlusunda bırakıyor. Bu nedenle tedarikçi ilişkisi, satın alma aşamasında imzalanıp unutulan bir metin değil; bildirim süresi, denetim hakkı ve müdahale planıyla birlikte yönetilmesi gereken bir risk alanı.
Orient Global'in bakışıyla, işe kişisel veri işleyen tedarikçilerin bir envanterini çıkarıp her biri için bildirim süresini ve iletişim kanalını kontrol etmek, sakin ve uygulanabilir bir ilk adım.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez.
#interimmanagement #forwarddeployedengineering