Bir siber saldırıda, yanlış kişiye gönderilen bir e-postada ya da çalınan bir dizüstü bilgisayarda kişisel veriler başkalarının eline geçebilir. Bu durumda KVKK'nın öngördüğü süre çok kısadır: ihlali öğrendiğiniz andan itibaren 72 saat. Bu yazıda bu sürede neler yapılması gerektiğini özetledik.
Veri ihlali nedir?
6698 sayılı Kanun'un 12. maddesine göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi bir veri ihlalidir. Fidye yazılımıyla dışarı çıkarılan müşteri listeleri, ele geçirilen e-posta hesapları, yanlış alıcıya gönderilen bordrolar ve şifresiz bir cihazın kaybolması tipik örneklerdir.
72 saat ne zaman başlar?
Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirim yapmalıdır. Bildirim, Kurul'un yayımladığı Kişisel Veri İhlal Bildirim Formu ile yapılır. Tüm bilgiler aynı anda toplanamıyorsa bilgiler aşamalı olarak, gecikmeden iletilebilir. Haklı bir sebeple 72 saat içinde bildirim yapılamazsa gecikmenin nedeni bildirimle birlikte açıklanmalıdır.
İlgili kişilere bildirim
Verileri etkilenen kişiler belirlendikten sonra makul olan en kısa süre içinde onlara da bildirim yapılır. İletişim adresi biliniyorsa doğrudan, bilinmiyorsa veri sorumlusunun internet sitesi gibi uygun yöntemlerle duyurulur.
Kurul'un ilanı
Kurul, gerekli gördüğü ihlal bildirimlerini kendi internet sitesinde ilan edebilir. 25 Aralık 2025 tarihli ve 2025/2451 sayılı kararla bu ilanların yayında kalma süresi en fazla 60 gün olarak belirlendi; ilgili kişilere daha kısa sürede bildirim yapıldığı kanıtlanırsa ilan daha erken kaldırılabilir.
72 saat için örnek bir çalışma planı
Aşağıdaki plan yasal bir zorunluluk değil, sürenin verimli kullanılması için bir öneridir:
- İlk 4 saat: İhlali doğrulayın, yayılmayı durdurun, olay müdahale ekibini ve yönetimi bilgilendirin.
- 4-24 saat: Hangi verilerin, kaç kişinin ve hangi sistemlerin etkilendiğini belirleyin; kanıtları koruyun.
- 24-48 saat: Hukuk danışmanınızla birlikte bildirim formunu hazırlayın, alınan ve alınacak önlemleri yazın.
- 48-72 saat: Kurul'a bildirimi yapın, ilgili kişilere bildirim planını başlatın.
Veri işleyenler için
Hizmet aldığınız bir firmada (örneğin bulut, muhasebe ya da yazılım sağlayıcınızda) ihlal yaşanırsa, veri işleyen olarak o firma durumu size gecikmeksizin bildirmek zorundadır. Kurul'a bildirimi ise veri sorumlusu olarak siz yaparsınız. Sözleşmelerinizde bu bildirim yükümlülüğünün açıkça yer aldığından emin olun.
Önceden hazır olun
Kurul kararı, veri sorumlularının bir ihlal müdahale planı hazırlamasını ve her ihlali, etkilerini ve alınan önlemleri kayıt altında tutmasını da ister. Bu planı olay anında değil, önceden hazırlamak 72 saatin büyük kısmını kazandırır.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. Kendi durumunuz için avukatınızla birlikte değerlendirme yapın.
Teknik tarafta destek için KVKK ve Bilgi Güvenliği Uyum ve SOC: İzleme ve Olay Müdahale sayfalarımıza göz atabilirsiniz. Kurul'un konuya ilişkin duyurusu için KVKK Veri İhlali Bildirimi sayfasına bakabilirsiniz.