Veri ihlali yaşandığında Kurul'a 72 saat içinde bildirim yapmanız gerekir. Bildirim yapmamak veya güvenlik tedbiri almamak 2026'da milyonlarca liralık cezaya yol açabilir. İlk 72 saatte ne yapmanız gerektiğini adım adım anlatıyoruz.
Önemli Çıkarım
Kurul'un 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul'a bildirim yapmalıdır. Bu süre ihlalin tespitinden başlar, soruşturmanın bitmesinden değil. Hazırlıklı olmayan kurumlar bu süreyi kolayca kaçırır.
72 saat kuralı ne diyor?
6698 sayılı Kanun'un 12. maddesinin 5. fıkrasına göre, işlenen kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edilirse, veri sorumlusu bunu en kısa sürede ilgili kişiye ve Kurul'a bildirir. Kurul, 2019/10 sayılı kararıyla "en kısa süre" ifadesini 72 saat olarak yorumladı. Bilginin tamamı bu sürede toplanamıyorsa bildirim yapılır ve eksik bilgiler sonradan tamamlanır. Gecikme olursa nedeni de açıklanmalıdır.
2026 ceza aralıkları
Kanun'un 18. maddesindeki idari para cezaları her yıl yeniden değerleme oranıyla güncellenir. Bir hukuk kaynağına göre veri güvenliği yükümlülüklerine aykırılık için 2026 yılı ceza aralığı 256.357 TL ile 17.092.242 TL arasıdır. Bildirim yükümlülüğünün ihlali de bu kapsamda değerlendirilir. Kesin tutarlar için Resmî Gazete'de yayımlanan güncel yeniden değerleme oranını kontrol edin.
Dikkat
Ceza tek risk değildir. Kurul, ihlal bildirimlerini kamuoyuna duyurabilir. İtibar kaybı ve müşteri güveni çoğu zaman cezadan daha pahalıdır.
İlk 72 saat: adım adım plan
| Zaman | Yapılacak iş |
|---|---|
| 0-4 saat | İhlali doğrulayın. Olay müdahale ekibini toplayın. Etkilenen sistemleri izole edin. Kayıtları ve kanıtları koruyun. |
| 4-24 saat | Hangi verinin, kaç kişinin ve hangi kategorilerin etkilendiğini belirleyin. Tedarikçi kaynaklıysa tedarikçiden yazılı bilgi isteyin. |
| 24-48 saat | Hukuk ve iletişim ekipleriyle bildirim metnini hazırlayın. İlgili kişilere yapılacak bildirimi planlayın. |
| 48-72 saat | Kurul'a Veri İhlali Bildirim Formu ile bildirim yapın. Eksik bilgileri sonradan tamamlayacağınızı belirtin. |
Bildirimde istenecek bilgiler
- İhlalin başlangıç ve tespit tarihi ile saati.
- İhlalin nasıl gerçekleştiği (siber saldırı, kayıp cihaz, yanlış gönderim, iç tehdit vb.).
- Etkilenen veri kategorileri ve yaklaşık kişi sayısı.
- Özel nitelikli kişisel veri etkilenip etkilenmediği.
- İhlalin olası sonuçları.
- Alınan ve alınması planlanan tedbirler.
- İletişim kişisi bilgileri.
Hazırlık kontrol listesi (ihlalden önce)
- Yazılı bir veri ihlali müdahale planınız var mı ve son bir yılda tatbikat yaptınız mı?
- Kişisel veri envanteriniz güncel mi? Hangi verinin nerede olduğunu biliyor musunuz?
- Uç nokta, e-posta ve sunucu kayıtlarını en az bir yıl saklıyor musunuz?
- Tedarikçi sözleşmelerinde ihlal bildirim süresi yazılı mı?
- Kurul'a bildirim yapacak kişi ve yedeği belli mi?
Moftgate nasıl yardımcı olur?
72 saatin en zor kısmı "ne sızdı ve kaç kişi etkilendi?" sorusunu yanıtlamaktır. Moftgate DLP, uç noktalardan çıkan veriyi dosya, kanal ve kullanıcı bazında kaydeder. Moftgate DSPM, kişisel verinin hangi dosyalarda ve sistemlerde durduğunu gösterir. Bu kayıtlar sayesinde etkiyi tahmine değil kanıta dayanarak ölçersiniz. Tüm kayıtlar kurum içinde saklanır.
Stratejik Çıkarım
72 saat, ihlal olduktan sonra hazırlanmak için yeterli değildir. Planı, envanteri ve kayıtları bugün hazırlayın.
Moftgate Uyumluluk Ekibi, kurumların KVKK ve ISO 27001 kapsamındaki teknik tedbirlerini uygulamalarına destek verir. Bu yazı hukuki görüş değildir; kurumunuza özel durumlar için hukuk danışmanınıza başvurun.
Uygulayıcılar İçin Uzman Yanıtları
72 saat ne zaman başlar?
Veri sorumlusunun ihlali öğrendiği andan itibaren başlar. İhlalin gerçekleştiği tarih veya soruşturmanın bittiği tarih esas alınmaz.
Tüm bilgiler hazır değilse bildirim yapmalı mıyım?
Evet. Kurul kararına göre eldeki bilgilerle bildirim yapılır ve eksik bilgiler sonradan tamamlanır. Bildirimi geciktirmek daha büyük risktir.
2026 cezaları yeni bir düzenleme mi?
Hayır. Kanun'daki ceza tutarları her yıl yeniden değerleme oranıyla artar. 2026 tutarları bu güncellemenin sonucudur.
Resmi Standartlar ve Kaynakça
- •6698 sayılı Kişisel Verilerin Korunması Kanunu ↗(m.12/5 bildirim yükümlülüğü, m.18 idari para cezaları.)
- •KVKK: Kurul'un 2019/10 sayılı Kararı (Veri İhlali Bildirim Usul ve Esasları) ↗(72 saat yorumu ve bildirim formu.)
- •KVKK: Veri İhlali Bildirimleri ↗(Kamuoyu duyuruları.)
- •Hukukçular Evi: KVKK Veri İhlali Bildirimi, 72 Saat Kuralı ve 2026 Cezaları ↗(2026 ceza aralıkları.)
- •Nesil Teknoloji: 2026 KVKK Cezaları ve Güncel Kurul Kararları ↗(Ceza kararları özeti.)