KVKK Veri İhlalinde Nereye, Ne Zaman Başvurulur? 72 Saat Bildirim ve Şikâyet Süreleri
- Veri sorumlusu, ihlali öğrendiğinden itibaren en geç 72 saat içinde Kurula bildirmek zorundadır.
- İlgili kişiye de makul en kısa sürede bildirim yapılır.
- İlgili kişi önce veri sorumlusuna başvurmak zorundadır; doğrudan şikâyet usulden reddedilir.
- Veri sorumlusu talebi en geç 30 gün içinde sonuçlandırır.
- Şikâyet süresi: cevabı öğrenmeden itibaren 30 gün, her hâlde başvurudan itibaren 60 gün.
- Kurul kararları en geç 30 gün içinde yerine getirilir; ayrıca idari para cezası uygulanır.
- Kanun metni (m.12/5) ihlalin “en kısa sürede” ilgilisine ve Kurula bildirilmesini ister; 72 saat ölçütü Kurulun veri ihlali bildirim kararından gelir.
- Veri güvenliği yükümlülüklerine aykırılıkta idari para cezası 15.000 TL ile 1.000.000 TL arasındadır (m.18/1-b, kanun metnindeki tutar).
- Kurul kararları ve idari para cezalarına karşı idare mahkemesinde dava açılabilir (m.18/3).
- Kurul, şikâyet tarihinden itibaren 60 gün içinde cevap vermezse talep reddedilmiş sayılır (m.15/4).
Kısa cevap: Veri sorumlusu, ihlali öğrendiğinden itibaren en geç 72 saat içinde Kurula bildirmek zorundadır; ilgili kişi önce veri sorumlusuna başvurmak zorundadır ve doğrudan şikâyet usulden reddedilir. Veri sorumlusu talebi en geç 30 gün içinde sonuçlandırır; şikâyet süresi cevabı öğrenmeden itibaren 30 gün, her hâlde başvurudan itibaren 60 gündür.
“Verileriniz sızdırıldı” haberi çıktı ve içinde sizin bilgileriniz de var. Ya da bir şirket, izniniz olmadan verilerinizi kullanıyor. 6698 sayılı Kişisel Verilerin Korunması Kanunu, hem veri sorumlusuna hem ilgili kişiye ayrı ayrı süreler ve yükümlülükler getirir.
Bu sürelerin kaçırılması hakkın kullanılamaması anlamına gelir. Özellikle önce veri sorumlusuna başvurma zorunluluğu atlandığında, doğrudan Kurula yapılan şikâyet usulden reddedilir ve zaman kaybedilir.
Veri ihlali nedir?
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. Kapsamı sanılandan geniştir:
- Sistemin hacklenmesi, veri tabanının sızdırılması
- Yetkisiz personel erişimi
- Çalınan veya kaybolan dizüstü bilgisayar, telefon, harici disk
- Yanlış kişiye gönderilen e-posta veya toplu e-postada alıcıların birbirini görmesi
- Fiziki dosyaların kaybı veya usulsüz imhası
- Bulut hesabının yanlış yapılandırılmasıyla verinin herkese açık hâle gelmesi
Veri sorumlusunun yükümlülüğü: 72 saat
KVKK m.12/5’e göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kanun metninde saat sınırı yoktur; Kurulun veri ihlali bildirimine ilişkin kararı, Kurula bildirimin ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılmasını öngörür. Kurul, gerekmesi hâlinde ihlali kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir.
Bildirimde yer alması gerekenler:
- İhlalin ne zaman gerçekleştiği
- Hangi veri kategorilerinin etkilendiği (kimlik, iletişim, finans, sağlık vb.)
- Etkilenen kişi ve kayıt sayısı
- İhlalin olası sonuçları
- Alınan veya alınması öngörülen tedbirler
Kurul, ihlali kendi internet sitesinde ilan edebilir. Bildirim yükümlülüğünün ihlali ayrıca idari para cezası yaptırımına tabidir.
İlgili kişinin hakları (m.11)
Herkes, veri sorumlusuna başvurarak şunları isteyebilir:
| Hak | Pratik karşılığı |
|---|---|
| İşlenip işlenmediğini öğrenme | “Bende kaydınız var mı?” |
| İşlenmişse bilgi talep etme | “Hangi verilerim var?” |
| Amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme | “Niçin işliyorsunuz?” |
| Yurt içinde/dışında aktarıldığı üçüncü kişileri bilme | “Kimlere verdiniz?” |
| Eksik/yanlış verilerin düzeltilmesini isteme | Düzeltme talebi |
| Silinmesini veya yok edilmesini isteme | Silme talebi |
| Düzeltme/silmenin üçüncü kişilere bildirilmesini isteme | Zincirin tamamı |
| Otomatik analizle aleyhe sonuca itiraz etme | Skorlama, otomatik ret |
| Zararın giderilmesini talep etme | Tazminat |
Başvuru yolu ve süreler
| Aşama | Süre | Not |
|---|---|---|
| 1. Veri sorumlusuna başvuru | — | Zorunlu ilk adım |
| 2. Veri sorumlusunun cevabı | En geç 30 gün | Kural olarak ücretsiz |
| 3. Kurula şikâyet | Cevabı öğrenmeden 30 gün | Her hâlde başvurudan itibaren 60 gün |
Başvuru; yazılı olarak veya Kurulun belirlediği yöntemlerle — kayıtlı elektronik posta, güvenli elektronik imza, mobil imza, veri sorumlusunun sisteminde kayıtlı e-posta adresi veya başvuru yazılımı — yapılır.
Sıra atlanamaz. Veri sorumlusuna başvurulmadan doğrudan Kurula yapılan şikâyet usulden reddedilir. Başvuru yapıldığı hâlde otuz gün içinde cevap verilmemesi de şikâyet hakkı doğurur; bu hâlde altmış günlük süre başvuru tarihinden işler.
Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır; şikâyet yolu, hukuk mahkemesinde dava açmayı engellemez ve iki yol paralel yürütülebilir.
Kurulun yaptırımları
Kurul, şikâyet üzerine veya resen inceleme yapar. İhlal tespit ederse:
- Hukuka aykırılığın giderilmesine karar verir ve ilgililere tebliğ eder; karar gecikmeksizin ve en geç otuz gün içinde yerine getirilir.
- Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde veri işlenmesinin veya yurt dışına aktarımın durdurulmasına karar verebilir.
- İdari para cezası uygular. Tutarlar her yıl yeniden değerleme oranında güncellenir.
Suç boyutu
KVKK, bazı fiiller için Türk Ceza Kanunu’na atıf yapar:
- TCK m.135 — Kişisel verilerin hukuka aykırı olarak kaydedilmesi
- TCK m.136 — Verileri hukuka aykırı olarak verme, yayma veya ele geçirme
- TCK m.138 — Verileri yok etmeme
Bu fiiller için cumhuriyet başsavcılığına ayrıca şikâyette bulunulabilir; ceza soruşturması idari süreçten bağımsız yürür.
İhlalden etkilendiyseniz: ilk 24 saat
- Şifrelerinizi değiştirin ve iki adımlı doğrulamayı açın; aynı şifreyi kullandığınız tüm hesapları güncelleyin.
- Bankanızı bilgilendirin; kart ve hesap hareketlerini yakından izleyin.
- Kimlik bilgileriniz sızmışsa e-Devlet üzerinden adınıza açılan hat, şirket, kredi ve abonelik sorgusu yapın.
- Veri sorumlusuna m.11 başvurusu gönderin; hangi verilerinizin etkilendiğini sorun.
- Cevap yetersizse 30/60 günlük süreler içinde Kurula şikâyette bulunun.
- Somut zarar doğmuşsa tazminat davası açın; Kurul kararı davada güçlü delildir.
- Arama sonuçlarında çıkan içerikler için unutulma hakkı başvurusunu ayrıca değerlendirin.
Örnek olay
Bir e-ticaret sitesinin müşteri veritabanı sızdırılıyor; ad, telefon, adres ve sipariş geçmişi internette yayılıyor. Kullanıcı, verilerinin listede olduğunu haberlerden öğreniyor.
- Şirket, ihlali öğrendiğinden itibaren 72 saat içinde Kurula bildirmek zorundadır; ayrıca ilgili kişilere de bildirim yapmalıdır.
- Kullanıcı, şirkete KVKK m.11 başvurusu göndererek hangi verilerinin etkilendiğini sorar.
- Şirket 30 gün içinde cevap vermelidir.
- Cevap gelmez veya yetersiz kalırsa, kullanıcı 30/60 günlük süreler içinde Kurula şikâyette bulunur.
- Sızan veriler kullanılarak dolandırıcılık yapılmışsa ayrıca savcılığa şikâyet edilir.
- Somut zarar doğmuşsa hukuk mahkemesinde tazminat davası açılır; Kurul kararı delil olur.
- İstanbul 4. Asliye Ticaret Mahkemesi, E.2022/100, K.2023/534, 14.06.2023 Kurul’un veri sorumlusunu hangi gerekçelerle cezalandırdığını somut biçimde gösterir. Karara yansıyan Kurul gerekçesine göre veri sorumlusu; yükümlülüklerini gerektiği gibi yerine getirmemiş, veri işleyenin gerekli idari ve teknik önlemleri alıp almadığını denetlemekte yetersiz kalmış, kendi internet sitesinde sızıntı testlerini ihlalden önce gerçekleştirmemiştir. Etkilenen kişi sayısının yüksekliği ve verilerin kötü bilinen bir internet ortamında satışa sunulması da gözetilerek 450.000 TL idari para cezası uygulanmıştır. Mahkeme ayrıca, hizmet akdinin sona ermesine rağmen kişisel verilerin silinmemesinden veri işleyen ile veri sorumlusunun birlikte sorumlu olduğu sonucuna varmıştır.
- İstanbul 13. Asliye Ticaret Mahkemesi, E.2022/193, K.2024/468, 03.07.2024 Denetim yükümlülüğünün kapsamını ortaya koyar. Kurul kararında; saha çalışanlarının başvuru toplarken veri güvenliği hilafına kimlik fotokopisi temin ettiklerini tespit etme konusunda veri sorumlusunun denetim yükümlülüğünü gerektiği gibi yerine getirmediği; bu uygulamaya sık sık ve uzun bir zaman aralığında yer verilmesinin veri güvenliği riski doğuran bir kurumsal kültür oluşturduğu ve iptale düşmüş başvurulara ait verilerin güvenli muhafazasının takip edilmediği belirtilerek 300.000 TL idari para cezası uygulanmıştır. Kararda ayrıca cezanın on beş gün içinde ödenmesi hâlinde dörtte bir oranında indirimden yararlanıldığı görülmektedir.
- Danıştay 10. Daire, E.2024/3402, K.2024/5506, 27.11.2024 Yalnızca ihlal hâlinde değil, kayıt yükümlülüğünün ihlalinde de ceza uygulandığını gösterir. Kurul, kayıt yükümlülüğü istisnası kapsamında olmayan veri sorumluları için VERBİS’e kayıt süresinin son gününü belirlemiş; mali bilanço yönünden yükümlü olduğu hâlde kaydını yaptırmayan ve açıklama talebine hiçbir bilgi ve belge göndermeyen şirket, sicile kayıt ve bildirim yükümlülüğünü yerine getirmesi için talimatlandırılmış ve 850.000 TL idari para cezası ile cezalandırılmıştır.
- Danıştay 10. Daire, E.2022/2807, K.2025/2018, 15.04.2025 Kurul’un düzenleme yetkisinin sınırını tartışır. Karara ekli değerlendirmede, Kişisel Verileri Koruma Kurumu’nun kendi görev alanına ilişkin olmak ve dayanak üst normlara aykırı olmamak kaydıyla yönetmelik ya da yönerge, tebliğ, genelge ve talimat gibi “adsız düzenleyici işlem” yapma yetkisine sahip olduğu belirtilmektedir. 6698 sayılı Kanun m.22 uyarınca Kurul, veri güvenliğine ilişkin yükümlülükleri belirlemek amacıyla düzenleyici işlem yapmakla görevlidir.
- Danıştay 10. Daire, E.2022/720, K.2025/2021, 15.04.2025 Aynı çerçeveyi paralel bir dosyada tekrarlar ve 6698 sayılı Kanun’un amacını hatırlatır: “kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek.” Kararlar birlikte, Kurul’un hem bireysel şikâyetleri hem de sektör geneline yönelik düzenlemeleri üzerinden hareket ettiğini göstermektedir.
- Doğrudan Kurula şikâyet etmek. Önce veri sorumlusuna başvuru zorunludur.
- Başvuruyu belgesiz yapmak. KEP, e-imza veya sistemde kayıtlı e-posta kullanılmalıdır.
- 30/60 günlük süreleri kaçırmak. Şikâyet hakkı düşer.
- Aynı şifreyi kullandığı diğer hesapları güncellememek. Sızıntı zincirleme hesap ele geçirmeye yol açar.
- Kimlik sorgusu yapmamak. Adına hat, şirket veya kredi açılmış olabilir.
- Tazminat yolunu atlamak. Şikâyet, hukuk davasını engellemez; iki yol paralel yürütülür.
- Kurumsal tarafta 72 saati kaçırmak. Bildirim yükümlülüğünün ihlali ayrı bir idari para cezası doğurur.
Veri ihlali kaç saat içinde bildirilmeli?
Veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve Kurul düzenlemesi uyarınca en geç yetmiş iki saat içinde Kişisel Verileri Koruma Kurulu’na bildirmek zorundadır. Ayrıca ilgili kişiye de makul olan en kısa sürede bildirim yapılır. Bildirimde ihlalin ne zaman gerçekleştiği, hangi veri kategorilerinin etkilendiği, etkilenen kişi sayısı, olası sonuçları ve alınan tedbirler yer almalıdır. Bildirim yükümlülüğünün ihlali ayrıca idari para cezası yaptırımına tabidir.
Doğrudan Kurula şikâyet edebilir miyim?
Hayır. Kanun, Kurula şikâyet yolundan önce veri sorumlusuna başvurulmasını zorunlu kılar; bu sıra atlandığında şikâyet usulden reddedilir. Önce veri sorumlusuna yazılı olarak veya Kurulun belirlediği yöntemlerle başvurulur. Veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Başvuru reddedilir, cevap yetersiz bulunur ya da süresinde cevap verilmezse Kurula şikâyet yolu açılır.
Şikâyet süresi ne kadar?
İlgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Veri sorumlusu süresinde cevap vermemişse altmış günlük süre başvuru tarihinden işlemeye başlar. Bu süreler kaçırıldığında şikâyet hakkı düşer; ancak kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat isteme hakkı saklı kalır.
Veri sorumlusundan neleri isteyebilirim?
KVKK m.11 uyarınca kişisel verinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmiş verilerin düzeltilmesini, kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, otomatik sistemlerle analiz sonucu aleyhe çıkan sonuca itiraz etme ve zararın giderilmesini talep etme haklarına sahipsiniz.
Kurul ne yaptırım uygulayabilir?
Kurul, şikâyet üzerine veya resen inceleme yapar. İhlal tespit ederse hukuka aykırılığın giderilmesine karar verir ve bu karar gecikmeksizin, en geç otuz gün içinde yerine getirilir. Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık bulunması hâlinde veri işlenmesinin ya da yurt dışına aktarımın durdurulmasına karar verebilir. Ayrıca idari para cezası uygular; ceza tutarları her yıl yeniden değerleme oranında güncellenir.
İdari para cezası ne kadar?
KVKK m.18/1’e göre aydınlatma yükümlülüğünü yerine getirmeyenlere 5.000 TL ile 100.000 TL; veri güvenliğine ilişkin yükümlülükleri (m.12) yerine getirmeyenlere 15.000 TL ile 1.000.000 TL; Kurul kararlarını (m.15) yerine getirmeyenlere 25.000 TL ile 1.000.000 TL; Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne (m.16) aykırı hareket edenlere 20.000 TL ile 1.000.000 TL; yurt dışına aktarım bildirim yükümlülüğünü (m.9/5) yerine getirmeyenlere 50.000 TL ile 1.000.000 TL idari para cezası verilir. Bunlar kanun metnindeki tutarlardır; yeniden değerleme nedeniyle güncel tutarlar işlem öncesi doğrulanmalıdır. Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir (m.18/3).
Kurula şikâyetim ne kadar sürede sonuçlanır?
KVKK m.15/4’e göre şikâyet üzerine Kurul talebi inceleyerek ilgililere cevap verir; şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır. Veri sorumlusu, Kurulun inceleme konusuyla ilgili istediği bilgi ve belgeleri on beş gün içinde göndermek zorundadır (m.15/3). İhlalin yaygın olduğu tespit edilirse Kurul ilke kararı alıp yayımlar (m.15/6).
Veri ihlali suç oluşturur mu?
Evet, belirli fiiller bakımından. Kişisel verilerin hukuka aykırı olarak kaydedilmesi TCK m.135’te, hukuka aykırı olarak verilmesi, yayılması veya ele geçirilmesi TCK m.136’da, kanunun belirlediği sürelerin geçmiş olmasına rağmen verileri yok etmeme TCK m.138’de suç olarak düzenlenmiştir. Bu fiiller için cumhuriyet başsavcılığına ayrıca şikâyette bulunulabilir. Ceza soruşturması, Kurul nezdindeki idari süreçten ve hukuk mahkemesindeki tazminat davasından bağımsız yürür.
Verilerim sızdırıldı, ilk ne yapmalıyım?
Öncelikle şifrelerinizi değiştirin, iki adımlı doğrulamayı açın ve aynı şifreyi kullandığınız tüm hesapları güncelleyin. Bankanızı bilgilendirip kart ve hesap hareketlerini izleyin. Kimlik bilgileriniz sızmışsa e-Devlet üzerinden adınıza açılan hat, şirket, kredi ve abonelik sorgusu yapın. Ardından veri sorumlusuna KVKK m.11 başvurusu göndererek hangi verilerinizin etkilendiğini sorun ve cevap yetersizse süreler içinde Kurula şikâyette bulunun.
- 6698 sayılı KVKK m.11 — İlgili kişinin hakları
- 6698 sayılı KVKK m.12 — Veri güvenliğine ilişkin yükümlülükler ve ihlal bildirimi
- 6698 sayılı KVKK m.13 — Veri sorumlusuna başvuru ve 30 günlük süre
- 6698 sayılı KVKK m.14 — Kurula şikâyet ve 30/60 günlük süreler
- 6698 sayılı KVKK m.15 — Kurulun inceleme yetkisi ve tedbir kararı
- 6698 sayılı KVKK m.17 — Suçlar (TCK m.135-140 uygulanır; m.7’ye aykırı silmeme için TCK m.138)
- 6698 sayılı KVKK m.18 — İdari para cezaları, idare mahkemesinde dava, kamu görevlileri hakkında disiplin işlemi
- 6698 sayılı KVKK m.16 — Veri Sorumluları Sicili
- 5237 sayılı TCK m.135, 136, 138 — Kişisel verilere ilişkin suçlar
- Veri İhlali Bildirim Usul ve Esaslarına İlişkin Kurul Kararı — 72 saat kuralı
Hesabınız ele geçirilmişse sosyal medya hesabının ele geçirilmesi, banka hesabınızdan izinsiz çekim yapılmışsa bankanın sorumluluğu, arama sonuçlarından kaldırma için unutulma hakkı yazılarımıza bakabilirsiniz. Alan bilgisi: Bilişim Hukuku.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; hukuki danışmanlık yerine geçmez. Somut olayın koşulları farklı sonuçlar doğurabilir.
İdari para cezası tutarları her yıl yeniden değerleme oranında güncellenir; işlem öncesi güncel tutarlar doğrulanmalıdır.