Veri İhlali Nedir?
KVKK m.12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesini veri ihlali olarak ele alır. Bu yalnızca siber saldırı demek değil. Kurul'a gelen dosyaların önemli bir kısmı sıradan hatalardan doğuyor: alıcıları gizli kopya yerine açık kopyaya yazılmış toplu bir e-posta, yanlış adrese giden fatura, kişisel veri içeren bir tablonun bütün çalışanlara gönderilmesi ya da yetkili bir çalışanın sistemde merak ettiği kişileri sorgulaması.
Kime, Ne Zaman Bildirilir?
Kanun, veri sorumlusunun ihlali en kısa sürede ilgilisine ve Kurula bildirmesini istiyor (m.12/5). Kurul 24.01.2019 tarihli ve 2019/10 sayılı kararıyla bu süreyi somutlaştırdı:
- Kurula, ihlal öğrenildikten sonra gecikmeden ve en geç 72 saat içinde, Kurul'un "Kişisel Veri İhlal Bildirim Formu" ile bildirim yapılır. O anda bilinmeyen bilgiler sonradan aşama aşama tamamlanır.
- Etkilenen kişilere, kim oldukları belirlendikten sonra makul en kısa sürede bildirim yapılır; iletişim adresi biliniyorsa doğrudan, bilinmiyorsa veri sorumlusunun internet sitesi gibi uygun bir yolla.
- Hizmet aldığınız yazılım, bulut ya da muhasebe firması (veri işleyen) ihlali öğrenir öğrenmez size haber vermeli. Bu yükümlülük sözleşmede açıkça yazmalı.
- Kimin kime haber vereceği, kimin karar vereceği ihlal yaşanmadan önce yazılı bir müdahale planıyla belirlenmiş olmalı.
İlgili Kişiye Yapılacak Bildirimde Neler Olmalı?
Kurul'un 18.09.2019 tarihli ve 2019/271 sayılı kararına göre bildirim açık ve sade bir dille yapılır ve en azından şunları içerir:
- İhlalin ne zaman gerçekleştiği,
- Hangi kişisel verilerin etkilendiği (kişisel veri ve özel nitelikli kişisel veri ayrımıyla),
- İhlalin olası sonuçları,
- Olumsuz etkileri azaltmak için alınan veya alınması önerilen tedbirler,
- Kişilerin bilgi alabileceği irtibat kişisi ya da internet sayfası, çağrı merkezi gibi iletişim yolları.
İkinci Muhatap: Siber Güvenlik Başkanlığı
19.03.2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, bilişim sistemleri kullanarak hizmet sunan, veri toplayan ve işleyenlere, hizmet verdikleri alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirme yükümlülüğü getirdi (m.7/1-b). Kanun siber olayı bilişim sistemlerinin veya verinin gizlilik, bütünlük veya erişilebilirliğinin ihlal edilmesi diye tanımlıyor (m.3/1-g). 7590 sayılı Kanun'la yapılan değişiklikle bu yükümlülüğe uymamanın cezası bir milyon liradan on milyon liraya kadar idari para cezası oldu (m.16/10).
Kişisel veri de içeren bir fidye yazılımı saldırısı ya da sistem sızıntısı, hem KVKK hem 7545 sayılı Kanun bakımından bildirim gerektirebilir. Biri diğerinin yerine geçmez. Başkanlığa yapılacak bildirimlerin usulünü Başkanlık belirleyecek (m.6); bu düzenlemeleri izlemek gerekiyor.
Kurul Kararlarından Örnekler
Kurul kararları, bildirimin zamanında ve eksiksiz yapılıp yapılmadığının sonucu doğrudan etkilediğini gösteriyor:
- Cezasız kalan bir olay: Toplu e-posta gönderiminde bir çalışanın hatasıyla 43 müşterinin e-posta adresi ve adı diğer alıcılara görünmüş, etkilenenler 48 saat içinde bilgilendirilmişti. Etkilenen kişi sayısı az olduğu ve hızlı davranıldığı için idari para cezası verilmedi (Karar 2020/763).
- Geç bildirim cezası: Bir banka çalışanının binlerce kişinin kredi bilgilerini yetkisiz sorguladığı olayda banka, güvenlik eksikliğinin yanında ihlali tespitten 13 gün sonra bildirdiği için de ayrıca cezalandırıldı (Karar 2020/359).
- Hiç bildirilmeyen ihlal: Bir üyenin bilgileri yanlış e-posta adresine gönderilmiş, şirket bunu Kurula bildirmemişti. Bildirim yapılmaması cezanın belirlenmesinde ayrıca hesaba katıldı (Karar 2022/853).
- "Sehven gönderildi" savunması: Çalışanların sağlık bilgilerini de içeren bir tablonun bütün personele e-postayla gönderildiği olayda hata savunması kabul edilmedi, ihlalin bildirilmemesi de ayrıca eleştirildi (Karar 2023/928).
Veri güvenliği yükümlülüklerine aykırılığın yaptırımı KVKK m.18/1-b'deki idari para cezası; Kanun'daki tutarlar her yıl yeniden değerleme oranında güncelleniyor. Cezaya karşı idare mahkemesinde dava açılabilir (m.18/3).
İlk 72 Saat İçin Kısa Kontrol Listesi
- Sızıntıyı durdurun: erişimi kapatın, yanlış gönderilen e-postanın silinmesini isteyin, etkilenen şifreleri değiştirin.
- Saati not edin. 72 saat ihlalin öğrenildiği andan başlar; bu anı ve sonraki her adımı tarih ve saatiyle yazın.
- Kapsamı çıkarın: kaç kişi etkilendi, hangi veri türleri, özel nitelikli veri var mı?
- Delili koruyun. Log kayıtlarını silmeyin; sistemi yeniden kurmadan önce teknik inceleme için kopya alın.
- Bildirimleri yapın: Kurula formla, gerekiyorsa Siber Güvenlik Başkanlığı'na, etkilenen kişilere de 2019/271 sayılı karardaki içerikle.
- Suç duyurusunu düşünün. Dışarıdan bir saldırı varsa bilişim sistemine girme (TCK m.243) ve verileri hukuka aykırı ele geçirme (TCK m.136) suçları için savcılığa başvurulabilir. Sızan verileri izinsiz paylaşan ya da satışa çıkaranlar için 7545 sayılı Kanun m.16/4 ayrıca hapis cezası öngörüyor.
Sonuç
Veri ihlali çoğu zaman bir saldırıdan değil gündelik bir hatadan doğuyor ve Kurul önünde sonucu belirleyen çoğu kez ihlalin kendisi kadar sonrasında yapılanlar oluyor. Hızlı ve eksiksiz bildirim, etkilenenlerin zamanında uyarılması ve alınan tedbirlerin belgelenmesi, yaptırım riskini en somut biçimde azaltan adımlar.
Bu makale yalnızca genel bilgilendirme amacıyla hazırlanmıştır; hukuki tavsiye niteliği taşımaz. Somut bir mesele için iletişime geçilerek değerlendirme yapılabilir.
Kaynakça
- 6698 sayılı Kişisel Verilerin Korunması Kanunu m.12, m.18.
- 7545 sayılı Siber Güvenlik Kanunu m.3, m.6, m.7, m.16 (7590 sayılı Kanun değişikliğiyle).
- Kişisel Verileri Koruma Kurulu, 24.01.2019 tarihli ve 2019/10 sayılı Karar (veri ihlali bildirim usul ve esasları) — kvkk.gov.tr
- Kişisel Verileri Koruma Kurulu, 18.09.2019 tarihli ve 2019/271 sayılı Karar.
- Kurul Karar Özetleri: 2020/359, 2020/763, 2022/853, 2023/928 — kvkk.gov.tr