6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kurula bildirmesini öngörmektedir. Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli ilke kararı, Kurula yapılacak bildirim bakımından bu ifadeyi yetmiş iki saat olarak somutlaştırmıştır. Uygulamadaki tartışma ise sürenin uzunluğundan değil, ne zaman işlemeye başladığından doğmaktadır.
Sürenin başlangıcı: öğrenme anı
Yetmiş iki saat, ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan itibaren işlemektedir. Öğrenme, bir olayın kişisel veri ihlali oluşturduğu yönünde makul bir kanaate ulaşıldığı andır. Doğrulanmamış tek bir uyarı kaydı süreyi başlatmaz; buna karşılık teyit çalışması, bildirimi süresiz erteleyen bir gerekçe olarak da kullanılamaz.
Süre takvim saati üzerinden hesaplanmaktadır. Hafta sonu, resmî tatil ve mesai dışı saatler süreyi durdurmamaktadır. İhlallerin önemli bölümünün mesai dışında fark edildiği dikkate alındığında, şirket içindeki bildirim akışının hafta sonunu da kapsayacak biçimde kurulmuş olması gerekmektedir.
Veri işleyen sıfatıyla hizmet alınan bir tedarikçide gerçekleşen ihlallerde süre, tedarikçinin ihlali fark ettiği anda değil, veri sorumlusunun ihlalden haberdar olduğu anda başlamaktadır. Tedarikçinin geç bildirimi veri sorumlusunun yükümlülüğünü ortadan kaldırmamakta, yalnızca taraflar arasındaki sözleşmesel sorumluluğu ilgilendirmektedir.
İki ayrı bildirim: Kurul ve ilgili kişi
Kanun tek bir bildirimden değil, iki ayrı bildirimden söz etmektedir. Kurula bildirim yetmiş iki saatlik süreye tabidir ve Kurumun yayımladığı Kişisel Veri İhlal Bildirim Formu üzerinden yapılmaktadır. İlgili kişiye bildirim ise makul olan en kısa sürede ve doğrudan yapılmaktadır; ilgili kişinin iletişim adresine ulaşılamadığı hâllerde veri sorumlusunun kendi internet sitesinde uygun yöntemlerle duyuru yapılması yoluna gidilmektedir.
İlgili kişiye yapılan bildirimin anlaşılır ve açık bir dille kaleme alınmış olması aranmaktadır. Bildirimin, ihlalin niteliğini, etkilenen veri kategorilerini, olası sonuçlarını ve alınan tedbirleri kapsaması beklenmektedir.
Bildirimin içeriği
Bildirim formunda esas olarak şu hususların yer alması aranmaktadır:
- İhlalin ne zaman ve nasıl gerçekleştiği ile ne zaman tespit edildiği.
- Etkilenen kişisel veri kategorileri ve özel nitelikli veri bulunup bulunmadığı.
- Etkilenen ilgili kişi ve kayıt sayısı; kesin sayı belirlenememişse yaklaşık büyüklük.
- İhlalin olası sonuçları.
- Zararın azaltılması için alınan veya alınması önerilen tedbirler.
- Bildirimi yapan irtibat kişisinin bilgileri.
Yetmiş iki saat içinde bu bilgilerin tamamına ulaşılamaması bildirimi ertelemenin gerekçesi değildir. Bu hâlde eldeki bilgilerle bildirim yapılmakta, gecikmenin nedenleri açıklanmakta ve eksik bilgiler gecikmeksizin tamamlanmaktadır.
Bildirimin açtığı ikinci başlık: teknik ve idari tedbirler
Bildirim, yalnızca bir bilgilendirme işlemi değildir. Kanun’un 12. maddesinin birinci fıkrası veri sorumlusuna; kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı olarak erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirmektedir.
Kurul, ihlal bildirimi üzerine yürüteceği incelemede çoğu zaman bu yükümlülüğün yerine getirilip getirilmediğini de değerlendirmektedir. Bir başka deyişle bildirim, veri sorumlusunun güvenlik yapısını da inceleme kapsamına taşımaktadır. Bu nedenle bildirim metninin, alınmış tedbirleri belgeleyecek biçimde ve kayıtlarla uyumlu olarak hazırlanması önem taşımaktadır. Alınmadığı hâlde alınmış gösterilen tedbirler, sonraki aşamada ayrı bir aykırılık kaynağına dönüşmektedir.
İhlalin bir çalışanın yetkisini aşarak veri kopyalaması gibi içeriden kaynaklanan hâllerde ise değerlendirme, yetkilendirme matrisi ve erişim kayıtları üzerinden yürütülmektedir. Bu tür ihlallerde bildirim yükümlülüğü ile iş hukuku bakımından yürütülecek süreç eşzamanlı işlemekte; her iki sürecin de kendi süre düzenine tabi olduğu gözetilmektedir.
İhlal kaydı tutma yükümlülüğü
Kurula bildirim yapılıp yapılmadığından bağımsız olarak, veri sorumlusunun ihlallere ilişkin bir kayıt tutması ve bu kaydı Kurulun incelemesine hazır bulundurması beklenmektedir. Kayıt, ihlalin etkilerini ve alınan tedbirleri de içermektedir. Bildirim yapılmaması yönünde bir değerlendirmeye varılmışsa, bu değerlendirmenin gerekçesinin de kayda geçirilmiş olması önem taşımaktadır.
Kurumsal müvekkil bakımından pratik sonuç
Yetmiş iki saatlik süre, teknik ekibin olayı çözmesi için değil, hukuki bildirimin yapılması için tanınmıştır. Uygulamada süre çoğunlukla, olayın bilgi işlem biriminde teknik bir arıza olarak ele alındığı ve hukuk birimine geç ulaştığı hâllerde kaçırılmaktadır. Önlenmesi gereken de tam olarak budur:
- İhlal müdahale planında, hangi olayların kişisel veri ihlali sayılacağı ve kimin bu değerlendirmeyi yapacağı yazılı olarak belirlenmelidir.
- Bilgi işlem biriminden hukuk birimine geçişin süresi saat cinsinden tanımlanmalı; mesai dışı ve hafta sonu için nöbet düzeni kurulmalıdır.
- Veri işleyen sözleşmelerine, tedarikçinin ihlali gecikmeksizin bildirme ve inceleme sürecine destek olma yükümlülüğü açıkça yazılmalıdır.
- Olay kayıtlarının ve sistem günlüklerinin, ihlalin kapsamını sonradan ortaya koyacak sürede saklanması sağlanmalıdır.
- Siber sigorta poliçesi kapsamındaki bildirim ile Kurula yapılacak bildirim ayrı yükümlülüklerdir; biri diğerinin yerine geçmemektedir.
- Bildirim öncesinde hazırlanacak metnin, sonraki incelemede aleyhe kullanılabilecek nitelendirmelerden arındırılmış olması gerekmektedir.
Bildirim yükümlülüğüne aykırılık, Kanun’un 18. maddesi kapsamında idari para cezası yaptırımına bağlanmıştır. Kurul ayrıca, kamuoyunu ilgilendiren ihlallere ilişkin bildirimleri internet sitesinde duyurabilmektedir. 7499 sayılı Kanunla değişik 18. maddenin üçüncü fıkrası uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılmaktadır.
Av. Feride KENAR · 18 Ağustos 2026