Veri İhlali Bildirimi 72 Saat: Bu Süre Kanunda Değil Kurul Kararında

Kişisel veri ihlali yaşandığında veri sorumlusu, durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirmek zorundadır.

Ama bu süre kanunda yazmaz. Kanunun madde 12 hükmü yalnızca şunu söyler: işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurul'a bildirir. 72 saat, Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla bu “en kısa süre” ifadesine getirilen yorumdur.

Ayrım önemsiz değil. “Kanunun 12. maddesi 72 saat diyor” biçimindeki her anlatım yanlıştır; süre bir Kurul kararından doğar ve kaynağı doğru göstermek, bir uyuşmazlıkta dayanağı bulmak açısından fark yaratır.

İki Ayrı Bildirim, İki Ayrı Süre

İkinci satırda sayısal bir süre yoktur. İlgili kişilere de 72 saat içinde bildirim yapılması gerektiğini söyleyen kaynaklar iki yükümlülüğü karıştırıyor. Bildirim, iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi internet sitesinde yayımlanması gibi uygun yöntemlerle yapılır.

72 saat içinde bildirim yapılamazsa yükümlülük ortadan kalkmaz: aynı karar, haklı bir gerekçeyle süreye uyulamaması hâlinde yapılacak bildirimle birlikte gecikmenin nedenlerinin de açıklanmasını ister.

İlgili Kişiye Yapılacak Bildirimde Ne Olmalı?

Kurul'un bu konuda ayrı bir kararı var ve bildirimin açık ve sade bir dille yapılmasını, asgari olarak şu unsurları içermesini öngörüyor: ihlalin ne zaman gerçekleştiği, hangi veri kategorilerinin etkilendiği, ihlalin olası sonuçları, olumsuz etkilerin azaltılması için alınan veya alınması önerilen tedbirler, ve ilgili kişilerin bilgi almasını sağlayacak irtibat bilgileri.

Bildirim Nereye Yapılır?

Kurum'un kendi internet sistemi üzerinden, Kişisel Veri İhlal Bildirim Formu kullanılarak. Formdaki bilgilerin aynı anda sağlanması mümkün değilse, karar gecikmeye yer verilmeksizin aşamalı olarak sağlanmasına izin verir.

Sık karışan bir nokta: bu form yalnızca veri sorumlusu tarafından doldurulur. İhlalden etkilenen kişiler bu formu kullanmaz; onların şikâyet ve ihbarları Kurum'un ayrı şikâyet kanalından iletilir.

Diğer Yükümlülükler

Aynı Kurul kararı üç şey daha getiriyor. Veri sorumlusu, ihlallere ilişkin bilgileri, etkileri ve alınan önlemleri kayıt altına almak ve Kurul'un incelemesine hazır bulundurmak zorunda. Veri işleyen nezdinde bir ihlal yaşanırsa, veri işleyen bunu herhangi bir gecikmeye yer vermeksizin veri sorumlusuna bildirir. Yurt dışında yerleşik bir veri sorumlusunda yaşanan ihlal Türkiye'deki ilgili kişileri etkiliyor ve bu kişiler hizmetten Türkiye'de yararlanıyorsa, o veri sorumlusu da aynı esaslara göre Kurul'a bildirim yapar.

Karar ayrıca veri sorumlularının bir veri ihlali müdahale planı hazırlayıp belirli aralıklarla gözden geçirmesini öngörüyor. Madde 12'de bugüne kadar değişiklik yapılmadı; yukarıdaki hükümler 11 Kasım 2026 tarihinde kanunun güncel metninden ve Kurul kararlarından kontrol edildi.

Bu Sayfada Ne Yok?

• İlgili kişilere bildirim için sayısal bir süre yok. Kurul kararı yalnızca “makul olan en kısa süre” der; gün veya saat uydurulmadı.
• İdari para cezası tutarı yok. Tutarlar her yıl güncellenir.
• Bildirim formunun zorunlu alanlarının tam listesi yok. Form Kurum'un sisteminde ve kılavuzunda.
• Teknik güvenlik önlemleri rehberi yok. Bu sayfa bildirim yükümlülüğünü anlatır.
• Somut ihlal olaylarına ilişkin değerlendirme yok.
• Veri ihlali müdahale planı şablonu yok.
• Kişisel ölçü ve inanç bilgileri yok. Yayın ilkelerimiz gereği hiçbir kişi için yazılmaz.

Sık Sorulan Sorular

72 saatlik süre kanunda mı yazıyor?

Yazmıyor. Kanun madde 12 yalnızca “en kısa sürede” der. 72 saat, Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla getirilen yorumdur.

Süre ne zaman başlar?

Veri sorumlusunun ihlali öğrendiği tarihten itibaren. Karar “öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat” ifadesini kullanır.

İlgili kişilere de 72 saat içinde mi bildirilir?

Hayır. İlgili kişilere bildirim, etkilenenler belirlendikten sonra makul olan en kısa süre içinde yapılır; sayısal bir süre öngörülmemiştir.

72 saate yetişemezsek ne olur?

Yükümlülük kalkmaz. Haklı bir gerekçe varsa, yapılacak bildirimle birlikte gecikmenin nedenleri de Kurul'a açıklanır.

İhlalden etkilendim, bildirim formunu ben mi doldurayım?

Hayır. İhlal bildirim formu yalnızca veri sorumlusu tarafından doldurulur; etkilenen kişilerin şikâyet ve ihbarları ayrı kanaldan iletilir.

Yurt dışındaki bir şirkette ihlal olursa ne olur?

İhlalin sonuçları Türkiye'deki ilgili kişileri etkiliyor ve bu kişiler hizmetten Türkiye'de yararlanıyorsa, o veri sorumlusu da aynı esaslara göre Kurul'a bildirim yapar.

Kaynak: 6698 sayılı Kişisel Verilerin Korunması Kanunu madde 12; Kişisel Verileri Koruma Kurulu’nun 24/1/2019 tarihli ve 2019/10 sayılı kararı ve ilgili kişiye yapılacak bildirimin unsurları için Kurul’un 18/9/2019 tarihli ve 2019/271 sayılı kararı. Son kontrol: 11 Kasım 2026.