KVKK İhlali Nedir?
"İhlal" kelimesi iki farklı şeyi anlatır ve karıştırılınca yanlış adım atılır:
- Yükümlülük ihlali — kanunun gerektirdiği bir şeyi yapmamak (aydınlatma metni koymamak, süresi dolan veriyi silmemek)
- Veri ihlali — verinin yetkisiz kişilerin eline geçmesi (sızıntı, hack, yanlış kişiye gönderilen e-posta, çalınan dizüstü bilgisayar)
İkisi de sonuç doğurur ama ikincisinin bildirim yükümlülüğü vardır ve saati işler.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. İhlal yaşadıysanız vakit kaybetmeden hukukçuya danışın.
En sık görülen yükümlülük ihlalleri
| İhlal | Neden olur | Nasıl önlenir |
|---|---|---|
| Rızasız ticari ileti | Sipariş verilerini pazarlamada kullanmak | Ayrı açık rıza + İYS kaydı |
| Aydınlatma yapmamak | Formun yanında metin/link olmaması | Her veri toplama noktasına metin |
| Süresi dolan veriyi tutmak | "Belki lazım olur" refleksi | Saklama süreleri + periyodik imha |
| Eski çalışan verisini silmemek | Özlük dosyalarının unutulması | Mevzuat süresi sonunda imha |
| Fazla veri toplamak | "Her ihtimale karşı" kimlik fotokopisi | Ölçülülük: sadece gerekli veri |
| Başvuruya yanıt vermemek | Talebin ilgili birime ulaşmaması | Tek KVKK e-postası + 30 gün takibi |
| Yanlış hukuki sebep | Her şeye rıza kutucuğu koymak | Doğru dayanağı seçin |
| Yetkisiz erişim | Herkesin her dosyayı görmesi | Görev bazlı erişim + kayıt tutma |
Uygulamada şikâyetlerin çoğu rızasız pazarlama iletisi ve eski çalışan verileri başlıklarından çıkar.
Veri ihlali: saat işlemeye başlar
Kişisel verileriniz yetkisiz kişilerin eline geçtiyse (siber saldırı, kaybolan cihaz, yanlış alıcıya gönderim, yanlış yapılandırılmış bulut klasörü) bildirim yükümlülüğü doğar:
- Kurul'a bildirim: İhlali öğrendiğiniz andan itibaren en kısa sürede, 72 saat içinde
- İlgili kişilere bildirim: Makul olan en kısa sürede — kimlerin etkilendiği belirlenebiliyorsa doğrudan, belirlenemiyorsa uygun yöntemlerle duyurarak
Bildirim, Kurum'un veri ihlali bildirim formu üzerinden yapılır.
İhlal anında ilk 48 saat
0-4. saat — Durdur
- Sızıntının kaynağını kapatın (erişimi kesin, parolaları değiştirin, sistemi izole edin)
- Delilleri koruyun: log kayıtlarını silmeyin
4-24. saat — Tespit et
- Hangi veri kategorileri etkilendi?
- Kaç kişi etkilendi?
- Özel nitelikli veri var mı?
- Ne zaman başladı, ne zaman fark edildi?
24-72. saat — Bildir
- Kurul'a bildirimi yapın (bilgi eksikse "aşamalı bildirim" yolu vardır)
- Etkilenen kişilere bilgilendirme metnini hazırlayıp iletin
- Aldığınız önlemleri yazılı kayıt altına alın
Sonrası
- Kök nedeni giderin, tedbirleri güçlendirin
- Envanteri ve politikaları güncelleyin
- Süreci tutanaklayın — Kurul'un ilk soracağı şey budur
İhlal ile karşılaşan kişi ne yapar?
Verisi ihlal edilen taraf sizseniz sıra şudur:
- Önce veri sorumlusuna başvurun — yazılı, tarihli, kimliğinizi doğrulayacak şekilde. Süre: 30 gün.
- Yanıt gelmezse veya yetersizse Kurul'a şikâyet — cevabı öğrendiğiniz tarihten itibaren 30 gün, her hâlde başvuru tarihinden itibaren 60 gün içinde.
- Zararınız varsa tazminat — genel hükümlere göre yargı yoluna gidebilirsiniz.
Kurul'a doğrudan şikâyet, önce veri sorumlusuna başvurmadan kural olarak kabul edilmez.
Cezai boyut
İdari para cezalarının yanı sıra, kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi/yayılması veya yok edilmemesi Türk Ceza Kanunu kapsamında ayrı suçlar oluşturabilir. Yani sorumluluk yalnızca parasal değildir.
Tutar ve kapsam: KVKK cezaları ne kadar.
İhlal riskini düşüren 6 tedbir
- Erişim yetkilerini daraltın — herkes her dosyayı görmesin
- Tüm kritik hesaplarda iki adımlı doğrulama
- Yedekleri şifreleyin ve geri yükleme testini yapın
- Çalışanlara kısa ve düzenli farkındalık eğitimi (ihlallerin büyük kısmı insan hatası)
- Ayrılan çalışanın erişimini aynı gün kapatın
- Saklama sürelerini uygulayın — tutmadığınız veri sızmaz
Sık sorulan sorular
Küçük bir sızıntı da bildirilmeli mi?
Kişisel veri içeren her ihlal değerlendirilmelidir. Etki düşükse dahi iç kayıt tutmak, bildirim kararınızı gerekçelendirmenizi sağlar.
Yanlış kişiye gönderilen e-posta ihlal midir?
Evet, kişisel veri içeriyorsa veri ihlalidir. En sık karşılaşılan ihlal türlerinden biridir — özellikle toplu e-postada alıcıların "Kime" alanına yazılması.
Bildirim yapmazsam nasıl anlaşılır?
İhlaller genellikle etkilenen kişilerin şikâyeti, basına yansıma veya forumlarda paylaşılan veri setleri yoluyla ortaya çıkar. Bildirmemek, değerlendirmede ağırlaştırıcı bir unsurdur.
72 saati kaçırdım, ne olur?
Gecikmiş bildirim yapmayın demek değildir — gerekçesiyle birlikte derhâl bildirin. Bildirmemek, geç bildirmekten daha ağır sonuç doğurur.
Önce eksiklerinizi görün: KVKK Otomat sihirbazı süreçlerinizi tarar, yanlış hukuki sebep ve süresiz saklama gibi en sık ihlal sebeplerini işaretler. Genel yol haritası: KVKK Uyum Rehberi.
