Veri İhlalinde Yetmiş İki Saat

Kapsam

İnceleme; ihlal ile güvenlik olayını, haberdar olma anını, ilk değerlendirmeyi, yetkili otorite ve ilgili kişi bildirimini, kademeli raporlamayı, kayıt tutmayı, hizmet sağlayıcı ve grup şirketi rollerini kapsar.

Kısa Cevap

Yetmiş iki saat yaklaşımı, ihlalin bütün ayrıntılarının kesinleşmesini bekleme süresi değildir. Kişisel verilerin kanuni olmayan yollarla başkalarınca elde edildiği doğrulandığında veri sorumlusu, Kurula öğrendiği tarihten itibaren gecikmeksizin ve en geç yetmiş iki saat içinde mevcut bilgiyi bildirir; eksikleri aşamalı olarak tamamlar.

Güvenlik Olayı Ne Zaman İhlaldir?

Gizlilik, bütünlük veya erişilebilirliği etkileyen yetkisiz erişim, kayıp, yanlış alıcıya gönderim, şifreleme saldırısı ya da verinin değişmesi ihlal oluşturabilir. Her teknik alarm doğrulanmış ihlal değildir; fakat inceleme gecikmeden başlatılır.

Haberdar Olma Anı

Süre, yönetim kurulunun nihai raporu onaylamasından değil veri sorumlusunun ihlal olduğuna dair makul kesinlik kazanmasından itibaren değerlendirilir. Veri işleyen sağlayıcı olayı veri sorumlusuna gecikmeden aktaracak sözleşme ve irtibat düzenine sahip olmalıdır.

İlk Yetmiş İki Saat

Olay ekibi hangi veri ve kişilerin etkilendiğini, yetkisiz kişinin erişimini, şifreleme durumunu ve muhtemel sonucu hızlıca belirler. Risk değerlendirmesi bildirimin gerekip gerekmediğini değil, olayın etkisini, bildirim içeriğini, önceliğini ve zarar azaltıcı önlemleri belirlemek için kullanılır; kanıt korunurken saldırgan sistemden çıkarılır.

Kademeli Bildirim

Kişi sayısı veya kök neden henüz net değilse mevcut olgularla ilk bildirim yapılıp neden eksik kaldığı açıklanabilir. Sonraki teknik inceleme, etkilenen kapsam ve alınan tedbirler ek bildirimlerle güncellenir.

İlgili Kişiye Bildirim

İhlalden etkilenen kişiler belirlendikten sonra ilgililere makul olan en kısa sürede açık dille olayın niteliği, muhtemel sonuç, alınabilecek kişisel önlem ve iletişim noktası bildirilir. İletişim bilgisi varsa doğrudan, yoksa uygun bir yöntem kullanılır; genel duyuru bireysel bildirimin yerini kendiliğinden tutmaz.

Olay Kaydı ve Sorumluluk

İhlal olmadığı sonucuna varılan teknik olaylar dâhil değerlendirme gerekçesi, zaman çizelgesi, delil ve düzeltici faaliyet kayda alınır. Geç bildirimde teknik karmaşıklık tek başına mazeret değildir; gecikmenin somut nedeni açıklanır.

Delil Planı ve İspat Yükü

İlk alarm, olay kaydı ve haberdar olma zaman çizelgesi ile başlayan ispat planı, çok sayıda belge sunmak yerine her çekişmeli vakıayı doğru delille eşleştirmeyi gerektirir. İddianın dayanağı ile karşı tarafın muhtemel savunması iki ayrı sütunda kurulmalı; ispat yükünün kime ait olduğu ve delilin hangi kurumdan ne kadar süre içinde alınabileceği gösterilmelidir. Aşağıdaki kayıtlar bu nedenle birbirinin tekrarı değil, farklı vakıaları doğrulayan bir delil zinciridir.

İlk Alarm, Olay Kaydı ve Haberdar Olma Zaman Çizelgesi

İlk alarm, olay kaydı ve haberdar olma zaman çizelgesi, yalnız dosyaya eklenecek bir kayıt değildir. Bu delilin hangi kurucu, engelleyici veya sona erdirici vakıayı gösterdiği; kim tarafından, hangi tarihte ve hangi işlem bağlamında oluşturulduğu dilekçede açıklanmalıdır. Belgenin tamamı görülmeden seçilmiş bir sayfa, ekran görüntüsü veya tarafça hazırlanmış özet üzerinden kesin sonuca gidilmemelidir.

Etkilenen sistem-veri-kişi envanteri ile erişim logları ile çapraz doğrulama yapılması, tarih, taraf, miktar ve işlem bağlantısındaki uyuşmazlıkları görünür kılar. Belge karşı tarafın veya üçüncü kişinin elindeyse ibraz talebi, kurum müzekkeresi, delil tespiti ya da bilirkişi incelemesi için hangi usul aracının kullanılacağı baştan belirlenmelidir. Elektronik kayıtlarda özgün dosya, zaman damgası, erişim geçmişi ve değişiklik izi korunmalı; hukuka aykırı elde edilen verinin ispat değeri ayrıca tartışılmalıdır.

Etkilenen Sistem-Veri-Kişi Envanteri ile Erişim Logları

Etkilenen sistem-veri-kişi envanteri ile erişim logları bakımından ilk soru, kaydın mevcut olup olmadığı değil hangi tartışmalı olguyu ispatlayabildiğidir. Düzenleyen kişi veya kurum, düzenleme amacı, kayıt dönemi ve karşı tarafa aidiyet açıkça belirlenmelidir. Belgenin içeriği iddiayı yalnız dolaylı biçimde destekliyorsa aradaki çıkarım zinciri gösterilmeli; yorum, belgenin kendi ifadesi gibi sunulmamalıdır.

Bu kayıt, otorite ve ilgili kişi bildirimleri, güncellemeler ve düzeltici faaliyet kayıtları ile birlikte okunduğunda anlatım ile dış kaynak arasındaki uyum denetlenebilir. Çelişki varsa belgenin aslı, dayanak kayıtları ve düzenleyenin açıklaması istenmeli; eksiklik bilirkişinin hukukî nitelendirme yapması beklenerek kapatılmamalıdır. Kişisel veri, ticari sır veya soruşturma gizliliği içeren bölümlerde dosyaya sunma yöntemi ile inceleme hakkı arasında ölçülü bir çözüm kurulmalıdır.

Otorite ve İlgili Kişi Bildirimleri, Güncellemeler ve Düzeltici Faaliyet Kayıtları

Otorite ve ilgili kişi bildirimleri, güncellemeler ve düzeltici faaliyet kayıtları, zaman içinde değişebilen veya kaybolabilen bir delil niteliği taşıyabilir. Bu nedenle kaynağın korunması, talep tarihinin belgelenmesi ve mümkünse değiştirilemez örneğin alınması esasa ilişkin tartışmadan önce ele alınmalıdır. Sonradan oluşturulan açıklama ile olay anındaki kayıt birbirinden ayrılmalı; boşluklar varsayımla tamamlanmamalıdır.

İlk alarm, olay kaydı ve haberdar olma zaman çizelgesi aynı olayın başka bir aşamasını gösteriyorsa iki kayıt arasındaki tarih ve işlem bağı kurulmalıdır. Delil, iddia sahibinin elinde değilse hangi makamdan hangi hukuki dayanakla isteneceği somutlaştırılmalı; ret hâlinde başvurulacak yol ve saklama süresi dosya notuna eklenmelidir. Güvenilirlik itirazı bekleniyorsa metadata, imza, mühür, log veya karşılaştırma örneği daha tahkikat başlamadan belirlenmelidir.

Dosyaya Konulacak Temel Kayıtlar

• İlk alarm, olay kaydı ve haberdar olma zaman çizelgesi
• Etkilenen sistem-veri-kişi envanteri ile erişim logları
• Otorite ve ilgili kişi bildirimleri, güncellemeler ve düzeltici faaliyet kayıtları

Usul ve Başvuru Sırası

İlk usul adımı “olay sorumlusu, hukuk, güvenlik ve iletişim ekibi tek zaman çizelgesinde çalışır; mevcut bilgiyle erken karar kaydı oluşturur” olarak belirlenmiştir. Maddi hakkın varlığı ile bu hakkın hangi yol üzerinden korunacağı aynı soru değildir. Aşağıdaki sıra, somut olayın tarihine ve taraf sıfatlarına göre uyarlanmalı; zorunlu başvuru ile dava veya kanun yolu sürelerinin birbirini durdurup durdurmadığı ayrıca gösterilmelidir.

Usul Adımı: Olay Sorumlusu, Hukuk, Güvenlik ve İletişim Ekibi Tek Zaman Çizelgesinde Çalışır; Mevcut Bilgiyle Erken Karar Kaydı Oluşturur

Bu aşamada olay sorumlusu, hukuk, güvenlik ve iletişim ekibi tek zaman çizelgesinde çalışır; mevcut bilgiyle erken karar kaydı oluşturur. Amaç, uyuşmazlığın doğru taraflar arasında, doğru merci önünde ve incelenebilir bir talep sonucuyla yürütülmesini sağlamaktır. Görev, kesin yetki, dava şartı arabuluculuk, zorunlu idari başvuru, harç ve tebligat sorunları maddi haklılıktan ayrı denetlenmelidir. Bir usul şartının sonradan tamamlanıp tamamlanamayacağı varsayımla değil, özel hüküm ve güncel içtihatla belirlenmelidir.

“Olay sorumlusu, hukuk, güvenlik ve iletişim ekibi tek zaman çizelgesinde çalışır; mevcut bilgiyle erken karar kaydı oluşturur” adımı takvime işlendiğinde başvuru tarihi, teslim veya tebliğ belgesi, karşı tarafın cevabı ve varsa kesinleşme bilgisi aynı kayıt altında tutulmalıdır. Başvurunun yalnız yapılmış olması yeterli değildir; ileri sürülen vakıa ve taleplerin sonraki dava veya kanun yolunu daraltıp daraltmadığı da kontrol edilmelidir.

Usul Adımı: İlk Bildirimden Sonra Teknik Bulgular Değiştikçe Otorite ve İlgililere Tutarlı Ek Bilgiler Verilir

İkinci adımda “ilk bildirimden sonra teknik bulgular değiştikçe otorite ve ilgililere tutarlı ek bilgiler verilir” işlemi yürütülür. Bu aşamada yalnız kabul edilebilirlik değil, incelemenin hangi vakıa ve talepler üzerinde yürütüleceği de belirlenir. Taraf teşkili, delillerin hangi sırayla toplanacağı, uzman incelemesinin kapsamı ve esaslı itirazların kararda karşılanması birlikte planlanmalıdır. Bilirkişiden hukukî sonuç değil, özel veya teknik bilgi gerektiren maddi tespit istenmelidir.

“İlk bildirimden sonra teknik bulgular değiştikçe otorite ve ilgililere tutarlı ek bilgiler verilir” işleminin sonucu, sonraki başvuru veya infaz aşamasına elverişli bir belgeyle kayıt altına alınmalıdır. Kısmi kabul, feragat, sulh, ara karar veya ret varsa bunun hangi talebi ne ölçüde etkilediği açıkça işaretlenmeli; kanun yolu incelemesinde ileri sürülecek hata ilk derece aşamasındaki itirazla ilişkilendirilmelidir. Kişi, dönem, işlem ve tutar belirsizliği hükmün uygulanmasını güçleştireceğinden talep sonucu son kez bu aşamada denetlenmelidir.

Uygulama Sırası

1. Olay sorumlusu, hukuk, güvenlik ve iletişim ekibi tek zaman çizelgesinde çalışır; mevcut bilgiyle erken karar kaydı oluşturur.
2. İlk bildirimden sonra teknik bulgular değiştikçe otorite ve ilgililere tutarlı ek bilgiler verilir.

Süreler ve Hak Kaybı Riski

Süre Uyarısı

Başlangıç, ilk alarm, makul kesinlik, iç bildirim ve dış bildirim saat düzeyinde kaydedilir. Bu süre hesaplanırken olay, öğrenme, usulüne uygun bildirim, başvuru, ret, son tutanak ve karar tarihleri tek kronolojide fakat ayrı hukuki nitelikleriyle gösterilmelidir. Başlangıç kanıtlanamıyorsa yalnız son gün hesabı güvenli sonuç vermez; tebligat parçası, UETS kaydı, başvuru alındısı veya noter belgesi dosyaya alınmalıdır.

“Başlangıç, ilk alarm, makul kesinlik, iç bildirim ve dış bildirim saat düzeyinde kaydedilir” uyarısının zamanaşımı mı, hak düşürücü süre mi, usul süresi mi yoksa sözleşmesel bildirim süresi mi olduğu açıkça yazılmalıdır. Adli tatil, resmî tatil, elektronik tebligat, zorunlu arabuluculuk ve idari başvurunun etkisi her süre türünde aynı değildir.

Süre Uyarısı

Yetmiş iki saat aşıldıysa gecikme nedeni ve o arada yapılan somut işlemler ilk bildirimde açıklanır. Bu ikinci zaman kuralı, ilk süreyle aynı başlangıca veya aynı sonuca sahip kabul edilmemelidir. Öğrenme ile tebliğ, muacceliyet ile zarar tarihi, karar ile kesinleşme farklı hukuki olaylardır. Her tarih için dayanak belge ve uygulanacak hüküm yazılmadan yapılan tek satırlık takvim, hak kaybını önlemeye yetmez.

“Yetmiş iki saat aşıldıysa gecikme nedeni ve o arada yapılan somut işlemler ilk bildirimde açıklanır” uyarısı bakımından sürenin durması, kesilmesi veya yeniden başlaması ileri sürülüyorsa bunu doğuran başvurunun yetkili makama ve süresi içinde yapıldığı belgelenmelidir. Karşı tarafın süre itirazı bekleniyorsa alternatif başlangıç ihtimallerinin her biri ayrı hesaplanmalı; en erken biten güvenli tarih esas alınmalıdır. Acil koruma veya delil muhafazası mümkünse esas incelemenin tamamlanması beklenmeden ölçülü bir başvuru değerlendirilmelidir.

İleri Sürülebilecek Talepler

İhlalin etkisinin sınırlandırılması, erişimin kesilmesi ve verilerin güvenli hâle getirilmesi ekseninde kurulacak talep stratejisinde asıl, terditli veya yardımcı sonuçlar; karşı tarafın savunması ve delil durumu gözetilerek ayrılmalıdır. Aşağıdaki korumaların aynı dosyada birlikte istenip istenemeyeceği görev, harç, hukuki yarar ve mükerrerlik yönünden denetlenmelidir.

İhlalin Etkisinin Sınırlandırılması, Erişimin Kesilmesi ve Verilerin Güvenli Hâle Getirilmesi

İhlalin etkisinin sınırlandırılması, erişimin kesilmesi ve verilerin güvenli hâle getirilmesi talebi, sonuç bölümünde açık, hüküm kurulabilir ve uygulanabilir biçimde gösterilmelidir. Talebin dayandığı vakıa, uygulanacak hüküm, ispat aracı, başlangıç tarihi ve varsa miktar veya hesap yöntemi birbirinden ayrılmalıdır. Mahkemenin hukuki nitelendirme yetkisi, tarafın vakıayı ve istediği hukuki korumayı belirsiz bırakmasına imkân vermez.

İlgili kişilerin zarar azaltıcı tedbirleri ile kanıtlanan zarar için tazmin yolları ile ilişki ayrıca kurulmalıdır. Talepler birlikte hükme bağlanabiliyorsa yığılma; biri kabul edilmezse diğeri incelenecekse terdit; aynı hakkın seçimlik sonuçları söz konusuysa seçim sırası açıkça belirtilmelidir.

İlgili Kişilerin Zarar Azaltıcı Tedbirleri ile Kanıtlanan Zarar İçin Tazmin Yolları

İlgili kişilerin zarar azaltıcı tedbirleri ile kanıtlanan zarar için tazmin yolları isteminin asıl talebin reddine mi, başka bir hukukî nitelendirmeye mi yoksa giderilemeyen sonuca mı bağlandığı açıklanmalıdır. Konusu başlangıçta tam belirlenemiyorsa belirsizliğin nedeni ve incelemede kullanılacak veriler gösterilmeli; harç veya ferî sonuçlar ancak bu istem bakımından uygulanabiliyorsa ayrıca kurulmalıdır.

Bu sonuç, ihlalin etkisinin sınırlandırılması, erişimin kesilmesi ve verilerin güvenli hâle getirilmesi talebiyle aynı zarar veya edimi iki kez karşılamamalıdır. Geçici koruma isteniyorsa güncel tehlike, yaklaşık ispat, teminat ve ölçülülük ayrıca gerekçelendirilmelidir. Kabul hâlinde hükmün hangi kişi veya kayıt üzerinde, hangi dönem ve kapsamla uygulanacağı talep sonucundan anlaşılabilmelidir.

Talep Kontrolü

• İhlalin etkisinin sınırlandırılması, erişimin kesilmesi ve verilerin güvenli hâle getirilmesi
• İlgili kişilerin zarar azaltıcı tedbirleri ile kanıtlanan zarar için tazmin yolları

Sık Sorulan Uygulama Soruları

Yetmiş İki Saat Olay Başladığında Mı Başlar?

Genellikle veri sorumlusunun ihlalden haberdar olduğu makul kesinlik anı esas alınır; olayın ilk teknik sinyali ayrıca kaydedilir.

Bütün Ayrıntılar Belli Değilse Bildirim Ertelenir Mi?

Hayır. Mevcut bilgiyle ilk bildirim yapılıp eksikler sonradan tamamlanabilir.

Şifrelenmiş Veri Çalındıysa Bildirim Gerekmez Mi?

Hayır. Kanuni olmayan elde etme doğrulanmışsa şifrelemenin gücü ve anahtarın korunması bildirimde açıklanacak etki ve önlem değerlendirmesini etkiler; kendiliğinden muafiyet yaratmaz.

Saldırı Başarısızsa Kayıt Tutmalı Mıyız?

Evet. Kişisel verilerin başkalarınca elde edilmediği ve bu nedenle ihlal oluşmadığı sonucunun dayanağı ile alınan tedbirler olay kaydında tutulmalıdır.

Doğrulanmış Kanun Dayanağı

6698 Sayılı Kişisel Verilerin Korunması Kanunu — m.12/5

“veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.” — Alıntının yeri: Kişisel Verilerin Korunması Kanunu m.12/5, ilk cümlenin son bölümü.

Kanun alıntısı 2026-08-31 tarihinde TBMM, 6698 sayılı Kişisel Verilerin Korunması Kanunu kabul metni, m.12/5 üzerinden doğrulanmıştır. Güncel kanun metni somut olayın tarihi ve geçiş hükümleriyle birlikte ayrıca kontrol edilmelidir. Kanun 'en kısa sürede' ölçütünü kullanır; yetmiş iki saat ifadesi Kanunun lafzı değil, Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararında belirlediği uygulama eşiğidir. Tespit, değerlendirme, Kurula bildirim ve ilgili kişiye açıklama zamanları ayrı kaydedilmeli; güncel MBS metni ile Kurul uygulaması işlem tarihinde tekrar doğrulanmalıdır.

Doktrindeki Yaklaşımlar

Nur Sena Sevindi; Muhammet Emin Ordu: Ab ve Türk Hukukunda Veri İhlalinin Tespiti ve Bildirim Süresinin Karşılaştırmalı Değerlendirmesi

Bildirim süresinin sağlıklı hesaplanması, ihlalin ne zaman ve hangi güven düzeyinde tespit edildiğinin belgelenmesine bağlıdır; teknik olay ile kişisel veri ihlali aynı anda ve kendiliğinden oluşmuş kabul edilmemelidir.

“hem bildirim kaynaklarının hem de sürenin başlangıcının tayini için, veri ihlalinin doğru tespit edilmesi ve kategorilendirilmesi önem arz etmektedir.” — Alıntının yeri: Öz, ilk paragrafın son cümlesi.

Künye: Nur Sena Sevindi; Muhammet Emin Ordu, “AB ve Türk Hukukunda Veri İhlalinin Tespiti ve Bildirim Süresinin Karşılaştırmalı Değerlendirmesi”, Kişisel Verileri Koruma Dergisi, 2023, C. 5, S. 1, s. 12-22. Kalıcı yayın bağlantısı. Doğrulama tarihi: 2026-08-31. Öğretideki görüş bağlayıcı kural olmayıp kanun, içtihat ve somut olayla birlikte değerlendirilmelidir.

Doğrulanmış İçtihat

Kişisel Verileri Koruma Kurulu Kurul, K. 2021/426, 27.04.2021

“belirlenen 72 saat içerisinde bildirim yükümlülüğünü yerine getirmeyen veri sorumlusu hakkında” — Alıntının yeri: Kurulun değerlendirmesi, B) Kurumumuza ve ilgili kişilere yapılan bildirim bölümü.

Kararın sonucu: Yardım masası panelindeki veri ihlalini Kurula bildirmeyen veri sorumlusuna, 72 saatlik bildirim yükümlülüğünü ihlal ettiği gerekçesiyle 100.000 TL idari para cezası uygulandı. Alıntı ve künye, 31.08.2026 tarihinde resmî karar tam metninden doğrulanmıştır. Kararın sonucu ile gerekçedeki bu cümle birlikte okunmalı; somut olayın maddi vakıaları farklı bir dosyaya kendiliğinden taşınmamalıdır.

Somut olayla benzerlik: Karar, ihlalin öğrenilmesinden sonra Kurula yapılacak bildirimin 72 saatlik süresini ve sürenin geçirilmesinin yaptırım sonucunu doğrudan uygular.

Kararın uygulanma sınırı: Olay, toplu yetkilendirme sırasında yanlış erişim yetkisi verilmesine ilişkindir; saldırı kaynaklı her olayın başlangıç anını veya ilgili kişiye bildirimin içeriğini tek başına çözmez.

Kaynakça

• Güncel mevzuat, karar ve öğretideki görüşler somut olayın tarihi esas alınarak ayrıca doğrulanmalıdır.