Türkiye'nin KVKK'sı Kapsamında Veri İhlalleri: Bildirim Yükümlülükleri ve Cezalar
Şirketiniz Türkiye ile bağlantılı kişisel verileri etkileyen bir veri ihlali yaşarsa, bunu mümkün olan en kısa sürede Kişisel Verileri Koruma Kurulu'na bildirmeli ve etkilenen kişileri haberdar etmelisiniz. Bu yükümlülükler Kişisel Verilerin Korunması Kanunu'ndan (No. 6698, "KVKKKVKK6698 sayılı Kişisel Verilerin Korunması KanunuTürkiye'nin veri koruma kanunu — kişisel verinin toplanması, saklanması ve aktarılmasına dair kurallar ile bunları uygulayan kurum.Sözlük →") doğar ve bunları görmezden gelmek, her yıl artırılan ciddi idari para cezalarına yol açabilir. Bu rehber, bir ihlalin neyi kapsadığını, kimleri ne kadar hızlı bilgilendirmeniz gerektiğini ve 2024 değişikliğinin ardından yürürlükteki rejimde ceza sisteminin nasıl işlediğini sade bir dille açıklıyor.
KVKK kapsamında neler veri ihlali sayılır?
Kişisel verilere hukuka aykırı ya da amaçlanmamış bir biçimde erişilmesi, bunların ifşa edilmesi, değiştirilmesi veya kaybolması durumunda bir veri ihlali ortaya çıkar. KVKK bunu, ayrı bir "ihlal" tanımı üzerinden değil, veri güvenliği kuralı üzerinden ele alır.
İlgili hüküm, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesidir (GDPR'ın Türkiye'deki karşılığı). 12. madde, veri sorumlusunun (veri işlemenin amaçlarını ve araçlarını belirleyen taraf) kişisel verileri güvende tutmak için gerekli tüm teknik ve idari tedbirleri almasını zorunlu kılar. Bir ihlal, özünde, bu güvenlik tedbirlerinin başarısızlığa uğramasıdır.
Bu kapsama girebilecek yaygın örnekler şunlardır:
- Bir müşteri veya çalışan veritabanını açığa çıkaran bir bilgisayar korsanı (hacker) ya da fidye yazılımı (ransomware) saldırısı.
- Bir çalışanın, kişisel veri içeren bir tabloyu yanlış alıcıya e-postayla göndermesi.
- Şifrelenmemiş kişisel veri içeren bir dizüstü bilgisayar, telefon veya yedekleme diskinin kaybolması ya da çalınması.
- Yanlış yapılandırılmış bir sunucu ya da bulut deposunun (cloud bucket) verileri internete açık bırakması.
- Bir iç çalışanın, kişisel verileri yetkisiz olarak kopyalaması ya da satması.
Hukuki dayanak: KVKK'nın 12. maddesi güvenlik yükümlülüğünü veri sorumlusuna yükler. Bu güvenlik başarısız olduğunda ve kişisel veriler başkaları tarafından hukuka aykırı şekilde ele geçirildiğinde, aşağıda açıklanan bildirim yükümlülükleri devreye girer.
Önemli olarak, bu yükümlülükler yabancı şirketlere de uzanabilir. İşletmeniz Türkiye'deki kişilerin kişisel verilerini işliyorsa — örneğin bir Türkiye şubesi, yerel müşteriler veya Türkiye'ye yönelik bir hizmet aracılığıyla — Türkiye'de bir kayıtlı merkeziniz olmasa bile KVKK kapsamına girebilirsiniz. Bu durumun sizin için geçerli olup olmadığı, somut olaya bağlı bir sorudur ve erkenden incelenmeye değer.
Aşağıdakilerden hangisi sizin durumunuz?
Kurul'a bildirim yükümlülüğü — "en kısa süre" ne kadar hızlı?
Bir ihlal meydana gelirse, veri sorumlusunun bunu Kişisel Verileri Koruma Kurulu'na (KVKK'yı uygulayan düzenleyici otorite) en kısa sürede bildirmesi gerekir. Kanun, 12. madde kapsamında kesin bir süre belirlemek yerine bu niteleyici ifadeyi kullanır.
Bu ifadeye somut bir anlam kazandırmak için Kurul bir rehber yayımlamıştır. Bu rehber, yaygın olarak, veri sorumlusunun ihlali öğrenmesinden itibaren 72 saat içinde bildirim yapılmasını gerektirdiği şeklinde aktarılır. Bu süre, kanunun lafzından değil Kurul rehberinden ve uygulamasından kaynaklandığı ve zamanlama kuralları güncellenebileceği için, ona dayanmadan önce kendi özel durumunuz için geçerli güncel süreyi teyit etmelisiniz.
Saatin çoktan işlediğini varsayın. En güvenli varsayım, bir ihlali tespit ettiğiniz andan itibaren çok kısa ve sabit sayıda saatinizin olduğudur. Bildirim sürecini başlatmak için iç incelemenizin bitmesini beklemeyin — geç bildirimin kendisi, Kurul'un işlem yapabileceği bir uyumsuzluktur.
Bir Kurul bildiriminin genel olarak; ne olduğunu, hangi verilerin ve kaç kişinin etkilendiğini, olası sonuçları ve ihlali sınırlamak ile gidermek için attığınız adımları açıklaması beklenir. Tüm ayrıntıları henüz veremediğiniz durumlarda, bilinenler temelinde bildirim yapıp sonradan tamamlamak olağandır. Gerekli kesin içerik ve varsa resmî bildirim formu, güncel Kurul materyalleriyle karşılaştırılmalıdır.
Etkilenen kişilerin (ilgili kişilerin) bilgilendirilmesi
Kurul'a bildirim, yükümlülüğünüzün sonu değildir. Bir ihlal, kimliği belirlenebilir kişileri etkilediğinde, etkilenen kişileri — yani kişisel verileri tehlikeye atılan ilgili kişileri (data subjects) — de bilgilendirmeniz gerekir. Bu, onların şifrelerini değiştirmek ya da dolandırıcılığa karşı tetikte olmak gibi kendi koruyucu adımlarını atmasını sağlar.
İlgili kişilere yapılacak bildirimin açık ve erişilebilir bir biçimde yapılması gerekir. Etkilenen kişilere doğrudan ulaşabildiğiniz durumlarda — örneğin e-posta ya da mektupla — genel olarak bu doğrudan yöntem beklenir. Doğrudan iletişimin mümkün olmadığı durumlarda, Kurul uygulaması, web sitenizde yayımlanacak bir duyuru da dahil olmak üzere başka makul yöntemleri öngörür. Uygun yöntem ve metin, sizin olgularınıza göre teyit edilmelidir.
İyi bir ilgili kişi bildirimi genellikle neleri kapsar
- Bir ihlalin meydana geldiğini ve sade bir dille ne olduğunu.
- Kişisel verilerinin hangi kategorilerinin etkilendiğini.
- Onlar açısından olası sonuçları.
- Yanıt olarak ne yaptığınızı ve kendilerini korumak için neler yapabileceklerini.
- Soru sorabilecekleri bir iletişim noktasını.
Şablonları önceden hazırlayın. Dar bir bildirim süresini sakin şekilde karşılamanın en hızlı yolu, herhangi bir olay yaşanmadan önce taslak Kurul ve ilgili kişi bildirimlerini, bir iç tırmandırma (eskalasyon) şemasını ve bir karar günlüğünü hazır bulundurmaktır. Gerçek bir ihlalde, sıfırdan yazmak yerine baskı altında bir şablonu düzenliyor olacaksınız.
18. madde kapsamındaki idari para cezaları ve diğer yaptırımlar
Ceza çerçevesi, Kurul'un uygulayabileceği idari para cezalarını düzenleyen KVKK'nın 18. maddesinde yer alır. Değişen rakamları aktarmak yerine yapıyı anlamak daha yararlıdır; çünkü rakamlar hareket etse de yapı istikrarlıdır.
18. madde, cezaları belirli ihlal kategorilerine bağlar. Genel olarak, cezaya tabi farklı ihlaller arasında; ilgili kişileri aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliği yükümlülüklerinin yerine getirilmemesi (ihlal yönetiminin barındığı 12. madde yükümlülükleri), Kurul kararlarına uyulmaması ve uygulanabilir olduğu hallerde VERBİS kayıt yükümlülüğünün ihlali yer alır. Her kategorinin, asgari ve azami tutarlardan oluşan kendi parasal bandı vardır.
Rakamlar her yıl değişir. 18. maddedeki ceza bantları, yasal yeniden değerleme oranına paralel olarak her yıl yeniden değerlenir. Daha eski bir makalede okuduğunuz herhangi bir rakam büyük olasılıkla çoktan güncelliğini yitirmiştir — daima ihlalin gerçekleştiği yıl için yürürlükte olan tutarı kontrol edin.
Maruziyet nasıl katlanabilir
- İhlal başına mantık: cezalar ihlallere bağlanır; dolayısıyla birden fazla yükümlülüğü ihlal eden tek bir olay birden fazla cezaya yol açabilir.
- Ölçek önemlidir: Kurul, tutarı band içinde belirlerken ihlalin ağırlığı ve veri sorumlusunun davranışı gibi unsurları tartar.
- Cezanın ötesinde: bir ihlal ayrıca itibar zararına, etkilenen kişilerin bireysel tazminat taleplerine ve bazı olay örgülerinde, hukuka aykırı veri eylemleri nedeniyle Türk Ceza Kanunu kapsamında ayrı bir cezai sorumluluğa da yol açabilir — ki bu, KVKK kapsamındaki idari para cezalarından farklıdır.
2024 reformu: KVKK, rejimin bazı kısımlarını yeniden şekillendiren 7499 sayılı Kanun (2024) ile değiştirilmiştir — özellikle yurt dışına veri aktarımları ile yaptırımın ve idari para cezalarına karşı başvuru yolunun bazı yönleri açısından. Bu nedenle, değişiklikten önce yayımlanan tavsiyeler ve rakamlar artık güncel kuralları yansıtmıyor olabilir. Güncel durum, varsayılmak yerine teyit edilmelidir.
Bildirimden önce iç incelemeyi bitirmeliyiz; yarım bir rapor, geç bir rapordan daha kötü görünür.
Geç bildirimin kendisi, Kurul'un işlem yapabileceği bir uyumsuzluktur. Olağan yol, bilinenler üzerinden bildirim yapmaktır: ne olduğunu, hangi verilerin ve kaç kişinin etkilendiğini, olası sonuçları ve sınırlama adımlarınızı anlatır, inceleme ilerledikçe tamamlarsınız.
Kurul'a bildirmek yeterli; müşterilerin haberi olmasına gerek yok.
Kurul'a bildirim, yükümlülüğün sonu değildir. İhlal kimliği belirlenebilir kişileri etkiliyorsa, bu kişileri de açık ve anlaşılır bir dille bilgilendirmelisiniz: ulaşabildiğiniz yerde doğrudan, doğrudan iletişimin mümkün olmadığı hallerde web sitenizde yayımlanacak bir duyuru gibi başka makul yöntemlerle.
Tek olaydan tek ceza çıkar.
18. madde kapsamındaki cezalar olaylara değil ihlallere bağlanır; bu nedenle birden fazla yükümlülüğü — örneğin aydınlatma yükümlülüğü ile 12. madde veri güvenliği yükümlülüğünü — çiğneyen tek bir olay birden fazla cezaya yol açabilir. Kurul, band içindeki tutarı belirlerken ihlalin ağırlığını ve veri sorumlusunun davranışını da tartar.
Maruziyetimiz idari para cezasından ibaret.
18. madde cezalarının ötesinde bir ihlal; etkilenen kişilerin tazminat taleplerine, itibar zararına ve bazı olay örgülerinde hukuka aykırı veri eylemleri nedeniyle Türk Ceza Kanunu kapsamında ayrı bir cezai sorumluluğa yol açabilir. Bu cezai boyut, KVKK'daki idari para cezalarından farklıdır ve onlarla birlikte değerlendirilmelidir.
2024 değişikliğinin ardından yurt dışına aktarım ve özel nitelikli veriler
İhlaller, verinin nasıl hareket ettiğinden bağımsız olarak nadiren gerçekleşir. 2024 reformuyla iki alan anlamlı şekilde değişti ve herhangi bir olaydan önce kontrol edilmeyi hak ediyor; çünkü hem günlük uyumunuzu hem de bir şeyler ters gittiğinde maruziyetinizi etkiliyorlar.
Yurt dışına veri aktarımı
Kişisel verilerin Türkiye dışına hukuka uygun şekilde nasıl aktarılabileceği, 7499 sayılı Kanun ile yeniden yapılandırıldı. Değiştirilen çerçeve birtakım mekanizmaları tanır — genel olarak yeterlilik kararı niteliğindeki yollar ve standart sözleşme hükümleri (standart contractual clauses) gibi uygun güvenceler ile belirli istisnai dayanaklar — ancak kesin koşullar, belgeleme ve varsa bildirim beklentileri teknik nitelikte olup yeni getirilmiştir. Grubunuz Türkiye bağlantılı verileri yurt dışına gönderiyorsa (örneğin bir ana şirkete ya da bir bulut sağlayıcıya), bu aktarımın hukuki dayanağı güncel kurallar uyarınca teyit edilmelidir.
Özel nitelikli kişisel veriler
KVKK, özel nitelikli kişisel verileri — sağlık, biyometrik, dinî inanç veya ceza mahkûmiyeti verileri gibi — daha yüksek bir korumayla ele alır. Bu kategorileri içeren bir ihlal genel olarak daha ağırdır ve daha yüksek riskli sayılır. Özel nitelikli verilerin işlenmesine ve korunmasına ilişkin koşullar da 2024 değişikliğinden etkilenmiştir; dolayısıyla dayandığınız güvenceler, güncel metin karşısında gözden geçirilmelidir.
Türkiye bağlantılı verilerinizin nerede bulunduğunu, nereye aktığını ve hangi kategorileri içerdiğini haritalandırmak, yapabileceğiniz en yararlı hazırlıktır. Bu size hem nasıl hukuka uygun aktaracağınızı hem de belirli bir ihlalin ne kadar kötü olacağını önceden gösterir.
Yabancı şirketler için pratik bir müdahale kontrol listesi
Türkiye dışından faaliyet gösterip Türkiye ile bağlantılı kişisel verileri işliyorsanız, aşağıdaki sıralama KVKK beklentilerini baskı altında karşılamanıza yardımcı olur. Bunların hiçbiri, kendi özel olayınıza ilişkin danışmanlığın yerine geçmez.
- Önce tespit edin ve sınırlayın. Devam eden maruziyeti durdurun — sistemleri izole edin, erişimi iptal edin, yedekleri güvenceye alın.
- Saati bilinçli olarak başlatın. İhlali öğrendiğiniz tarihi ve saati kaydedin; bildirim süresi kısadır ve öğrenme anından itibaren işler.
- Kapsamı değerlendirin. Hangi verinin, kimin verisinin, kaç kişinin ve hangi kategorilerin etkilendiğini belirleyin — özel nitelikli verilere ve her türlü yurt dışına aktarım unsuruna özellikle dikkat ederek.
- Kurul'a derhâl bildirim yapın. Geçerli süre içinde başvurun (yaygın olarak 72 saat olarak aktarılır — teyit edin) ve incelemeniz ilerledikçe ayrıntıları tamamlayın.
- Etkilenen kişileri bilgilendirin. Verileri tehlikeye atılan kişilere, açık bir dille ve pratik yönlendirmeyle haber verin.
- Her şeyi belgeleyin. Kararlara, zamanlamalara ve alınan tedbirlere ilişkin eş zamanlı bir günlük tutun; Kurul davranışınızı incelerse bu kayıt önem taşır.
- Düzeltin ve gözden geçirin. Kök nedeni giderin ve 12. madde kapsamındaki teknik ve idari tedbirlerinizi güncelleyin.
Bu makale genel çerçeveyi açıklar ve hukuki tavsiye değildir. İhlal yönetimi olaya duyarlı ve zaman açısından kritiktir; rakamlar ve süreler değişir. Türkiye bağlantılı verileri içeren bir olayla karşı karşıyaysanız, hızla size özel danışmanlık alın — fark çoğu zaman saatlerle ölçülür.
Bir ihlal müdahale planı oluşturmak için yardım isterseniz ya da devam eden bir olayla uğraşıyorsanız, ekibimiz durumunuzu yürürlükteki KVKK rejimi kapsamında inceleyebilir ve yapılandırılmış, savunulabilir bir şekilde yanıt vermenize yardımcı olabilir.
Veri sorumlusuna, kişisel verileri güvende tutmak için gerekli tüm teknik ve idari tedbirleri alma yükümlülüğünü yükler; ihlal bildirimi yükümlülükleri de bu hükümden doğar.
Kurul'un uygulayabileceği idari para cezalarını belirler: veri güvenliği, aydınlatma yükümlülüğü, Kurul kararlarına uymama ve VERBİS kaydı gibi ihlal kategorilerine bağlı parasal bandlar halinde. Bandlar her yıl yeniden değerlendiğinden, ihlalin gerçekleştiği yıl için yürürlükteki tutarı kontrol edin.
Rejimin bazı kısımlarını yeniden şekillendiren 2024 değişikliği; özellikle yurt dışına veri aktarımları ile yaptırımın ve idari para cezalarına karşı başvuru yolunun bazı yönleri.
Şimdi kayıt altına alınacaklar ve toplanacaklar
İhlal yönetimi zamana karşı yürür ve ilk saatlerde tuttuğunuz eş zamanlı kayıt, Kurul'un sonradan inceleyebileceği kayıttır. İlk görüşmeden önce şunlar elinizin altında olsun.
Sıkça sorulan sorular
Bir veri ihlalini Türkiye'deki Kurul'a ne kadar hızlı bildirmeliyim?
KVKK, "en kısa sürede" bildirim yapılmasını gerektirir. Kurul'un rehberi, yaygın olarak ihlali öğrendiğiniz andan itibaren 72 saatlik bir süre olarak aktarılır; ancak bu, Kurul rehberinden ve uygulamasından kaynaklandığı ve güncellenebileceği için durumunuza ilişkin yürürlükteki süreyi teyit etmelisiniz. En güvenli yaklaşım, saati tespit anından itibaren işliyor saymaktır.
Şirketimiz Türkiye dışında bulunuyorsa KVKK bize uygulanır mı?
Uygulanabilir. Türkiye'deki kişilerin kişisel verilerini — bir şube, yerel müşteriler veya Türkiye'ye yönelik bir hizmet aracılığıyla — işliyorsanız, orada bir kayıtlı merkeziniz olmasa bile 6698 sayılı Kanun'un kapsamına girebilirsiniz. Bu durumun sizin için geçerli olup olmadığı somut olaya bağlıdır; bu nedenle durumunuzu bir olay sırasında değil, öncesinde teyit etmeye değer.
Bir ihlali bildirmemenin cezaları nelerdir?
İdari para cezaları KVKK'nın 18. maddesinde düzenlenir ve ihlale ilişkin veri güvenliği yükümlülükleri de dahil olmak üzere çeşitli ihlal kategorilerine uygulanır. Tutarlar, her yıl yeniden değerlenen parasal bantlar halinde düzenlenmiştir ve cezalar ihlal başına bağlanır; dolayısıyla tek bir olay birden fazla cezayı tetikleyebilir. Rakamlar her yıl değiştiği için, eski rakamlara dayanmak yerine ilgili yıl için yürürlükte olan tutarı kontrol etmelisiniz.
Etkilenen kişileri de bilgilendirmem mi gerekiyor, yoksa yalnızca Kurul'u mu?
Her ikisini de. Bir ihlal kimliği belirlenebilir kişileri etkilediğinde, KVKK kendilerinin koruyucu adımlar atabilmesi için bu kişileri (ilgili kişileri) Kurul'un yanı sıra bilgilendirmenizi de zorunlu kılar. Bildirim açık ve erişilebilir olmalı, mümkün olduğunda doğrudan yapılmalı, doğrudan iletişimin mümkün olmadığı durumlarda başka makul yöntemlerle gerçekleştirilmelidir — uygun yöntem, sizin olgularınıza göre teyit edilmelidir.
KVKK'da 2024 değişikliğiyle ne değişti?
7499 sayılı Kanun (2024), rejimin bazı kısımlarını yeniden şekillendirdi; özellikle kişisel verilerin Türkiye dışına aktarılmasına ilişkin kuralları, özel nitelikli verilerin ele alınışını ve yaptırımın ve idari para cezalarına karşı başvuru yolunun bazı yönlerini. Bu değişiklikler nedeniyle, değişiklikten önce yayımlanan rehberler güncelliğini yitirmiş olabilir; bu yüzden güncel durum varsayılmak yerine teyit edilmelidir.
Bir ihlal, idari para cezasının ötesinde bir şeye yol açabilir mi?
Evet. 18. madde kapsamındaki idari para cezalarının ötesinde, bir ihlal; etkilenen kişilerin tazminat taleplerine, itibar zararına ve — belirli olay örgülerinde — hukuka aykırı veri eylemleri nedeniyle Türk Ceza Kanunu kapsamında ayrı bir cezai sorumluluğa yol açabilir. Bunlar KVKK cezalarından farklıdır ve sizin özel olayınız için birlikte değerlendirilmelidir.
