Çubuk Veri İhlali Bildirimi Avukatları
Çubuk, Ankara bölgesinde veri ihlali bildirimi ve KVKK uyum süreçleri alanında hizmet veren 59 avukat. Bildirim yükümlülüğü, süreler, cezalar ve süreç bilgileriyle inceleyin.
Bağımsız, tarafsız ve ücretsiz dizin — aracılık yapmıyoruz. Tüm listelemeler her sayfa yenilemesinde rastgele sıralanır; hiçbir avukat öne çıkarılmaz. Listeleme için hiçbir avukattan ücret/komisyon alınmaz ve platform üzerinden danışmanlık ya da aracılık yapılmaz. HukukiUzman yalnızca kamuya açık baro bilgilerini sunan bir rehber/dizindir.
Ankara Barosu'nun 22102 sicil numaralı üyesidir. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 43880 sicil numarasıyla kayıtlıdır.
Ankara Barosu'nun 35377 sicil numaralı üyesidir. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara Barosu bünyesinde 44972 sicil numarasıyla kayıtlıdır. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara Barosu'nun 16382 sicil numaralı üyesidir. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara Barosu bünyesinde 48496 sicil numarasıyla kayıtlıdır. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara Barosu bünyesinde 9562 sicil numarasıyla kayıtlıdır. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara ilinde avukatlık mesleğini icra etmekte olup Ankara Barosu'nun 40150 sicil numaralı üyesidir.
Ankara Barosu'nun 44078 sicil numaralı üyesidir. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
12633 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
37856 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
48576 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
Ankara Barosu bünyesinde 30792 sicil numarasıyla kayıtlıdır. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara ilinde avukatlık mesleğini icra etmekte olup Ankara Barosu'nun 27866 sicil numaralı üyesidir.
Ankara ilinde avukatlık mesleğini icra etmekte olup Ankara Barosu'nun 39867 sicil numaralı üyesidir.
Ankara Barosu bünyesinde 37043 sicil numarasıyla kayıtlıdır. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 45994 sicil numarasıyla kayıtlıdır.
28748 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 36405 sicil numarasıyla kayıtlıdır.
30508 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
16864 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
Ankara Barosu bünyesinde 13207 sicil numarasıyla kayıtlıdır. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
34416 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
Ankara ilinde avukatlık mesleğini icra etmekte olup Ankara Barosu'nun 29688 sicil numaralı üyesidir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 46013 sicil numarasıyla kayıtlıdır.
Ankara ilinde avukatlık mesleğini icra etmekte olup Ankara Barosu'nun 30512 sicil numaralı üyesidir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 26928 sicil numarasıyla kayıtlıdır.
17440 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 51919 sicil numarasıyla kayıtlıdır.
Ankara ilinde avukatlık mesleğini icra etmekte olup Ankara Barosu'nun 38495 sicil numaralı üyesidir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 46806 sicil numarasıyla kayıtlıdır.
30631 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
28700 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
10738 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 32407 sicil numarasıyla kayıtlıdır.
26135 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
42700 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 46365 sicil numarasıyla kayıtlıdır.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 31970 sicil numarasıyla kayıtlıdır.
Ankara Barosu'nun 29331 sicil numaralı üyesidir. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara Barosu'nun 8402 sicil numaralı üyesidir. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara Barosu bünyesinde 43081 sicil numarasıyla kayıtlıdır. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 46666 sicil numarasıyla kayıtlıdır.
Ankara Barosu bünyesinde 49964 sicil numarasıyla kayıtlıdır. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 13460 sicil numarasıyla kayıtlıdır.
Ankara Barosu bünyesinde 15987 sicil numarasıyla kayıtlıdır. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara Barosu bünyesinde 29285 sicil numarasıyla kayıtlıdır. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
Ankara ilinde avukatlık hizmetleri sunmaktadır. Ankara Barosu'na 44961 sicil numarasıyla kayıtlıdır.
Ankara Barosu bünyesinde 29235 sicil numarasıyla kayıtlıdır. Ankara ilinde avukatlık ve hukuki danışmanlık hizmetleri vermektedir.
37066 baro sicil numarasıyla Ankara Barosu'na kayıtlı bir avukat olarak Ankara ilinde faaliyet göstermektedir.
Çubuk, Ankara Veri İhlali Bildirimi Avukatları — Kapsamlı Rehber
Bu rehber, Çubuk (Ankara) bölgesindeki işletmeler ve kişiler için veri ihlali bildirimi sürecini; 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki bildirim yükümlülüğü, 72 saat kuralı, Kişisel Verileri Koruma Kurulu süreci, idari para cezası riski, tazminat ve ceza boyutu başlıklarıyla ayrıntılı biçimde ele alır. Amaç, bir ihlal anında hangi adımların hangi sırayla atılacağını baştan doğru kurgulamanıza ve uyuşmazlığınıza uygun avukatı sayfadaki listeden bilinçli şekilde seçmenize yardımcı olmaktır.
- 72 saat kuralı: İhlalin öğrenilmesinden itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapılır.
- Çift yönlü bildirim: Hem Kurul'a hem de ihlalden etkilenen ilgili kişilere bildirim yapılması gerekir.
- Yaptırım: Bildirim yapılmaması idari para cezası, tazminat ve kimi hâllerde cezai sorumluluk riskini doğurur.
- Kapsam: Yükümlülük işletme büyüklüğüne değil, veri sorumlusu sıfatına bağlıdır; küçük işletmeler de dahildir.
- Yer: Çubuk kaynaklı uyuşmazlıklar Ankara Adliyesi yargı çevresinde görülür.
Veri İhlali Bildirimi Nedir? Hukuki Niteliği ve Kapsamı
Veri ihlali bildirimi, işlenmekte olan kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu resmî olarak Kişisel Verileri Koruma Kurulu'na ve durumdan etkilenen ilgili kişilere haber verme yükümlülüğüdür. Bu yükümlülüğün hukuki temeli, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinde düzenlenen veri güvenliğine ilişkin yükümlülüklerdir. Kanun, veri sorumlusuna hem verileri korumak için gerekli teknik ve idari tedbirleri alma hem de bir ihlal gerçekleştiğinde şeffaf biçimde bildirimde bulunma ödevi yükler.
Buradaki "veri ihlali" kavramı yalnızca dışarıdan yapılan siber saldırılarla sınırlı değildir. Bir çalışanın yetkisiz erişimi, verilerin yanlış kişiye e-posta ile gönderilmesi, kayıp bir dizüstü bilgisayar veya harici bellek, hatalı yapılandırılmış bir sunucu nedeniyle verilerin internete açık kalması gibi durumlar da ihlal kapsamına girebilir. Önemli olan, kişisel verilerin gizliliğinin, bütünlüğünün veya erişilebilirliğinin hukuka aykırı biçimde zarar görmüş olmasıdır.
Veri ihlali bildirimi, cezalandırıcı bir mekanizma olmaktan çok, hem denetim otoritesinin durumu değerlendirebilmesini hem de etkilenen kişilerin kendilerini koruyabilmesini sağlayan koruyucu bir araçtır. Bu nedenle bildirimin zamanında, doğru ve eksiksiz yapılması, işletmenin hem hukuki hem de itibar riskini yönetmesinin temel unsurudur. Aşağıda bir ihlalin tetikleyebileceği tipik veri kategorileri özetlenmiştir:
Veri İhlali Türleri ve Temel Kavramlar
Bir veri ihlalinin doğru yönetilmesi için önce türünün ve etkilediği güvenlik boyutunun belirlenmesi gerekir. Uygulamada ihlaller genellikle üç temel boyutta değerlendirilir: gizlilik ihlali (verilerin yetkisiz kişilerce görülmesi veya ele geçirilmesi), bütünlük ihlali (verilerin izinsiz değiştirilmesi veya bozulması) ve erişilebilirlik ihlali (verilere erişimin engellenmesi ya da verilerin kaybı). Bir olayda bu boyutların biri veya birkaçı aynı anda gerçekleşebilir.
Sürecin tarafları bakımından da bazı kavramların netleşmesi önemlidir. Veri sorumlusu, kişisel verilerin işleme amaç ve araçlarını belirleyen taraftır ve bildirim yükümlülüğünün asıl muhatabıdır. Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen taraftır. İlgili kişi ise kişisel verisi işlenen gerçek kişidir ve ihlalden etkilenen kişi konumundadır.
- Dış kaynaklı ihlaller: Fidye yazılımı, kimlik avı (phishing), yetkisiz sızma gibi kötü niyetli üçüncü kişilerin eylemleri.
- İç kaynaklı ihlaller: Çalışanın yetkisiz erişimi veya veriyi dışarı sızdırması, dikkatsizlik sonucu yanlış alıcıya gönderim.
- Teknik/organizasyonel kusurlar: Yanlış yapılandırılmış sunucu, güncellenmeyen yazılım, zayıf erişim yönetimi.
- Fiziksel ihlaller: Kayıp veya çalınan cihazlar, evrakların uygunsuz imhası, güvenli olmayan arşivleme.
İhlalin türü ve etkilediği güvenlik boyutu, hem riskin ciddiyetinin değerlendirilmesinde hem de ilgili kişilere bildirim yapılıp yapılmayacağının belirlenmesinde doğrudan rol oynar. Bu tespit, bildirim metninin de temelini oluşturur.
Sık Karşılaşılan Veri İhlali Örnek Durumları
Uygulamada en çok karşılaşılan ihlal senaryoları ve öne çıkan hukuki noktalar aşağıda özetlenmiştir. Bu örnekler, bir işletmenin hangi durumlarda bildirim sürecini işletmesi gerektiğini somutlaştırmaya yardımcı olur:
- E-ticaret sitesinden müşteri verisi sızması: Sitedeki bir açık üzerinden müşteri ad, adres, sipariş ve ödeme bilgilerinin ele geçirilmesi. Finansal veri içerdiğinden yüksek riskli kabul edilir.
- Fidye yazılımı saldırısı: İşletmenin sistemlerinin şifrelenmesi ve verilere erişimin engellenmesi. Erişilebilirlik ihlali oluşturur; veri kopyalanmışsa gizlilik ihlali de eklenir.
- Yanlış alıcıya toplu e-posta: Bir bültenin alıcı listesinin gizli yerine açık alanda gönderilmesiyle tüm alıcıların e-posta adreslerinin ifşa olması.
- Çalışanın veri sızdırması: Ayrılan bir çalışanın müşteri listesini veya çalışan özlük verilerini yetkisiz biçimde kopyalaması.
- Kayıp cihaz: Şifrelenmemiş bir dizüstü bilgisayarın veya telefonun kaybolması ya da çalınması.
- Sağlık kuruluşunda hasta verisi ihlali: Özel nitelikli veri içerdiğinden bu tür ihlaller daha yüksek risk taşır ve genellikle ilgili kişilere bildirimi gerektirir.
Görevli ve Yetkili Merci: İhlal Kime Bildirilir?
Veri ihlali sürecinde birden çok merci devreye girer; her birinin işlevi farklıdır. Doğru merciye, doğru zamanda başvurmak sürecin sağlıklı yürümesi için belirleyicidir:
| Merci / Taraf | Rolü | Ne Zaman Devreye Girer |
|---|---|---|
| Kişisel Verileri Koruma Kurulu | Denetim ve karar | İhlalin öğrenilmesinden itibaren en geç 72 saat içinde bildirim |
| İlgili kişiler (etkilenenler) | Bilgilendirme muhatabı | Makul en kısa sürede, mümkünse doğrudan bildirim |
| Asliye / tüketici mahkemesi | Tazminat yargısı | Zarar gören kişi tazminat talep ettiğinde |
| İdare mahkemesi | Ceza itirazı | İdari para cezasının iptali istendiğinde |
| Cumhuriyet Başsavcılığı | Cezai soruşturma | Verilerin hukuka aykırı ele geçirilmesi/yayılması hâlinde |
Görüldüğü üzere veri ihlali süreci tek bir mahkemeye değil, idari, hukuk ve ceza yargısı ile denetim otoritesine yayılan çok katmanlı bir yapıya sahiptir. Bir işletme aynı olay nedeniyle hem Kurul denetimiyle, hem tazminat davasıyla, hem de cezai soruşturmayla karşılaşabilir. Bu nedenle sürecin başında bütüncül bir strateji kurulması önemlidir.
Tazminat ve itiraz davalarında yetkili yer, genel kural olarak davalının yerleşim yeri yanında zararın doğduğu yer veya tüketicinin yerleşim yeri gibi ölçütlere göre belirlenir. Çubuk kaynaklı uyuşmazlıklar bu kurallara göre Ankara Adliyesi yargı çevresindeki ilgili mahkemede görülür.
İspat ve Deliller: İhlali ve Kusursuzluğu Nasıl Belgelemeli?
Veri ihlali süreçlerinde ispat iki yönlüdür. Bir yandan ihlalden zarar gören kişi, zararını ve bunun ihlalle bağlantısını ortaya koymak durumundadır; diğer yandan veri sorumlusu, gerekli teknik ve idari tedbirleri aldığını ve bildirim yükümlülüğünü zamanında yerine getirdiğini belgelemek zorundadır. Bu ikinci yön, işletmenin idari para cezasını azaltması veya sorumluluktan kurtulması bakımından hayati önem taşır.
Bu nedenle bir ihlal anında yapılan her işlemin kayıt altına alınması esastır. İhlalin tespit edildiği tarih ve saat, alınan aksiyonlar, bilgilendirilen taraflar ve süreç kronolojisi belgelenmelidir. Bu belgeler, hem Kurul bildiriminin dayanağı hem de olası bir denetimde işletmenin özenini gösteren delil niteliğindedir.
Alınan teknik/idari tedbirlerin kayıtları, veri işleme envanteri, ihlal müdahale planı, sistem logları, bildirim kayıtları ve olay kronolojisi. Bunlar kusursuzluğun ortaya konmasında kullanılır.
Adli bilişim (forensic) raporu, saldırının kapsamını, etkilenen veri kategorilerini ve olayın kronolojisini ortaya koyar; bildirim metninin doğruluğunu destekler.
Başvuru ve Şikâyet Yolları
Veri ihlalinden etkilenen bir kişi ile bir ihlal yaşayan işletmenin izleyebileceği yollar farklıdır. Etkilenen kişi açısından öncelikle veri sorumlusuna başvuru, ardından Kurul'a şikâyet ve tazminat davası gündeme gelirken; işletme açısından Kurul'a bildirim ve gerekirse cezaya itiraz süreçleri söz konusudur:
| Kanal | Kim Başvurur | Amaç / Sonuç |
|---|---|---|
| Veri sorumlusuna başvuru | İlgili kişi | Kanunun 13. maddesi kapsamında talep; yanıt için yasal süre işler |
| Kurul'a şikâyet | İlgili kişi | Veri sorumlusuna başvuru sonuçsuz kalırsa denetim başlatılabilir |
| Kurul'a ihlal bildirimi | Veri sorumlusu | 72 saat içinde yükümlülüğün yerine getirilmesi |
| Tazminat davası | Zarar gören kişi | Maddi ve manevi tazminat talebi |
| Cezaya itiraz / iptal davası | İşletme | İdari para cezasının hukuka uygunluk denetimi |
İlgili kişinin Kurul'a şikâyet edebilmesi için kural olarak önce veri sorumlusuna başvurup sonuç alamamış olması gerekir. İşletmenin bu başvuruya süresinde ve gerektiği gibi yanıt vermesi, hem şikâyeti önleyebilir hem de sonraki süreçte lehine değerlendirilebilir.
Veri İhlali Bildirimi Süreci — Adım Adım
Bir ihlal fark edildiğinde izlenecek yol, 72 saatlik sürenin doğru yönetilmesi etrafında kurgulanır. Aşağıda tipik aşamalar ve süre notları yer alır:
İhlalin fark edildiği tarih ve saat belgelenir. 72 saatlik süre bu "öğrenme" anından itibaren işlemeye başlar; bu nedenle kaydın doğru tutulması kritiktir.
İhlalin yayılmasını durdurmaya yönelik teknik önlemler alınır: etkilenen hesapların kilitlenmesi, açığın kapatılması, erişimlerin gözden geçirilmesi. Bu aşama saatler içinde başlatılmalıdır.
Hangi kişisel veri kategorilerinin, kaç kişinin etkilendiği ve olası sonuçların ciddiyeti belirlenir. İlgili kişilere bildirim gerekip gerekmediği bu değerlendirmeye dayanır.
En geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na, öngörülen bilgileri içeren bildirim yapılır. Süre aşılmışsa gecikmenin gerekçesi bildirimle birlikte açıklanır.
Etkilenen kişilere, makul en kısa sürede ve mümkünse doğrudan, açık ve anlaşılır bir dille bilgilendirme yapılır; alınabilecek koruyucu önlemler belirtilir.
Tüm süreç ve alınan aksiyonlar belgelenir; ihlalin tekrarını önleyecek teknik ve idari iyileştirmeler hayata geçirilir. Bu adım denetimde işletme lehine değerlendirilir.
Bildirim yükümlülüğü 72 saatle sınırlı olsa da, Kurul'un incelemesi, olası denetim ve varsa tazminat/itiraz davaları çok daha uzun sürebilir. Baştan doğru ve eksiksiz yürütülen bir bildirim süreci, sonraki aşamaların yükünü belirgin biçimde azaltır.
Talep ve Tazminat Kalemleri
Bir veri ihlalinden zarar gören kişi, kişilik haklarının ve kişisel verilerinin hukuka aykırı işlenmesi nedeniyle Türk Borçlar Kanunu'nun ilgili hükümleri çerçevesinde tazminat talep edebilir. Bu talepler maddi ve manevi olmak üzere iki ana başlıkta toplanır:
İhlal nedeniyle uğranılan somut, parasal olarak hesaplanabilen zararlar: kimlik hırsızlığı sonucu doğan mali kayıplar, kart iptali ve yeniden düzenleme masrafları, dolandırıcılık kaynaklı zararlar gibi kalemler.
Verilerin ifşası nedeniyle yaşanan üzüntü, endişe ve kişilik haklarının zedelenmesine karşılık gelir; hâkim tarafından hakkaniyete göre takdir edilir. Özellikle özel nitelikli verilerin ifşasında öne çıkar.
Tazminat talebinin kabulü için ihlalin varlığı, bir zararın doğması ve zarar ile ihlal arasında nedensellik bağının bulunması gerekir. İşletmenin gerekli tedbirleri aldığını ve kusursuz olduğunu ispatlaması, sorumluluğunu etkileyebilir. İdari para cezası ise tazminattan bağımsızdır; biri diğerinin yerine geçmez, aynı olay her iki sonucu birlikte doğurabilir.
Tazminat ve Ceza Miktarını Belirleyen Etkenler
Hem tazminat miktarı hem de Kurul'un uygulayacağı idari para cezası, sabit bir rakama bağlı değildir; olayın somut özelliklerine göre değişir. Miktarı etkileyen başlıca etkenler:
- Etkilenen kişi sayısı ve veri hacmi: İhlalin kapsamı genişledikçe hem risk hem de yaptırımın ağırlığı artar.
- Verinin niteliği: Özel nitelikli (sağlık, biyometrik gibi) veya finansal verilerin ele geçirilmesi daha ağır sonuç doğurur.
- Alınan tedbirlerin yeterliliği: Verilerin şifreli olması, güçlü erişim yönetimi gibi tedbirler işletme lehine değerlendirilir.
- Bildirimin zamanında yapılıp yapılmadığı: 72 saatlik sürenin aşılması veya bildirim yapılmaması ağırlaştırıcı etkendir.
- İhlalin sonuçlarının ağırlığı: Etkilenen kişilerin uğradığı somut zararın büyüklüğü.
- İşletmenin iş birliği ve iyileştirme çabası: Kurul ile iş birliği ve tekrarı önleyici adımlar hafifletici olabilir.
İdari para cezasının alt ve üst sınırları her yıl yeniden değerleme oranıyla güncellenir; tazminat ise somut zarara ve hâkimin takdirine dayanır. Bu nedenle internetteki sabit rakamlar yanıltıcı olabilir; sağlıklı bir değerlendirme ancak dosya incelendikten sonra yapılabilir.
Zamanaşımı, Bildirim Süresi ve Hak Düşürücü Süreler
Bildirim süresi, cezaya itiraz süresi ve tazminat zamanaşımı birbirinden farklıdır. Süre kaçırıldığında hem yükümlülük ihlali doğar hem de dava hakkı kaybedilebileceğinden, her aşamanın takvimi ayrı ayrı yönetilmelidir.
| Süreç | Süre Yaklaşımı |
|---|---|
| Kurul'a ihlal bildirimi | İhlalin öğrenilmesinden itibaren gecikmeksizin, en geç 72 saat |
| İlgili kişilere bildirim | Makul en kısa sürede, mümkünse doğrudan |
| İdari para cezasına itiraz | Cezanın tebliğinden itibaren kanunda öngörülen dava açma süresi içinde |
| Tazminat davası | Zararın ve sorumlunun öğrenilmesinden itibaren işleyen kısa süre + fiilden itibaren işleyen uzun (üst sınır) süre |
Süreler olayın niteliğine göre değişebildiğinden ve hak kaybına yol açabildiğinden, somut sürelerin bir avukatla teyit edilmesi önemlidir.
Özel Durumlar: Sınır Ötesi Aktarım, Özel Nitelikli Veri ve Grup Şirketleri
Bazı ihlaller ek değerlendirme gerektirir. Kişisel verilerin yurt dışına aktarıldığı hâllerde, ihlal yurt dışındaki bir hizmet sağlayıcıda gerçekleşmiş olsa dahi Türkiye'deki veri sorumlusunun bildirim yükümlülüğü devam eder; bu nedenle aktarım sözleşmelerinde ihlal bildirim mekanizmasının açıkça düzenlenmesi gerekir. Özel nitelikli kişisel veriler (sağlık, biyometrik, din, siyasi görüş gibi) etkilendiğinde ihlalin riski daha yüksek kabul edilir ve ilgili kişilere bildirim çoğu kez zorunlu hâle gelir.
Grup şirketlerinde veya ortak veri işleme yapılarında, ihlalin hangi tüzel kişinin veri sorumlusu sıfatıyla bildirilmesi gerektiği bazen karmaşıklaşır. Farklı şirketlerin ortak bir sistemi kullandığı hâllerde, her birinin kendi veri sorumlusu sorumluluğunu değerlendirmesi ve iş bölümünü önceden belirlemesi gerekir. Bu tür yapılarda tek bir olay, birden çok veri sorumlusu için ayrı bildirim yükümlülüğü doğurabilir.
Bir bulut hizmeti veya yurt dışı yazılım sağlayıcısında yaşanan ihlal, Türkiye'deki veri sorumlusunu doğrudan ilgilendirir. Sözleşmelerde bildirim süre ve usulünün netleştirilmemesi, 72 saatlik sürenin kaçırılmasına yol açan en sık nedenlerden biridir.
Veri İhlali Bildirimi İçin Gerekli Belgeler
Sürecin sağlıklı yürütülmesi ve işletmenin özeninin ortaya konması için aşağıdaki belge ve kayıtların hazır bulundurulması önemlidir:
- İhlalin tespit tarihi ve saatini gösteren kayıtlar (olay kronolojisi)
- Etkilenen kişisel veri kategorileri ve yaklaşık kişi sayısını gösteren envanter
- Alınan teknik ve idari tedbirlerin dökümü (müdahale kayıtları)
- Varsa adli bilişim (forensic) inceleme raporu
- Sistem ve erişim logları
- Veri işleme envanteri ve kişisel veri işleme politikaları
- Veri işleyenlerle imzalanmış veri işleme/gizlilik sözleşmeleri
- İlgili kişilere yapılan bildirimin içeriği ve iletim kaydı
Belgelerin bir kısmına ihlal anında ulaşmak zor olabileceğinden, önceden hazırlanmış bir ihlal müdahale planı ve envanter süreci belirgin biçimde hızlandırır.
Çubuk'da Veri İhlali Avukatı Seçerken Dikkat Edilecekler
Veri ihlali süreçleri hem teknik hem de hukuki yönü olan, süreye duyarlı dosyalardır; bu nedenle avukat seçimi sürecin sonucunu doğrudan etkiler. Değerlendirmede öne çıkan ölçütler:
- KVKK ve veri hukuku deneyimi: Bildirim süreçlerine, Kurul kararlarına ve uyum çalışmalarına hâkimiyet.
- Kriz yönetimi yetkinliği: 72 saatlik süre baskısı altında hızlı ve doğru yönlendirme yapabilme.
- Teknik ekiplerle çalışabilme: Bilişim uzmanları ve adli bilişim raporlarıyla koordineli hareket edebilme.
- Bildirim metni hazırlama tecrübesi: İşletmeyi gereksiz risk altına sokmayacak, hukuka uygun ve eksiksiz metin oluşturabilme.
- Denetim ve dava temsili: Kurul nezdinde savunma ve idari para cezasına karşı iptal davası yürütebilme.
- Yerel yargı bilgisi: Ankara Adliyesi ve bölge mahkemelerinin uygulamalarına aşinalık.
İlk görüşmede avukata sorabileceğiniz sorular
- Yaşadığım olay gerçekten bildirim gerektiren bir veri ihlali mi?
- 72 saatlik süreyi kaçırdıysam ne yapmalıyım; nasıl bir yol izlenir?
- İlgili kişilere bildirim yapmam gerekiyor mu, içeriği nasıl olmalı?
- İdari para cezası riski nedir, cezaya nasıl itiraz edebilirim?
- Gelecekteki ihlalleri önlemek için hangi uyum çalışmalarını yapmalıyım?
İlgili Mevzuat
- Kişisel Verilerin Korunması Kanunu (6698)
Veri güvenliği yükümlülükleri ve ihlal bildirimi (m.12) - KVKK m.18 — Kabahatler
Yükümlülüklere aykırılık hâlinde idari para cezaları - Türk Borçlar Kanunu (6098)
Haksız fiil, kişilik hakkı ihlali, maddi ve manevi tazminat - Türk Ceza Kanunu (5237)
Kişisel verilerin hukuka aykırı ele geçirilmesi ve yayılması (m.135-140) - Kurul İlke Kararları
72 saat kuralı ve ihlal bildirim usul ve içeriğine ilişkin kararlar
Kurul ve Yargı Yaklaşımlarında Öne Çıkan İlkeler
Kişisel Verileri Koruma Kurulu kararları ve yargı içtihatlarında istikrar kazanmış başlıca ilkeler:
Bildirimin, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılması gerektiği; sürenin aşıldığı hâllerde gecikme gerekçesinin açıklanmasının arandığı yönündeki yerleşik yaklaşım.
İhlalin gerçekleşmiş olmasının tek başına sorumluluğu belirlemediği; veri sorumlusunun gerekli teknik ve idari tedbirleri alıp almadığının ayrıca değerlendirildiği ilkesi.
Riskin yüksek olduğu, özellikle özel nitelikli veya finansal verilerin etkilendiği hâllerde ilgili kişilere de bildirimin gerektiği yönündeki değerlendirme.
Bildirimin eksiksiz ve şeffaf yapılması ile Kurul'la iş birliğinin, yaptırımın belirlenmesinde işletme lehine dikkate alınabildiği yönündeki eğilim.
Önleyici Uyum: İhlal Yaşanmadan Önce Yapılması Gerekenler
Veri ihlali yönetiminin en etkili aşaması, ihlal yaşanmadan önceki hazırlıktır. İşletmelerin bir olay anında 72 saatlik süreyi doğru yönetebilmesi, ancak önceden kurgulanmış bir yapıyla mümkündür. Bu kapsamda; kişisel veri işleme envanterinin çıkarılması, aydınlatma ve açık rıza metinlerinin güncellenmesi, veri işleyenlerle imzalanan sözleşmelerde ihlal bildirim mekanizmasının düzenlenmesi ve bir ihlal müdahale planının hazırlanması temel adımlardır.
Ayrıca çalışanların düzenli olarak bilgilendirilmesi ve farkındalık eğitimleri, iç kaynaklı ihlallerin önlenmesinde belirleyicidir; ihlallerin önemli bir bölümü teknik açıklardan değil, insan hatasından kaynaklanır. Erişim yetkilerinin sınırlandırılması, güçlü kimlik doğrulama ve şifreleme gibi teknik tedbirler ise dış kaynaklı saldırıların etkisini azaltır. Bu önleyici çalışmalar, hem bir ihlal olasılığını düşürür hem de olay gerçekleştiğinde işletmenin özenini ortaya koyarak yaptırım riskini hafifletir.
Önceden hazırlanmış bir ihlal müdahale planı ve güncel veri envanteri, olay anında hangi verilerin etkilendiğinin dakikalar içinde belirlenmesini sağlar. Bu da 72 saatlik sürenin doğru yönetilmesinin en pratik güvencesidir.
Sık Sorulan Sorular
Veri ihlali bildirimi nedir ve Çubuk'daki bir işletmeyi neden ilgilendirir?
Veri ihlali bildirimi, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun Kişisel Verileri Koruma Kurulu'na ve etkilenen ilgili kişilere yaptığı resmî bildirimdir. Bu yükümlülük yalnızca büyük teknoloji şirketlerini değil; müşteri, çalışan, hasta veya üye verisi tutan her ölçekteki işletmeyi, serbest meslek mensubunu ve dernekleri de kapsar. İlçede faaliyet gösteren bir e-ticaret sitesi, klinik, muhasebe bürosu ya da mağaza da veri sorumlusu sıfatı taşıdığında aynı yükümlülük altındadır. Bildirimin hiç yapılmaması veya geç yapılması idari para cezası riskini doğurduğundan, yerel işletmeler için de bu konu doğrudan hukuki ve mali sonuç üretir.
KVKK'ya göre veri ihlali bildirimi kaç saat içinde yapılmalıdır?
Kanunun 12. maddesi, veri sorumlusunun ihlali öğrenmesinden itibaren bildirimi 'en kısa sürede' yapmasını öngörür. Kişisel Verileri Koruma Kurulu ise bu ifadeyi somutlaştırarak, ihlalin öğrenildiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirim yapılması gerektiğini belirlemiştir. Haklı bir gerekçeyle bu süre içinde bildirim yapılamamışsa, gecikmenin nedenleri bildirimle birlikte Kurul'a açıklanır. İlgili kişilere yönelik bildirim ise makul en kısa sürede ve mümkünse doğrudan yapılır. 72 saatlik sürenin başlangıcı ihlalin 'öğrenilme' anı olduğundan, tespit tarihinin ve saatinin belgelenmesi süreç yönetiminde kritik önem taşır.
Her siber saldırı veya veri sızıntısı bildirim gerektirir mi?
Bildirim yükümlülüğü, olayın kişisel veri içermesi ve verilerin kanuna aykırı biçimde başkalarınca elde edilmiş olması koşuluyla doğar. Kişisel veri içermeyen, yalnızca ticari veya teknik bilgiyi etkileyen bir olay tek başına KVKK bildirimini tetiklemeyebilir. Buna karşılık müşteri e-postaları, kimlik bilgileri, sağlık verileri veya finansal veriler gibi kişisel verilerin ele geçirildiği hâllerde bildirim gündeme gelir. Verinin şifreli olması, erişilemez hâle gelmiş olması gibi teknik tedbirler riskin değerlendirilmesinde dikkate alınsa da, bu durumların bildirim yükümlülüğünü tümüyle ortadan kaldırıp kaldırmadığı olayın somut özelliklerine göre değerlendirilir. Tereddüt hâlinde bildirim yapmamak yerine hukuki değerlendirme alınması güvenli yaklaşımdır.
Veri ihlali bildirimi yapılmazsa hangi yaptırımlar uygulanır?
Kanunun 18. maddesi, veri güvenliğine ilişkin yükümlülüklere aykırılık hâlinde idari para cezası öngörür; cezanın alt ve üst sınırları her yıl yeniden değerleme oranında güncellendiğinden güncel tutar için ilgili yılın tarifesine bakılmalıdır. Bildirim yükümlülüğünün hiç yerine getirilmemesi, geç yerine getirilmesi veya eksik yerine getirilmesi Kurul tarafından ayrıca değerlendirilir. Bunun yanında, gerekli teknik ve idari tedbirlerin alınmamış olması bağımsız bir aykırılık oluşturabilir. İdari para cezasının yanında, ihlalden zarar gören ilgili kişiler tazminat davası açabilir; kişisel verilerin hukuka aykırı biçimde ele geçirilmesi ya da yayılması hâlinde Türk Ceza Kanunu kapsamında cezai sorumluluk da doğabilir.
Veri sorumlusu ile veri işleyen arasında bildirim yükümlülüğü nasıl paylaşılır?
Kurul'a ve ilgili kişilere bildirim yükümlülüğü kural olarak veri sorumlusuna aittir; işleme amaç ve araçlarını belirleyen taraf odur. Veri işleyen ise, veri sorumlusu adına veriyi işleyen taraftır ve bir ihlali tespit ettiğinde bunu gecikmeksizin veri sorumlusuna bildirmekle yükümlüdür. Örneğin bir bulut hizmet sağlayıcısı veya yazılım firması, sunucularında yaşanan ihlali fark ettiğinde önce veri sorumlusunu haberdar eder; Kurul'a resmî bildirimi ise veri sorumlusu yapar. Bu iş bölümünün önceden imzalanan veri işleme sözleşmesinde açıkça düzenlenmesi, ihlal anında yaşanacak belirsizliği ve süre kaybını önler.
İlgili kişilere bildirim nasıl yapılır ve hangi bilgileri içermelidir?
İhlalden etkilenen kişilere yapılacak bildirim, mümkünse doğrudan iletişim kanallarıyla (e-posta, SMS, kısa mesaj) yapılır; doğrudan bildirimin makul çabaya rağmen mümkün olmadığı hâllerde işletmenin internet sitesinde yayımlama gibi uygun yöntemler kullanılabilir. Bildirim, ilgili kişinin anlayabileceği açık ve sade bir dille kaleme alınmalıdır. İçeriğinde ihlalin ne zaman ve nasıl gerçekleştiği, hangi tür kişisel verilerin etkilendiği, olası sonuçlar, alınan ve alınması önerilen tedbirler ile başvurulabilecek iletişim noktaları yer alır. Bu bildirimin amacı, kişilerin kendi verilerini korumak için (parola değiştirme, kart iptali gibi) zamanında önlem alabilmesini sağlamaktır.
Bir ihlal yaşandığında ilk 72 saatte atılması gereken adımlar nelerdir?
İhlal fark edilir edilmez öncelikle olayın kapsamı belirlenir: hangi sistemlerin ve hangi kişisel veri kategorilerinin etkilendiği, etkilenen kişi sayısı ve olayın hâlâ devam edip etmediği tespit edilir. Ardından ihlali durdurmaya ve yayılmasını sınırlamaya yönelik teknik önlemler alınır (etkilenen hesapların kilitlenmesi, açığın kapatılması gibi). Aynı anda olayın kronolojisi ve alınan tüm aksiyonlar belgelenir; bu kayıtlar hem Kurul bildiriminin doğru hazırlanması hem de olası bir denetimde kusursuzluğun ortaya konması bakımından değerlidir. Bu aşamada bir avukatla çalışmak, 72 saatlik sürenin doğru yönetilmesini ve bildirim metninin hukuki riski büyütmeyecek biçimde hazırlanmasını sağlar.
Çubuk'da veri ihlaliyle ilgili tazminat davası hangi mahkemede açılır?
İhlalden zarar gören kişi, kişilik haklarının ve kişisel verilerinin korunması kapsamında maddi ve manevi tazminat talep edebilir. Taraflar arasında bir sözleşme ilişkisi varsa (örneğin bir hizmet aboneliği) uyuşmazlık tüketici işlemi niteliği taşıyabilir ve tüketici mahkemesi görevli olabilir; aksi hâlde genel görevli asliye hukuk mahkemesi devreye girer. İdari para cezasına karşı yapılacak itiraz ise idari yargı düzeninde görülür. Bu ayrımlar davanın niteliğine göre değiştiğinden, doğru forumun baştan belirlenmesi önemlidir. İlçedeki uyuşmazlıklar, yer bakımından yetki kurallarına göre Ankara Adliyesi yargı çevresindeki ilgili mahkemede ele alınır.
Küçük işletmeler ve serbest meslek sahipleri de veri ihlali bildirimi yapmak zorunda mı?
Evet. KVKK bildirim yükümlülüğü işletmenin büyüklüğüne değil, veri sorumlusu sıfatına bağlıdır. Müşteri veya hasta kaydı tutan bir esnaf, klinik, avukatlık bürosu, muhasebeci veya küçük bir yazılım şirketi de kişisel veri işlediği ölçüde bu yükümlülük altındadır. Çalışan sayısının azlığı veya cironun düşüklüğü tek başına muafiyet sağlamaz. Ancak veri sorumluları siciline (VERBİS) kayıt yükümlülüğü bakımından bazı ölçütlere göre istisnalar öngörülmüş olabilir; bu, ihlal bildirimi yükümlülüğünden ayrı bir konudur. Dolayısıyla küçük ölçekli bir işletmenin de bir ihlal yaşadığında bildirim sürecini işletmesi gerekir.
Bir veri ihlali avukatı süreçte tam olarak nasıl yardımcı olur?
Veri ihlali ve KVKK uyumu alanında çalışan bir avukat, öncelikle olayın gerçekten bildirim gerektirip gerektirmediğini hukuki olarak değerlendirir ve 72 saatlik sürenin doğru yönetilmesini sağlar. Kurul'a sunulacak bildirim metnini, işletmeyi gereksiz risk altına sokmayacak biçimde hukuka uygun ve eksiksiz hazırlar; ilgili kişilere yapılacak bilgilendirmenin dilini ve kapsamını düzenler. Denetim veya soruşturma açılması hâlinde işletmeyi Kurul nezdinde temsil eder, savunmalarını hazırlar ve idari para cezasına karşı iptal davası açar. Bunun yanında olay öncesinde politika, aydınlatma metni ve sözleşmelerin gözden geçirilmesiyle önleyici uyum çalışması yürüterek gelecekteki riskleri azaltır.