KVKK Veri İhlali Bildirim Dilekçesi Nasıl Yazılır? (2026 Güncel Rehber)

Kısa Özet

Kişisel verilerin hukuka aykırı olarak işlenmesi, erişilmesi, ifşa edilmesi veya kaybolması durumunda veri sorumlularının, öğrendikleri andan itibaren 72 saat içinde Kişisel Verileri Koruma Kurumu'na (KVKK) bildirimde bulunma yükümlülüğü vardır. Bu bildirim, resmi bir dilekçe ile yapılır ve belirli zorunlu unsurları içermelidir. Bu rehber, 2026 yılı güncel mevzuatı ve Kurul kararları ışığında, ihlal bildirim dilekçesinin nasıl yazılacağını, hangi bilgilerin yer alması gerektiğini ve sürecin nasıl işlediğini adım adım açıklamaktadır.

Detaylı Açıklama

1. Yasal Dayanak ve Yükümlülük

Kişisel veri ihlali bildirim yükümlülüğü, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12. maddesi ve buna bağlı olarak çıkarılan Veri Sorumluları Sicili Hakkında Yönetmelik ile düzenlenmiştir. KVKK'nın 12. maddesinin (5) numaralı fıkrası uyarınca:

"Kişisel verilerin kanuni olmayan yollarla işlenmesi halinde, bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekli görmesi halinde bu durumu kendi internet sitesinde ya da başka bir yöntemle ilan edebilir."

Ayrıca, Veri Sorumluları Sicili Hakkında Yönetmeliği'nin 16. maddesi ve Kişisel Verileri Koruma Kurulu'nun 24 Ocak 2019 tarihli ve 2019/10 sayılı Kararı ile ihlal bildiriminin usul ve esasları belirlenmiştir. Bu düzenlemelere göre, veri sorumlusu ihlali öğrendiği andan itibaren 72 saat içinde Kurul'a bildirmekle yükümlüdür. Bu süre, ihlalin tespit edildiği andan itibaren işlemeye başlar.

2. Bildirim Dilekçesinin Hazırlanması

KVKK'ya yapılacak ihlal bildirimi, VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) üzerinden elektronik ortamda yapılır. Ancak, sistem üzerinden yapılan bildirimin yanı sıra, resmi bir dilekçe ile de Kurul'a başvuru yapılabilir. Dilekçenin yazımında aşağıdaki unsurlara dikkat edilmelidir:

#### a) Başlık ve Hitap

Dilekçe, Kişisel Verileri Koruma Kurumu Başkanlığı'na hitaben yazılmalıdır. Kurumun resmi adresi: Nasuh Akar Mahallesi 1407. Sok. No:4, 06520 Çankaya/Ankara'dır.

#### b) Bilgi ve Belge İçeriği

KVKK'nın 12. maddesi ve Kurul kararları uyarınca, ihlal bildirim dilekçesinde aşağıdaki bilgilerin yer alması zorunludur:

1. Veri Sorumlusunun Kimlik Bilgileri: Adı, unvanı, adresi, VERBİS kayıt numarası (varsa), iletişim bilgileri.

2. İhlalin Tarihi ve Saati: İhlalin ne zaman meydana geldiği veya öğrenildiği.

3. İhlalin Türü: Örneğin, yetkisiz erişim, veri sızıntısı, kayıp, hırsızlık, ifşa vb.

4. İhlalden Etkilenen Kişi Grupları ve Sayısı: Mümkünse sayı belirtilmeli.

5. İhlalden Etkilenen Kişisel Veri Kategorileri: Örneğin, kimlik bilgileri, iletişim bilgileri, sağlık verileri, finansal bilgiler vb.

6. İhlalin Muhtemel Sonuçları: Kişilerin maruz kalabileceği riskler (kimlik hırsızlığı, maddi kayıp, itibar kaybı vb.).

7. Alınan Tedbirler: İhlalin etkilerini azaltmak ve tekrarını önlemek için alınan veya alınması planlanan önlemler.

8. İhlalin İlgili Kişilere Bildirilip Bildirilmediği: Bildirildiyse hangi yöntemle ve ne zaman yapıldığı.

9. İletişim Bilgileri: Veri sorumlusu veya yetkilendirilmiş kişinin adı, soyadı, telefonu, e-posta adresi.

#### c) Örnek Dilekçe Formatı

Aşağıda, KVKK veri ihlali bildirimi için örnek bir dilekçe formatı sunulmuştur:

```

[Şirket Antetli Kağıdı]

Tarih: [Gün/Ay/Yıl]

KİŞİSEL VERİLERİ KORUMA KURUMU BAŞKANLIĞI'NA

Nasuh Akar Mahallesi 1407. Sok. No:4

06520 Çankaya/ANKARA

Konu: Kişisel Veri İhlali Bildirimi

Sayın Yetkili,

[Şirket Ünvanı] olarak, VERBİS kayıt numaramız [VERBİS No]'dir. Şirketimiz bünyesinde meydana gelen bir veri ihlali tespit edilmiş olup, 6698 sayılı KVKK'nın 12. maddesi ve ilgili mevzuat gereği işbu bildirimin yapılması zorunluluğu doğmuştur.

1. İhlalin Tarihi ve Saati: [İhlalin gerçekleştiği tarih ve saat]

2. İhlalin Türü: [Örn: Yetkisiz erişim / Veri sızıntısı / Kayıp / Hırsızlık]

3. İhlalden Etkilenen Kişi Grupları ve Sayısı: [Örn: Müşterilerimizden yaklaşık 5.000 kişi]

4. Etkilenen Kişisel Veri Kategorileri: [Örn: Kimlik bilgileri (ad, TCKN), iletişim bilgileri (e-posta, telefon), finansal bilgiler (kredi kartı son 4 hane)]

5. İhlalin Muhtemel Sonuçları: [Örn: Kimlik hırsızlığı, dolandırıcılık riski, itibar kaybı]

6. Alınan Tedbirler: [Örn: İhlal tespit edilir edilmez ilgili sistemler kapatılmış, şifreler değiştirilmiş, adli bilişim uzmanlarına inceleme başlatılmıştır.]

7. İlgili Kişilere Bildirim: [Örn: İhlal, e-posta ile ilgili kişilere bildirilmiştir / Bildirilmemiştir]

8. İletişim Bilgileri: [Yetkili kişinin adı, soyadı, unvanı, telefonu, e-posta adresi]

Bilgilerinize arz ederim.

Saygılarımla,

[İmza]

[Ad Soyad]

[Unvan]

[Şirket Kaşesi]

```

3. Bildirim Süreci ve Dikkat Edilmesi Gerekenler

• 72 Saat Kuralı: İhlal öğrenildiği andan itibaren 72 saat içinde bildirim yapılmalıdır. Bu süre, ihlalin tespit edildiği andan itibaren işler. Geç bildirim, idari para cezasına neden olabilir.
• VERBİS Üzerinden Bildirim: Kurul, ihlal bildirimlerinin VERBİS üzerinden yapılmasını önermektedir. Bu nedenle, dilekçenin yanı sıra sistem üzerinden de bildirim yapılması önemlidir.
• İlgili Kişilere Bildirim: KVKK'nın 12. maddesi, ihlalin ilgili kişilere de bildirilmesini öngörür. Bu bildirim, ihlalin muhtemel sonuçlarına göre gerekliyse yapılmalıdır. Kurul, bu bildirimin zorunlu olup olmadığına karar verebilir.
• İhlal Günlüğü: Veri sorumluları, ihlal kayıtlarını tutmakla yükümlüdür. Bu kayıtlar, denetimlerde önemli bir kanıt oluşturur.
• Hukuki Destek: İhlal bildirimi, hukuki sonuçları olan ciddi bir süreçtir. Bu nedenle, bir avukattan veya KVKK danışmanından destek alınması önerilir.

4. Yargı Kararları ve Kurul Kararları

Kişisel Verileri Koruma Kurulu, ihlal bildirimlerine ilişkin çeşitli kararlar almıştır. Örneğin, Kurul'un 2019/10 sayılı Kararı ile ihlal bildiriminin usul ve esasları belirlenmiştir. Ayrıca, Kurul, geç bildirim yapan veri sorumlularına idari para cezası uygulamaktadır. Örneğin, 2021 tarihli bir kararda, bir şirketin 72 saatlik süreyi aşarak bildirim yapması nedeniyle idari para cezası verilmiştir. Bu kararlar, bildirim sürecinin ciddiyetini ortaya koymaktadır.

Sonuç

KVKK veri ihlali bildirimi, veri sorumluları için yasal bir zorunluluktur ve sürecin doğru yönetilmesi büyük önem taşır. Bu rehberde açıklanan adımlar ve örnek dilekçe formatı, ihlal bildiriminin eksiksiz ve zamanında yapılmasına yardımcı olacaktır. Unutulmamalıdır ki, ihlal bildirimi sadece bir yükümlülük değil, aynı zamanda veri sorumlusunun itibarını koruma ve kişilerin mağduriyetini önleme açısından da kritik bir adımdır.

Sıkça Sorulan Sorular

1. KVKK veri ihlali bildirimi için 72 saatlik süre ne zaman başlar?

72 saatlik süre, veri sorumlusunun ihlali öğrendiği andan itibaren başlar. İhlalin gerçekleştiği tarih değil, tespit edildiği tarih esas alınır. Örneğin, bir siber saldırı 1 Ocak'ta gerçekleşmiş ancak 3 Ocak'ta fark edilmişse, süre 3 Ocak'tan itibaren işlemeye başlar ve 6 Ocak'a kadar bildirim yapılmalıdır.

2. Veri ihlali bildirimi yapılmazsa ne olur?

KVKK'nın 18. maddesi uyarınca, ihlal bildirim yükümlülüğünü yerine getirmeyen veri sorumlularına idari para cezası uygulanır. Ayrıca, Kurul, ihlalin duyurulmasına karar verebilir ve bu durum veri sorumlusunun itibarını olumsuz etkileyebilir. Cezalar, ihlalin niteliğine göre 2026 yılı için güncellenen tutarlar üzerinden hesaplanır.

3. İhlal bildirimi sadece VERBİS üzerinden mi yapılır?

Hayır, ihlal bildirimi hem VERBİS üzerinden elektronik ortamda hem de resmi bir dilekçe ile Kurul'a yapılabilir. Ancak, Kurul'un önerisi, bildirimin VERBİS üzerinden yapılmasıdır. Dilekçe ile yapılan başvurularda da aynı bilgilerin eksiksiz sunulması gerekir.

4. İhlal bildiriminde hangi bilgiler zorunludur?

Zorunlu bilgiler şunlardır: veri sorumlusunun kimlik bilgileri, ihlalin tarihi ve saati, ihlalin türü, etkilenen kişi grupları ve sayısı, etkilenen veri kategorileri, ihlalin muhtemel sonuçları, alınan tedbirler, ilgili kişilere bildirim yapılıp yapılmadığı ve iletişim bilgileri. Bu bilgilerin eksik olması, bildirimin geçersiz sayılmasına neden olabilir.

5. İhlal bildirimi için avukat tutmak zorunlu mu?

Hayır, avukat tutmak zorunlu değildir. Ancak, ihlal bildirimi hukuki sonuçları olan bir süreç olduğundan, bir avukattan veya KVKK danışmanından destek almak, sürecin doğru yönetilmesi ve olası cezaların önlenmesi açısından önerilir.

Kanun Referansları

• Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu

Madde: 12

Not: Kişisel verilerin hukuka aykırı işlenmesi halinde veri sorumlusunun ihlali ilgili kişiye ve Kurula bildirme yükümlülüğünü düzenler.

Kaynak: https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTuru=1&MevzuatTertip=5

• Kanun: Veri Sorumluları Sicili Hakkında Yönetmelik

Madde: 16

Not: Veri ihlali bildiriminin usul ve esaslarını belirler.

Kaynak: https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=30224&MevzuatTuru=7&MevzuatTertip=5

• Kanun: Kişisel Verileri Koruma Kurulu Kararı

Madde: 2019/10

Not: İhlal bildiriminin içeriği ve süresine ilişkin Kurul kararı.

Kaynak: https://www.kvkk.gov.tr/Icerik/5385/2019-10