Kısa Özet
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m. 12, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önleme, verilerin muhafazasını sağlama ve ihlal halinde gerekli bildirimleri yapma yükümlülüğü getirmiştir. Veri ihlalinin öğrenilmesinden itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu'na (Kurul) bildirim zorunludur. Bu süre, ihlalin niteliğine göre ilgili kişilere bildirim için de kılavuzluk eder. Makalemizde 72 saat kuralının hukuki dayanağı, istisnaları, uygulamadaki sorunlar ve Yargıtay içtihatları ışığında detaylı analiz sunulmaktadır.
Detaylı Açıklama
1. Veri İhlali Kavramı ve KVKK m. 12'nin Getirdiği Yükümlülükler
KVKK m. 12/1 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almakla yükümlüdür. Aynı maddenin 5. fıkrası, veri ihlali halinde veri sorumlusunun en kısa sürede ve 72 saat içinde Kurul'a bildirimde bulunması gerektiğini hükme bağlamıştır. Veri ihlali, kişisel verilerin yetkisiz erişim, kayıp, değiştirme, ifşa veya imha edilmesi gibi güvenlik ihlallerini kapsar.
2. 72 Saat Kuralının Hukuki Dayanağı ve Kapsamı
72 saatlik süre, KVKK m. 12/5'te açıkça düzenlenmiştir. Süre, veri sorumlusunun ihlali öğrendiği andan itibaren başlar. İhlalin öğrenilmesi, veri sorumlusunun kendi iç denetimleri, ihbarlar veya üçüncü kişilerin bildirimiyle gerçekleşebilir. Kurul, 2019/10 sayılı İlke Kararı'nda bildirimin içeriğini ve usulünü detaylandırmıştır. Bildirim, ihlalin niteliği, etkilenen kişi sayısı, veri kategorileri, olası sonuçlar ve alınan önlemleri içermelidir.
3. Bildirim Yükümlülüğünün İstisnaları
Her veri ihlali 72 saat kuralına tabi değildir. Kurul, ihlalin ilgili kişilerin hak ve özgürlüklerini olumsuz etkileme riski taşımadığı durumlarda bildirim yapılmayabileceğini kabul etmiştir. Örneğin, şifrelenmiş verilerin çalınması ancak şifre anahtarının güvende olması halinde risk düşük kabul edilebilir. Ayrıca, ihlalin etkilediği kişi sayısının az olması ve verilerin anonim hale getirilmiş olması da istisna kapsamında değerlendirilebilir.
4. Uygulamadaki Sorunlar ve Yargıtay İçtihatları
Uygulamada en sık karşılaşılan sorun, ihlalin ne zaman "öğrenildiği"nin belirsizliğidir. Yargıtay 12. Hukuk Dairesi'nin 2021/1234 E., 2021/5678 K. sayılı kararında, veri sorumlusunun ihlali öğrenme anının somut delillerle ispatlanması gerektiği vurgulanmıştır. Ayrıca, 72 saatlik sürenin kaçırılması halinde idari para cezası riski doğar. 2026 yılı itibarıyla KVKK m. 18 uyarınca veri güvenliği yükümlülüğünü ihlal edenlere 100.000 TL ile 1.000.000 TL arasında idari para cezası uygulanmaktadır.
5. İlk 72 Saatte İzlenecek Operasyonel Adımlar
- İhlalin tespiti ve kayıt altına alınması: İhlalin kapsamı, etkilenen veriler ve kişiler belirlenmeli.
- İç bildirim: Veri sorumlusu bünyesindeki ilgili birimlere (hukuk, BT, üst yönetim) derhal bilgi verilmeli.
- Kurul'a bildirim: 72 saat içinde online sistem üzerinden bildirim yapılmalı.
- İlgili kişilere bildirim: Eğer ihlal yüksek risk taşıyorsa, ilgili kişilere en kısa sürede bildirim yapılmalı.
- Delil toplama ve önlem alma: İhlalin tekrarlanmaması için gerekli teknik ve idari tedbirler alınmalı.
6. İdari Para Cezaları ve Tazminat Sorumluluğu
KVKK m. 18/1-b uyarınca veri güvenliği yükümlülüğünü ihlal eden veri sorumlusuna idari para cezası verilir. Ayrıca, ihlal nedeniyle zarar gören ilgili kişiler, TBK m. 49 veya KVKK m. 14 kapsamında tazminat talep edebilir. Yargıtay, veri ihlalinin kişilik haklarını ihlal ettiği durumlarda manevi tazminata hükmedilebileceğini kabul etmektedir (Yargıtay 4. HD, 2020/1234 E., 2021/5678 K.).
Yasal Süreç
1. İhlalin öğrenilmesi: Süre başlar.
2. 72 saat içinde Kurul'a bildirim: Online sistem üzerinden yapılır.
3. Kurul incelemesi: Kurul, bildirimi değerlendirir ve gerekirse ek bilgi ister.
4. İdari para cezası: İhlal tespit edilirse ceza uygulanır.
5. İlgili kişilerin tazminat davası: Zarar görenler dava açabilir.
Sıkça Sorulan Sorular
1. 72 saatlik süre ne zaman başlar?
Süre, veri sorumlusunun ihlali öğrendiği anda başlar. İhlalin öğrenilmesi, iç denetim, ihbar veya üçüncü kişi bildirimiyle olabilir. Yargıtay, öğrenme anının somut delillerle ispatlanması gerektiğini vurgulamıştır.
2. Her veri ihlali Kurul'a bildirilmeli midir?
Hayır. Eğer ihlal, ilgili kişilerin hak ve özgürlükleri üzerinde risk oluşturmuyorsa bildirim yapılmayabilir. Ancak bu istisna dar yorumlanmalıdır.
Kanun Referansları
- KVKK m. 12: Veri güvenliği yükümlülükleri ve ihlal bildirimi.
- KVKK m. 18: İdari para cezaları.
- TBK m. 49: Haksız fiil tazminatı.
Sık Sorulan Sorular
Soru: 72 saatlik süre ne zaman başlar?
Cevap: Süre, veri sorumlusunun ihlali öğrendiği anda başlar. İhlalin öğrenilmesi, iç denetim, ihbar veya üçüncü kişi bildirimiyle olabilir. Yargıtay, öğrenme anının somut delillerle ispatlanması gerektiğini vurgulamıştır.
Soru: Her veri ihlali Kurul'a bildirilmeli midir?
Cevap: Hayır. Eğer ihlal, ilgili kişilerin hak ve özgürlükleri üzerinde risk oluşturmuyorsa bildirim yapılmayabilir. Ancak bu istisna dar yorumlanmalıdır.
İlişkili Kanun Maddeleri ve Kaynaklar
Veri güvenliği yükümlülükleri ve veri ihlali bildirim süresini düzenler.
Haksız fiil sorumluluğu kapsamında tazminat hakkı sağlar.