Bir şirketin veya kurumun elindeki kişisel veriler -bir çalışanın ihmali, siber saldırı veya fiziksel evrak kaybı gibi nedenlerle- yetkisiz kişilerin eline geçtiğinde, veri sorumlusunun karşı karşıya kaldığı ilk soru şudur: bu durumu kime, ne zaman ve nasıl bildirmesi gerekir? Bu sorunun cevabını doğru bilmemek, hem idari para cezası hem de üçüncü kişilere rücu davası riskini birlikte doğurabilir.
Bildirim Yükümlülüğünün Yasal Dayanağı
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesinin 5. fıkrası açıktır: “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.” Bu hüküm, Danıştay 10. Dairesi’nin 15.04.2025 tarihli, 2021/7587 Esas ve 2025/2025 Karar sayılı kararında da aynen aktarılarak teyit edilmiştir. (Danıştay 10. Daire, E. 2021/7587, K. 2025/2025, T. 15.04.2025) Bildirim yükümlülüğü iki ayrı muhataba yöneliktir: hem Kişisel Verileri Koruma Kurulu’na hem de ihlalden etkilenen ilgili kişilere.
“En Kısa Süre” Ne Anlama Gelir? Kurul Kararı 72 Saat Standardını Getiriyor
Kanun metninde somut bir gün sayısı verilmemiş, “en kısa süre” ifadesi kullanılmıştır. Kişisel Verileri Koruma Kurulu, bu belirsizliği gidermek amacıyla yayımladığı kararlarla uygulamaya somut standartlar getirmiştir. Kurulun ilgili kararlarına göre veri ihlalinin Kurula bildirimi, öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır; etkilenen ilgili kişilere bildirim ise, etkilenen kişilerin belirlenmesini müteakip makul olan en kısa süre içinde, mümkünse doğrudan iletişim kanallarından, ulaşılamıyorsa veri sorumlusunun kendi internet sitesi gibi uygun yöntemlerle yapılmalıdır.
Gerçek Bir Olaydan Ders: Bildirim Yapmamanın Bedeli
İstanbul 13. Asliye Ticaret Mahkemesi’nin 03.07.2024 tarihli, 2022/193 Esas ve 2024/468 Karar sayılı kararı, bu yükümlülüğün pratikte nasıl işlediğini ve ihlalin ne denli ağır sonuçlar doğurabileceğini gözler önüne sermektedir. Olayda, bir bankanın kredi kartı başvurusu toplama hizmetini dışarıdan aldığı bir şirketin çalışanı, müşterilere ait kimlik fotokopileri ve bireysel bankacılık hizmet sözleşmelerini usulsüzce elinde tutmuş, bu evraklar sonunda açık bir arazide üçüncü kişilerin erişimine açık şekilde bulunmuştur. Kişisel Verileri Koruma Kurulu, olayı inceleyerek bankaya 300.000 TL idari para cezası uygulamıştır (banka bu cezayı süresinde ödeyerek %25 indirimle 225.000 TL olarak kapatmıştır). Kurul’un gerekçesinde, bankanın veri sorumlusu olarak denetim yükümlülüğünü yeterince yerine getirmediği ve veri ihlali bildiriminde “asgari unsurlara” uygun davranmadığı özellikle vurgulanmıştır. (İstanbul 13. Asliye Ticaret Mahkemesi, E. 2022/193, K. 2024/468, T. 03.07.2024)
Bu davanın ikinci ve en az birincisi kadar önemli boyutu, bankanın ödediği idari para cezasını, ihlale asıl sebebiyet veren dış hizmet sağlayıcı şirkete karşı rücuen tazminat davası ile geri talep etmiş olması ve bu davayı kazanmasıdır. Mahkeme, taraflar arasındaki hizmet sözleşmesindeki veri güvenliği taahhütlerine dayanarak, ihlale sebep olan alt yüklenicinin bu maliyeti üstlenmesi gerektiğine hükmetmiştir. Bu içtihattan çıkan pratik ders şudur: veri işleme faaliyetini dışarıdan hizmet alarak yürüten şirketlerin, tedarikçileriyle yaptıkları sözleşmelere veri güvenliği ve buna aykırılık hâlinde rücu hakkı tanıyan açık hükümler koyması, hem ihlali önlemeye hem de gerçekleşen bir ihlalin maliyetini doğru sorumluya yansıtmaya yardımcı olur.
Bildirim Yapılmazsa Ne Olur?
KVKK m. 18 uyarınca, m. 12’deki veri güvenliği yükümlülüklerini (bildirim dahil) yerine getirmeyenler hakkında 2025 yılı için güncellenen tutarlarla 15.000 TL ile 1.000.000 TL arasında idari para cezası uygulanabilir; cezanın miktarı, ihlalin ağırlığı ve veri sorumlusunun ekonomik durumu gibi kriterlere göre belirlenir.
Kaynakça
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 12, 18.
- Danıştay 10. Daire, E. 2021/7587, K. 2025/2025, T. 15.04.2025 (Yargı PRO içtihat veritabanı üzerinden teyit edilmiştir).
- İstanbul 13. Asliye Ticaret Mahkemesi, E. 2022/193, K. 2024/468, T. 03.07.2024 (Yargı PRO içtihat veritabanı üzerinden teyit edilmiştir).
Sıkça Sorulan Sorular
Veri ihlalini fark ettiğim anda mı süre başlar, yoksa olayın gerçekleştiği tarihte mi?
Süre, veri sorumlusunun ihlali öğrendiği (fark ettiği) andan itibaren işlemeye başlar; bu nedenle iç kontrol ve izleme sistemlerinin ihlali erken tespit edecek şekilde kurulması büyük önem taşır.
Küçük ölçekli bir ihlal de bildirilmeli midir?
Kanun, ihlalin büyüklüğüne göre bir ayrım yapmamıştır; kişisel verilerin kanuni olmayan yollarla elde edilmesi hâli tek başına bildirim yükümlülüğünü doğurur.
Bildirimi geç yaparsam ceza azalır mı?
Geç bildirim, Kurul’un değerlendirmesinde ihlalin ağırlığını artıran bir unsur olarak görülebilir; süresinde ve eksiksiz bildirim, olası cezanın belirlenmesinde veri sorumlusu lehine değerlendirilebilir.
Dışarıdan aldığım hizmet nedeniyle oluşan bir ihlalden ben mi sorumlu olurum?
KVKK’ya karşı veri sorumlusu sıfatıyla asıl sorumluluk sizde kalır; ancak sözleşmenizde uygun hükümler varsa, ödediğiniz cezayı ihlale sebep olan hizmet sağlayıcıya rücu edebilirsiniz.
İlgili Yazılar
- Kişisel Verilerin Yurt Dışına Aktarımı (KVKK m. 9) Şartları Nelerdir?
- Kişisel Verilerin İzinsiz Paylaşılması Halinde Manevi Tazminat Davası
Yazar Hakkında
Bu yazı, Kırklareli Barosu’na kayıtlı Avukat Onur Akçınar tarafından, güncel mevzuat ve Yargıtay/Danıştay içtihadı esas alınarak hazırlanmıştır. Bu içerik genel bilgilendirme amaçlıdır, somut olaya özgü hukuki tavsiye niteliği taşımaz.
İletişim
Sorularınız için iletişim sayfamız üzerinden bize ulaşabilirsiniz.
Bir yanıt yazın