Raflarda sıra sıra dizilmiş klasörler ve etiketli arşiv kutuları; kayıt ve dosya listesini simgeleyen temsili fotoğraf (KVKK listesi değildir)

Kişisel Verileri Koruma Kurumu'nun (KVKK) internet sitesindeki «Veri İhlali Bildirimleri» bölümünde 2 Eylül ile 27 Ekim 2026 tarihleri arasında 8 duyuru gününde yayımlanmış toplam 121 kamuoyu duyurusu yer alıyor. Siber Güvenlik Haber'in 29 Ekim 2026'da kurumun resmi sayfasında yaptığı sayıma göre, sayfa başına 12 kaydın gösterildiği listede 11 sayfada 121 benzersiz kayıt bulunuyor. Bu liste Kurul'a iletilen bütün bildirimleri değil, Kurul'un kamuoyuna ilan ettiği duyuruları gösteriyor.

Tarih tarih duyuru sayıları

KVKK'nın yayımladığı listede en eski kayıt 2 Eylül 2026, en yeni kayıt ise 27 Ekim 2026 tarihini taşıyor. Kayıtların duyuru tarihlerine ve günlere göre dağılımı aşağıdaki tabloda yer alıyor:

Duyuru tarihiGünKayıt sayısı
2 Eylül 2026Çarşamba33
9 Eylül 2026Çarşamba6
16 Eylül 2026Çarşamba28
23 Eylül 2026Çarşamba16
30 Eylül 2026Çarşamba9
7 Ekim 2026Çarşamba17
21 Ekim 2026Çarşamba10
27 Ekim 2026Salı2
Toplam8 gün121

Bu 8 duyuru gününün 7'si Çarşamba, biri ise Salı gününe denk geliyor. 14 Ekim 2026 tarihli bir kayıt listede yer almıyor. Listenin en yoğun günleri 33 kayıtla 2 Eylül ve 28 kayıtla 16 Eylül oldu; bu iki gün 61 duyuruyla toplam kayıtların yarısından fazlasını oluşturdu. Duyuru günü başına ortalama yaklaşık 15 kayıt düşerken, Eylül ayındaki 5 duyuru gününde 92 kayıt, henüz tamamlanmamış olan Ekim ayındaki 3 duyuru gününde ise 29 kayıt ilan edildi. Ay toplamları Kurul'a yapılan bildirimlerin değil, yalnızca Kurul'un ilan ettiği duyuruların sayısını gösteriyor.

Listede ne var, ne yok

Listede 27 Ekim 2026 tarihinde yayımlanan iki kayıt Anadolu Planet Elektronik Tic. A.Ş. (elevti.com) ve Asyaport Liman AŞ adlarını taşıyor. Genel tablo, ihlallerden etkilenen kişi sayısını, kuruluşların faaliyet sektörlerini veya ihlal türlerini toplu bir biçimde sunmuyor. Bu ayrıntılar her duyurunun kendi metninde yer alıyor ve kayıttan kayda değişiyor.

72 saat kuralı ve ilan yetkisi

6698 sayılı Kanun'un 12. maddesinin (5) numaralı fıkrası gereğince, «İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir….» İlgili hükümde Kurul'un «gerekmesi hâlinde» bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebileceği belirtiliyor. Bu nedenle bir kurumun listede yer almaması, Kurul'a bildirim yapmadığı anlamına gelmiyor.

Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararında «en kısa sürede» tanımı 72 saat olarak belirlendi. Buna göre veri sorumlusu ihlali öğrendiği andan itibaren «gecikmeksizin ve en geç 72 saat içinde Kurula» bildirim yapmakla yükümlü bulunuyor. Haklı bir gerekçeyle 72 saat içinde bildirim yapılamazsa gecikmenin nedenleri de Kurul'a açıklanıyor; veri işleyen ise kendi nezdindeki ihlali gecikmeye yer vermeden veri sorumlusuna bildiriyor. İhlalden etkilenen kişiler belirlendikten sonra onlara da «makul olan en kısa süre içerisinde», iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi web sitesinde yayımlama gibi yöntemlerle bildirim yapılması gerekiyor.

Listede adınız geçen bir kurum varsa

Hizmet aldığınız veya müşterisi olduğunuz bir şirketin adı listede yer alıyorsa, KVKK sitesindeki duyuru metninden hangi kişisel verilerin etkilendiği ve şirketin belirlediği irtibat kanalları incelenebilir. İhlal sonrasında haklarınızı kullanma adımları ve başvuru yolu, KVKK veri ihlali sonrası haklar ve başvuru yolu yazımızda adım adım anlatılıyor.

Kaynaklar

Kapak görseli (temsili): raflarda klasör ve arşiv kutuları; KVKK listesi değildir — Samuel Zeller, Unsplash / Wikimedia Commons, CC0 (kırpıldı, 1200×675 küçültüldü).

Sık sorulan sorular

Bir kurumun listede yer almaması ihlal bildirimi yapmadığı anlamına mı gelir?

Hayır. Kanun gereğince liste Kurul'a ulaşan tüm bildirimleri değil, Kişisel Verileri Koruma Kurulu tarafından kamuoyuna ilan edilmesine karar verilen duyuruları gösterir.

Veri ihlali bildirimindeki 72 saat kuralı neyi ifade eder?

Kurul'un 2019/10 sayılı kararına göre veri sorumlusu, gerçekleşen bir veri ihlalini öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde KVKK'ya bildirmekle yükümlüdür.