Bir şirketin ya da kurumun elindeki kişisel verileriniz yetkisiz kişilerin eline geçtiyse, 6698 sayılı Kanun'a göre bunu size ve Kişisel Verileri Koruma Kurulu'na bildirmek veri sorumlusunun görevi. Kurul, kendisine yapılacak bildirimin en geç 72 saat içinde yapılmasını istiyor. Kurum bu bildirimleri internet sitesinde «Veri İhlali Bildirimi» başlığıyla duyuruyor, SGH de bu duyuruları düzenli olarak aktarıyor. Örnek olarak SGH'nin 21 Ekim 2026 tarihli KVKK duyuruları haberine bakabilirsiniz.
Veri sorumlusu ne zaman, kime bildirmeli
Veri sorumlusu, kişisel verilerinizi hangi amaçla ve nasıl işleyeceğine karar veren şirket ya da kurumdur. Veri işleyen ise verileri veri sorumlusu adına işleyen taraftır. KVKK'nın 15 Şubat 2019 tarihli duyurusuna göre Kurulun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı bildirim kurallarını şöyle belirliyor:
- Kanun'un 12. maddesinin 5. fıkrasındaki «en kısa sürede» ifadesi 72 saat olarak yorumlandı; veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır.
- Haklı bir gerekçeyle 72 saatte bildirilemezse, yapılacak bildirimle birlikte gecikmenin nedenleri de Kurula açıklanmalıdır.
- Etkilenen ilgili kişilere, bu kişiler belirlendikten sonra makul olan en kısa sürede, iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi web sitesinde yayımlanması gibi uygun yöntemlerle bildirim yapılmalıdır.
- Veri işleyen nezdinde bir ihlal gerçekleşirse, veri işleyen bu durumu herhangi bir gecikmeye yer vermeksizin veri sorumlusuna bildirmelidir.
- Veri ihlali yurt dışında yerleşik veri sorumlusu nezdinde yaşanırsa, bu ihlal Türkiye'deki kişileri etkiliyor ve sunulan ürün veya hizmetten Türkiye'de yararlanılıyorsa aynı esaslarla Kurula bildirim yapılmalıdır.
Kanun'un 11. maddesine göre haklar
KVKK'nın «İlgili Kişinin Hakları» sayfasına göre ilgili kişi, veri sorumlusuna başvurarak şu haklarını kullanabilir:
- Kişisel verilerinin işlenip işlenmediğini öğrenme,
- Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
- Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
- Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
- Kişisel verilerin silinmesini veya yok edilmesini isteme,
- Düzeltme, silme veya yok edilme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
- Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.
Önce veri sorumlusuna başvuru
KVKK'nın «Başvuru Hakkı» sayfasına göre bu hakları kullanmak için önce veri sorumlusuna başvurmak zorunludur. Bu yol tüketilmeden doğrudan Kurula şikâyet edilemez. Başvuru yazılı olarak (ıslak imzalı ya da güvenli elektronik imzalı belgeyle) veya Kurulun belirlediği diğer yöntemlerle yapılır; usule ilişkin ayrıntılar Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de yer alır.
KVKK'nın 1 Ekim 2026 kamuoyu duyurusuna göre, Kanun'un 13. maddesi uyarınca veri sorumlusu başvurudaki talepleri niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Kurum aynı duyuruda telefon görüşmesi, yüz yüze bilgilendirme veya benzeri sözlü iletişimin mevzuata göre verilmesi gereken cevap sayılmayacağını hatırlattı. Duyurunun ayrıntıları SGH'nin bu duyuruya ilişkin haberinde yer alıyor.
Cevap gelmezse ya da yetersizse: Kurula şikâyet
KVKK'nın «Şikâyet Hakkı» sayfasına göre şikâyet hakkının doğması için veri sorumlusuna yapılan başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya otuz gün içinde başvuruya cevap verilmemiş olması gerekir. Şikâyet süresi, veri sorumlusunun cevabının öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gündür.
KVKK'nın «Veri İhlali Bildirimi» sayfasındaki nota göre Veri İhlali Bildirim Formu'nu yalnızca veri sorumlusu doldurur. İlgili kişilerin şikâyet ve ihbar içerikli başvuruları Kuruma yazılı olarak ya da elektronik ortamda sikayet.kvkk.gov.tr adresinden iletilir.
Veri sorumlusu ayrıca Kanun'un 12. maddesine göre kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak amacıyla uygun teknik ve idari tedbirleri almak zorundadır. Kurul kararına göre ihlale ilişkin bilgilerin, etkilerinin ve alınan önlemlerin kayıt altına alınması ve Kurul incelemesine hazır tutulması gerekir. Bu rehber, Kişisel Verileri Koruma Kurumu sayfalarındaki genel çerçeveyi özetler ve hukuki danışmanlık yerine geçmez. Somut başvurularda kurumun güncel duyuruları esas alınmalıdır.
Kaynaklar
- Kişisel Verileri Koruma Kurumu — Kişisel veri ihlali bildirim usul ve esaslarına ilişkin 2019/10 sayılı Kurul kararı duyurusu, 15 Şubat 2019
- Kişisel Verileri Koruma Kurumu — İlgili kişinin hakları
- Kişisel Verileri Koruma Kurumu — Başvuru hakkı
- Kişisel Verileri Koruma Kurumu — Şikâyet hakkı
- Kişisel Verileri Koruma Kurumu — İlgili kişilerin başvurularına verilecek cevabın bildirim usulüne ilişkin kamuoyu duyurusu, 1 Ekim 2026
- Kişisel Verileri Koruma Kurumu — Veri güvenliğine ilişkin yükümlülükler
Kapak (temsili; gerçek bir başvuruya, şikâyete ya da veri ihlali vakasına ait değildir): Deftere yazan el — Tookapic (Pexels), Wikimedia Commons, CC0 (1200×675 kırpıldı).
