Bülten 5 · Gönderi 5
Bir veri sızıntısında ilk 72 saat; yurt dışına veri aktarımında ise 2024’ten bu yana yeni bir rejim belirleyicidir.
Veri güvenliği, KVKK’nın en yüksek idari para cezalarının öngörüldüğü alanıdır. Bir veri ihlali, kısa sürede doğru adım atılmazsa idari, hukuki ve itibar sonuçları doğurur.
Serinin son yazısında veri güvenliği yükümlülüğünü, veri ihlalinde bildirim sürecini, 2024 değişikliğiyle yeniden kurulan yurt dışına aktarım rejimini ve yaptırımları ele alıyoruz.
Veri Güvenliği Yükümlülüğü
KVKK Md. 12 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin edecek teknik ve idari tedbirleri almakla yükümlüdür.
Teknik tedbirler
Erişim yetkilendirme, şifreleme, güvenlik duvarı, yedekleme, güncel yazılım, kayıt (log) tutma.
İdari tedbirler
Politika ve prosedürler, gizlilik taahhütleri, eğitim, rol bazlı yetkiler, fiziksel güvenlik.
Veri işleyen kontrolü
Bordro, bulut, e-ticaret ve kargo firmalarıyla veri koruma hükümleri içeren sözleşmeler ve düzenli denetim.
Kendi denetimi
Verinin güvenliği için uygulanan tedbirlerin belirli aralıklarla test edilmesi veya denetlenmesi.
Veri işleyenin kusuru, veri sorumlusunu sorumluluktan kurtarmaz; bu nedenle üçüncü kişilerle yapılan hizmet sözleşmelerinde veri koruma yükümlülükleri açıkça düzenlenmelidir.
Veri İhlali: 72 Saat Kuralı
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu bunu en kısa sürede ilgili kişiye ve Kurul’a bildirmek zorundadır (KVKK Md. 12/5).
Bildirim Süreci
İhlalin öğrenilmesinden itibaren en geç 72 saat içinde Kurul’a bildirim yapılır (Kurul kararı uyarınca).
İlgili kişilere, mümkün olan en kısa sürede bildirim yapılır.
İhlalin tüm yönleri, etkileri ve alınan önlemler ayrıca kayıt altına alınır (veri ihlali kaydı).
Hazırlıklı Olun
72 saat çok kısa bir süredir. İhlal anında kimin tespit yapacağı, kimin Kurul’a bildirim yapacağı ve ilgili kişilere nasıl haber verileceği önceden yazılı bir ihlal müdahale planıyla belirlenmelidir.
Yurt Dışına Aktarım: 2024 Sonrası Rejim
12.03.2024 tarihli 7499 sayılı Kanun ile KVKK Md. 9 yeniden düzenlenmiş; değişiklik 01.06.2024’te yürürlüğe girmiştir. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik 10.07.2024 tarihli ve 32598 sayılı Resmî Gazete’de yayımlanmıştır.
Tekstil Örnekleri
Yabancı alıcılarla müşteri veya çalışan verilerinin paylaşılması, yurt dışı yerleşik bulut ve CRM hizmetleri, yabancı ortak veya grup şirketiyle çalışan verisi paylaşımı, yurt dışı pazaryeri ve kargo entegrasyonları yurt dışına aktarım sayılabilir. Bu aktarımların her biri envanterde belirlenmeli ve uygun mekanizmaya bağlanmalıdır.
İdari ve Cezai Yaptırımlar
İdari Para Cezaları (2026)
Tutarlar her yıl yeniden değerleme oranına göre güncellenir; 2026 için oran %25,49’dur. Bir sonraki yıl için güncel tutarların takip edilmesi gerekir.
Tazminat ve Cezai Sorumluluk
İlgili kişi, hukuka aykırı veri işleme nedeniyle uğradığı zararın tazminini isteyebilir. Ayrıca Türk Ceza Kanunu’nun 135 ila 138. maddeleri uyarınca; kişisel verilerin hukuka aykırı biçimde kaydedilmesi, verilmesi veya ele geçirilmesi ve verilerin süresinde yok edilmemesi gibi fiiller suç oluşturur.
Denetime Hazır Olmak
Kurul incelemeleri şikâyet üzerine veya resen başlayabilir. Hazırlık, belgelerin varlığı kadar uygulamanın belgelerle örtüşmesini de kapsar.
Güncel veri envanteri ve VERBİS kaydı (yükümlüyse)
Çalışan, müşteri, aday ve ziyaretçi için aydınlatma metinleri ve yapılış kayıtları
Saklama ve imha politikası ile imha tutanakları
Veri işleyen sözleşmeleri ve yurt dışı aktarım belgeleri (standart sözleşme ve bildirim kaydı)
Teknik ve idari tedbirlerin dökümü ve eğitim kayıtları
İlgili kişi başvuru prosedürü ve başvuru-cevap kayıtları
Yazılı veri ihlali müdahale planı ve ihlal kayıt defteri
KVKK uyumunda en riskli yaklaşım, belgeleri hazırlayıp uygulamayı değiştirmemektir. Denetimde belge ile pratik arasındaki fark, uyum eksikliğinden daha ağır değerlendirilebilir.
Hukuki Danışmanlık Alın
Konuyla ilgili somut durumunuz için bir avukata danışmanızı öneririz. Bu yazı genel bilgilendirme amacıyla, Ekim 2026 itibarıyla yürürlükte olan mevzuat esas alınarak hazırlanmıştır.