Kişisel verilerin korunması gittikçe daha kritik hale gelirken, KVKK ihlali nedir sorusu hem kurumlar hem de bireyler açısından büyük önem taşıyor. Bir ihlal gerçekleştiğinde, yalnızca idari yaptırımlar değil, aynı zamanda tazminat süreçleri ve şikayet mekanizmaları da devreye giriyor. Bu yazıda, KVKK ihlalinin tanımından başlayarak “KVKK ihlali nasıl anlaşılır?”, “ihlal bildirimi kaç saat içinde yapılmalı?”, “para cezası ne kadar?”, “tazminat alma hakkı?” gibi tüm kritik sorulara yanıt vereceğiz. Amacımız, ihlal durumunda doğru adımları atabilmen için kapsamlı, güncel ve uygulanabilir bilgiler sunmak.

KVKK ihlali nedir?

KVKK ihlali, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun getirdiği yükümlülüklere aykırı davranılması durumudur. Yani, veri sorumlularının usul, amaç, sınırları, güvenlik veya bildirim yükümlülüklerine riayet etmemesi; verileri hukuka aykırı işlemesi ya da veri sahiplerinin haklarını ihlal etmesi “ihlal” kapsamında değerlendirilir.

Örneğin: kişisel verilerin açık rıza olmaksızın işlenmesi, güvenlik tedbirlerinin yetersiz olması, veri sızıntısı yaşanması, veri sahibine bilgilendirme yapılmaması gibi durumlar ihlal oluşturur.

KVKK ihlali nasıl anlaşılır?

KVKK ihlalinin anlaşılması genellikle şu göstergelere dayanır:

• Yetkisiz erişim, sızma, veri sızıntısı (örneğin müşteri e-posta adreslerinin açığa çıkması)

• Verilerin beklenmedik şekilde yayılması ya da paylaşılması

• Veri sahibi taleplerine zamanında cevap verilmemesi (örneğin veri silme, erişim hakkına cevap verilmemesi)

• Aydınlatma metninin eksik olması ya da hiç sunulmaması

• VERBİS bildirimlerinin eksik, hatalı ya da hiç yapılmamış olması

• Kişisel veri işleme sınırlarının aşılması (veri amacı dışında kullanılması)

• Bildirim yükümlülüğünün ihmal edilmesi (KVKK Kurulu’na ve etkilenen kişilere bildirim yapılmaması)

İhlal genellikle sistem logları, sızma raporları, güvenlik taramaları ve kullanıcı bildirimleri yoluyla tespit edilir.

KVKK ihlali hangi durumlarda oluşur?

KVKK ihlali aşağıdaki durumlarda ortaya çıkabilir:

• Aydınlatma yükümlülüğüne uyulmaması (veri sahiplerine yeterli bilgi verilmemesi)

• Teknik ve idari güvenlik tedbirlerinin alınmaması ya da yetersiz olması

• VERBİS kaydı ya da bildirim yükümlülüğünün ihlal edilmesi

• Kişisel verilerin amaç dışı kullanılması ya da işlendikten sonra silinmemesi

• Verilerin yetkisiz kişilere verilmesi, yayılması ya da ele geçirilmesi

• Yurt dışı veri aktarımı yükümlülüklerinin yerine getirilmemesi

• Kurul kararlarının gereği gibi uygulanmaması

Her bir durum, Kanun’un ilgili maddeleri (örneğin md. 10, md. 12, md. 16) ile ilişkilidir.

KVKK ihlalinde ne yapılmalı?

İhlal tespit edildiğinde izlenmesi gereken temel adımlar şöyledir:

1. İhlalin derhal değerlendirilmesi
   İzleyen teknik ve hukuki ekipler hızlıca inceleme yapmalı; hangi verilerin etkilendiği, etki büyüklüğü ve risk seviyesi belirlenmeli.

2. İç acil müdahale planı çalıştırılmalı
   Sızma kontrolü, sistem izolasyonu, zararı sınırlama adımları uygulanmalı. Bu süreçte iletişim planı devreye girer.

3. KVKK Kurulu’na bildirim yapılmalı
   İhlalden etkilenen veriler ve süre dikkate alınarak, ihlalin öğrenilmesinden itibaren 72 saat içinde bildirim yapılması gerekir.
   Bu bildirim Kişisel Veri İhlali Bildirim Formu ile Kurum’un “ihlalbildirim.kvkk.gov.tr” modülü aracılığıyla veya e-posta ile yapılabilir.

4. Etkilenen kişilere bildirim yapılmalı
   Veri sahiplerinin zarar görme riski varsa, makul sürede onlara da bildirim yapılmalıdır. Bu bildirim, e-posta ya da kurumun internet sitesi aracılığıyla olabilir.

5. Savunma hazırlığı ve belge toplama
   Teknik raporlar, log kayıtları, önceki güvenlik önlemleri ve savunma stratejisi hazırlanmalı.

6. İyileştirici tedbirler alınmalı
   Sistem güvenliği güçlendirilmeli, çalışan eğitimleri yapılmalı, süreçler gözden geçirilmeli.

7. Takip ve denetleme
   Kurum, veri sorumlusunun düzeltmeleri yapıp yapmadığını takip eder; gereken durumlarda ek inceleme yapabilir.

KVKK ihlali bildirimi kaç saat içinde yapılmalı?

KVKK mevzuatına ve Kurum uygulamalarına göre, veri sorumlusu ihlali öğrendiği andan itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirim yapmakla yükümlüdür.

Eğer bu süreye uyulamıyorsa, gecikme nedeni de birlikte bildirilmelidir.

Kişisel veri ihlalinde para cezası ne kadar?

KVKK kapsamında ihlaller, idari para cezası kapsamındadır. 2025 yılı için bazı güncel ceza limitleri şunlardır:

Bu tutarlar, Kurul’un ihlalin ağırlığı, kusur derecesi ve savunma değerlendirmeleri doğrultusunda belirlenir.

KVKK ihlali sonrası tazminat alınır mı?

Evet, KVKK ihlali yaşayan ilgili kişiler tazminat davası açabilir. Kanun, “kişisel verileri işlenen ilgili kişilerin, zararları halinde tazminat talep etme hakkını” açıkça korur.

Tazminat miktarı aşağı faktörlere bağlıdır:

• İhlal edilen verinin niteliği (sağlık verisi, özel nitelikli veriler vs.)

• İlgili kişinin uğradığı maddi zarar (örneğin maddi kayıplar)

• Manevi zarar (itibar kaybı, stres, psikolojik etkiler)

• Kusur derecesi ve failin davranışı (kasıt mı, ihmal mi)

• İhlalin yaygınlığı, veri sızıntısının kapsamı

Mahkemeler, zarar ispatlanabiliyorsa tazminata hükmeder, aksi halde davayı reddedebilir.

KVKK ihlali sonrası şikayet süreci nasıl işler?

İhlal mağduru birey şu adımları izleyebilir:

1. Veri sorumlusuna başvuru (KVKK’nın 13. maddesi çerçevesinde)
   Veri sorumlusuna yazılı başvuru ile hak talebinde bulunulur (erişim, düzeltme, silme, itiraz, verilerin aktarılması vs.).

2. 30 gün içinde cevap verilmemesi ya da tatmin edici yanıt alınmaması
   Veri sorumlusundan cevap gelmez ya da yanıt yetersizse, ilgili kişi Kuruma şikayet edebilir.

3. KVKK’ya şikayet başvuru
   İhlal konusunda şikayet, KVKK’nın resmi şikayet platformu üzerinden iletilir.

4. Kurum incelemesi / karar süreçleri
   Kurum ihlali inceler, savunmaları dinler, gerekirse teknik inceleme yapar ve karar verir.

5. İdari ceza, düzeltme kararı veya yayın kararı
   Kurul, ihlali tespit ederse idari para cezası, düzeltme, yayın ya da diğer tedbirleri uygular.

6. Yargı yolu / Dava açma
   Karara itiraz etmek isteyen ilgili kişi / veri sorumlusu idari yargı mercilerine başvurabilir.

KVKK ihlali hangi mahkemeye taşınır?

KVKK ihlaliyle ilgili idari para cezası veya Kurul kararı idari nitelikte olduğundan, cezaya karşı itiraz idari yargı mercileri (örn. Bölge İdare Mahkemeleri) aracılığıyla yapılır.

Tazminat davaları ya da dava süreçleri ise adalî mahkemelerde (örneğin Sulh Hukuk Mahkemeleri ya da Asliye Hukuk Mahkemeleri) açılır.

Eğer ihlal, TCK kapsamında suç teşkil ediyorsa (örneğin verilerin hukuka aykırı ifşası) adli ceza mahkemeleri de devreye girebilir.

KVKK ihlalinde veri sorumlusu yükümlülükleri nelerdir?

İhlal durumunda veri sorumlusunun aşağı yükümlülükleri vardır:

• İhlali tespit eder etmez müdahale planlarını uygulamak

• İhlali Kuruma ve gerekirse veri sahiplerine bildirmek

• İlgili belgeleri, log kayıtlarını ve teknik raporları saklamak

• Savunma hazırlamak, gerekçeleri sunmak

• Düzeltici, önleyici tedbirleri almak (sistem güncellemeleri, erişim kontrolleri, güvenlik eğitimleri)

• Kurumun ek taleplerine uymak ve işbirliği yapmak

• Veri işleyenlerle yapılan sözleşmeleri uygulamak ve onları da sorumlu tutmak (ihlal bildirimi yükümlülüğü dahil)

KVKK ihlali sonucu sicile işler mi?

• Kurul kararları ve idari para cezaları kamuya açık şekilde yayımlanabilir; bu durum kurumlar açısından itibar ve “sicil” etkisi doğurabilir.

• Ancak bu, resmi bir adli sicil kaydı değildir.

• Yüksek profilli ihlaller kamuoyuna yansırsa kurum “veri güvenliği ihlali geçmişi” ile anılabilir.

• Ceza mahkemesi yoluyla verilen hapis cezaları veya adli kararlar ise resmi sicil kaydı oluşturabilir.

Sık Sorulan Sorular

1. KVKK ihlali şikayet süresi nedir?
   KVKK’da açık bir “şikayet süresi” kanunda belirtilmemiştir, ancak veri sorumlusuna başvuru ve ardından Kuruma şikayet adımları hızlıca yapılmalıdır.

   
   

2. İhlal bildirimi hangi form ile yapılır?
   Kurum’un Kişisel Veri İhlali Bildirim Formu kullanılır ve modül sistemi üzerinden ya da e-posta ile iletilebilir.

   
   

3. Tazminat taleplerinde süre aşımı olur mu?
   Genel hukuk kuralları çerçevesinde hak düşürücü süreler ve zamanaşımı hükümleri uygulanabilir; ilgili kişi hak kaybına uğramamak için hızlı hareket etmelidir.

   
   

4. İhlal bildirimi yapılmazsa ne olur?
   Kuruma bildirim yapılmaması, ayrı bir ihlal olarak değerlendirilir ve ek idari cezalara sebep olabilir.

   
   

5. Veri sorumlusuna başvurmadan doğrudan Kuruma şikayet edebilir miyim?
   İyi uygulama açısından önce veri sorumlusuna başvurmak, sonrasında Kuruma şikayet etmek doğrudur; bazı yargı kararları bu sıralamayı dikkate alabilir.

   
   

6. Hapis cezası da verilebilir mi?
   Evet; özel nitelikli veri ihlalleri veya verilerin hukuka aykırı olarak paylaşılması durumunda TCK hükümleri devreye girer (örneğin 1-3 yıl, 2-4 yıl arası cezalar).

Sonuç

KVKK ihlali, veri sorumlusuna hem idari para cezaları hem tazminat yükümlülükleri hem de itibar riski doğurur. İhlal durumunda yapılacak bildirimler, savunma hazırlığı, teknik düzeltici adımlar ve şikayet süreçleri büyük önem taşır. Bu süreçte hukuki danışmanlık almak; hem ceza riskini azaltmak hem de zararları sınırlandırmak için kritik bir adımdır. Eğer kurumunuz ya da özel bir KVKK ihlal durumunuz varsa, birlikte somut bir strateji planı çıkarmak için bizimle iletişime geçebilirsiniz.