Çalışan Kaynaklı Veri İhlalleri: Sorumluluk ve Önleme (2026)

Yazarlar: Av. Mert Güneş & Av. Melis Güneş — Güneş Partners kurucu ortakları Son güncelleme: Mayıs 2026

TL;DR — Bu Yazının Özeti

• Veri ihlallerinin önemli bir bölümü dış saldırganlardan değil, şirket içindeki çalışanlardan kaynaklanır: ihmal, bilgisizlik veya kasıt.
• KVKK kapsamında sorumluluk veri sorumlusuna (şirkete) aittir; çalışanın hatası şirketin yükümlülüğünü ortadan kaldırmaz.
• İşten ayrılan çalışanın müşteri listesi, veritabanı veya ticari sır kopyalaması hem KVKK hem TCK kapsamında ihlal oluşturur.
• CEO fraud (üst düzey yönetici taklidi ile veri veya para transferi sağlama) 2025-2026 döneminde en hızlı artan sosyal mühendislik türüdür.
• Kurul kararlarında çalışan eğitiminin yokluğu ve MFA eksikliği en sık tespit edilen ağırlaştırıcı faktörlerdir.
• Etkili bir iç tehdit programı: erişim yetkilendirme, davranış izleme, çıkış protokolü ve düzenli eğitim dörtlüsünden oluşur.
• 2026 yılında veri güvenliği ihlali cezası 256.357 TL – 17.092.242 TL arasındadır.

İç Tehdit Neden En Büyük Veri Güvenliği Riskidir?

Şirketler siber güvenlik bütçelerinin büyük bölümünü dış tehditlere (hacker, ransomware, DDoS) karşı harcar. Oysa ihlallerin önemli bir kısmı şirket içinden, yani verilere meşru erişimi olan kişilerden kaynaklanır.

Çalışan kaynaklı ihlaller üç temel kategoride gerçekleşir.

İhmal: Phishing linkine tıklama, şifreleri post-it'e yazma, yanlış alıcıya e-posta gönderme, dizüstü bilgisayarı açıkta bırakma. En yaygın kategoridir ve çoğu durumda kasıt yoktur.

Bilgisizlik: KVKK kurallarını bilmeden müşteri verilerini kişisel e-postaya aktarma, WhatsApp grubunda hasta bilgisi paylaşma, yetkisiz kişilere Excel dosyası gönderme. Çalışanın farkında olmadan ihlal gerçekleştirmesi.

Kasıt: İşten ayrılan çalışanın müşteri veritabanını USB'ye kopyalaması, rakip firmaya veri satılması, kişisel husumet nedeniyle müşteri bilgilerinin ifşa edilmesi. En ağır hukuki sonuçları doğuran kategoridir.

İç tehdit (insider threat) nedir? Şirkette çalışan veya çalışmış kişilerin, sahip oldukları erişim yetkilerini kötüye kullanarak veya ihmal ederek kişisel verilerin güvenliğini tehlikeye atması durumudur.

KVKK'da Sorumluluk Kime Ait?

Bu, şirket yöneticilerinin en sık yanlış anladığı noktadır. KVKK kapsamında idari para cezasının muhatabı veri sorumlusudur, yani şirkettir. Çalışanın hatası, ihmali veya kasıtlı eylemi şirketin KVKK yükümlülüğünü ortadan kaldırmaz.

Kurul'un Global Lojistik kararı (2026) bunu somut biçimde ortaya koyar: bir çalışanın phishing linkine tıklaması sonucu 12.000 kişinin verisi sızmış, Kurul şirkete ceza kesmiştir. Kurul'un gerekçesinde şirketin çalışan eğitimlerinin yetersiz olduğu ve MFA uygulanmadığı vurgulanmıştır.

Şirketin Çalışana Rücu Hakkı

KVKK cezasını ödeyen şirket, çalışana rücu edebilir. İş Kanunu'nun 26. maddesi ve Türk Borçlar Kanunu'nun ilgili hükümleri kapsamında kasıtlı veya ağır ihmal sonucu ihlale neden olan çalışandan tazminat talep edilebilir.

Ayrıca çalışanın eylemi kasıtlıysa (veri çalma, satma, ifşa etme) TCK m. 136 kapsamında 2-4 yıl hapis cezası ile cezalandırılması mümkündür. Şirket hem iş hukuku hem ceza hukuku yollarını eş zamanlı kullanabilir.

En Sık Karşılaşılan Çalışan Kaynaklı İhlal Senaryoları

Senaryo 1: İşten Ayrılan Çalışanın Veri Kopyalaması

Satış müdürü istifa eder; son iş gününde müşteri listesini, teklif dosyalarını ve CRM verilerini USB belleğe veya kişisel bulut hesabına kopyalar. Yeni işvereninde bu verileri kullanarak müşterilere ulaşır.

Hukuki sonuç: Bu eylem hem KVKK ihlali (yetkisiz veri elde etme) hem TCK m. 136 (kişisel verileri hukuka aykırı elde etme: 2-4 yıl hapis) hem de TTK m. 55 (haksız rekabet) kapsamına girer.

Kritik nokta: Şirketin bu senaryodan korunması için işten ayrılış protokolünün önceden kurulmuş olması gerekir. Ayrılış günü erişimlerin kapatılması, cihazların iade alınması ve çıkış denetiminin yapılması standart prosedür olmalıdır.

Senaryo 2: Phishing ve Sosyal Mühendislik

Muhasebe çalışanına "CEO'dan" gelmiş gibi görünen bir e-posta ulaşır: "Acil bir ödeme yapılması gerekiyor, ekteki listeye göre transferi gerçekleştir." Çalışan talimatı yerine getirir ve büyük bir meblağ saldırgana aktarılır.

Bu senaryo CEO fraud veya Business Email Compromise (BEC) olarak bilinir ve 2025-2026 döneminde en hızlı artan sosyal mühendislik türüdür.

Hukuki sonuç: E-postada müşteri veya çalışan verileri ele geçirildiyse KVKK kapsamında veri ihlali bildirimi zorunludur. Kurul, çalışanın kandırılmasını şirketin sorumluluğunu ortadan kaldıran bir gerekçe olarak kabul etmez; çalışan eğitimi ve doğrulama prosedürlerinin yokluğunu ağırlaştırıcı faktör olarak değerlendirir.

Senaryo 3: Yetkisiz Veri Paylaşımı

Müşteri hizmetleri çalışanı, bir müşterinin şikayetini çözmek için müşterinin kişisel bilgilerini WhatsApp grubunda paylaşır. Veya İK personeli, bir çalışanın sağlık raporunu departman yöneticisine e-postayla gönderir — hukuki dayanak ve yetkilendirme olmaksızın.

Hukuki sonuç: Her iki durum da KVKK kapsamında yetkisiz veri aktarımıdır. Sağlık raporu özel nitelikli kişisel veri olduğundan ikinci senaryo daha ağır yaptırıma tabidir.

Senaryo 4: Kişisel Cihaz ve Gölge BT (Shadow IT)

Çalışan, şirket onayı olmadan kişisel Dropbox hesabını kullanarak iş dosyalarını senkronize eder veya onaysız bir yapay zeka aracına müşteri verilerini yükler. Bu durum hem yetkisiz veri aktarımı hem de yurt dışı veri transferi riski doğurur.

KVKK Kurumu'nun 5 Mart 2026 tarihli "İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı" dokümanı, çalışanların üçüncü taraf yapay zeka araçlarına kişisel veri yüklemesinin ciddi KVKK riskleri taşıdığını açıkça vurgulamaktadır.

İşten Ayrılış Protokolü: Veri Sızıntısını Önlemenin En Kritik Noktası

İşten ayrılma anı, çalışan kaynaklı veri ihlalinin en yüksek riskli olduğu dönemdir. Etkili bir çıkış protokolü şu adımları içermelidir.

Erişim iptali: İstifa veya fesih bildirimi yapıldığı anda (son iş gününü beklemeden) hassas sistemlere erişim kısıtlanmalıdır. Son iş gününde tüm dijital erişimler (e-posta, CRM, ERP, VPN, bulut hizmetleri) kapatılmalıdır.

Cihaz iadesi: Dizüstü bilgisayar, telefon, tablet, USB bellek ve diğer kurumsal cihazlar tutanakla teslim alınmalıdır.

Veri denetimi: Ayrılan çalışanın son dönemde yaptığı dosya indirme, e-posta iletme, USB kullanımı ve bulut yükleme aktiviteleri kontrol edilmelidir. DLP (Data Loss Prevention) yazılımı bu denetimi otomatik hale getirir.

Gizlilik hatırlatması: Çalışana iş sözleşmesindeki gizlilik yükümlülüğünün iş ilişkisi sona erdikten sonra da devam ettiği yazılı olarak hatırlatılmalıdır.

Hesap silme: Çalışanın kurumsal e-posta hesabı belirli süre yönlendirme sonrası kapatılmalı; paylaşımlı hesapların şifreleri değiştirilmelidir.

İç Tehdit Tespit Programı Nasıl Kurulur?

Etkili bir iç tehdit programı dört bileşenden oluşur.

1. Erişim Yetkilendirme (En Az Yetki İlkesi)

Her çalışan yalnızca görev tanımının gerektirdiği verilere erişmelidir. Satış ekibinin İK dosyalarına, muhasebenin müşteri CRM verilerine erişimi olmamalıdır. Bu ilke KVKK'nın "ölçülülük" prensibiyle doğrudan örtüşür.

Yetki matrisi oluşturulmalı, düzenli olarak gözden geçirilmeli ve pozisyon değişikliklerinde güncellenmeli. Ayrılan çalışanların erişimleri aynı gün kapatılmalıdır.

2. Davranış İzleme (UEBA)

User and Entity Behavior Analytics (UEBA) sistemleri, çalışanların normal davranış kalıplarından sapmaları otomatik olarak tespit eder: mesai dışı saatlerde yoğun dosya indirme, olağandışı miktarda veri kopyalama, normalde erişilmeyen sistemlere giriş, USB cihaz kullanımı artışı.

Bu izleme KVKK kapsamında çalışanın aydınlatılmış olması koşuluyla meşru menfaat dayanağıyla yapılabilir. Orantılılık ilkesine uyulmalı ve sürekli tam ekran kaydı gibi aşırı izleme yöntemlerinden kaçınılmalıdır.

3. Çıkış Protokolü

Yukarıda detaylandırılan işten ayrılış protokolünün standart İK sürecine entegre edilmesi. Bu protokol belgelenmiş, test edilmiş ve her çıkışta uygulanıyor olmalıdır.

4. Düzenli Eğitim

Kurul kararlarında çalışan eğitiminin yokluğu en sık tespit edilen ağırlaştırıcı faktörlerden biridir. Eğitim programı şu konuları kapsamalıdır.

Kişisel verinin ne olduğu ve hangi verilerin hassas kategoride olduğu, phishing ve sosyal mühendislik saldırılarının tanınması, şifre güvenliği ve MFA kullanımı, kişisel cihazlarda kurumsal veri kullanım kuralları, veri ihlali tespit edildiğinde ne yapılacağı (iç raporlama), yetkisiz veri paylaşımının hukuki sonuçları (TCK dahil).

Eğitimler yılda en az bir kez güncellenmeli, işe alımlarda oryantasyon kapsamında verilmeli ve katılım kayıtları saklanmalıdır.

Çalışan Eğitimi: KVKK Zorunluluğu mu?

KVKK'da "eğitim" kelimesi açıkça geçmemekle birlikte, Kanun'un 12. maddesi veri sorumlusuna "gerekli her türlü teknik ve idari tedbiri alma" yükümlülüğü getirir. Kurul kararlarında çalışan eğitimi bu idari tedbirlerin ayrılmaz parçası olarak değerlendirilmektedir.

Global Lojistik kararında Kurul'un "çalışan eğitimlerinin yetersiz olduğu" gerekçesiyle cezayı artırması, eğitimin Kurul gözündeki ağırlığını somut biçimde ortaya koyar.

Eğitim verildiğinin ve içeriğinin belgelenmesi, Kurul incelemesinde şirketin "yeterli idari tedbir aldığını" ispatlayan en güçlü delillerden biridir. Eğitim verilmemiş olması ise Kurul'un "idari tedbirler yetersiz" tespitine doğrudan zemin hazırlar.

Teknik Tedbirler Kontrol Listesi

• ☐ Çok faktörlü kimlik doğrulama (MFA) tüm kritik sistemlerde aktif mi?
• ☐ Erişim yetki matrisi oluşturulmuş ve güncel mi?
• ☐ DLP (Data Loss Prevention) yazılımı mevcut mu?
• ☐ USB/harici depolama cihazı kullanımı kısıtlanmış mı?
• ☐ E-posta güvenlik filtresi (anti-phishing) aktif mi?
• ☐ UEBA veya benzeri davranış izleme sistemi var mı?
• ☐ İşten ayrılış protokolü yazılı ve standart mı?
• ☐ Ayrılan çalışanların erişimleri aynı gün kapatılıyor mu?
• ☐ Gölge BT (onaysız yazılım/araç kullanımı) politikası var mı?
• ☐ Çalışanlarla gizlilik taahhütnamesi imzalanmış mı?
• ☐ Tüm çalışanlara KVKK ve siber güvenlik eğitimi verilmiş mi?
• ☐ Eğitim kayıtları saklanıyor mu?

Sonuç

Çalışan kaynaklı veri ihlalleri, dış siber saldırılar kadar ciddi ve çoğu zaman daha sinsi bir risk alanıdır. Kasıtlı veri hırsızlığından phishing'e tıklamaya, yetkisiz veri paylaşımından gölge BT kullanımına kadar geniş bir yelpazede gerçekleşir.

KVKK, şirketleri çalışan hatalarının sonuçlarından sorumlu tutar. Bu nedenle "çalışan yaptı, biz ne yapalım" savunması hukuki açıdan geçersizdir. Etkili bir iç tehdit programı — erişim kontrolü, davranış izleme, çıkış protokolü ve düzenli eğitim — hem KVKK ceza riskini hem de operasyonel kayıpları minimize eder.

Güneş Partners olarak çalışan kaynaklı veri ihlallerinde Kurul bildirimi, savunma hazırlığı, TCK suç duyurusu, çalışana rücu davaları ve iç tehdit programı kurgulanması alanlarında şirketlere hukuki destek sağlıyoruz. İç güvenlik süreçlerinizi değerlendirmek için bizimle iletişime geçebilirsiniz.

Bu İçerik Hakkında

Bu içerik, Güneş Partners kurucu ortakları Av. Mert Güneş ve Av. Melis Güneş tarafından, 6698 sayılı KVKK m. 12, 5237 sayılı TCK m. 135-138 ve 243-244, 6102 sayılı TTK m. 55, KVKK Kurumu'nun "İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı" dokümanı (5 Mart 2026), Kurul'un Global Lojistik ve benzeri emsal kararları temelinde hazırlanmıştır. İç tehdit yönetimi ve KVKK uyum süreçlerinde profesyonel destek için gunespartners.com adresını ziyaret edebilirsiniz.