Üçüncü Taraf (Tedarikçi) Kaynaklı Veri İhlalleri ve Sorumluluk (2026)

Yazarlar: Av. Mert Güneş & Av. Melis Güneş — Güneş Partners kurucu ortakları Son güncelleme: Mayıs 2026

TL;DR — Bu Yazının Özeti

• Tedarikçiniz (veri işleyen) kaynaklı bir veri ihlalinde KVKK kapsamında asıl sorumluluk veri sorumlusuna (şirkete) aittir.
• Kurul'un Aktif Yatırım Bankası kararı (Ocak 2026) bu prensibi açıkça teyit etti: "dış hizmet alımı sorumluluğu ortadan kaldırmaz."
• Veri işleyenle yazılı veri işleme sözleşmesi (DPA) yapılmaması başlı başına bir veri güvenliği ihlalidir; 2026'da cezası 256.357 – 17.092.242 TL.
• Etkili bir DPA; ihlalin bildirim süresini, alt işlemci kurallarını, denetim hakkını, tazminat ve rücu mekanizmalarını açıkça düzenler.
• Supply chain attack (tedarik zinciri saldırısı) 2025-2026 döneminde en hızlı büyüyen siber saldırı türüdür; tek bir yazılım güncellemesi yüzlerce şirketi etkileyebilir.
• Tedarikçiye denetim hakkı DPA'da açıkça saklı tutulmalı ve periyodik olarak kullanılmalıdır.
• Tedarikçi kaynaklı ihlalde şirketin Kurul'a bildirimi 72 saat içinde zorunludur; ardından tedarikçiye rücu hakkı doğar.

Tedarikçi İhlali Neden Sizin Sorununuz?

Modern iş dünyasında şirketler onlarca üçüncü tarafla veri paylaşır: bulut sağlayıcı, CRM yazılımı, muhasebe firması, bordro şirketi, çağrı merkezi, pazarlama ajansı, kargo firması, ödeme altyapısı. Bu ilişkilerin her birinde müşteri veya çalışan verileri üçüncü tarafa aktarılır.

KVKK'nın 12. maddesi bu durumu açıkça düzenler: veri sorumlusu, kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi halinde gerekli tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.

Bu müşterek sorumluluk tek yönlü işler: Kurul cezayı veri sorumlusuna keser. Veri sorumlusu, ödediği cezayı tedarikçiden ancak sözleşmesel rücu hakkına dayanarak geri talep edebilir.

Tedarikçi kaynaklı veri ihlali nedir? Şirketin kişisel veri paylaştığı üçüncü taraf hizmet sağlayıcısındaki (veri işleyen) güvenlik açığı, ihmal veya saldırı sonucu kişisel verilerin yetkisiz biçimde erişilmesi, sızdırılması veya kullanılamaz hale gelmesidir.

Emsal Karar: Aktif Yatırım Bankası (Ocak 2026)

Bu karar, tedarikçi sorumluluğu konusundaki KVKK uygulamasını net biçimde ortaya koyan dönüm noktası niteliğindedir.

Hizmet alınan bir dış yazılım şirketindeki güvenlik açığı nedeniyle bankanın 45.000 müşterisinin kişisel verisi sızmıştır. Banka, saldırının kendi sistemlerinden değil tedarikçinin altyapısından kaynaklandığını savunmuştur.

Kurul bu savunmayı reddetmiş ve şu tespitlerde bulunmuştur: veri sorumlusu, veri işleyeni seçerken ve denetlerken gerekli özeni göstermek zorundadır; dış hizmet alımı sorumluluğu ortadan kaldırmaz; tedarikçinin güvenlik düzeyinin denetlenmemesi bizzat veri sorumlusunun güvenlik yükümlülüğünün ihlalidir.

Veri İşleme Sözleşmesi (DPA): Madde Madde Analiz

DPA, tedarikçi ilişkisinin KVKK güvencesi altına alınmasının temel aracıdır. KVKK m. 12'nin gerektirdiği "gerekli tedbirlerin alınması" yükümlülüğünün en somut karşılığıdır.

Madde 1: Kapsam ve Tanımlar

İşlenen kişisel veri kategorileri (müşteri kimlik, çalışan özlük, sağlık verisi vb.), işleme amacı, ilgili kişi grupları ve işleme süresi açıkça belirtilmelidir. Muğlak ifadeler ("gerektiğinde çeşitli veriler") Kurul incelemesinde yetersiz bulunur.

Madde 2: Talimat Sınırı

Veri işleyen, yalnızca veri sorumlusunun yazılı talimatları doğrultusunda hareket edecektir. Talimat dışı veri işleme, veri işleyenin bağımsız veri sorumlusu sıfatını kazanmasına yol açar ve sorumluluk dağılımını kökten değiştirir.

Madde 3: Teknik ve İdari Tedbirler

Veri işleyenin alması gereken asgari güvenlik tedbirleri somut biçimde listelenmeli: şifreleme standartları, erişim kontrolü mekanizmaları, MFA uygulaması, güvenlik yamaları güncelleme takvimi, penetrasyon testi sıklığı, çalışan eğitim gereklilikleri.

Genel ifadeler ("uygun güvenlik tedbirleri alacaktır") Kurul incelemesinde yetersiz bulunur. Tedbirlerin teknik spesifikasyonlarıyla birlikte yazılması güçlü bir savunma zemini oluşturur.

Madde 4: İhlal Bildirim Süresi

Veri işleyenin, ihlali tespit ettiğinde veri sorumlusuna ne kadar sürede bildireceği açıkça belirlenmelidir. KVKK, veri işleyen için spesifik bir süre öngörmemiştir; ancak veri sorumlusunun 72 saatlik Kurul bildirim süresini yönetebilmesi için veri işleyenin en geç 24 saat içinde bildirimi yapması pratikte zorunludur.

Bildirimde yer alması gereken asgari bilgiler de DPA'da tanımlanmalıdır: ihlalin tarihi, niteliği, etkilenen veri kategorileri, tahmini kişi sayısı ve alınan ilk tedbirler.

Madde 5: Alt İşlemci (Sub-processor) Kuralları

Veri işleyenin, veri sorumlusunun verilerini işlemek için başka bir üçüncü tarafa (alt işlemci) aktarması durumunda önceden yazılı onay alması zorunlu kılınmalıdır.

İki model uygulanabilir: her alt işlemci için ayrı ayrı önceden onay (specific authorization) veya genel onay ile yeni alt işlemci eklenmesinden belirli süre önce bildirim ve itiraz hakkı (general authorization with notification). İlk model daha güvenlidir; ikinci model operasyonel esneklik sağlar.

Alt işlemci onayı olmaksızın yapılan aktarımlar, veri işleyenin talimat sınırını aştığı anlamına gelir ve ayrı bir ihlal oluşturur.

Madde 6: Denetim Hakkı

Veri sorumlusu, veri işleyenin DPA'da belirtilen yükümlülüklere uyup uymadığını yerinde veya uzaktan denetleme hakkına sahip olmalıdır.

Denetim hakkı DPA'da açıkça düzenlenmeli ve şu detayları içermeli: denetim sıklığı (yılda en az bir kez önerilir), denetim bildirimi süresi (genellikle 30 gün önceden), denetimin kapsamı (tesisler, sistemler, loglar, çalışan eğitim kayıtları), denetim maliyetinin kime ait olduğu.

Büyük ölçekli veri işleyenler (AWS, Google, Microsoft gibi) bireysel denetim yerine bağımsız denetim raporları (SOC 2, ISO 27001) sunar. Bu raporlar DPA'da "denetim hakkının yerine getirilmiş sayılacağı" koşul olarak kabul edilebilir; ancak veri sorumlusunun ek denetim talebini tamamen ortadan kaldırmamalıdır.

Madde 7: Tazminat ve Rücu (Recourse)

DPA'nın en kritik maddesidir. Veri işleyenin DPA yükümlülüklerini ihlal etmesi sonucu veri sorumlusunun uğradığı zararların (KVKK cezaları dahil) tazmin edilmesini düzenler.

Rücu hükmünde yer alması gereken unsurlar: veri işleyenin ihlali nedeniyle doğan KVKK idari para cezalarının tazmin edileceği, ilgili kişilere ödenen tazminatların rücu edileceği, hukuki süreç masraflarının (avukatlık, mahkeme giderleri) karşılanacağı, tazminat üst sınırının belirlenip belirlenmeyeceği (veri işleyenler genellikle sınırlama ister; veri sorumlusu olarak sınırsız rücu hakkı talep etmeniz önerilir).

Madde 8: Sözleşme Sona Erdiğinde Veri İadesi/İmhası

Hizmet ilişkisi sona erdiğinde veri işleyenin elindeki kişisel verileri iade etmesi veya güvenli biçimde imha etmesi ve bunu belgelemesi zorunlu kılınmalıdır. İmha teyit belgesi talep edilmeli ve saklanmalıdır.

Supply Chain Attack: Tedarik Zinciri Saldırısı

Supply chain attack, doğrudan şirkete değil şirketin kullandığı yazılıma, donanıma veya hizmet sağlayıcısına yapılan saldırıdır. Saldırgan, tedarikçinin altyapısına sızarak oradan tedarikçinin tüm müşterilerine ulaşır.

Bu saldırı türünün en tehlikeli özelliği çarpan etkisidir: tek bir tedarikçinin ele geçirilmesi, o tedarikçiyi kullanan yüzlerce, hatta binlerce şirketi aynı anda etkiler.

Yaygın Supply Chain Attack Senaryoları

Yazılım güncelleme saldırısı: Saldırgan, yazılım şirketinin güncelleme sunucusuna sızarak zararlı kod ekler. Güncellemeyi yükleyen tüm müşteriler etkilenir. SolarWinds vakası (2020) bunun en büyük küresel örneğidir.

Açık kaynak bağımlılık saldırısı: Şirketin kullandığı açık kaynak kütüphanesine zararlı kod enjekte edilir. Log4j açığı (2021) bu türün en yaygın örneğidir.

Bulut sağlayıcı saldırısı: Bulut altyapı sağlayıcısındaki güvenlik açığı, o sağlayıcıyı kullanan tüm müşterilerin verilerini riske atar.

Donanım tedarik zinciri saldırısı: Üretim aşamasında donanıma arka kapı yerleştirilmesi; nadirdir ancak tespit edilmesi en zor saldırı türüdür.

Supply Chain Attack'a Karşı KVKK Uyum Stratejisi

Tedarikçi seçiminde güvenlik değerlendirmesi yapmak, DPA'da supply chain attack senaryosunu açıkça düzenlemek, tedarikçinin alt işlemcilerini bilmek ve onay sürecini yönetmek, tedarikçiden düzenli güvenlik sertifikası (SOC 2, ISO 27001) talep etmek ve kritik tedarikçiler için yedek plan (backup vendor) oluşturmak bu stratejinin temel bileşenleridir.

Tedarikçi Kaynaklı İhlalde Adım Adım Süreç

Adım 1: Tedarikçiden İhlal Bildirimi Alınması

Veri işleyen, ihlali size bildirdiğinde kronolojik kayıt tutmaya başlayın. DPA'da belirlenen sürede bildirim yapılıp yapılmadığını kontrol edin. Bildirimin içeriğinin DPA'daki asgari bilgi gereksinimlerini karşılayıp karşılamadığını değerlendirin.

Adım 2: Kapsam Tespiti

Hangi veriler etkilendi, kaç kişi etkilendi, ihlal devam ediyor mu sorularını yanıtlayın. Bu bilgileri tedarikçiden talep edin; eksik bilgi veriliyorsa DPA'daki bilgi talep hakkınızı kullanın.

Adım 3: KVKK Kurul'a Bildirim (72 Saat)

Tedarikçiden bilgiyi aldığınız andan itibaren 72 saat süreniz başlar. İhlali kendiniz tespit etmek zorunda değilsiniz; tedarikçinin bildirimi sizin "öğrenme anınız"dır. Kurul'a bildirimde ihlalin tedarikçi kaynaklı olduğunu açıkça belirtin.

Adım 4: İlgili Kişilere Bildirim

İhlalin yüksek risk oluşturduğu tespit edilmişse ilgili kişilere de bildirim zorunludur. Bu bildirim veri sorumlusunun yükümlülüğüdür; tedarikçiye bırakılamaz.

Adım 5: Delil Koruma

Tedarikçiden forensic rapor talep edin. İhlale ilişkin yazışmaları, bildirimleri ve alınan tedbirleri kronolojik dosyada saklayın. Bu belgeler hem Kurul savunmasında hem de rücu sürecinde kritik delildir.

Adım 6: Rücu Süreci

Kurul cezası kesinleştikten veya ilgili kişilere tazminat ödendikten sonra tedarikçiye DPA'daki rücu hükmüne dayanarak tazminat talebi gönderin. Anlaşma sağlanamazsa dava açın.

Tedarikçi Denetim Programı Nasıl Kurulur?

DPA'da denetim hakkı saklı tutmak yeterli değildir; bu hakkın periyodik olarak kullanılması gerekir.

Yıllık denetim takvimi: Kritik veri işleyenler (büyük miktarda veya hassas veri işleyenler) yılda en az bir kez denetlenmeli.

Denetim kapsamı: Güvenlik tedbirlerinin fiilen uygulanıp uygulanmadığı, çalışan eğitimlerinin verilip verilmediği, alt işlemci kullanımının onaya uygun olup olmadığı, veri saklama sürelerine uyulup uyulmadığı, ihlal bildirim mekanizmasının çalışır durumda olup olmadığı.

Sertifika bazlı denetim: SOC 2 Type II, ISO 27001 ve ISO 27701 sertifikaları tedarikçinin güvenlik düzeyini bağımsız olarak doğrular. Bu sertifikalar DPA'da "asgari yeterlilik kriteri" olarak belirlenebilir.

Denetim sonuçlarının belgelenmesi: Denetim bulguları ve tedarikçinin düzeltici eylemleri yazılı olarak kayıt altına alınmalıdır. Bu belgeler Kurul incelemesinde veri sorumlusunun "denetim yükümlülüğünü yerine getirdiğinin" kanıtıdır.

Sonuç

Tedarikçi kaynaklı veri ihlalleri, dijitalleşen iş süreçlerinin kaçınılmaz bir riski olarak karşımıza çıkmaktadır. KVKK, bu riski veri sorumlusunun omuzlarına yükler: tedarikçinizi doğru seçmek, denetlemek ve sözleşmesel güvence altına almak sizin yükümlülüğünüzdür.

Güçlü bir DPA, periyodik denetim programı ve supply chain attack senaryolarına hazırlıklı bir güvenlik stratejisi, hem KVKK ceza riskini hem de operasyonel kayıpları önemli ölçüde azaltır. DPA yokluğu veya yetersizliği ise herhangi bir ihlal yaşanmasa bile başlı başına ceza gerekçesi oluşturur.

Güneş Partners olarak veri işleme sözleşmeleri hazırlığı, tedarikçi denetim programı kurgulanması, tedarikçi kaynaklı ihlal bildirimi, Kurul savunması ve rücu davaları alanlarında şirketlere kapsamlı hukuki destek sağlıyoruz. Tedarikçi ilişkilerinizin KVKK uyumunu değerlendirmek için bizimle iletişime geçebilirsiniz.

Bu İçerik Hakkında

Bu içerik, Güneş Partners kurucu ortakları Av. Mert Güneş ve Av. Melis Güneş tarafından, 6698 sayılı KVKK m. 12, Kurul'un Aktif Yatırım Bankası emsal kararı (Ocak 2026), KVKK Kurumu'nun veri güvenliği rehberleri, 7499 sayılı Kanun'un yurt dışı aktarım düzenlemeleri ve uluslararası tedarik zinciri güvenlik standartları (SOC 2, ISO 27001) temelinde hazırlanmıştır. Tedarikçi ilişkileri ve KVKK uyum süreçlerinde profesyonel destek için gunespartners.com adresini ziyaret edebilirsiniz.