Veri İhlalleri ve KVKK Cezaları Rehberi: 2026 Güncel

Yazarlar: Av. Mert Güneş & Av. Melis Güneş — Güneş Partners kurucu ortakları Son güncelleme: Mayıs 2026

TL;DR — Bu Yazının Özeti

• Veri ihlali tespit edildiğinde 72 saat içinde Kurul'a bildirim zorunludur; bu süre hafta sonlarını da kapsar.
• 2026 yılında KVKK idari para cezaları %25,49 oranında artırılmış olup en yüksek tek kalem ceza 17.092.242 TL'ye ulaşmaktadır.
• Tek bir ihlal olayında birden fazla yükümlülük ihlali tespit edilirse her biri için ayrı ayrı ceza uygulanır; toplam yaptırım 17 milyon TL'yi aşabilir.
• İhlali gizlemek veya geç bildirmek, ihlalin kendisinden daha ağır cezalara yol açar.
• 1 Haziran 2024'ten itibaren Kurul kararlarına itiraz mercii Ankara İdare Mahkemeleri olarak değişmiştir; dava açma süresi 60 gündür.
• Kurul, ceza belirlerken proaktif tedbirler, hızlı bildirim, etkilenen kişi sayısı ve şirketin ekonomik büyüklüğünü dikkate alır.
• İhlal müdahale planı (IRP — Incident Response Plan) önceden hazırlanmalıdır; 72 saat ihlal anında plan yapmak için yeterli değildir.

Veri İhlali Nedir?

Kişisel veri ihlali, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi, açıklanması, değiştirilmesi, silinmesi veya erişilemez hale getirilmesidir. KVKK'nın 12. maddesinin 5. fıkrası bu kavramı düzenler.

İhlal yalnızca "verinin çalınması" anlamına gelmez. Uluslararası kabul gören CIA üçlüsü (Confidentiality – Integrity – Availability) çerçevesinde üç temel ihlal türü tanımlanır.

Veri ihlali nedir? Kişisel verilerin güvenliğinin ihlal edilmesidir: yetkisiz erişim (gizlilik ihlali), verilerin değiştirilmesi (bütünlük ihlali) veya verilere erişimin engellenmesi (erişilebilirlik ihlali). Ransomware saldırısıyla şifrelenmiş veriler bile — çalınmamış olsa da — veri ihlali sayılır.

Gizlilik ihlali: Verilerin yetkisiz kişilerce görülmesi veya elde edilmesi. Örnek: müşteri veritabanının hacklenerek sızdırılması.

Bütünlük ihlali: Verilerin yetkisiz biçimde değiştirilmesi. Örnek: hasta kayıtlarının üçüncü tarafça manipüle edilmesi.

Erişilebilirlik ihlali: Verilere erişimin engellenmesi. Örnek: ransomware saldırısıyla şirket verilerinin şifrelenmesi ve erişilemez hale gelmesi.

2026 Yılı KVKK İdari Para Cezaları

KVKK kapsamındaki cezalar her yıl Vergi Usul Kanunu'nun mükerrer 298. maddesi uyarınca yeniden değerleme oranında artırılır. 2026 yılı için bu oran %25,49 olarak uygulanmıştır.

Cezalar Kümülatiftir

Tek bir ihlal olayında birden fazla yükümlülük ihlali tespit edilirse her biri için ayrı ayrı ceza uygulanır. Örneğin bir veri sızıntısında hem veri güvenliği tedbirlerinin yetersiz olduğu (m. 18/1-b) hem de ihlalin süresinde bildirilmediği tespit edilirse iki ayrı ceza kesilir. Toplam yaptırım tek bir olay için 17 milyon TL'yi çok aşabilir.

Tekerrür Halinde

Aynı ihlal bir yıl içinde tekrarlanırsa bir önceki cezanın iki katı uygulanır.

TCK Kapsamı

Hukuka aykırı kişisel veri elde etme, yayma veya yok etme eylemleri aynı zamanda 5237 sayılı Türk Ceza Kanunu'nun 135-138. maddeleri kapsamında hapis cezası gerektiren suçlardır. İdari para cezası ile cezai yaptırım birbirinden bağımsız uygulanır.

72 Saat Kuralı: Kurul'a Bildirim Zorunluluğu

KVKK'nın 12. maddesinin 5. fıkrası, veri sorumlusunun ihlali "en kısa sürede" ilgili kişiye ve Kurul'a bildirmesini öngörür. Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı ilke kararı bu süreyi 72 saat olarak somutlaştırmıştır.

Süre Ne Zaman Başlar?

72 saatlik süre, veri sorumlusunun ihlali öğrendiği andan itibaren başlar. "Öğrenme" kavramı, ihlalin doğrudan tespit edilmesini veya üçüncü bir kaynaktan (veri işleyen, güvenlik firması, basın) haberdar olunmasını kapsar.

Hafta sonları ve resmi tatiller bu süreyi uzatmaz. Cuma akşamı tespit edilen bir ihlal için bildirim süresi pazartesi sabahı değil, pazartesi akşamı dolar.

Kurul'a Bildirim Nasıl Yapılır?

Bildirim, ihlalbildirim.kvkk.gov.tr üzerinden çevrimiçi yapılır. Bildirimde şu bilgiler yer almalıdır: ihlalin ne zaman ve nasıl gerçekleştiği, ihlalden etkilenen kişisel veri türleri, etkilenen kişi sayısı veya tahmini sayı, ihlalin olası sonuçları, alınan veya alınması önerilen tedbirler ve irtibat kişisi bilgileri.

Aşamalı Bildirim

72 saat içinde tüm detaylar netleşmeyebilir. Bu durumda aşamalı bildirim yapılabilir: ilk bildirimde mevcut bilgiler aktarılır, detaylar netleştikçe ek bildirimlerle güncelleme yapılır. Aşamalı bildirim yapılması, süreyi aştığınız anlamına gelmez; Kurul bu uygulamayı kabul etmektedir.

İlgili Kişilere Bildirim Yükümlülüğü

Kurul'a bildirimin yanı sıra, ihlalin ilgili kişiler açısından yüksek risk oluşturduğunun tespit edilmesi halinde ilgili kişilere de bildirim yapılmalıdır. Bu bildirim "en kısa sürede" yapılmalı ve mümkün olan en etkili kanallar (e-posta, SMS, web sitesi duyurusu) kullanılmalıdır.

İlgili kişilere bildirimde şu unsurlar yer almalıdır: ihlalin niteliğinin açık ve anlaşılır dille açıklanması, olası sonuçlar ve riskler, şirketin aldığı veya almayı planladığı tedbirler, ilgili kişinin kendini korumak için yapabileceği adımlar ve irtibat bilgileri.

Kurul, bazı durumlarda ilgili kişilere bildirim yapılmasının zorunlu olmadığına karar verebilir: veriler şifreli ise ve şifreleme anahtarı ele geçirilmemişse veya ihlalin ilgili kişiler açısından yüksek risk oluşturmayacağı tespit edilmişse.

İhlal Türleri ve Gerçek Dünya Senaryoları

Siber Saldırılar

En yaygın ihlal türüdür. Ransomware, phishing, credential stuffing (başka sitelerden çalınan şifrelerin denenmesi), SQL injection ve DDoS saldırıları bu kategoridedir.

Emsal — Aktif Yatırım Bankası A.Ş. (Ocak 2026): Hizmet alınan bir dış yazılım şirketindeki güvenlik açığı nedeniyle 45.000 müşterinin verisi sızdı. Kurul, "dış hizmet alımının sorumluluğu ortadan kaldırmayacağını" vurgulayarak bankaya ağır yaptırım uyguladı. Bu karar, tedarik zinciri risk yönetiminin önemini somut biçimde ortaya koydu.

Çalışan İhmali

Oltalama (phishing) linkine tıklama, şifrelerin paylaşılması, dizüstü bilgisayarın kaybedilmesi veya yanlış alıcıya e-posta gönderilmesi bu kategoridedir.

Emsal — Global Lojistik Ltd. Şti. (2026): Bir çalışanın phishing linkine tıklaması sonucu 12.000 kişinin verisi sızdı. Kurul, şirkette çok faktörlü kimlik doğrulama (MFA) bulunmadığını ve çalışan eğitimlerinin yetersiz olduğunu tespit ederek alt sınırdan uzaklaşarak ceza belirledi.

Sistem Hatası ve Teknik Açıklar

Yazılım güncellemesindeki hata, yanlış yapılandırılmış bulut depolama, şifrelenmemiş veritabanı veya test ortamındaki gerçek verilerin kamuya açık hale gelmesi bu kapsamdadır.

Üçüncü Taraf İhlalleri

Veri işleyeniniz (bulut sağlayıcı, yazılım firması, muhasebe şirketi) tarafındaki bir güvenlik açığından kaynaklanan ihlaller de veri sorumlusunun yükümlülüğünü ortadan kaldırmaz. Aktif Yatırım Bankası kararı bu prensibi net biçimde teyit etmiştir.

Sektörel Emsal Kararlar

Turizm: Kurul'un 6 Kasım 2025 tarihli ve 2025/2120 sayılı İlke Kararı ile otellerin konaklayan misafirlerin T.C. kimlik belgesi fotokopisini kaydetmesi hukuka aykırı bulundu. Bu karar, turizm sektöründeki yaygın bir uygulamayı doğrudan etkilemektedir.

E-ticaret: Kurul'un 11 Şubat 2026 tarihli İlke Kararı, sadakat kartı programlarında doğrulama yapılmadan gerçekleştirilen kişisel veri işlemelerini açıkça ihlal saydı. Gıda, kozmetik, teknoloji ve giyim sektörleri doğrudan etkileniyor.

Telekomünikasyon: Vodafone Net kararı (3 Şubat 2026), para cezasının ötesinde ihlalin kamuoyuna ilanını da içermesi bakımından dikkat çekicidir. İtibar kaybının mali cezadan daha ağır olabileceğini göstermiştir.

Adım Adım İhlal Müdahale Planı

72 saat, ihlal anında plan yapmak için yeterli bir süre değildir. İhlal müdahale planının (IRP — Incident Response Plan) önceden hazırlanmış olması zorunludur.

Aşama 1: Tespit ve Sınıflandırma (İlk 6 Saat)

İhlalin kapsamını ve türünü belirleyin: hangi veriler etkilendi (genel/özel nitelikli), kaç kişi etkilendi (kesin veya tahmini), ihlalin kaynağı nedir (siber saldırı, çalışan ihmali, sistem hatası, üçüncü taraf), ihlal hâlâ devam ediyor mu?

Aşama 2: Sınırlama ve Önleme (İlk 12 Saat)

İhlalin yayılmasını durdurun: etkilenen sistemleri izole edin, ele geçirilen hesapların erişimini engelleyin, güvenlik açığını kapatın, saldırı devam ediyorsa ilgili sistemleri geçici olarak kapatın.

Aşama 3: Kurul'a Bildirim (72 Saat İçinde)

ihlalbildirim.kvkk.gov.tr üzerinden bildirim yapın. Tüm bilgiler henüz netleşmemişse aşamalı bildirim yöntemini kullanın. İlk bildirimde mevcut bilgileri aktarın; detaylar netleştikçe ek bildirimlerle güncelleyin.

Aşama 4: İlgili Kişilere Bildirim (Makul Sürede)

İhlalin ilgili kişiler açısından yüksek risk oluşturduğu tespit edilmişse, mümkün olan en hızlı kanallarla bilgilendirme yapın. E-posta, SMS veya web sitesi duyurusu kullanılabilir.

Aşama 5: Delil Koruma ve Belgeleme

İhlale ilişkin tüm teknik logları, sistem kayıtlarını ve iletişim belgelerini koruma altına alın. Bu belgeler hem Kurul savunmasında hem de olası cezai süreçlerde kritik delil niteliğindedir. İhlal soruşturmasının her adımını kronolojik olarak kaydedin.

Aşama 6: Kök Neden Analizi ve İyileştirme

İhlal kontrol altına alındıktan sonra kök neden analizi yapın: ihlalin teknik nedeni nedir, hangi güvenlik tedbirleri yetersiz kaldı, süreçte insan hatası var mıydı, üçüncü taraf kaynaklı mıydı? Analiz sonuçlarına göre güvenlik tedbirlerini güncelleyin.

Aşama 7: Kurul Savunması Hazırlığı

Kurul inceleme başlattığında savunma için süre tanır. Savunma dilekçesinde şu unsurlar yer almalıdır: ihlalden önce alınan teknik ve idari tedbirlerin detaylı açıklanması, ihlalin nasıl tespit edildiği ve bildirim kronolojisi, ihlalin etkilerini azaltmak için yapılan çalışmalar ve ihlal sonrası alınan ek tedbirler.

Ceza Azaltma Kriterleri: Kurul Neye Bakar?

Kurul, idari para cezasını belirlerken takdir yetkisini kullanır. Alt sınır ile üst sınır arasındaki geniş aralıkta cezayı belirleyen faktörler şunlardır.

Cezayı Azaltan Faktörler

Hızlı bildirim: İhlali 72 saat içinde bildirmiş olmak hafifletici neden olarak değerlendirilir. 72 saatten önce bildirim yapılması daha güçlü bir hafifletici etkendir.

Proaktif güvenlik tedbirleri: İhlalden önce alınan teknik tedbirlerin (şifreleme, MFA, erişim kontrolü, düzenli penetrasyon testi) ve idari tedbirlerin (çalışan eğitimi, politikalar, DPA sözleşmeleri) belgelenmesi cezayı önemli ölçüde azaltır.

Etkilenen kişi sayısının sınırlı olması: 100 kişiyi etkileyen bir ihlal ile 1 milyon kişiyi etkileyen bir ihlal arasında ceza miktarı büyük ölçüde farklılaşır.

Verinin niteliği: Genel nitelikli verilerin ihlali, özel nitelikli verilerin (sağlık, biyometrik) ihlaline kıyasla daha düşük cezayla sonuçlanır.

İyi niyet ve işbirliği: Kurul ile şeffaf iletişim, talep edilen bilgi ve belgelerin süresinde sunulması ve Kurul kararlarının hızla yerine getirilmesi olumlu faktörlerdir.

Cezayı Artıran Faktörler

İhlalin gizlenmeye çalışılması: En ağır artırıcı nedendir. İhlali gizlemek, ihlalin kendisinden çok daha ağır cezalara yol açar.

Geç bildirim: 72 saati aşan bildirimler ayrı bir ihlal kategorisi oluşturur.

Teknik tedbirlerin yokluğu: MFA bulunmaması, şifreleme yapılmaması, güncellenmemiş yazılımlar, çalışan eğitiminin olmaması ağırlaştırıcı etkenlerdir.

Daha önceki ihlaller: Tekerrür halinde ceza iki katına çıkar.

Kurul kararına uymama: Kurul'un verdiği talimatlara süresinde uyulmaması ayrı bir ceza kategorisi olup 427.263 TL ile 17.092.242 TL arasında ek yaptırım doğurur.

İdare Mahkemelerine İtiraz Süreci

1 Haziran 2024'te yürürlüğe giren düzenleme ile Kurul'un idari para cezalarına itiraz mercii değişmiştir. Daha önce Sulh Ceza Hakimliği'ne başvurulurken, artık idare mahkemelerine dava açılmaktadır.

Yetkili Mahkeme

KVKK Kurumu'nun Ankara'da bulunması nedeniyle itiraz davaları kural olarak Ankara İdare Mahkemelerinde görülür. HSK'nın 2026 yılı düzenlemesiyle Ankara'da KVKK kararlarına bakacak ihtisas mahkemeleri belirlenmiştir.

Dava Açma Süresi

Kurul kararının tebliğinden itibaren 60 gün içinde idare mahkemesinde iptal davası açılmalıdır. Bu süre hak düşürücüdür.

Dava Açmak Cezayı Durdurur mu?

Kural olarak idari dava açılması yürütmeyi kendiliğinden durdurmaz. Ancak mahkemeden yürütmenin durdurulması kararı talep edilebilir. Mahkeme, telafisi güç zarar ve açık hukuka aykırılık koşullarını birlikte değerlendirerek bu talep hakkında karar verir.

İtiraz Sonrası Anayasa Mahkemesi Yolu

Yargı yollarının tüketilmesinden sonra, adil yargılanma hakkı ihlali veya mülkiyet hakkı ihlali gerekçesiyle Anayasa Mahkemesi'ne bireysel başvuru yapılabilir. Anayasa Mahkemesi, orantılılık ilkesi çerçevesinde ceza miktarının ölçülü olup olmadığını değerlendirmektedir.

Kurul Savunmasında Dikkat Edilmesi Gerekenler

Kurul inceleme başlattığında veri sorumlusundan savunma ve ilgili bilgi/belgeler talep edilir. Savunma talebine 15 gün içinde yanıt verilmesi zorunludur. Süresinde yanıt verilmemesi, incelemenin mevcut bilgiler üzerinden sonuçlandırılmasına yol açar ve veri sorumlusunun aleyhine değerlendirilir.

Etkili bir savunma dilekçesinin içermesi gereken unsurlar şunlardır: ihlalden önce mevcut olan siber güvenlik altyapısının detaylı açıklanması, çalışan eğitim kayıtları ve KVKK uyum belgelerinin sunulması, ihlalin tespit ve bildirim kronolojisi, zararın azaltılması için yapılan somut çalışmalar, ihlalin tekrarını önlemeye yönelik alınan ek tedbirler.

Soyut gerekçeler ("talepler yoğunluk nedeniyle gözden kaçmıştır", "teknik ekip yetersizdi") Kurul tarafından yeterli bulunmamaktadır.

İhlal Müdahale Ekibi: Kim, Ne Yapar?

Önceden oluşturulmuş bir ihlal müdahale ekibi, 72 saatlik sürenin verimli kullanılmasının anahtarıdır.

Küçük ölçekli şirketlerde tüm roller tek kişide toplanabilir; ancak en azından teknik ve hukuki sorumluluğun ayrılması önerilir.

İndirilebilir: İhlal Müdahale Kontrol Listesi

İlk 6 Saat

• ☐ İhlalin kapsamı ve türü tespit edildi mi?
• ☐ Etkilenen veri kategorileri belirlendi mi?
• ☐ Tahmini etkilenen kişi sayısı hesaplandı mı?
• ☐ İhlal hâlâ devam ediyor mu?

İlk 12 Saat

• ☐ Etkilenen sistemler izole edildi mi?
• ☐ Güvenlik açığı kapatıldı mı?
• ☐ Delil koruma başlatıldı mı?

İlk 72 Saat

• ☐ ihlalbildirim.kvkk.gov.tr üzerinden Kurul'a bildirim yapıldı mı?
• ☐ Bildirimde tüm zorunlu bilgiler yer alıyor mu? (eksikse aşamalı bildirim notu)
• ☐ İlgili kişilere bildirim gerekli mi? Gerekiyorsa hangi kanal kullanılacak?

İlk Hafta

• ☐ Kök neden analizi yapıldı mı?
• ☐ Üçüncü taraf kaynaklıysa ilgili veri işleyenle iletişim kuruldu mu?
• ☐ Ek güvenlik tedbirleri uygulandı mı?
• ☐ Kurul savunması için belge hazırlığı başladı mı?

İlk Ay

• ☐ İyileştirme tedbirleri tamamlandı mı?
• ☐ Çalışanlara ek eğitim verildi mi?
• ☐ İhlal sonuç raporu hazırlandı mı?
• ☐ Siber sigorta varsa bildirim yapıldı mı?

Sonuç

Veri ihlali, her şirketin karşılaşabileceği bir gerçekliktir. 2026 yılında yaptırımların 17 milyon TL'yi aşması, ihlalin gizlenmesinin ihlalden ağır cezalandırılması ve yargı yolunun idare mahkemelerine taşınması, bu alanın hukuki ciddiyetini somut biçimde ortaya koymaktadır.

İhlal yaşandığında 72 saat çok kısa bir süredir; bu sürede hem teknik müdahale hem hukuki bildirim hem de iletişim yönetimi yapılmak zorundadır. Bu nedenle ihlal müdahale planının önceden hazırlanması, ekibin belirlenmiş olması ve simülasyonlarla test edilmesi artık bir tercih değil zorunluluktur.

Güneş Partners olarak veri ihlali müdahale planı hazırlığı, 72 saatlik Kurul bildirim sürecinin yönetimi, savunma dilekçesi hazırlığı, idare mahkemesinde itiraz davaları ve Anayasa Mahkemesi bireysel başvuruları alanlarında şirketlere kapsamlı hukuki destek sağlıyoruz. İhlal yaşadıysanız veya ihlale karşı hazırlıklı olmak istiyorsanız bizimle iletişime geçebilirsiniz.

Bu İçerik Hakkında

Bu içerik, Güneş Partners kurucu ortakları Av. Mert Güneş ve Av. Melis Güneş tarafından, 6698 sayılı KVKK m. 12 ve 18, Kurul'un 2019/10 sayılı İlke Kararı, 7499 sayılı Kanun'un yargı yolu değişiklikleri, 2026 yılı yeniden değerleme oranı tebliği, Kurul'un 2025-2026 dönemi emsal kararları (Aktif Yatırım Bankası, Global Lojistik, Vodafone Net), Kurul'un turizm ve e-ticaret sektörü ilke kararları ve KVKK Kurumu resmi duyuruları temelinde hazırlanmıştır. Veri ihlali ve KVKK ceza süreçlerinde profesyonel destek için gunespartners.com adresini ziyaret edebilirsiniz.