AvAi · Kaynaklı hukuk incelemesi
Yapay zekâ desteğiyle hazırlanmıştır. Bireysel hukuki danışmanlık veya hakemli akademik yayın değildir. Kaynak kontrol tarihi: 2026-09-30.
Bir veri güvenliği olayı yaşandığında ilk pratik soru çoğu zaman “72 saat ne zaman doluyor?” olur. Bu soru önemlidir; ancak tek başına yeterli değildir. 6698 sayılı Kanun’un 12’nci maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun hem ilgili kişilere hem Kurula bildirim yapmasını öngörür. Kurulun 24 Ocak 2019 tarihli 2019/10 sayılı kararı, Kurula bildirim bakımından “en kısa sürede” ifadesini öğrenme tarihinden başlayan en geç 72 saat olarak yorumlamıştır [1].
Bu düzen içinde iki ayrı muhatap ve iki ayrı zamanlama vardır. Kurula bildirim için karar açık bir 72 saat ölçüsü verir. Etkilenen kişilere bildirim ise ihlalden etkilenen kişiler belirlendikten sonra makul olan en kısa sürede yapılmalıdır. Dolayısıyla Kurula gönderilen formun kişilere bildirim yerine geçtiği veya kişilere mutlaka aynı 72 saat içinde haber verilmesi gerektiği sonucu çıkarılmamalıdır. İki hattı ayrı görev, sorumlu ve kayıtla yönetmek, olayın ortasında yükümlülüklerden birinin unutulmasını önler [1].
Bu yazı, her siber olayın otomatik olarak Kanun’un 12’nci maddesinin beşinci fıkrasını çalıştırdığı iddiasında değildir. Olayın niteliği, hangi verinin kim tarafından ve ne şekilde elde edildiği somutlaştırılmalıdır. Örneğin yalnız hizmet kesintisi veya başarısız erişim girişimi, kişisel verilerin kanuni olmayan yollarla başkalarınca elde edildiği anlamına kendiliğinden gelmez. Bununla birlikte olay, fıkradaki özel bildirim eşiğine ulaşmasa bile veri güvenliğine ilişkin diğer yükümlülükler ve olayın etkileri ayrıca değerlendirilmelidir. Bu ayrım, “bildirim gerekmiyor” sonucunu delil toplamadan vermek için değil, doğru hukuki soruyu sormak içindir.
2019/10 sayılı karar, Kurula bildirim süresini veri sorumlusunun ihlali öğrendiği tarihe bağlar [1]. Metin, soruşturmanın tüm teknik ayrıntılarıyla bitmesini veya etkilenen herkesin adının kesinleşmesini beklemeyi ayrıca bir ön koşul olarak saymaz. Bu nedenle kuruluşların olay farkındalığının oluştuğu zamanı, bu sonuca götüren bulguları ve sonraki güncellemeleri ayrı ayrı kaydetmesi önemlidir. Teknik inceleme sürerken kapsam net değilse, belirsizlik sessizce bekleme gerekçesine dönüşmemelidir.
İlk kayıt; bildirimin yapıldığı saati değil, şüpheli olayın ihlal olarak değerlendirilmesine dayanak olan ilk güvenilir bilgi zamanını da içermelidir. Olay müdahale ekibi bu kaydı sonradan geriye dönük ve belgesiz biçimde değiştirmemeli; yeni delil önceki tespiti değiştiriyorsa değişikliğin gerekçesi korunmalıdır. Bu, kararın açıkça öngördüğü yeni bir şekil şartı değil; sürenin hangi öğrenme anından hesaplandığını gerektiğinde açıklayabilmek için ihtiyatlı bir olay yönetimi yöntemidir.
Kurula 72 saat içinde bildirim yapılamaması haklı bir nedene dayanıyorsa, gecikme nedeni bildirimle birlikte açıklanmalıdır. Formdaki tüm bilgileri aynı anda sağlamak mümkün değilse karar, bilgilerin gecikmeye yol açmadan aşamalı sunulmasına izin veren bir yaklaşım benimser [1]. Bunun pratik karşılığı, eksik teknik ayrıntılar yüzünden ilk başvuruyu süresiz ertelemek yerine mevcut bilgiyi düzenli biçimde sunmak ve sonraki eklemeleri izlemektir. Aşamalı bildirim, süreyi yok sayma veya doğrulanmamış bilgi verme ruhsatı değildir; her aşamada neyin bilindiği ve neyin araştırıldığı açık tutulmalıdır.
Kurulun 2019/10 sayılı kararına göre ilgili kişilere, etkilenenler belirlendikten sonra makul olan en kısa süre içinde bildirim yapılır. İletişim adresine ulaşılabiliyorsa doğrudan bildirim; bu mümkün değilse Kurumun duyurusunda örneklenen uygun yöntemlerden biri, veri sorumlusunun internet sitesinde ilan olabilir [1]. Buradaki ölçüt, site ilanının her olayda yeterli olması değil, kişinin iletişim bilgisine ulaşılamadığı durumda uygun yöntem seçilmesidir.
Kurulun 2019/271 sayılı kararı, kişiye gönderilecek bildirimin açık ve sade olması gerektiğini belirtir. Asgari içerik; olayın ne zaman gerçekleştiği, kişisel veri kategorileri bakımından hangi verilerin etkilendiği, olası sonuçlar, alınan veya önerilen azaltıcı tedbirler ve bilgi alınabilecek irtibat kanalıdır [2]. Bu çerçeve, teknik ekiplerin hazırladığı olay raporunu olduğu gibi kişiye yollamak yerine, kişinin kendi durumunu anlayıp atabileceği adımı gösterecek bir metin hazırlamayı gerektirir.
Bildirimde kesinleşmeyen noktalar kesinmiş gibi sunulmamalıdır. Öte yandan yalnızca “inceleme sürüyor” demek de kişinin korunması için gerekli bilgileri sağlamaz. Kuruluş, hangi veri kategorilerinin etkilendiğini mevcut delile göre açıklamalı, bilinmeyen hususları sınırlarıyla ifade etmeli ve yeni bilgi elde edildiğinde güncelleme için kanal belirlemelidir. Hassas kişisel verileri kamuya açık bir duyuruda gereksiz ayrıntıyla çoğaltmamak; buna karşılık doğrudan etkilenen kişiye kendi hesabını koruyabilmesi için gereken somut yönlendirmeyi vermek, açıklık ile mahremiyet arasındaki dengeyi kurmaya yardımcı olur.
Kurulun 2020/905 sayılı karar özeti, süre ve kanal ayrımını somutlaştıran bir örnektir. Olayda ihlal 28 Şubat 2020’de tespit edilmiş, Kurula bildirim 4 Mart’ta yapılmış; gecikme nedeni olarak sunucu ve güvenlik duvarı kayıtlarının incelenmesinin uzaması gösterilmiştir. Kurul, bu gerekçeyi 72 saat içinde bildirim yapılmamasını haklı kılan bir açıklama olarak kabul etmemiştir. Ayrıca etkilenen kişiler belirlenmiş olmasına rağmen yalnız internet sitesinde duyuru yapılmasını kişilere bildirim yerine yeterli saymamış; kişiye yönelik bildirimin 2019/271 sayılı karardaki asgari unsurları taşımadığını değerlendirmiştir [3].
Bu karar, her olayda internet sitesi ilanının geçersiz olduğu veya her gecikmenin aynı sonuca yol açacağı yönünde genel bir kural olarak okunmamalıdır. Kararın kendi olguları önemlidir: kişiler belirlenmişti ve Kurul, bu kişilere uygun bildirim yapılmadığını tespit etmişti. Benzer biçimde karardaki yaptırım da yalnız o dosyanın tarihsel sonucudur; güncel ve her olay için geçerli sabit bir ceza tutarı gibi aktarılmamalıdır. Karardan çıkarılabilecek daha dar ders, teknik araştırma ve bildirim hazırlığının paralel yürütülmesi, muhatapların belirlenir belirlenmez doğrudan kanalın değerlendirilmesi ve bildirim metninin içerik bakımından gözden geçirilmesidir [2][3].
Kanun’un 12’nci maddesinin beşinci fıkrası, Kurula kendi internet sitesinde veya uygun gördüğü başka bir yöntemle ilan imkânı da tanır [1]. Veri sorumlusunun etkilenen kişilere bildirim görevi ile Kurulun kamuoyuna duyuru yapma kararı bu nedenle farklı aktörlere ve amaçlara aittir. Kurumun bir ihlali kamuya açıklamış olması, veri sorumlusunun kendi bireysel bildirim yükümlülüğünü kendiliğinden yerine getirdiği anlamına gelmez.
Kurumun 23 Eylül 2026 tarihli ve 2026/2082 sayılı karara ilişkin güncel duyurusu bu ayrımın yakın tarihli bir örneğidir: Kurul, incelemenin sürdüğünü belirterek ihlal bildiriminin Kurum sitesinde ilan edilmesine karar verdiğini açıklamıştır [4]. Duyuru, veri sorumlusunun ve Kurulun rollerini karıştırmamak için yararlıdır; ancak devam eden incelemenin sonucunu önceden ilan etmez. Bu nedenle örnekten başka olaylar için sorumluluk veya sonuç çıkarılamaz; burada önemli olan, Kurulun kendi ilan yetkisini kullanmış olduğudur.
Olay öncesinde bir müdahale planı hazırlamak, süre baskısı başladığında kimin karar vereceği konusundaki boşluğu azaltır. Kurul, veri sorumlusunun kurum içi raporlama sorumlularını, bildirim görevini ve muhtemel etkilerin nasıl değerlendirileceğini kapsayan bir plan hazırlamasını ve belirli aralıklarla gözden geçirmesini ister [1]. Planda hukuk, bilgi güvenliği, iletişim ve ilgili iş birimlerinin hangi aşamada devreye gireceği; karar ve kayıtların nerede tutulacağı açıkça tanımlanabilir.
Olay fark edildiğinde önce deliller korunmalı, erişim ve yayılımın durdurulmasına yönelik tedbirler alınmalı, hangi kişisel verilerin etkilenmiş olabileceği araştırılmalı ve öğrenme zamanı kayda geçirilmelidir. Ardından Kurula yapılacak bildirim hattı ile etkilenen kişiler için bildirim hattı ayrı ayrı yürütülmelidir. Birinci hatta mevcut bilgiyle süre içinde başvuru ve gerekiyorsa aşamalı tamamlama; ikinci hatta kişilerin belirlenmesi, doğrudan iletişim olanağı ve sade içerik değerlendirilir [1][2]. Veri işleyen nezdinde meydana gelen olaylarda ise veri işleyenin, gecikmeksizin veri sorumlusuna bildirim yapması gerektiği de unutulmamalıdır [1].
Bu sıra, kurumun somut olayda veri sorumlusu mu veri işleyen mi olduğunu, olayın Kanun’un 12’nci maddesinin beşinci fıkrası kapsamına girip girmediğini veya başka yükümlülükleri ortadan kaldırmaz. Her olayda roller, sözleşmeler, deliller ve etkilenen kişiler ayrıca incelenmelidir. Bir olay müdahale planı hukuk değerlendirmesinin yerine geçmez; değerlendirmeyi zamanında ve izlenebilir biçimde yapabilmek için kurumsal zemini sağlar.
“72 saat içinde bildirim” ifadesi tek başına kullanıldığında kime, hangi başlangıç anından itibaren ve hangi içerikle bildirim yapılacağını görünmez kılabilir. Kurulun 2019/10 sayılı kararı Kurula bildirimi öğrenme tarihinden itibaren en geç 72 saate bağlarken, etkilenen kişilere bildirimi kişilerin belirlenmesini izleyen makul olan en kısa süreye ve uygun iletişim yoluna bağlar. 2019/271 sayılı karar da bu kişi bildiriminde bulunması gereken asgari unsurları gösterir [1][2].
Bu nedenle sağlam bir olay yönetimi, tek bir son tarih alarmından ibaret değildir: olayın niteliği ve fark edildiği zaman kaydedilir; Kurula bildirim ile kişilere bildirim paralel fakat ayrı takip edilir; mevcut bilgiler bekletilmeden ve doğru kanaldan sunulur; değişen bulgular kayıt altına alınır. Buradaki açıklama genel bilgilendirme niteliğindedir, belirli bir ihlale ilişkin hukuki görüş veya kişiye özel danışmanlık değildir. Somut olayda uygulanacak yükümlülükler, olayın delilleri ve güncel mevzuat temelinde ayrıca değerlendirilmelidir.
Avarsis’in yapay zekâ destekli, kaynaklı hukuk incelemeleri. Hakemli akademik yayın veya kişiye özel hukuki danışmanlık değildir.