Şirket Verilerinin Siber Saldırı ile Çalınması

Mevzuat ve süre kontrolü: 19 Ekim 2026.

Özet

Siber saldırıda önce hangi kişisel verilerin etkilendiği, olayın ne zaman öğrenildiği ve veri sorumlusu ile veri işleyenin rolleri belirlenmelidir. Kurula bildirim, etkilenen kişilere bildirim ve teknik müdahale aynı işlem değildir.

1. İlk kayıt ve güvenlik tedbirleri

KVKK m.12, hukuka aykırı işleme ve erişimi önleme, verilerin korunması için uygun teknik ve idari tedbirleri gerektirir. Saldırı tek başına her olayda aynı cezanın uygulanacağı anlamına gelmez. Erişim kayıtları, olayın öğrenilme anı, etkilenen veri kategorileri, alınan tedbirler ve hizmet sağlayıcı ilişkisi belgelenmelidir.

Veri işleyen, kendi adına karar veren veri sorumlusuyla aynı rolü taşımaz. Müdahale sırasında delillerin bütünlüğü ve kişilerin yeni zararlara karşı korunması birlikte gözetilmelidir.

2. 72 saat hangi bildirim içindir?

Kanunun m.12/5 hükmündeki “en kısa sürede” bildirim, Kurulun 24 Ocak 2019 tarihli 2019/10 sayılı kararıyla Kurula bildirim bakımından ihlalin öğrenilmesinden itibaren en geç 72 saat olarak açıklanmıştır. Gecikme varsa nedeni de açıklanmalıdır; bütün incelemelerin bitmesini beklemek süreyi kendiliğinden uzatmaz.

Etkilenen kişilere de en kısa sürede uygun yöntemle bildirim gerekir. Kurula bildirimdeki 72 saat ölçütü, ilgili kişiye bildirim veya veri işleyenin veri sorumlusuna haber vermesi için birbirinin yerine geçen tek süre değildir.

3. Güncel yaptırım ve sicil yükümlülüğü

2026 yılı için m.18/1-b’de veri güvenliğine ilişkin yükümlülüklere aykırılık cezası 256.357–17.092.242 TL aralığındadır. Fiilin tarihi, sorumlunun sıfatı, ihlal türü ve uygulanacak hükümler belirlenmeden tek bir tutar vaat edilemez. Geçmiş bir Kurul kararındaki tutar güncel ceza tarifesi değildir.

Ana faaliyeti özel nitelikli kişisel veri işleme olmayanlar için yıllık çalışan sayısının 50’den ve yıllık mali bilanço toplamının 100 milyon TL’den az olması birlikte aranır. Ana faaliyeti özel nitelikli veri işleme olanlarda 2025/1572 sayılı Kurul kararıyla çalışan sayısı 10’dan ve bilanço toplamı 10 milyon TL’den az olanlara da istisna getirilmiştir. Bilanço esasına göre defter tutanlarda iki koşul birlikte; bu esasa göre defter tutmayanlarda Kurumun açıklamasındaki çalışan ölçütü uygulanır. Diğer mesleki ve kurumsal istisnalar ayrıca kontrol edilmelidir.

VERBİS istisnası veri güvenliği, aydınlatma ve ihlal bildirimi yükümlülüklerini ortadan kaldırmaz.

4. Başvuru yolları

İlgili kişi önce veri sorumlusuna başvurur. KVKK m.13 uyarınca talep en geç 30 günde sonuçlandırılır. M.14’te Kurula şikâyet, cevabın öğrenilmesinden itibaren 30 ve her hâlde veri sorumlusuna başvurudan itibaren 60 günle sınırlıdır. Cevapsızlık ve erken cevap durumlarında süre hesabı ayrı yapılmalıdır; her cevap beklemek için yeni bir 60 gün yaratmaz.

1 Haziran 2024’ten itibaren Kurulun idari para cezalarına karşı görevli yer idare mahkemesidir. O tarihte sulh ceza hâkimliğinde görülmekte olan başvurular için geçiş hükmü saklıdır. Güncel bütün KVKK cezalarında “15 gün içinde sulh ceza” anlatımı kullanılamaz; tebligat, işlem ve uygulanacak dava süresi birlikte değerlendirilir.

İlgili yazılar

İş Başvurusunda Alınan Kişisel Verilerin Silinmesi · VERBİS Kayıt Yükümlülüğü ve Kayıt Yapmama Cezası

Güncellik kontrolünde kullanılan resmî kaynaklar

• KVKK — resmî karar ve rehber

• KVKK — resmî karar ve rehber

• KVKK — resmî karar ve rehber

• 6698 sayılı Kanun — güncel metin