Veri İhlali Yaşayan Şirketler İçin Hukuki Yol Haritası

Siber güvenlik artık yalnızca bilgi teknolojileri biriminin teknik gündemi kapsamında yer almamaktadır. Veri ihlalleri; yönetim kurulu sorumluluğu, düzenleyici bildirimler, ceza soruşturmaları, tazminat talepleri, sözleşmesel rücu ve itibar yönetimini aynı anda harekete geçiren bir kurumsal yönetişim meselesi haline gelmiştir. 7545 sayılı Siber Güvenlik Kanunu ile birlikte şirketlerin olay müdahale planlarını çok otoriteli ve çok katmanlı bir uyum perspektifiyle kurgulaması gerekmektedir.

İşbu hukuki yol haritasında da siber saldırı veya veri sızıntısı sonrası şirketlerin izlemesi gereken hukuki ve teknik adımlar, -her somut durum ve saldırı bakımından ayrı ayrı değerlendirilmesi gerekmekle birlikte- genel itibariyle aşamalı olarak ele alınacaktır.

1. İhlalin Türünün Belirlenmesi

Her siber olay kişisel veri ihlali olmadığı gibi, her kişisel veri ihlali de mutlaka bir siber saldırıdan kaynaklanmamaktadır. Örneğin hizmet dışı bırakma saldırısı kişisel veri elde edilmesine yol açmadan siber olay oluşturabilir; buna karşılık basılı personel dosyasının kaybolması KVKK bakımından ihlal oluşturabilmekle birlikte 7545 sayılı Kanun anlamında bir siber olay niteliği taşımayabilir. Bu ayrım, hangi kuruma bildirim yapılacağını ve hangi sürenin işleyeceğini belirlemektedir.

İlk hukuki sınıflandırma en az dört başlık altında yapılmalıdır:

• Kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edilmiş midir? Bu durumda KVKK m.12/5 kapsamındaki bildirim rejimi gündeme gelir.
• Olay, bilişim sistemlerinin veya verinin gizlilik, bütünlük ya da erişilebilirliğinin ihlali niteliğinde bir “siber olay” veya tespit edilen bir “zafiyet” midir? Bu durumda 7545 sayılı Kanun kapsamındaki bildirim yükümlülüğü ayrıca değerlendirilir.
• Şirket; bankacılık, ödeme hizmetleri, elektronik haberleşme, sigortacılık, sağlık, enerji veya kritik altyapı gibi sektörel düzenlemelere tabi midir? İlgili düzenleyici kurumlara ilave bildirimler gerekebilir.
• Olay yurt dışındaki ilgili kişileri, grup şirketlerini veya yabancı müşterileri etkiliyor mudur? Uygulanabilir yabancı veri koruma ve siber güvenlik düzenlemeleri ayrıca incelenmelidir.

2. Sorumluluk Haritasının Çıkarılması

Veri ihlali yönetiminde aynı olay, aşağıdaki sorumluluk alanlarını eş zamanlı olarak tetikleyebilmektedir:

• İdari ve düzenleyici sorumluluk: Kişisel Verileri Koruma Kurulu, Siber Güvenlik Başkanlığı ve olayın niteliğine göre sektörel düzenleyici otoriteler nezdindeki bildirim, iş birliği ve denetim yükümlülükleri söz konusu olabilir.
• Ceza hukuku boyutu: Şirketin saldırganlara karşı mağdur sıfatıyla başvurusu ile olayda kusuru veya kastı bulunan sorumlu gerçek kişiler bakımından doğabilecek riskler ortaya çıkabilir. Türk ceza hukukunda ceza sorumluluğu gerçek kişilere aittir; tüzel kişiler yönünden ise kanunda öngörülen güvenlik tedbirleri ile idari ve özel hukuk sonuçları gündeme gelebilir.
• Özel hukuk sorumluluğu: İlgili kişiler, müşteriler, çalışanlar ve iş ortakları tarafından ileri sürülebilecek maddi ve manevi tazminat talepleri ile sözleşmesel sorumluluklar söz konusu olabilir.
• Kurumsal yönetişim sorumluluğu: Yönetim organlarının gözetim ve özen yükümlülüğü, iç kontrol eksiklikleri ve olay sonrası hesap verebilirlik gündeme gelebilir.
• Ticari ve sözleşmesel sonuçlar: Hizmet seviyesi ihlalleri, gizlilik taahhütleri, müşteri bildirimleri, tedarikçi rücu talepleri, siber sigorta poliçesi koşulları ve finansman sözleşmelerindeki ihbar yükümlülükleri değerlendirilebilir.

3. İhlal Öncesi Hazırlık

Kurul kararları ve uygulama bakımından yalnızca olay sonrasında alınan tedbirler değil, ihlal öncesinde kurulmuş güvenlik ve yönetişim mimarisi de belirleyici olmaktadır. “Gerekli teknik ve idari tedbirlerin alındığı” savunması, olaydan sonra hazırlanmış politika metinleriyle değil; çalışan kayıtları, tatbikat sonuçları, yetki matrisi, log politikası, risk analizleri, tedarikçi denetimleri ve yönetim kararlarıyla desteklenmelidir.

Uygulamada şirketlerin olay öncesinde asgari olarak aşağıdaki yapıyı kurması önerilir:

• Hukuk, bilgi güvenliği, bilgi teknolojileri, insan kaynakları, iç denetim, kurumsal iletişim ve üst yönetim temsilcilerinden oluşan olay müdahale ekibi ile açık görev dağılımı.
• Kimin, hangi olayı, kaç saat içinde ve hangi kanaldan raporlayacağını gösteren yazılı eskalasyon ve bildirim protokolü.
• Delil bütünlüğünü, log saklama sürelerini, yedeklemeyi, erişim yetkilerini ve zincirleme muhafazayı düzenleyen prosedürler.
• Veri işleyen ve tedarikçi sözleşmelerinde, kanuni süreye kıyasla daha kısa iç bildirim süreleri; denetim, log paylaşımı, adli bilişim desteği, alt yüklenici ve rücu hükümleri.
• En az yılda bir masa başı tatbikatı ve kritik sistemler için teknik senaryo çalışmaları. Faaliyet alanı veya sektörel mevzuat gerektiriyorsa SOME yapılanması; diğer şirketlerde ise işlevsel olarak eşdeğer bir olay müdahale organizasyonu.
• Siber sigorta poliçesi varsa; hangi olayların, hangi süre ve usulle sigortacıya bildirileceğinin ve hangi hizmet sağlayıcıların ön onaya tabi olduğunun önceden belirlenmesi.

4. Aşama 1: Yayılımı Durdururken Delili Yok Etmemek

İhlal tespit edildiğinde ilk amaç, zararın yayılmasını sınırlandırmaktır. Ancak bu amaçla yapılan müdahale, soruşturma ve savunma için gerekli dijital delilleri ortadan kaldırmamalıdır. Panikle cihazların formatlanması, sistemlerin sıfırlanması, logların üzerine yazılması veya zararlı yazılımın iz bırakmadan silinmesi; saldırının kaynağının, süresinin ve etkilenen veri setinin tespitini zorlaştırır. Bu sebeple müdahale, mümkünse hukuk ekibiyle koordineli ve bağımsız adli bilişim uzmanı desteğiyle yürütülmelidir.

İlk müdahale sırasında güvenlik uyarıları, erişim ve işlem logları, bulut servis kayıtları, IP ve kullanıcı bilgileri, e-posta başlıkları, oturum ve yetki değişiklikleri, zararlı dosya örnekleri, ekran görüntüleri, yedekleme durumları ve yapılan her müdahalenin kim tarafından hangi saatte gerçekleştirildiğini gösteren olay günlüğü gibi kayıtlar zaman damgasıyla güvence altına alınmalıdır

Ayrıca teknik alarmın alındığı zaman ile veri sorumlusunun ihlali öğrendiği an ayrı ayrı kaydedilmelidir. İnceleme süreci, bildirim süresini yapay biçimde ertelemek için kullanılmamalı; yeterli kesinlik oluştuğunda hukuki değerlendirme ve bildirim hazırlığı derhal başlatılmalıdır.

İlk 72 Saat İçin Pratik Zamanlama

• İlk aşama: Kriz masasının kurulması, yayılımın sınırlandırılması, delillerin dondurulması, kritik hizmetlerin güvenli şekilde devamlılığının sağlanması ve olay günlüğünün başlatılması.
• İkinci aşama: Etkilenen sistem, veri kategorisi, kişi grubu ve coğrafi kapsamın ön değerlendirmesi; veri sorumlusu/veri işleyen rollerinin belirlenmesi; sözleşme, sigorta ve sektörel bildirim yükümlülüklerinin kontrolü.
• Üçüncü aşama: KVKK bildirim formunun hazırlanması ve gerekiyorsa ilk/aşamalı bildirimin yapılması; Siber Güvenlik Başkanlığı ve diğer otoriteler yönünden “gecikmeksizin” bildirim standardının yerine getirilmesi; ilgili kişi iletişim planının onaylanması, yönetim organının kayıtlı biçimde bilgilendirilmesi.

5. Aşama 2: Bildirim Rejimi

5.1. Kişisel Verileri Koruma Kurulu’na Bildirim

KVKK m.12/5 uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurula bildirmekle yükümlüdür. Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kararı uyarınca Kurula bildirim, ihlalin öğrenildiği andan itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır.

72 saat bir bekleme süresi değildir; azami süredir. Olayın tüm ayrıntıları henüz netleşmemişse eldeki doğrulanmış bilgilerle ilk bildirim yapılıp, yeni bulgular gecikmeksizin aşamalı bildirimlerle tamamlanabilir. Haklı bir nedenle 72 saat aşılmışsa gecikme nedeni bildirimle birlikte açıklanmalıdır.

5.2. İlgili Kişilere Bildirim

Kişisel Verileri Koruma Kurulunun 24.01.2019 tarih ve 2019/10 sayılı kararı uyarınca; ihlalden etkilenen kişiler belirlendikten sonra bildirim, makul olan en kısa sürede ve açık, sade, yönlendirici bir dille yapılmalıdır. İletişim bilgileri mevcutsa doğrudan bildirim esastır; doğrudan erişim mümkün değilse şirketin internet sitesi gibi uygun yöntemlerin kullanılması mümkündür.

Bu bildirimde ihlalinin ne zaman gerçekleştiği, kişisel veri kategorileri bazında (kişisel veri / özel nitelikli kişisel veri ayrımı yapılarak) hangi kişisel verilerin ihlalden etkilendiği, kişisel veri ihlalinin olası sonuçları, veri ihlalinin olumsuz etkilerinin azaltılması için alınan veya alınması önerilen tedbirler, ilgili kişilerin veri ihlali ile ilgili bilgi almalarını sağlayacak irtibat kişilerinin isim ve iletişim detayları ya da veri sorumlusunun web sayfasının tam adresi, çağrı merkezi vb. iletişim yolları gibi unsurlara yer verilmelidir. Ayrıca bildirim yalnızca hukuki bir formalite değil, ilgili kişinin zararını azaltmasına imkân veren pratik öneriler de içermelidir; örneğin parola yenileme, kart iptali, kimlik avı mesajlarına karşı dikkat veya hesap hareketlerinin izlenmesi gibi olayla bağlantılı tedbirler açıklanmalıdır.

5.3. Siber Güvenlik Başkanlığı’na Bildirim

7545 sayılı Siber Güvenlik Kanunu, bilişim sistemleri kullanarak hizmet sunan, veri toplayan veya işleyenlerin; hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirmesini öngörmektedir. Kanunda bu yükümlülük için öngörülen ölçüt “gecikmeksizin” harekete geçilmesidir.

Önemli nüans şudur: Her KVKK ihlali otomatik olarak Siber Güvenlik Başkanlığı bildirimi doğurmaz. Bildirim yükümlülüğü, olayın aynı zamanda 7545 sayılı Kanun kapsamındaki zafiyet veya siber olay niteliği taşımasına bağlıdır. Buna karşılık bir siber olay kişisel veri elde edilmesine yol açmasa dahi 7545 sayılı Kanun bakımından bildirime tabi olabilir. Bildirimin kanalı ve içeriği, yürürlükteki güncel ikincil düzenlemeler, Başkanlık duyuruları ve sektörel usuller ayrıca kontrol edilerek belirlenmelidir.

5.4. Sektörel, Sözleşmesel ve Sınır Ötesi Bildirimler

Bankacılık, ödeme hizmetleri, elektronik haberleşme, sigortacılık, sağlık ve kritik altyapı alanlarında faaliyet gösteren şirketler bakımından düzenleyici kurumlara, sektörel olay müdahale yapılarına veya kamu otoritelerine ilave bildirim yükümlülükleri söz konusu olabilir. Aynı şekilde müşteri ve iş ortaklarıyla yapılan sözleşmeler, finansman belgeleri, veri işleme sözleşmeleri ve siber sigorta poliçeleri de kanuni bildirimlerden daha kısa süreler öngörebilir.

Uluslararası faaliyet gösteren şirketlerde, olayın Avrupa Birliği veya başka ülkelerdeki ilgili kişileri etkilemesi hâlinde yabancı otorite bildirimleri ve grup içi kriz protokolleri de eş zamanlı değerlendirilmelidir. Dolayısıyla ilk saatlerde hazırlanması gereken belge yalnızca bir KVKK formu değil, olay özelinde bir bildirim matrisidir.

6. Aşama 3: Şirketin Mağdur Sıfatıyla Ceza Hukuku Süreci

Siber saldırı, aynı zamanda şirketin ceza hukuku bağlamında mağdur olduğu bir durumu teşkil edebilir. Somut olayın niteliğine göre bilişim sistemine girme (TCK m.243), sistemi engelleme, bozma, verileri yok etme veya değiştirme (TCK m.244), kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme (TCK m.136), banka veya kredi kartlarının kötüye kullanılması (TCK m.245), bilişim sistemlerinin araç olarak kullanıldığı nitelikli dolandırıcılık (TCK m.158/1-f) ve tehdit/şantaj hükümleri gündeme gelebilir.

Bu kapsamda etkin bir ceza soruşturması, failin tespiti, veri yayılımının sınırlandırılması, delillerin resmî makamlarca güvence altına alınması ve sonraki tazminat/rücu süreçleri bakımından önem taşır. Cumhuriyet Başsavcılığına veya kolluk birimlerine yapılacak başvuru; doğrulanmış IP/URL bilgileri, logların adli kopyaları, hash değerleri, zaman damgalı ekran görüntüleri, fidye yazışmaları, olay kronolojisi ve teknik ön raporla desteklenmelidir.

Suç duyurusundan önce veya eş zamanlı olarak delilin yayılmasını ve değiştirilmesini önleyecek tedbirler de değerlendirilmelidir. Bu kapsamda sızdırılan içerik internette yayımlanmışsa, platform içi kaldırma süreçleri, delil tespiti, ihtiyati tedbir, özel hayatın gizliliğinin korunması ve suç içeriklerine özgü erişim sınırlama yolları somut içeriğe ve yürürlükteki mevzuata göre ayrıca değerlendirilmelidir.

7. Aşama 4: Belgeleme ve Üçüncü Taraf Yönetimi

İyi yönetilen bir ihlalin en önemli çıktısı, olayın başından sonuna kadar tutarlı ve denetlenebilir bir kayıt setidir. Olay günlüğünde tespit zamanı, alınan kararlar, kararın dayanağı, müdahaleyi yapan kişiler, kapatılan sistemler, korunan deliller, yapılan bildirimler, iletişim metinleri ve düzeltici faaliyetler yer almalıdır.

Kamuoyu açıklaması, müşteri e-postası, çalışan duyurusu ve resmî bildirimler aynı olgusal çekirdeğe dayanmalıdır. Henüz doğrulanmamış hususlar kesin bilgi gibi sunulmamalı; buna karşılık, bilinen ve açıklanması gereken hususlar da saklanmamalıdır. İletişim metinleri hukuk ve teknik ekip tarafından birlikte onaylanmalıdır.

İhlal bir bulut sağlayıcısı, yazılım firması, çağrı merkezi, bordro hizmeti, e-posta servisi veya başka bir veri işleyen/tedarikçi kaynaklıysa aşağıdaki konuların gecikmeksizin ele alınması önem arz etmektedir: sözleşmesel bildirim yükümlülüğü, log ve delil erişimi, adli bilişim iş birliği, alt yüklenici zinciri, sorumluluk sınırları, tazminat ve rücu hakları, hizmet sürekliliği ve sigorta bildirimi.

8. Aşama 5: Savunma ve İdari Yargı

İdari inceleme başladığında savunmanın merkezinde; olay öncesi tedbirlerin riskle orantılı olduğu, olayın zamanında tespit edildiği, müdahalenin kontrollü yürütüldüğü, bildirimlerin süresinde yapıldığı ve tekrarını önleyici önlemlerin devreye alındığı hususları bulunmalıdır.

Kişisel Verileri Koruma Kurulunun verdiği idari para cezalarına karşı idare mahkemelerinde dava açılabilmektedir. Özel bir süre öngörülmemişse genel dava açma süresi tebliğden itibaren 60 gündür. Siber Güvenlik Başkanlığı tarafından verilen idari para cezalarına karşı da idari yargı yolu açıktır; ayrıca 7545 sayılı Kanun uyarınca yaptırım öncesinde savunma için tebliğden itibaren 30 günlük süre öngörülmüştür.

9. 2026 Yılı İtibarıyla Yaptırım Görünümü

KVKK bakımından veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi hâlinde 2026 yılı idari para cezası aralığı 256.357 TL ile 17.092.242 TL arasındadır. İhlal bildiriminin yapılmaması veya geç yapılması da KVKK m.12 kapsamındaki veri güvenliği yükümlülükleri çerçevesinde değerlendirilmektedir. Aynı olayda farklı yükümlülüklerin ihlal edilmesi hâlinde fiillerin ayrı ayrı değerlendirilmesi ve yaptırım riskinin artması mümkündür.

7545 sayılı Siber Güvenlik Kanunu’ndaki maktu idari para cezaları da yeniden değerleme hükümleri çerçevesinde güncellenmektedir. 2026 yılı yeniden değerleme oranı dikkate alındığında, siber güvenlik tedbirlerini almama veya tespit edilen zafiyet/siber olayı gecikmeksizin bildirmeme bakımından ceza aralığı 1.254.900 TL ile 12.549.000 TL seviyesindedir. Denetim yükümlülüklerine aykırılıkta 125.490 TL ile 1.254.900 TL arasında ceza; ticari şirketler bakımından ise alt sınırdan az olmamak üzere bağımsız denetimden geçmiş yıllık brüt satış hasılatının yüzde 5’ine kadar yaptırım gündeme gelebilmektedir.

Kanuna aykırı fiil sonucunda menfaat sağlanması veya zarara sebebiyet verilmesi hâlinde idari para cezası, menfaat veya zararın üç katından az ve beş katından fazla olamayacak şekilde belirlenebilmektedir. Ayrıca 7545 sayılı Kanun; bilgi ve belge vermeme, izinsiz faaliyet, sır saklama yükümlülüğüne aykırılık, sızdırılmış verilerin hukuka aykırı şekilde erişime açılması veya satılması ve kritik altyapılara yönelik ağır fiiller bakımından hapis cezaları da öngörmektedir.

Bunlara ek olarak; ilgili kişi tazminatları, toplu müşteri kaybı, hizmet kesintisi, sözleşmesel cezalar, adli bilişim giderleri, bildirim ve çağrı merkezi maliyetleri, iş sürekliliği kaybı ve itibar zararı da mali risk olarak gündeme gelebilmektedir.

Sonuç olarak, veri ihlallerinin etkin biçimde yönetilmesi; yalnızca kanuni bildirimlerin süresinde yerine getirilmesinden ibaret olmayıp, ihlal öncesinde hazırlıklı olunmasını, olay anında teknik ve hukuki müdahalenin koordineli şekilde yürütülmesini, delillerin korunmasını, ilgili taraflarla tutarlı bir iletişim kurulmasını ve olay sonrasında kalıcı düzeltici tedbirlerin uygulanmasını gerektirmektedir. Şirketlerin faaliyet alanları, işledikleri verilerin niteliği, tabi oldukları sektörel düzenlemeler ve sözleşmesel yükümlülükleri doğrultusunda kendilerine özgü bir olay müdahale ve bildirim mekanizması oluşturmaları; hem idari, cezai ve özel hukuk risklerinin sınırlandırılması hem de kurumsal itibarın ve iş sürekliliğinin korunması bakımından kritik önem taşımaktadır.