Veri İhlali Bildirimlerinde 60 Gün Kuralı

Kişisel Veri Koruma Kurumu (“Kurum”) tarafından 20 Ocak 2026 tarihinde yayımlanan Kamuoyu Duyurusu (“Duyuru”) ile, kişisel veri ihlallerine ilişkin bildirimlerin Kurum’un internet sitesinde ilan edilmesine yönelik uygulamada değişikliğe gidildiği açıklanmıştır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) madde 12/5 uyarınca, kişisel verilerin hukuka aykırı yollarla elde edilmesi hâlinde veri sorumlularının bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na (“Kurul”) bildirmesi gerekmektedir. Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı Kararı ile “en kısa sürede” ifadesi 72 saat olarak yorumlanmış; veri sorumlularının ihlali öğrendikleri tarihten itibaren en geç 72 saat içinde Kurul’a bildirimde bulunmaları ve ilgili kişilere makul olan en kısa süre içerisinde bilgilendirme yapmaları gerektiği belirtilmiştir.

Kurum Duyurusu’nda kişisel veri ihlali bildirimlerinin Kurum’un internet sitesinde yayımlanıp yayımlanmamasına karar verilirken; ihlalden etkilenen kişi grubu ve kişi sayısı, ihlale konu kişisel verilerin niteliği, ihlalin gerçekleşme şekli, veri sorumlusunun faaliyet alanı ve ilgili kişilere bildirim yapılıp yapılmadığı gibi kriterlerin dikkate alındığı belirtilmiştir. Uygulamada bugüne kadar ilanlar Kurum’un internet sitesinde herhangi bir süre sınırı olmaksızın yayımlanmakta iken, Kurul’un 25.12.2025 tarihli ve 2025/2451 sayılı Kararı ile bu uygulama değiştirilmiş ve kişisel veri ihlali bildirimlerinin Kurum’un internet sitesinde en fazla 60 gün süreyle ilan edilmesine karar verilmiştir. Ayrıca, ihlalden etkilenen ilgili kişilere 60 günlük süreden daha kısa bir süre içinde bildirim yapıldığının veri sorumlusu tarafından tevsik edilmesi hâlinde, ilgili ilanın Kurumun internet sitesinden süre beklenmeksizin kaldırılabileceği düzenlenmiştir.

Bu düzenleme ile ilgili kişilere yapılan bildirimlerin zamanında ve usulüne uygun şekilde belgelendirilmesinin önem kazandığı değerlendirilmektedir.