KVKK Kurulu'nun 25 Aralık 2025 tarihli 2025/2451 sayılı kararıyla veri ihlali ilanları artık Kurum sitesinde en fazla 60 gün kalacak; etkilenen kişilere erken bildirim yapıldığı belgelenen hallerde ilan daha önce kaldırılabilecek. Bu değişiklik, hukuk büroları için hem bir itibar güvencesi hem de yeni bir uyum yükümlülüğü anlamına geliyor.

25 Aralık 2025 tarihinde Kişisel Verileri Koruma Kurulu'nun 2025/2451 sayılı kararıyla, KVKK'nın yürürlüğe girdiği 2016'dan bu yana hiçbir zaman net bir üst sınıra bağlanmayan veri ihlali ilan süresi sonunda belirlendi: Kurum internet sitesinde yayımlanan ihlal duyuruları artık en fazla 60 gün kalabilecek. Bu değişiklik, hukuk bürosu yöneticileri ve veri sorumlusu sıfatını taşıyan avukatlar için hem somut bir itibar güvencesi hem de yeni bir prosedür yükümlülüğü anlamına geliyor. Değişiklikten habersiz olmak, "erken kaldırma" avantajını kaçırmak demektir.

Eski Uygulama ile Yeni Kural: Ne Değişti?

2016'dan 2025 sonuna kadar KVKK Kurumu, internet sitesinde yayımladığı veri ihlali bildirimlerini kaldırmak için herhangi bir süre sınırı öngörmemişti. Kurum takdir yetkisini tamamen elinde tutuyor, çoğu duyuru yıllarca sitede kalabiliyordu. Bunun sonucunda ihlalın üzerinden yıllar geçse bile etkilenen kurumun adı, kamuya açık dijital bir kayıtta varlığını sürdürüyordu; potansiyel müvekkiller ve iş ortakları bu ilanları arama motorları aracılığıyla kolaylıkla bulabiliyordu.

Yeni 2025/2451 sayılı Kurul kararıyla bu tablo değişiyor. Uygulamada iki önemli yenilik birden geliyor:

  • 60 günlük üst süre: Kurum sitesindeki ihlal ilanı, bildirim tarihinden itibaren en geç 60 gün sonra kaldırılacak.
  • Erken kaldırma mekanizması: Veri sorumlusu, etkilenen kişilere bireysel bildirim yaptığını belgeleyen bir başvuru yaparsa ilan 60 günden önce kaldırılabilecek. Bu mekanizma, aktif uyum sergileyenleri pasif bekleyenlere kıyasla açıkça ödüllendiriyor.
Veri İhlali Bildirimi Nedir? 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, veri sorumlusunun işlediği kişisel verilerin yetkisiz kişilerce elde edilmesi halinde bu durumu Kurul'a ve etkilenen ilgili kişilere "en kısa sürede" bildirmesini zorunlu kılar. Kurul, bu "en kısa süre" ifadesini 24 Ocak 2019 tarih ve 2019/10 sayılı kararıyla 72 saat olarak yorumlamıştır.

2025/2451 sayılı karar bu 72 saatlik yorumu değiştirmiyor; süre geçerliliğini korumaktadır. Değişen şey, sürecin ihlal ilanı boyutundaki sonuçlarıdır. Ocak 2026'da KVKK, bu kararla ilgili kamuoyu duyurusu yayımlayarak kurumları bilgilendirdi ve yeni uygulamanın ne zaman ve nasıl işleyeceğini netleştirdi.

72 Saat Sayacı: Bildirim Süreci Adım Adım

İhlali öğrenen veri sorumlusunun 72 saat içinde tamamlaması gereken adımlar bellidir. Hukuk büroları için bu süreci somut bir takvime dökmek, gerçek bir ihlal anında panik yerine prosedür uygulayabilmeyi sağlar. Pratikte çoğu büronun kaçırdığı nokta şudur: 72 saat "az" bir süre gibi görünmez, ancak teknik analiz, iç değerlendirme ve form doldurma aynı anda yürütüldüğünde bu pencere oldukça dar kalabilmektedir.

  1. 0–4. saat — Hızlı değerlendirme: Hangi sistemler etkilendi, hangi veri kategorileri (kimlik, sağlık, finansal, iletişim bilgisi) tehlikede, yaklaşık kaç kişi etkilendi? Bu soruları yanıtlamak için sistem yöneticiniz veya yazılım sağlayıcınızla hemen iletişime geçin. Etkilenen sistemleri izole edin; ihlal devam ediyorsa önce bunu durdurun.
  2. 4–24. saat — Belgeleme ve iç değerlendirme: İhlalin nasıl gerçekleştiğini, boyutunu ve alınan ilk önlemleri yazılı olarak kayıt altına alın. İç acil müdahale planınızı (varsa) aktive edin. İhlalin boyutu ve niteliğine bağlı olarak dışarıdan hukuki destek alınmasına karar verin. Bildirimin gecikmesi itibar riskini artıracağından bu aşamada karar sürecini uzatmaktan kaçının.
  3. 24–72. saat — Kurul bildirimi: kvkk.gov.tr üzerindeki "Veri İhlal Bildirimi" bölümündeki çevrimiçi formu doldurun. Form dört zorunlu alan içermektedir: (a) ihlalin niteliği ve oluşum biçimi, (b) etkilenen veri kategorileri ve yaklaşık kişi sayısı, (c) muhtemel sonuçlar, (d) veri sorumlusunun aldığı önlemler. Bu alanlardan herhangi biri eksik bırakılırsa form işleme alınmaz.
  4. 72. saatin hemen ardından — İlgili kişi bildirimi: Etkilenen her bireye ihlal hakkında net bir bildirim gönderin: ne olduğunu, hangi verilerinin etkilendiğini, kendilerini korumak için neler yapabileceklerini açıklayın. Bu bildirim hem yasal bir yükümlülüktür hem de erken ilan kaldırma talebinin temel belgesi hâline gelmektedir.

Daha önce yayımladığımız KVKK veri ihlali 72 saatlik sayaç rehberi, özellikle küçük hukuk büroları için bu süreci baştan sona açıklamaktadır.

İlanın Erken Kaldırılması: Belgelerinizi Önceden Hazırlayın

60 günlük ilan süresi dolmadan KVKK Kurumu'ndan ilanın kaldırılmasını talep etmek isteyen veri sorumluları, etkilenen kişilere bildirim yaptıklarını belgelemelidir. Kurul'un beklediği belge seti henüz tek bir resmi kılavuzda toplanmış olmasa da 2025/2451 sayılı kararın mantığından çıkarılabilecek asgari belgeler şöyle sıralanabilir:

  • Bireysel bildirim e-postalarının iletildiğine dair teknik kayıt (e-posta gönderim log'u veya sistem ekran görüntüsü)
  • Bildirim metninin tarih damgalı kopyası (ne söylendiği ve ne zaman söylendiği)
  • Etkilenen kişi listesi ve kullanılan iletişim yöntemi (gizlilik korunarak — sayı ve kanal belirtmek yeterlidir)
  • İhlalin kapatıldığını gösteren teknik önlem belgesi (güvenlik yaması, erişim kısıtlaması, şifre sıfırlama politikası vb.)

Bu belgeleri oluştururken kritik uyarı: bireysel bildirimi ihlalin gerçekleştiği tarihten değil, öğrenildiği tarihten itibaren en kısa sürede yapmanız gerekir. Karar, zamanında bildirimi "itibar ve orantılılık ilkesi" çerçevesinde erken kaldırma mekanizmasına bağlamaktadır. Geç yapılan bireysel bildirim, erken kaldırma talebini hukuken zayıflatır.

Kurul'a başvuru yapılacak ise bu başvurunun içeriği ve şekli hakkında kvkk.gov.tr adresinin iletişim kanallarını veya uzman bir KVKK avukatını kullanmak önerilir; Kurul'un beklediği formel gereklilikler bildirim türüne göre farklılık gösterebilir.

Hukuk Bürosu İçin Pratik Uyum Kontrol Listesi

Avukatlık büroları, 6698 sayılı Kanun kapsamında veri sorumlusudur. Müvekkil kimlik bilgileri, dava dosyaları, sağlık durumu ve mali bilgiler gibi hassas kategoriler genellikle büro sistemlerinde işlenmektedir. 2026 yılında aşağıdaki kontrolleri tamamlamak, hem 2025/2451 sayılı karara hem de genel KVKK uyumuna sağlam bir zemin hazırlar:

  • VERBİS muafiyetini teyit edin: 50'den az yıllık çalışanı olan ve yıllık bilanço toplamı 100 milyon TL'nin altındaki bürolar ile serbest meslek sahibi avukatlar VERBİS kayıt yükümlülüğünden muaftır. Bu muafiyet, 72 saatlik bildirim yükümlülüğünü kaldırmaz.
  • İç bildirim planı oluşturun: "İhlali kim öğrenir, kim değerlendirir, formu kim doldurur, bireysel bildirimi kim yapar" sorularını önceden yazılı olarak yanıtlayın. Kriz anında bu kararları vermek hem zaman kaybettirir hem de hata riskini artırır.
  • Bireysel bildirim şablonu hazırlayın: Müvekkillere iletilecek bir ihlal bildirim e-posta taslağı önceden hazırlanmış olmalıdır. Olay anında boş kâğıda yazmak hem gecikmeye hem de yasal gerekliliklerden sapan bir metne yol açabilir. Şablonda ihlalin niteliği, etkilenen veri türleri ve müvekkilin alabileceği koruyucu önlemler yer almalıdır.
  • Aydınlatma metinlerini güncelleyin: Müvekkillere sunulan aydınlatma metninde veri ihlali sürecine dair bölüm, 2025/2451 sayılı karardaki yeni ilan süresi düzenlemesini yansıtacak biçimde güncellenmelidir.
  • Teknik erişim kayıtlarını tutun: Hangi sistemlere kimin ne zaman eriştiğini gösteren log kayıtları, olası bir ihlalda hem kaynağı tespit etmek hem de Kurul'a doğru bilgiyi sunmak için gereklidir.

2026 KVKK Para Cezaları: Sayısal Gerçeklik

Bildirim yapmamak veya geç yapmak, 6698 sayılı Kanun'un 18. maddesi uyarınca idari para cezası riskini doğurur. 2026 yılı güncel aralıkları şöyle:

  • Aydınlatma yükümlülüğüne aykırılık: 85.437 TL — 1.709.200 TL
  • Veri güvenliği yükümlülüğüne aykırılık (bildirim zorunluluğuna uymama dahil): 256.357 TL — 17.092.242 TL

Bu rakamlar, küçük ve orta ölçekli bürolar için ciddi bir risk oluşturmaktadır. Ceza üst sınırı 17 milyonu aşan bir yaptırım, pek çok büro için operasyonları sürdürülemez hâle getirebilecek bir miktardır. Bununla birlikte belirtmek gerekir: KVKK Kurulu, ceza miktarını belirlerken ihlalın kasıtlı ya da ihmalden kaynaklanıp kaynaklanmadığını, alınan tedbirleri ve işbirliğini değerlendirmektedir. Proaktif bildirim ve belgeleme, ceza hesabını her zaman aşağıya çeker.

Ayrıca şunu da not düşmek gerekir: KVKK Kurulu, bildirim yükümlülüğünü yerine getirmeyen ya da eksik yerine getiren veri sorumlularında ihlal ilanını öne çıkarma eğilimi göstermektedir. 60 günlük yeni düzenleme bu anlamda çift yönlü çalışıyor; zamanında davrananlar için daha kısa ilan süresi, ihmalkar olanlar için ise tüm 60 günün kullanılması sonucu doğuyor.

KVKK İlanına Konu Olan İhlal Türleri: Son Eğilimler

KVKK Kurumu'nun internet sitesinde yayımladığı veri ihlali kamuoyu duyurularına bakıldığında, hukuk bürolarını doğrudan ilgilendiren üç ihlal türünün öne çıktığı görülmektedir. Bu türleri tanımak, büronuzun risklere karşı öncelik sırası oluşturmasını kolaylaştırır.

Yetkisiz erişim: Kullanıcı adı-şifre kombinasyonlarının ele geçirilmesi veya paylaşılması yoluyla sistemlere yetkisiz giriş yapılması. Bu tür ihlaller hem küçük hem de büyük veri sorumlularında görülmekte; hukuk büroları açısından en yaygın risk noktası ortak kullanılan e-posta ve dosya depolama hesaplarıdır.

Veri kaybı (kayıp cihaz veya yanlış gönderim): Dizüstü bilgisayar veya USB bellek kaybolması ile yanlış kişiye gönderilen e-postalar, "kazara" gerçekleşen ihlallerin büyük bölümünü oluşturmaktadır. Bu ihlallerde etkilenen kişi sayısı küçük olsa bile Kurul'a bildirim yükümlülüğü ortadan kalkmaz.

Üçüncü taraf sağlayıcı kaynaklı ihlal: Hukuk bürosunun kullandığı bir yazılım, bulut depolama veya e-posta hizmetinin güvenlik açığı nedeniyle gerçekleşen ihlaller. Bu durumda veri sorumlusu yine bürodur; veri işleyen (yazılım sağlayıcısı) olayı bildirmiş olsa bile büronun ayrıca Kurul'a bildirme yükümlülüğü devam eder.

27 Ocak 2026 tarihinde KVKK Kurumu tek bir gün içinde 6 ayrı veri ihlali kamuoyu duyurusu yayımladı. Bu yoğunluk, Kurul'un bildirim sürecini daha sıkı takip ettiğinin ve duyuru sayısının artmaya devam ettiğinin göstergesidir. Aynı tarihten itibaren kamuoyu duyurularının 60 günlük süreyle sınırlanması, bu yoğun bildirim trafiğinin veri sorumluları üzerindeki itibar baskısını dengeleyen bir düzeltme mekanizması olarak da okunabilir.

Büro Yönetim Sistemiyle Veri Güvenliği

Veri ihlali prosedürünü kâğıt üzerinde hazırlamak başlangıç için doğru adımdır; ancak pratikte yetmez. Müvekkil belgelerinin nerede tutulduğunu, kimin hangi dosyaya eriştiğini ve olası bir ihlal anında tam olarak hangi verinin risk altında olduğunu sistematik biçimde takip edebilmek, hem ihlali hızlı tespit etmeyi hem de 72 saatlik bildirim penceresini verimli kullanmayı sağlar.

Çeşitli klasörler, e-posta zincirleri ve USB bellekler arasında dağılmış müvekkil belgeleriyle çalışan bir büro, ihlal anında kaç kişinin etkilendiğini ve hangi veri türlerinin tehlikede olduğunu birkaç saat içinde tespit edemeyebilir. Bu belirsizlik, Kurul formundaki "yaklaşık etkilenen kişi sayısı" alanını eksik ya da yanlış doldurmak anlamına gelir; Kurul bu alanı dikkatle incelemektedir.

Hukuk Bilgi Sistemi (HBS), müvekkil belgelerini ve iletişim geçmişini merkezi, erişim denetimli bir ortamda saklayarak hukuk bürosunun veri akışını görünür kılar. Bir ihlal şüphesi ortaya çıktığında hangi dosyaların etkilendiğini dakikalar içinde tespit edebilmek, 72 saatlik sayacı doğru yönetmenin ön koşuludur. Yeni 60 günlük ilan kuralıyla birlikte bu yönetim becerisi, somut bir itibar farkına dönüşmektedir.

Sıkça Sorulan Sorular

KVKK veri ihlali bildirimi 72 saatin neresinden başlıyor: ihlal tarihinden mi, öğrenme tarihinden mi?

72 saatlik süre, veri sorumlusunun ihlali öğrendiği andan itibaren başlar; ihlalin gerçekleştiği andan değil. Bu ayrım kritiktir: bir haftadır sürmekte olan ihlali bugün öğrenirseniz, bugünden itibaren 72 saatiniz vardır.

60 günlük ilan süresi yeni mi? Önceden nasıl uygulanıyordu?

Evet, yeni. 2025/2451 sayılı Kurul kararıyla (25 Aralık 2025) uygulamaya girdi. Öncesinde KVKK sitesindeki ihlal ilanları için herhangi bir üst süre belirlenmemişti; ilanlar yıllarca sitede kalabiliyordu.

Küçük bir hukuk bürosu (3-5 avukat) KVKK kapsamında veri sorumlusu sayılıyor mu?

Evet. 6698 sayılı Kanun büro büyüklüğü ayrımı yapmaz; müvekkil adına kişisel veri işleyen her hukuk bürosu veri sorumlusudur. Ancak 50'den az yıllık çalışanı olan ve bilanço toplamı 100 milyon TL altında olan bürolar VERBİS kaydından muaftır; bu muafiyet 72 saat bildirim yükümlülüğünü kaldırmaz.

İlanın 60 günden önce kaldırılmasını nasıl talep ederim?

Etkilenen kişilere bireysel bildirim yaptığınıza dair belgeleri (e-posta log, bildirim metni, etkilenen kişi listesi, alınan teknik önlemler) KVKK'ya sunarak erken kaldırma talebinde bulunabilirsiniz. Resmi prosedürün detayları için kvkk.gov.tr iletişim kanallarını veya hukuk danışmanınızı kullanın.

2026 yılında KVKK veri ihlali bildirimi yapmamak kaç TL ceza riski taşıyor?

6698 sayılı Kanun'un 18. maddesi kapsamında veri güvenliği yükümlülüğüne aykırılık halinde 2026 ceza aralığı 256.357 TL ile 17.092.242 TL arasındadır. Aydınlatma yükümlülüğü ihlali ise 85.437 TL ile 1.709.200 TL arasında ceza doğurabilir.

Veri ihlali bildirim formunu nereye ve nasıl gönderiyorum?

kvkk.gov.tr adresindeki 'Veri İhlal Bildirimi' bölümündeki çevrimiçi formu kullanarak Kurul'a bildirim yapabilirsiniz. Formda ihlalin niteliği, etkilenen veri kategorileri, kişi sayısı, muhtemel sonuçlar ve alınan tedbirler alanlarını eksiksiz doldurmak gerekir.