Kişisel Veri İhlalinde Etkilenen Kişilere Bildirimin İçeriği

Kapsam

Kişisel Veri İhlalinde Etkilenen Kişilere Bildirimin İçeriği yönünden hakkın doğumu, sınırları, taraf sıfatı, görevli mahkeme, varsa zorunlu ön başvuru, süre, ispat yükü, deliller, talep sonucu, feriler ve kanun yolu birlikte ele alınır. Veri sorumlusu, ihlalden etkilenen kişileri belirledikten sonra makul olan en kısa sürede açık ve sade bir bildirim yapmalı; ihlalin zamanı, etkilenen veri kategorileri, olası sonuçlar, azaltıcı tedbirler ve iletişim kanallarını somutlaştırmalıdır. Sonuca giderken işlemin adı değil gerçek hukuki niteliği, tarafların sıfatı ve korunan menfaat belirleyicidir.

Bu çalışma, kişisel veri ihlalinde etkilenen kişilere bildirimin içeriği konusunda 14 Ekim 2026 tarihi itibarıyla hazırlanmıştır. Kaynakça, Mevzuat Bilgi Sistemi ile resmî karar ve kurum sayfalarına yönelir. Doğrudan resmî tam metni bulunmayan bir kayıt belirli esas-karar numarasıyla emsal gibi sunulmamış; veri tabanı bağlantıları güncel içtihadın somut dosya üzerinden yeniden araştırılması için verilmiştir. Olay tarihinde yürürlükte bulunan metin ayrıca kontrol edilmelidir.

Uyuşmazlığın Hukukî Niteliği

İncelemenin ilk ölçütü “veri sorumlusu, ihlalden etkilenen kişileri belirledikten sonra makul olan en kısa sürede açık ve sade bir bildirim yapmalı; ihlalin zamanı, etkilenen veri kategorileri, olası sonuçlar, azaltıcı tedbirler ve iletişim kanallarını somutlaştırmalıdır” kuralıdır. Kurula 72 saat içinde bildirim yapılması ilgili kişiye aynı metnin gönderilmesi demek değildir; etkilenen kişi analizi, doğrudan veya web sitesi yöntemi, özel nitelikli veri, çocuklar, devam eden saldırı, aşamalı bilgi, yanlış güvence ve bildirimin tevsiki ayrı incelenmelidir. Ayrıca “olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır” yaklaşımının somut olayda uygulanıp uygulanmayacağı, özel hüküm ve dosya belgeleri üzerinden sınanmalıdır.

Kişisel Veri İhlalinde Etkilenen Kişilere Bildirimin İçeriği bakımından maddi hukuk hakkın doğup doğmadığını; usul hukuku ise bu hakkın hangi merci önünde, hangi sürede ve hangi delille korunacağını belirler. Hakimin hukuku kendiliğinden uygulaması, tarafın vakıaları ve talep sonucunu açıkça ortaya koyma yükünü ortadan kaldırmaz. Bu nedenle olay kronolojisi, her çekişmeli vakıanın karşısında dayanak belge ve hukuki sonuç bulunacak şekilde hazırlanmalıdır.

Resmî Mevzuat Haritası

6698 Sayılı Kişisel Verilerin Korunması Kanunu: m.4, 10-13, 15 ve 18

Kişisel veri ihlalinde etkilenen kişilere bildirimin içeriği kapsamında m.4, 10-13, 15 ve 18 hükümleri aydınlatma, veri güvenliği, ihlal bildirimi, başvuru ve yaptırım bakımından önem taşır. Hüküm, yürürlük tarihi ve geçiş kurallarıyla birlikte resmî güncel metinden okunmalıdır. Olayın hükmün varsayımına neden girdiği, yaptırımın hangi koşulda doğduğu ve Türk Ceza Kanunu ile ilişkinin özel-genel norm mu yoksa tamamlayıcı uygulama mı olduğu dilekçede açıklanmalıdır.

5237 Sayılı Türk Ceza Kanunu: m.135-140

Kişisel veri ihlalinde etkilenen kişilere bildirimin içeriği kapsamında m.135-140 hükümleri kişisel verilerle ilgili suçlar bakımından önem taşır. Hüküm, yürürlük tarihi ve geçiş kurallarıyla birlikte resmî güncel metinden okunmalıdır. Olayın hükmün varsayımına neden girdiği, yaptırımın hangi koşulda doğduğu ve Türk Borçlar Kanunu ile ilişkinin özel-genel norm mu yoksa tamamlayıcı uygulama mı olduğu dilekçede açıklanmalıdır.

6098 Sayılı Türk Borçlar Kanunu: m.49-76 ve 112-126

Kişisel veri ihlalinde etkilenen kişilere bildirimin içeriği kapsamında m.49-76 ve 112-126 hükümleri haksız fiil, sözleşme zararı ve tazminat bakımından önem taşır. Hüküm, yürürlük tarihi ve geçiş kurallarıyla birlikte resmî güncel metinden okunmalıdır. Olayın hükmün varsayımına neden girdiği, yaptırımın hangi koşulda doğduğu ve Kişisel Verilerin Korunması Kanunu ile ilişkinin özel-genel norm mu yoksa tamamlayıcı uygulama mı olduğu dilekçede açıklanmalıdır.

Kural, İstisna ve Değerlendirme

Veri sorumlusu, ihlalden etkilenen kişileri belirledikten sonra makul olan en kısa sürede açık ve sade bir bildirim yapmalı; ihlalin zamanı, etkilenen veri kategorileri, olası sonuçlar, azaltıcı tedbirler ve iletişim kanallarını somutlaştırmalıdır.

“Kişisel Verileri Koruma Kurulu kişisel veri bildirimin içeriği resmî kayıtları yönünden veri sorumlusu, ihlalden etkilenen kişileri belirledikten sonra makul olan en kısa sürede açık ve sade bir bildirim yapmalı; ihlalin zamanı, etkilenen veri kategorileri, olası sonuçlar, azaltıcı tedbirler ve iletişim kanallarını somutlaştırmalıdır” ölçütünün değerlendirilmesinde belirleyici nokta, taraf anlatısından çok olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri ile ortaya çıkan fiilî durumdur. Usul planı kurulurken kuralın istisnası ve genel bir 'verileriniz etkilenmiş olabilir' e-postasını yeterli saymak veya iletişim adresi bulunamayan kişiler için uygun kamusal bildirim yöntemi kurmamak savunması da ayrıca incelenmelidir.

Kurula 72 saat içinde bildirim yapılması ilgili kişiye aynı metnin gönderilmesi demek değildir; etkilenen kişi analizi, doğrudan veya web sitesi yöntemi, özel nitelikli veri, çocuklar, devam eden saldırı, aşamalı bilgi, yanlış güvence ve bildirimin tevsiki ayrı incelenmelidir.

Anayasa Mahkemesi kişisel veri bildirimin içeriği emsal taraması yönünden kurula 72 saat içinde bildirim yapılması ilgili kişiye aynı metnin gönderilmesi demek değildir; etkilenen kişi analizi, doğrudan veya web sitesi yöntemi, özel nitelikli veri, çocuklar, devam eden saldırı, aşamalı bilgi, yanlış güvence ve bildirimin tevsiki ayrı incelenmelidir. Bu ölçüt özellikle somut uyuşmazlığa dayanak sözleşme, karar, bildirim veya sicil kaydının tam metni, ekleri ve değişiklik geçmişi üzerinden sınanır. Görev, yetki, taraf sıfatı, harç ve yalnız kanunun açıkça aradığı hâllerde dava şartı veya zorunlu ön başvurunun ayrı ayrı doğrulanması tamamlanmadan sonuca gidilmesi, somut uyuşmazlıkta olay tarihindeki metin yerine yalnız güncel veya ikincil bir özete dayanmak ihtimalini güçlendirebilir.

Olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır.

Bu kuralın olayda karşılık bulması için tebliğ, başvuru, teslim, ödeme ve elektronik gönderim tarihlerini gösteren resmî kayıtlar ile maddi vakıa arasında açık bağ kurulmalıdır. “Resmî Gazete kişisel veri bildirimin içeriği yürürlük denetimi yönünden olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır” değerlendirmesi, ilgili usul adımındaki kayıtlarla doğrulanmadıkça soyut kabul olarak bırakılamaz.

Dosyanın Delil Omurgası

Olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri.

“Kişisel Verileri Koruma Kurulu kişisel veri bildirimin içeriği resmî kayıtları yönünden olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri” değerlendirilirken kaydın kim tarafından, hangi amaçla ve ne zaman oluşturulduğu açıklanmalıdır. İlgili usul adımı yürütülürken olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri ile çelişen kayıtlar da dosyaya getirtilmelidir.

Somut uyuşmazlığa dayanak sözleşme, karar, bildirim veya sicil kaydının tam metni, ekleri ve değişiklik geçmişi.

“Anayasa Mahkemesi kişisel veri bildirimin içeriği emsal taraması yönünden somut uyuşmazlığa dayanak sözleşme, karar, bildirim veya sicil kaydının tam metni, ekleri ve değişiklik geçmişi” kaydı, “Kurula 72 saat içinde bildirim yapılması ilgili kişiye aynı metnin gönderilmesi demek değildir; etkilenen kişi analizi, doğrudan veya web sitesi yöntemi, özel nitelikli veri, çocuklar, devam eden saldırı, aşamalı bilgi, yanlış güvence ve bildirimin tevsiki ayrı incelenmelidir” ölçütünün ispat alanına girer. Kaydın kişi, işlem ve tarih bağlantısı kurulmalı; özgünlük ve bütünlük karşı kayıtlarla sınanmalıdır.

Tebliğ, Başvuru, Teslim, Ödeme ve Elektronik Gönderim Tarihlerini Gösteren Resmî Kayıtlar.

Bu delil öncelikle “olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır” iddiasını sınamak için kullanılır. “Resmî Gazete kişisel veri bildirimin içeriği yürürlük denetimi yönünden tebliğ, başvuru, teslim, ödeme ve elektronik gönderim tarihlerini gösteren resmî kayıtlar” tek başına bütün uyuşmazlığı değil, bağlı olduğu çekişmeli vakıayı kanıtlayabilir.

Doğru Merci ve İzlenecek Yol

İhlalin kapsamını kişi ve veri kategorisi bazında doğrulayıp her hedef grubun karşılaşabileceği somut sonucu ve alabileceği koruyucu önlemi sade bildirim metnine dönüştürmek.

“Kişisel Verileri Koruma Kurulu kişisel veri bildirimin içeriği resmî kayıtları yönünden ihlalin kapsamını kişi ve veri kategorisi bazında doğrulayıp her hedef grubun karşılaşabileceği somut sonucu ve alabileceği koruyucu önlemi sade bildirim metnine dönüştürmek” işlemi yürütülürken görev, yetki ve yalnız kanunun açıkça aradığı dava şartları kadar istenen hükmün uygulanabilirliği de denetlenir. Eksik olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri, bildirimin tamamlanması veya düzeltilmesi, risk azaltıcı tedbir, erişim ve bilgi talebi, Kurula şikâyet, idari yaptırımın iptali, verinin silinmesi veya güvenliğinin sağlanması, maddi-manevi tazminat talebinin kapsamını doğrudan etkileyebilir.

Görev, yetki, taraf sıfatı, harç ve yalnız kanunun açıkça aradığı hâllerde dava şartı veya zorunlu ön başvurunun ayrı ayrı doğrulanması.

“Anayasa Mahkemesi kişisel veri bildirimin içeriği emsal taraması yönünden görev, yetki, taraf sıfatı, harç ve yalnız kanunun açıkça aradığı hâllerde dava şartı veya zorunlu ön başvurunun ayrı ayrı doğrulanması” işlemi, başvurunun ayrı bir aşamasıdır. Somut uyuşmazlığa dayanak sözleşme, karar, bildirim veya sicil kaydının tam metni, ekleri ve değişiklik geçmişi dosyaya alınmalı ve somut uyuşmazlık bakımından somut tehlikeyle sınırlı ve infazı mümkün geçici hukuki koruma talebinin görevli merci önündeki somut sonucu açıklanmalıdır.

Çekişmeli Her Vakıanın Karşısına İspat Yükünü Taşıyan Taraf ile Dayanak Delilin Yazılması.

Bu aşamanın amacı yalnız şekli tamamlamak değildir; tebliğ, başvuru, teslim, ödeme ve elektronik gönderim tarihlerini gösteren resmî kayıtlar ile talep arasındaki bağlantıyı doğru mercie taşımaktır. “Resmî Gazete kişisel veri bildirimin içeriği yürürlük denetimi yönünden çekişmeli her vakıanın karşısına ispat yükünü taşıyan taraf ile dayanak delilin yazılması” adımından sonra bir sonraki işlem için ayrıca süre kaydı açılmalıdır.

Kritik Tarihler ve Süre Çizelgesi

Kurula bildirim öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde; ilgili kişiye bildirim etkilenme belirlendikten sonra makul olan en kısa sürede yapılmalı, gecikme ve aşamalı bildirim gerekçeleri kaydedilmelidir.

“Kişisel Verileri Koruma Kurulu kişisel veri bildirimin içeriği resmî kayıtları yönünden kurula bildirim öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde; ilgili kişiye bildirim etkilenme belirlendikten sonra makul olan en kısa sürede yapılmalı, gecikme ve aşamalı bildirim gerekçeleri kaydedilmelidir” uyarısının uygulanması, başlangıç ve son günün ayrı ayrı hesaplanmasını gerektirir. Elektronik gönderim, tebligat ve başvuru alındıları dosyada korunmalıdır.

Tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır.

Anayasa Mahkemesi kişisel veri bildirimin içeriği emsal taraması yönünden tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır. Başlangıç anı varsayımla değil tebligat, öğrenme, ödeme veya işlem kaydıyla belirlenir; sürenin hukukî niteliği ayrıca gösterilir.

Hükümde Yer Alması Gereken Talepler

Bildirimin tamamlanması veya düzeltilmesi, risk azaltıcı tedbir, erişim ve bilgi talebi, Kurula şikâyet, idari yaptırımın iptali, verinin silinmesi veya güvenliğinin sağlanması, maddi-manevi tazminat.

“Kişisel Verileri Koruma Kurulu kişisel veri bildirimin içeriği resmî kayıtları yönünden bildirimin tamamlanması veya düzeltilmesi, risk azaltıcı tedbir, erişim ve bilgi talebi, Kurula şikâyet, idari yaptırımın iptali, verinin silinmesi veya güvenliğinin sağlanması, maddi-manevi tazminat” isteminin diğer taleplerle asli, ferî veya terditli ilişkisi açıklanmalıdır. Olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri bulunmadığında talebin kapsamı varsayımla genişletilmemelidir.

Somut Uyuşmazlık Bakımından Somut Tehlikeyle Sınırlı ve İnfazı Mümkün Geçici Hukuki Koruma.

“Anayasa Mahkemesi kişisel veri bildirimin içeriği emsal taraması yönünden somut uyuşmazlık bakımından somut tehlikeyle sınırlı ve infazı mümkün geçici hukuki koruma” talebi, “Kurula 72 saat içinde bildirim yapılması ilgili kişiye aynı metnin gönderilmesi demek değildir; etkilenen kişi analizi, doğrudan veya web sitesi yöntemi, özel nitelikli veri, çocuklar, devam eden saldırı, aşamalı bilgi, yanlış güvence ve bildirimin tevsiki ayrı incelenmelidir” koşuluyla ve somut uyuşmazlığa dayanak sözleşme, karar, bildirim veya sicil kaydının tam metni, ekleri ve değişiklik geçmişi deliliyle ilişkilendirilmelidir. Asıl talep ile faiz, gider ve geçici koruma ayrı kurulmalıdır.

Asıl talebe bağlı faiz, tazminat, gider veya diğer ferilerin her biri için ayrı hukuki dayanak ve başlangıç tarihi.

Mahkemeden veya yetkili merciden istenen sonuç Resmî Gazete kişisel veri bildirimin içeriği yürürlük denetimi yönünden asıl talebe bağlı faiz, tazminat, gider veya diğer ferilerin her biri için ayrı hukuki dayanak ve başlangıç tarihi olarak belirlenecekse, kabul hâlinde uygulanacak hüküm kişi, dönem ve miktar yönünden açık olmalıdır. Dayanak delil tebliğ, başvuru, teslim, ödeme ve elektronik gönderim tarihlerini gösteren resmî kayıtlar, temel ölçüt ise “olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır” olacaktır.

Resmî Karar ve Kurum Uygulaması

Kişisel Verileri Koruma Kurulu — Kişisel Veri Bildirimin İçeriği Resmî Kayıtları

Resmî karar veya kurum veri tabanı üzerindeki “kişisel veri bildirimin içeriği resmî kayıtları” taraması konuya ilişkin güncel içtihat araştırmasının başlangıç noktasıdır. Belirli bir karar tam metni açılmadan künye veya birebir alıntı kullanılmaz. Araştırma ölçütü şöyledir: somut uyuşmazlık bakımından veri sorumlusu, ihlalden etkilenen kişileri belirledikten sonra makul olan en kısa sürede açık ve sade bir bildirim yapmalı; ihlalin zamanı, etkilenen veri kategorileri, olası sonuçlar, azaltıcı tedbirler ve iletişim kanallarını somutlaştırmalıdır yaklaşımı; görev, süre, ispat ve uygulanabilir sonuçla birlikte sınanmalıdır.

Anayasa Mahkemesi — Kişisel Veri Bildirimin İçeriği Emsal Taraması

Resmî karar veya kurum veri tabanı üzerindeki “kişisel veri bildirimin içeriği emsal taraması” taraması konuya ilişkin güncel içtihat araştırmasının başlangıç noktasıdır. Belirli bir karar tam metni açılmadan künye veya birebir alıntı kullanılmaz. Araştırma ölçütü şöyledir: somut uyuşmazlık içtihat araştırmasında lehe kararlarla yetinilmemeli; kurula 72 saat içinde bildirim yapılması ilgili kişiye aynı metnin gönderilmesi demek değildir; etkilenen kişi analizi, doğrudan veya web sitesi yöntemi, özel nitelikli veri, çocuklar, devam eden saldırı, aşamalı bilgi, yanlış güvence ve bildirimin tevsiki ayrı incelenmelidir savunmasının kabul edildiği maddi olaylar da karşılaştırılmalıdır.

Resmî Gazete — Kişisel Veri Bildirimin İçeriği Yürürlük Denetimi

Resmî karar veya kurum veri tabanı üzerindeki “kişisel veri bildirimin içeriği yürürlük denetimi” taraması konuya ilişkin güncel içtihat araştırmasının başlangıç noktasıdır. Belirli bir karar tam metni açılmadan künye veya birebir alıntı kullanılmaz. Araştırma ölçütü şöyledir: somut uyuşmazlık için olay tarihinde ve son hukuki kontrol tarihinde yürürlükte bulunan metinler ile geçiş hükümleri ayrı ayrı kontrol edilmelidir.

Muhtemel Savunmalar ve Ayrılan Durumlar

Genel bir 'verileriniz etkilenmiş olabilir' e-postasını yeterli saymak veya iletişim adresi bulunamayan kişiler için uygun kamusal bildirim yöntemi kurmamak.

“Kişisel Verileri Koruma Kurulu kişisel veri bildirimin içeriği resmî kayıtları yönünden genel bir 'verileriniz etkilenmiş olabilir' e-postasını yeterli saymak veya iletişim adresi bulunamayan kişiler için uygun kamusal bildirim yöntemi kurmamak” riski gerçekleşirse bildirimin tamamlanması veya düzeltilmesi, risk azaltıcı tedbir, erişim ve bilgi talebi, Kurula şikâyet, idari yaptırımın iptali, verinin silinmesi veya güvenliğinin sağlanması, maddi-manevi tazminat talebi bütünüyle veya kısmen etkisiz kalabilir. Bu nedenle usul işlemleri yürütülürken olay kronolojisi ve karşı deliller birlikte incelenmelidir.

Somut Uyuşmazlıkta Olay Tarihindeki Metin Yerine Yalnız Güncel veya İkincil Bir Özete Dayanmak.

“Anayasa Mahkemesi kişisel veri bildirimin içeriği emsal taraması yönünden somut uyuşmazlıkta olay tarihindeki metin yerine yalnız güncel veya ikincil bir özete dayanmak” riski hem maddi hakkı hem başvurunun dinlenebilirliğini zayıflatabilir. Görev, yetki, taraf sıfatı, harç ve yalnız kanunun açıkça aradığı hâllerde dava şartı veya zorunlu ön başvurunun ayrı ayrı doğrulanması aşamasında somut uyuşmazlığa dayanak sözleşme, karar, bildirim veya sicil kaydının tam metni, ekleri ve değişiklik geçmişi kontrol edilmeli; eksiklik giderilemiyorsa iddianın kapsamı daraltılmalıdır.

Maddi Vakıa, Hukuki Nitelendirme, Delil ve Talep Sonucunu Aynı Belirsiz Anlatım İçinde Bırakmak.

Bu risk, karşı tarafın en güçlü savunmalarından biri olarak ele alınmalıdır: “Resmî Gazete kişisel veri bildirimin içeriği yürürlük denetimi yönünden maddi vakıa, hukuki nitelendirme, delil ve talep sonucunu aynı belirsiz anlatım içinde bırakmak”. Bu savunmaya verilecek cevap, tebliğ, başvuru, teslim, ödeme ve elektronik gönderim tarihlerini gösteren resmî kayıtlar delili ve “olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır” ölçütü üzerinden somutlaştırılmalıdır.

Avukat İçin Dosya Hazırlık Kontrol Listesi

• olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri
• Kişisel Veri İhlalinde Etkilenen Kişilere Bildirimin İçeriği uyuşmazlığına dayanak sözleşme, karar, bildirim veya sicil kaydının tam metni, ekleri ve değişiklik geçmişi
• tebliğ, başvuru, teslim, ödeme ve elektronik gönderim tarihlerini gösteren resmî kayıtlar

• ihlalin kapsamını kişi ve veri kategorisi bazında doğrulayıp her hedef grubun karşılaşabileceği somut sonucu ve alabileceği koruyucu önlemi sade bildirim metnine dönüştürmek
• görev, yetki, taraf sıfatı, harç ve yalnız kanunun açıkça aradığı hâllerde dava şartı veya zorunlu ön başvurunun ayrı ayrı doğrulanması
• çekişmeli her vakıanın karşısına ispat yükünü taşıyan taraf ile dayanak delilin yazılması

• Süre çizelgesinde Kurula bildirim öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde; ilgili kişiye bildirim etkilenme belirlendikten sonra makul olan en kısa sürede yapılmalı, gecikme ve aşamalı bildirim gerekçeleri kaydedilmelidir. Tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır.

Sık Sorulan Uygulama Soruları

Kişisel veri ihlalinde etkilenen kişilere bildirimin içeriği bakımından ilk usul adımından sonra hangi işlemler yapılmalıdır?

İhlalin kapsamını kişi ve veri kategorisi bazında doğrulayıp her hedef grubun karşılaşabileceği somut sonucu ve alabileceği koruyucu önlemi sade bildirim metnine dönüştürmek; görev, yetki, taraf sıfatı, harç ve yalnız kanunun açıkça aradığı hâllerde dava şartı veya zorunlu ön başvurunun ayrı ayrı doğrulanması; çekişmeli her vakıanın karşısına ispat yükünü taşıyan taraf ile dayanak delilin yazılması. Görev, yetki, taraf sıfatı, harç ve yalnız kanunun açıkça aradığı hâllerde zorunlu ön başvuru esas incelemesinden önce tamamlanmalıdır.

Kişisel Veri İhlalinde Etkilenen Kişilere Bildirimin İçeriği Bakımından Kritik Tarihler Nasıl Belirlenir?

Kurula bildirim öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde; ilgili kişiye bildirim etkilenme belirlendikten sonra makul olan en kısa sürede yapılmalı, gecikme ve aşamalı bildirim gerekçeleri kaydedilmelidir. Tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır.

Bildirimin tamamlanması veya düzeltilmesi, risk azaltıcı tedbir, erişim ve bilgi talebi, Kurula şikâyet, idari yaptırımın iptali, verinin silinmesi veya güvenliğinin sağlanması, maddi-manevi tazminat talebi hangi vakıa ve delillerle somutlaştırılmalıdır?

Bildirimin tamamlanması veya düzeltilmesi, risk azaltıcı tedbir, erişim ve bilgi talebi, Kurula şikâyet, idari yaptırımın iptali, verinin silinmesi veya güvenliğinin sağlanması, maddi-manevi tazminat, somut uyuşmazlık bakımından somut tehlikeyle sınırlı ve infazı mümkün geçici hukuki koruma, asıl talebe bağlı faiz, tazminat, gider veya diğer ferilerin her biri için ayrı hukuki dayanak ve başlangıç tarihi somut olayın elverdiği ölçüde gündeme gelebilir. Taleplerin asıl veya yardımcı niteliği ile uygulanabilecek ferilerin dayanağı ayrı gösterilmelidir.

Sonuç

Somut uyuşmazlık bakımından güvenilir sonuç, tek belgeye veya soyut bir karar özetine dayanmaz. “Kişisel Veri İhlalinde Etkilenen Kişilere Bildirimin İçeriği bakımından uygulanacak ana kural, ispatlanması gereken maddi vakıalar ve doğru başvuru sırası nasıl belirlenir” sorusu, 6698 Sayılı Kişisel Verilerin Korunması Kanunu, 5237 Sayılı Türk Ceza Kanunu, 6098 Sayılı Türk Borçlar Kanunu ile olay tarihindeki resmî uygulama birlikte değerlendirilerek cevaplanır. Veri sorumlusu, ihlalden etkilenen kişileri belirledikten sonra makul olan en kısa sürede açık ve sade bir bildirim yapmalı; ihlalin zamanı, etkilenen veri kategorileri, olası sonuçlar, azaltıcı tedbirler ve iletişim kanallarını somutlaştırmalıdır.

Dosyanın ilk önceliği ihlalin kapsamını kişi ve veri kategorisi bazında doğrulayıp her hedef grubun karşılaşabileceği somut sonucu ve alabileceği koruyucu önlemi sade bildirim metnine dönüştürmek, delil omurgası ise olay ve tespit zaman çizelgesi, loglar ve adli bilişim raporu, etkilenen kişi-veri matrisi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişiye gönderilen metinler ve teslim kayıtları, web ilanı, çağrı merkezi kayıtları, alınan teknik-idari tedbirler ve güncelleme bildirimleri ile Kişisel Veri İhlalinde Etkilenen Kişilere Bildirimin İçeriği uyuşmazlığına dayanak sözleşme, karar, bildirim veya sicil kaydının tam metni, ekleri ve değişiklik geçmişi arasındaki doğrulamadır. Takvimdeki ilk uyarı şudur: Kurula bildirim öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde; ilgili kişiye bildirim etkilenme belirlendikten sonra makul olan en kısa sürede yapılmalı, gecikme ve aşamalı bildirim gerekçeleri kaydedilmelidir. Bildirimin tamamlanması veya düzeltilmesi, risk azaltıcı tedbir, erişim ve bilgi talebi, Kurula şikâyet, idari yaptırımın iptali, verinin silinmesi veya güvenliğinin sağlanması, maddi-manevi tazminat talebi açık ve uygulanabilir kurulmalı; genel bir 'verileriniz etkilenmiş olabilir' e-postasını yeterli saymak veya iletişim adresi bulunamayan kişiler için uygun kamusal bildirim yöntemi kurmamak riski başvuru yapılmadan önce giderilmelidir.

Kaynakça ve Karar Doğrulaması

• Kişisel Verileri Koruma Kurulu — kişisel veri bildirimin içeriği resmî kayıtları — resmî veri tabanında güncel karar araştırma kaynağı; araştırma ölçütü: somut uyuşmazlık bakımından veri sorumlusu, ihlalden etkilenen kişileri belirledikten sonra makul olan en kısa sürede açık ve sade bir bildirim yapmalı; ihlalin zamanı, etkilenen veri kategorileri, olası sonuçlar, azaltıcı tedbirler ve iletişim kanallarını somutlaştırmalıdır yaklaşımı; görev, süre, ispat ve uygulanabilir sonuçla birlikte sınanmalıdır.
• Anayasa Mahkemesi — kişisel veri bildirimin içeriği emsal taraması — resmî veri tabanında güncel karar araştırma kaynağı; araştırma ölçütü: somut uyuşmazlık içtihat araştırmasında lehe kararlarla yetinilmemeli; kurula 72 saat içinde bildirim yapılması ilgili kişiye aynı metnin gönderilmesi demek değildir; etkilenen kişi analizi, doğrudan veya web sitesi yöntemi, özel nitelikli veri, çocuklar, devam eden saldırı, aşamalı bilgi, yanlış güvence ve bildirimin tevsiki ayrı incelenmelidir savunmasının kabul edildiği maddi olaylar da karşılaştırılmalıdır.
• Resmî Gazete — kişisel veri bildirimin içeriği yürürlük denetimi — resmî veri tabanında güncel karar araştırma kaynağı; araştırma ölçütü: somut uyuşmazlık için olay tarihinde ve son hukuki kontrol tarihinde yürürlükte bulunan metinler ile geçiş hükümleri ayrı ayrı kontrol edilmelidir.
• 6698 Sayılı Kişisel Verilerin Korunması Kanunu — m.4, 10-13, 15 ve 18
• 5237 Sayılı Türk Ceza Kanunu — m.135-140
• 6098 Sayılı Türk Borçlar Kanunu — m.49-76 ve 112-126