Kişisel Veri İhlalinin İlgili Kişilere Bildirilmesi

Kapsam

Kişisel Veri İhlalinin İlgili Kişilere Bildirilmesi yönünden kesin ve yürütülmesi zorunlu işlem, zorunlu idari başvuru, görev ve yetki, dava süresi, hukuka uygunluk denetimi, yürütmenin durdurulması ve kararın uygulanması birlikte ele alınır. Kişisel verinin hukuka aykırı elde edilmesi halinde veri sorumlusu Kurula gecikmeksizin bildirimle yetinmeyip ihlalden etkilenen kişileri de riskle uyumlu, açık ve doğrudan bir içerikle bilgilendirmeli; bildirim kanalı ve zamanı denetlenebilir kayda bağlanmalıdır. Sonuca giderken işlemin adı değil gerçek hukuki niteliği, tarafların sıfatı ve korunan menfaat belirleyicidir.

Bu çalışma, kişisel veri ihlalinin ilgili kişilere bildirilmesi konusunda 23 Ekim 2026 tarihi itibarıyla hazırlanmıştır. Kaynakça, Mevzuat Bilgi Sistemi ile resmî karar ve kurum sayfalarına yönelir. Doğrudan resmî tam metni bulunmayan bir kayıt belirli esas-karar numarasıyla emsal gibi sunulmamış; veri tabanı bağlantıları güncel içtihadın somut dosya üzerinden yeniden araştırılması için verilmiştir. Olay tarihinde yürürlükte bulunan metin ayrıca kontrol edilmelidir.

İdari İşlemin Hukukî Niteliği ve Denetim Sınırı

İncelemenin ilk ölçütü “kişisel verinin hukuka aykırı elde edilmesi halinde veri sorumlusu kurula gecikmeksizin bildirimle yetinmeyip ihlalden etkilenen kişileri de riskle uyumlu, açık ve doğrudan bir içerikle bilgilendirmeli; bildirim kanalı ve zamanı denetlenebilir kayda bağlanmalıdır” kuralıdır. Her güvenlik olayı aynı kişi grubuna aynı metinle duyurulamaz; etkilenen veri ve kişi kapsamı, kimlik hırsızlığı veya mali zarar riski, olayın devam edip etmediği, iletişim imkânı, bildirimin yeni zarar doğurma ihtimali ve alınabilecek kişisel tedbirler ayrı incelenmelidir. Ayrıca “olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, kurul bildirim formu, ilgili kişi bildirim metni, e-posta-sms teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır” yaklaşımının somut olayda uygulanıp uygulanmayacağı, özel hüküm ve dosya belgeleri üzerinden sınanmalıdır.

Kişisel Veri İhlalinin İlgili Kişilere Bildirilmesi bakımından maddi hukuk hakkın doğup doğmadığını; usul hukuku ise bu hakkın hangi merci önünde, hangi sürede ve hangi delille korunacağını belirler. Hakimin hukuku kendiliğinden uygulaması, tarafın vakıaları ve talep sonucunu açıkça ortaya koyma yükünü ortadan kaldırmaz. Bu nedenle olay kronolojisi, her çekişmeli vakıanın karşısında dayanak belge ve hukuki sonuç bulunacak şekilde hazırlanmalıdır.

Resmî Mevzuat Haritası

6698 Sayılı Kişisel Verilerin Korunması Kanunu: m.4-7, 10-13 ve Özellikle m.12

Kişisel veri ihlalinin ilgili kişilere bildirilmesi kapsamında m.4-7, 10-13 ve özellikle m.12 hükümleri veri güvenliği, ihlal bildirimi ve başvuru bakımından önem taşır. Hüküm, yürürlük tarihi ve geçiş kurallarıyla birlikte resmî güncel metinden okunmalıdır. Olayın hükmün varsayımına neden girdiği, yaptırımın hangi koşulda doğduğu ve Türk Ceza Kanunu ile ilişkinin özel-genel norm mu yoksa tamamlayıcı uygulama mı olduğu dilekçede açıklanmalıdır.

5237 Sayılı Türk Ceza Kanunu: m.135-140

Kişisel veri ihlalinin ilgili kişilere bildirilmesi kapsamında m.135-140 hükümleri kişisel verilerle ilgili suçlar bakımından önem taşır. Hüküm, yürürlük tarihi ve geçiş kurallarıyla birlikte resmî güncel metinden okunmalıdır. Olayın hükmün varsayımına neden girdiği, yaptırımın hangi koşulda doğduğu ve Türk Borçlar Kanunu ile ilişkinin özel-genel norm mu yoksa tamamlayıcı uygulama mı olduğu dilekçede açıklanmalıdır.

6098 Sayılı Türk Borçlar Kanunu: m.49, 58 ve 112

Kişisel veri ihlalinin ilgili kişilere bildirilmesi kapsamında m.49, 58 ve 112 hükümleri kişilik zararı ve sözleşmesel sorumluluk bakımından önem taşır. Hüküm, yürürlük tarihi ve geçiş kurallarıyla birlikte resmî güncel metinden okunmalıdır. Olayın hükmün varsayımına neden girdiği, yaptırımın hangi koşulda doğduğu ve Kişisel Verilerin Korunması Kanunu ile ilişkinin özel-genel norm mu yoksa tamamlayıcı uygulama mı olduğu dilekçede açıklanmalıdır.

Yetki, Şekil, Sebep, Konu ve Maksat Denetimi

Kişisel verinin hukuka aykırı elde edilmesi halinde veri sorumlusu Kurula gecikmeksizin bildirimle yetinmeyip ihlalden etkilenen kişileri de riskle uyumlu, açık ve doğrudan bir içerikle bilgilendirmeli; bildirim kanalı ve zamanı denetlenebilir kayda bağlanmalıdır.

Bu kuralın olayda karşılık bulması için olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili ile maddi vakıa arasında açık bağ kurulmalıdır. “Kişisel Verileri Koruma Kurulu kişisel veri kişilere bildirilmesi resmî kayıtları yönünden kişisel verinin hukuka aykırı elde edilmesi halinde veri sorumlusu Kurula gecikmeksizin bildirimle yetinmeyip ihlalden etkilenen kişileri de riskle uyumlu, açık ve doğrudan bir içerikle bilgilendirmeli; bildirim kanalı ve zamanı denetlenebilir kayda bağlanmalıdır” değerlendirmesi, ilgili usul adımındaki kayıtlarla doğrulanmadıkça soyut kabul olarak bırakılamaz.

Her güvenlik olayı aynı kişi grubuna aynı metinle duyurulamaz; etkilenen veri ve kişi kapsamı, kimlik hırsızlığı veya mali zarar riski, olayın devam edip etmediği, iletişim imkânı, bildirimin yeni zarar doğurma ihtimali ve alınabilecek kişisel tedbirler ayrı incelenmelidir.

“Yargıtay kişisel veri kişilere bildirilmesi emsal taraması yönünden her güvenlik olayı aynı kişi grubuna aynı metinle duyurulamaz; etkilenen veri ve kişi kapsamı, kimlik hırsızlığı veya mali zarar riski, olayın devam edip etmediği, iletişim imkânı, bildirimin yeni zarar doğurma ihtimali ve alınabilecek kişisel tedbirler ayrı incelenmelidir” ölçütünün değerlendirilmesinde belirleyici nokta, taraf anlatısından çok bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu ile ortaya çıkan fiilî durumdur. Usul planı kurulurken kuralın istisnası ve somut uyuşmazlıkta olay tarihindeki metin yerine yalnız güncel veya ikincil bir özete dayanmak savunması da ayrıca incelenmelidir.

Olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır.

Resmî Gazete kişisel veri kişilere bildirilmesi yürürlük denetimi yönünden olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır. Bu ölçüt özellikle zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları üzerinden sınanır. İşlemin yetki, şekil, sebep, konu ve maksat unsurları ile maddi olay ve teknik veriler arasındaki bağın incelenmesi tamamlanmadan sonuca gidilmesi, maddi vakıa, hukuki nitelendirme, delil ve talep sonucunu aynı belirsiz anlatım içinde bırakmak ihtimalini güçlendirebilir.

İşlem Dosyası ve Teknik İspat

Olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili.

Bu delil öncelikle “kişisel verinin hukuka aykırı elde edilmesi halinde veri sorumlusu kurula gecikmeksizin bildirimle yetinmeyip ihlalden etkilenen kişileri de riskle uyumlu, açık ve doğrudan bir içerikle bilgilendirmeli; bildirim kanalı ve zamanı denetlenebilir kayda bağlanmalıdır” iddiasını sınamak için kullanılır. “Kişisel Verileri Koruma Kurulu kişisel veri kişilere bildirilmesi resmî kayıtları yönünden olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili” tek başına bütün uyuşmazlığı değil, bağlı olduğu çekişmeli vakıayı kanıtlayabilir.

Bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu.

“Yargıtay kişisel veri kişilere bildirilmesi emsal taraması yönünden bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu” değerlendirilirken kaydın kim tarafından, hangi amaçla ve ne zaman oluşturulduğu açıklanmalıdır. İlgili usul adımı yürütülürken bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu ile çelişen kayıtlar da dosyaya getirtilmelidir.

Zorunlu İdari Başvuru, İtiraz ve Cevap Belgeleri ile Elektronik Başvuru Alındıları.

“Resmî Gazete kişisel veri kişilere bildirilmesi yürürlük denetimi yönünden zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları” kaydı, “olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır” ölçütünün ispat alanına girer. Kaydın kişi, işlem ve tarih bağlantısı kurulmalı; özgünlük ve bütünlük karşı kayıtlarla sınanmalıdır.

İdari Başvurudan Yargısal Denetime

İhlal zaman çizelgesini çıkarıp etkilenen veri kategorilerini kişi bazında eşleştirmek, her grup için doğabilecek somut zararı ve alınabilecek koruyucu adımları bildirim metnine dönüştürmek.

Bu aşamada olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili ile işlemin yetki, şekil, sebep, konu ve maksat unsurları arasındaki bağ incelenir. “Kişisel Verileri Koruma Kurulu kişisel veri kişilere bildirilmesi resmî kayıtları yönünden ihlal zaman çizelgesini çıkarıp etkilenen veri kategorilerini kişi bazında eşleştirmek, her grup için doğabilecek somut zararı ve alınabilecek koruyucu adımları bildirim metnine dönüştürmek” adımından sonra yürütmenin durdurulması ve esas kararın uygulanma takvimi ayrıca tutulmalıdır.

Kesin ve yürütülmesi zorunlu işlemin, tebliğ tarihinin, zorunlu idari başvurunun ve görevli idari veya vergi yargı yerinin doğrulanması.

“Yargıtay kişisel veri kişilere bildirilmesi emsal taraması yönünden kesin ve yürütülmesi zorunlu işlemin, tebliğ tarihinin, zorunlu idari başvurunun ve görevli idari veya vergi yargı yerinin doğrulanması” işlemi yürütülürken tebliğ, husumet, kesin işlem ve varsa ön karar başvurusu birlikte denetlenir. Eksik bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu, bu idari uyuşmazlık konusu işlemin hukuka aykırı kısmının iptali ve gerekli ise sonuçlarının idarece giderilmesi isteminin dinlenebilirliğini etkileyebilir.

İşlemin yetki, şekil, sebep, konu ve maksat unsurları ile maddi olay ve teknik veriler arasındaki bağın incelenmesi.

“Resmî Gazete kişisel veri kişilere bildirilmesi yürürlük denetimi yönünden işlemin yetki, şekil, sebep, konu ve maksat unsurları ile maddi olay ve teknik veriler arasındaki bağın incelenmesi” işlemi, idari denetimin ayrı bir aşamasıdır. Zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları dosyaya alınmalı; kesin işlem, zorunlu idari başvuru, görevli yargı yeri ve dava süresi belirlenmelidir.

Tebliğ, İdari Başvuru ve Dava Süresi

Kurula bildirim öğrenmeden itibaren en geç yetmiş iki saat içinde yapılmalı; ilgili kişilere de gecikmeksizin ulaşılmalı, gecikme gerekçesi, ek bildirimler, veri sorumlusu başvuruları ve Kurul şikâyet süreleri ayrıca kaydedilmelidir.

“Kişisel Verileri Koruma Kurulu kişisel veri kişilere bildirilmesi resmî kayıtları yönünden kurula bildirim öğrenmeden itibaren en geç yetmiş iki saat içinde yapılmalı; ilgili kişilere de gecikmeksizin ulaşılmalı, gecikme gerekçesi, ek bildirimler, veri sorumlusu başvuruları ve Kurul şikâyet süreleri ayrıca kaydedilmelidir” takvim kuralında önce süreyi başlatan belge tespit edilmelidir. İhlal zaman çizelgesini çıkarıp etkilenen veri kategorilerini kişi bazında eşleştirmek, her grup için doğabilecek somut zararı ve alınabilecek koruyucu adımları bildirim metnine dönüştürmek yapılırken zamanaşımı, hak düşürücü süre ve usul süresi birbirine karıştırılmamalıdır.

Tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır.

“Yargıtay kişisel veri kişilere bildirilmesi emsal taraması yönünden tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır” uyarısının uygulanması, başlangıç ve son günün ayrı ayrı hesaplanmasını gerektirir. Elektronik gönderim, tebligat ve başvuru alındıları dosyada korunmalıdır.

İptal, Tam Yargı ve Yürütmenin Durdurulması

İhlal bildiriminin tamamlanması, ilgili kişiye doğru bilgi verilmesi, erişim ve yayılmanın durdurulması, verinin silinmesi veya düzeltilmesi, zarar tazmini, idari yaptırımın iptali ve gider.

“Kişisel Verileri Koruma Kurulu kişisel veri kişilere bildirilmesi resmî kayıtları yönünden ihlal bildiriminin tamamlanması, ilgili kişiye doğru bilgi verilmesi, erişim ve yayılmanın durdurulması, verinin silinmesi veya düzeltilmesi, zarar tazmini, idari yaptırımın iptali ve gider” sonucu isteniyorsa kararın idarece nasıl uygulanacağı işlem, kişi ve dönem bakımından açık olmalıdır. Dayanak kayıt olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili, temel ölçüt ise “kişisel verinin hukuka aykırı elde edilmesi halinde veri sorumlusu kurula gecikmeksizin bildirimle yetinmeyip ihlalden etkilenen kişileri de riskle uyumlu, açık ve doğrudan bir içerikle bilgilendirmeli; bildirim kanalı ve zamanı denetlenebilir kayda bağlanmalıdır” olacaktır.

Bu idari uyuşmazlık konusu işlemin hukuka aykırı kısmının iptali ve gerekli ise sonuçlarının idarece giderilmesi.

“Yargıtay kişisel veri kişilere bildirilmesi emsal taraması yönünden bu idari uyuşmazlık konusu işlemin hukuka aykırı kısmının iptali ve gerekli ise sonuçlarının idarece giderilmesi” isteminin işlemin hangi kısmına ve hangi hukuka aykırılık nedenine dayandığı açıklanmalıdır. Bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu bulunmadığında talep varsayımla genişletilmemelidir.

Telafisi güç veya imkânsız zarar ile açık hukuka aykırılık birlikte gösterilebiliyorsa yürütmenin durdurulması.

“Resmî Gazete kişisel veri kişilere bildirilmesi yürürlük denetimi yönünden telafisi güç veya imkânsız zarar ile açık hukuka aykırılık birlikte gösterilebiliyorsa yürütmenin durdurulması” istemi, “olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır” koşuluyla ve zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları ile ilişkilendirilmelidir. İptal, tam yargı ve yürütmenin durdurulması sonuçları ayrı kurulmalıdır.

Resmî Karar ve Kurum Uygulaması

Kişisel Verileri Koruma Kurulu — Kişisel Veri Kişilere Bildirilmesi Resmî Kayıtları

Resmî karar veya kurum veri tabanı üzerindeki “kişisel veri kişilere bildirilmesi resmî kayıtları” taraması konuya ilişkin güncel içtihat araştırmasının başlangıç noktasıdır. Belirli bir karar tam metni açılmadan künye veya birebir alıntı kullanılmaz. Araştırma ölçütü şöyledir: bu idari uyuşmazlık bakımından kişisel verinin hukuka aykırı elde edilmesi halinde veri sorumlusu kurula gecikmeksizin bildirimle yetinmeyip ihlalden etkilenen kişileri de riskle uyumlu, açık ve doğrudan bir içerikle bilgilendirmeli; bildirim kanalı ve zamanı denetlenebilir kayda bağlanmalıdır yaklaşımı; görev, süre, ispat ve uygulanabilir sonuçla birlikte sınanmalıdır.

Yargıtay — Kişisel Veri Kişilere Bildirilmesi Emsal Taraması

Resmî karar veya kurum veri tabanı üzerindeki “kişisel veri kişilere bildirilmesi emsal taraması” taraması konuya ilişkin güncel içtihat araştırmasının başlangıç noktasıdır. Belirli bir karar tam metni açılmadan künye veya birebir alıntı kullanılmaz. Araştırma ölçütü şöyledir: bu idari uyuşmazlık içtihat araştırmasında lehe kararlarla yetinilmemeli; her güvenlik olayı aynı kişi grubuna aynı metinle duyurulamaz; etkilenen veri ve kişi kapsamı, kimlik hırsızlığı veya mali zarar riski, olayın devam edip etmediği, iletişim imkânı, bildirimin yeni zarar doğurma ihtimali ve alınabilecek kişisel tedbirler ayrı incelenmelidir savunmasının kabul edildiği maddi olaylar da karşılaştırılmalıdır.

Resmî Gazete — Kişisel Veri Kişilere Bildirilmesi Yürürlük Denetimi

Resmî karar veya kurum veri tabanı üzerindeki “kişisel veri kişilere bildirilmesi yürürlük denetimi” taraması konuya ilişkin güncel içtihat araştırmasının başlangıç noktasıdır. Belirli bir karar tam metni açılmadan künye veya birebir alıntı kullanılmaz. Araştırma ölçütü şöyledir: bu idari uyuşmazlık için olay tarihinde ve son hukuki kontrol tarihinde yürürlükte bulunan metinler ile geçiş hükümleri ayrı ayrı kontrol edilmelidir.

Kesin İşlem, Süre ve Husumet Riskleri

Yalnız Kurula form göndererek ilgili kişilere bildirim yükümlülüğünün bittiğini sanmak veya olayın kapsamı kesinleşene kadar bütün bildirimleri belirsiz süre ertelemek.

Bu risk, karşı tarafın en güçlü savunmalarından biri olarak ele alınmalıdır: “Kişisel Verileri Koruma Kurulu kişisel veri kişilere bildirilmesi resmî kayıtları yönünden yalnız Kurula form göndererek ilgili kişilere bildirim yükümlülüğünün bittiğini sanmak veya olayın kapsamı kesinleşene kadar bütün bildirimleri belirsiz süre ertelemek”. Bu savunmaya verilecek cevap, olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili delili ve “Kişisel verinin hukuka aykırı elde edilmesi halinde veri sorumlusu Kurula gecikmeksizin bildirimle yetinmeyip ihlalden etkilenen kişileri de riskle uyumlu, açık ve doğrudan bir içerikle bilgilendirmeli; bildirim kanalı ve zamanı denetlenebilir kayda bağlanmalıdır” ölçütü üzerinden somutlaştırılmalıdır.

Somut Uyuşmazlıkta Olay Tarihindeki Metin Yerine Yalnız Güncel veya İkincil Bir Özete Dayanmak.

“Yargıtay kişisel veri kişilere bildirilmesi emsal taraması yönünden somut uyuşmazlıkta olay tarihindeki metin yerine yalnız güncel veya ikincil bir özete dayanmak” riski gerçekleşirse bu idari uyuşmazlık konusu işlemin hukuka aykırı kısmının iptali ve gerekli ise sonuçlarının idarece giderilmesi talebi bütünüyle veya kısmen etkisiz kalabilir. Bu nedenle usul işlemleri yürütülürken olay kronolojisi ve karşı deliller birlikte incelenmelidir.

Maddi Vakıa, Hukuki Nitelendirme, Delil ve Talep Sonucunu Aynı Belirsiz Anlatım İçinde Bırakmak.

“Resmî Gazete kişisel veri kişilere bildirilmesi yürürlük denetimi yönünden maddi vakıa, hukuki nitelendirme, delil ve talep sonucunu aynı belirsiz anlatım içinde bırakmak” riski hem maddi hakkı hem başvurunun dinlenebilirliğini zayıflatabilir. İşlemin yetki, şekil, sebep, konu ve maksat unsurları ile maddi olay ve teknik veriler arasındaki bağın incelenmesi aşamasında zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları kontrol edilmeli; eksiklik giderilemiyorsa iddianın kapsamı daraltılmalıdır.

Avukat İçin Dosya Hazırlık Kontrol Listesi

• olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili
• Kişisel Veri İhlalinin İlgili Kişilere Bildirilmesi konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu
• zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları

• ihlal zaman çizelgesini çıkarıp etkilenen veri kategorilerini kişi bazında eşleştirmek, her grup için doğabilecek somut zararı ve alınabilecek koruyucu adımları bildirim metnine dönüştürmek
• kesin ve yürütülmesi zorunlu işlemin, tebliğ tarihinin, zorunlu idari başvurunun ve görevli idari veya vergi yargı yerinin doğrulanması
• işlemin yetki, şekil, sebep, konu ve maksat unsurları ile maddi olay ve teknik veriler arasındaki bağın incelenmesi

• Süre çizelgesinde Kurula bildirim öğrenmeden itibaren en geç yetmiş iki saat içinde yapılmalı; ilgili kişilere de gecikmeksizin ulaşılmalı, gecikme gerekçesi, ek bildirimler, veri sorumlusu başvuruları ve Kurul şikâyet süreleri ayrıca kaydedilmelidir. Tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır.

Sık Sorulan Uygulama Soruları

Kişisel Veri İhlalinin İlgili Kişilere Bildirilmesi Bakımından Başvuru Sırası Nasıl Kurulmalıdır?

İhlal zaman çizelgesini çıkarıp etkilenen veri kategorilerini kişi bazında eşleştirmek, her grup için doğabilecek somut zararı ve alınabilecek koruyucu adımları bildirim metnine dönüştürmek; kesin ve yürütülmesi zorunlu işlemin, tebliğ tarihinin, zorunlu idari başvurunun ve görevli idari veya vergi yargı yerinin doğrulanması; işlemin yetki, şekil, sebep, konu ve maksat unsurları ile maddi olay ve teknik veriler arasındaki bağın incelenmesi. Kesin işlem, zorunlu idari başvuru, görevli yargı yeri, tebliğ ve dava süresi esas incelemesinden önce doğrulanmalıdır.

Kişisel veri ihlalinin ilgili kişilere bildirilmesi bakımından süre kaybını önlemek için hangi tarihler resmî kayıtla belgelenmelidir?

Kurula bildirim öğrenmeden itibaren en geç yetmiş iki saat içinde yapılmalı; ilgili kişilere de gecikmeksizin ulaşılmalı, gecikme gerekçesi, ek bildirimler, veri sorumlusu başvuruları ve Kurul şikâyet süreleri ayrıca kaydedilmelidir. Tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır.

İhlal bildiriminin tamamlanması, ilgili kişiye doğru bilgi verilmesi, erişim ve yayılmanın durdurulması, verinin silinmesi veya düzeltilmesi, zarar tazmini, idari yaptırımın iptali ve gider talep sonucunda nasıl somutlaştırılır?

İhlal bildiriminin tamamlanması, ilgili kişiye doğru bilgi verilmesi, erişim ve yayılmanın durdurulması, verinin silinmesi veya düzeltilmesi, zarar tazmini, idari yaptırımın iptali ve gider, bu idari uyuşmazlık konusu işlemin hukuka aykırı kısmının iptali ve gerekli ise sonuçlarının idarece giderilmesi, telafisi güç veya imkânsız zarar ile açık hukuka aykırılık birlikte gösterilebiliyorsa yürütmenin durdurulması somut işlemin niteliğine göre gündeme gelebilir. İptal, tam yargı ve yürütmenin durdurulması koşulları ile uygulanma sonuçları ayrı açıklanmalıdır.

Sonuç

Bu idari uyuşmazlık bakımından güvenilir sonuç, tek belgeye veya soyut bir karar özetine dayanmaz. “Kişisel Veri İhlalinin İlgili Kişilere Bildirilmesi dosyasında sonucu belirleyen deliller, görevli merci ve süre çizelgesi nasıl birlikte kurulmalıdır” sorusu, 6698 Sayılı Kişisel Verilerin Korunması Kanunu, 5237 Sayılı Türk Ceza Kanunu, 6098 Sayılı Türk Borçlar Kanunu ile olay tarihindeki resmî uygulama birlikte değerlendirilerek cevaplanır. Kişisel verinin hukuka aykırı elde edilmesi halinde veri sorumlusu Kurula gecikmeksizin bildirimle yetinmeyip ihlalden etkilenen kişileri de riskle uyumlu, açık ve doğrudan bir içerikle bilgilendirmeli; bildirim kanalı ve zamanı denetlenebilir kayda bağlanmalıdır.

Dosyanın ilk önceliği ihlal zaman çizelgesini çıkarıp etkilenen veri kategorilerini kişi bazında eşleştirmek, her grup için doğabilecek somut zararı ve alınabilecek koruyucu adımları bildirim metnine dönüştürmek, delil omurgası ise olay müdahale ve adli bilişim raporları, erişim ve işlem logları, etkilenen veri-kullanıcı listesi, risk değerlendirmesi, Kurul bildirim formu, ilgili kişi bildirim metni, e-posta-SMS teslim kayıtları, web duyurusu, çağrı merkezi kayıtları, düzeltici faaliyet ve ihlal sicili ile Kişisel Veri İhlalinin İlgili Kişilere Bildirilmesi konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu arasındaki doğrulamadır. Takvimdeki ilk uyarı şudur: Kurula bildirim öğrenmeden itibaren en geç yetmiş iki saat içinde yapılmalı; ilgili kişilere de gecikmeksizin ulaşılmalı, gecikme gerekçesi, ek bildirimler, veri sorumlusu başvuruları ve Kurul şikâyet süreleri ayrıca kaydedilmelidir. İhlal bildiriminin tamamlanması, ilgili kişiye doğru bilgi verilmesi, erişim ve yayılmanın durdurulması, verinin silinmesi veya düzeltilmesi, zarar tazmini, idari yaptırımın iptali ve gider talebi açık ve uygulanabilir kurulmalı; yalnız Kurula form göndererek ilgili kişilere bildirim yükümlülüğünün bittiğini sanmak veya olayın kapsamı kesinleşene kadar bütün bildirimleri belirsiz süre ertelemek riski başvuru yapılmadan önce giderilmelidir.

Kaynakça ve Karar Doğrulaması

• Kişisel Verileri Koruma Kurulu — kişisel veri kişilere bildirilmesi resmî kayıtları — resmî veri tabanında güncel karar araştırma kaynağı; araştırma ölçütü: bu idari uyuşmazlık bakımından kişisel verinin hukuka aykırı elde edilmesi halinde veri sorumlusu kurula gecikmeksizin bildirimle yetinmeyip ihlalden etkilenen kişileri de riskle uyumlu, açık ve doğrudan bir içerikle bilgilendirmeli; bildirim kanalı ve zamanı denetlenebilir kayda bağlanmalıdır yaklaşımı; görev, süre, ispat ve uygulanabilir sonuçla birlikte sınanmalıdır.
• Yargıtay — kişisel veri kişilere bildirilmesi emsal taraması — resmî veri tabanında güncel karar araştırma kaynağı; araştırma ölçütü: bu idari uyuşmazlık içtihat araştırmasında lehe kararlarla yetinilmemeli; her güvenlik olayı aynı kişi grubuna aynı metinle duyurulamaz; etkilenen veri ve kişi kapsamı, kimlik hırsızlığı veya mali zarar riski, olayın devam edip etmediği, iletişim imkânı, bildirimin yeni zarar doğurma ihtimali ve alınabilecek kişisel tedbirler ayrı incelenmelidir savunmasının kabul edildiği maddi olaylar da karşılaştırılmalıdır.
• Resmî Gazete — kişisel veri kişilere bildirilmesi yürürlük denetimi — resmî veri tabanında güncel karar araştırma kaynağı; araştırma ölçütü: bu idari uyuşmazlık için olay tarihinde ve son hukuki kontrol tarihinde yürürlükte bulunan metinler ile geçiş hükümleri ayrı ayrı kontrol edilmelidir.
• 6698 Sayılı Kişisel Verilerin Korunması Kanunu — m.4-7, 10-13 ve özellikle m.12
• 5237 Sayılı Türk Ceza Kanunu — m.135-140
• 6098 Sayılı Türk Borçlar Kanunu — m.49, 58 ve 112
• Yargıtay Karar Arama
• Yargıtay İçtihat Merkezi Hakkında Resmî Duyuru