KVKK Veri İhlali Başvurusu: Mağdur Hangi Yolu İzlemeli?

Kişisel verilerin güvenliğini simgeleyen bilgisayar klavyesi üzerindeki asma kilit

KVKK veri ihlali başvurusu için ilk adım, kişisel verilerinizi işleyenveri sorumlusuna usulüne uygun başvurmaktır. Veri sorumlusu en geç otuz gün içinde cevap vermelidir. Süresinde gelen ret veya yetersiz cevap üzerine, cevabı öğrendiğiniz tarihten itibaren otuz gün içinde; her durumda ilk başvurudan itibaren altmış günlük üst sınır gözetilerek Kişisel Verileri Koruma Kuruluna şikâyet edebilirsiniz. Cevap gelmezse otuz günlük bekleme süresinden sonra, ilk başvurudan itibaren altmış gün dolmadan hareket edilmelidir. Bu süreler ihlali ilk öğrendiğiniz günden başlayan tek bir süre değildir.

Bu rehber, verisi sızdırılan kişinin bilgi isteme, ihlalin giderilmesini sağlama ve Kurula şikâyet hakkına odaklanır. Tazminat miktarı, şirket yöneticisinin sorumluluğu ve ceza yargılaması ayrı değerlendirmeler gerektirir. Hukuki çerçeve 6698 sayılı Kanun’un özellikle 7, 11, 12, 13, 14 ve 15’inci maddeleri ile aşağıda bağlantıları verilen resmî düzenlemelerdir.

Veri ihlalinden etkilendiğimi nasıl somutlaştırırım?

Bir şirketin saldırıya uğramış olması, bütün müşterilerin aynı verilerinin etkilendiğini göstermez. Size gönderilen ihlal bildirimi, hesabınızda görülen işlem, yayımlanan kayıt veya üçüncü kişiden gelen mesaj hangi verinizle bağlantılıysa bunu açıklayın. İsim, telefon, adres, hesap hareketi ve sağlık bilgisi farklı riskler doğurur. Bilmediğiniz teknik ayrıntıları kesinleşmiş olay gibi yazmak yerine, neyi gördüğünüzü ve neyin açıklanmasını istediğinizi ayırın.

Örneğin yalnız telefon numaranızı bilen bir arayanın varlığı, numaranın belirli şirketten sızdığını tek başına ispatlamayabilir. Buna karşılık arayanın sadece ilgili siparişte kullandığınız adresi ve sipariş tutarını bilmesi araştırılabilecek bir bağlantıdır. Başvuruda bu bağlantıyı, işlem tarihi ve kayıt numarasıyla gösterin. Şirketin genel açıklamasını saklayın; fakat kendi kaydınızın etkilenip etkilenmediği sorusunu ayrıca sorun.

Başvuru kime yapılmalı?

Veri sorumlusu, kişisel verinin işlenme amaçlarını ve araçlarını belirleyen gerçek veya tüzel kişidir. İnternet sitesinin markası ile sözleşmedeki şirket unvanı farklı olabilir. Aydınlatma metni, sözleşme, fatura ve varsa VERBİS kaydı muhatabı belirlemeye yardımcı olur. Başvuruyu yalnız müşteri temsilcisinin kişisel adresine göndermek yerine, şirketin ilan ettiği uygun başvuru kanalını kullanın.

Veriyi saklayan yazılım şirketi her olayda asıl veri sorumlusu değildir. Birden fazla kuruluşun bağımsız işlem yaptığı durumlarda her biri için ayrı talep ve süre takvimi gerekebilir. “Saldırı tedarikçide oldu” cevabının sorumluluğu kendiliğinden kaldırmadığı, siber saldırıda şirket ve yöneticilerin hukuki sorumluluğu bakımından ayrıca incelenir. Mağdurun başvurusunda öncelik, kendi verisini hangi kuruluşun hangi amaçla işlediğinin açıklığa kavuşmasıdır.

KVKK m.11 kapsamında neler istenebilir?

İlgili kişinin hakları, yalnız silme talebinden ibaret değildir. KVKK m.11 kapsamında veri işlenip işlenmediğini, işleme amacını ve verilerin amacına uygun kullanılıp kullanılmadığını öğrenebilirsiniz. Yurt içinde veya dışında aktarım yapılan üçüncü kişiler hakkında bilgi; yanlış kayıtların düzeltilmesini ve şartları varsa silme veya yok etme işlemini isteyebilirsiniz. Düzeltme ve silme işlemlerinin aktarım yapılan kişilere bildirilmesi de talep edilebilir.

İhlal özelinde sorularınızı “Hangi verilerim etkilendi, olay hangi döneme ilişkin, yetkisiz erişimin kapsamı nedir, benim için alınan koruyucu önlemler nelerdir?” biçiminde somutlaştırın. Bütün şirket kayıtlarının veya başka müşterilerin bilgilerinin size verilmesini istemek aynı hak kapsamında değildir. Teknik inceleme raporunun tamamına erişim ile kendi verinize ilişkin açıklama talebi birbirinden ayrılmalıdır.

Silme hakkı da sınırsız değildir. KVKK m.7 uyarınca işleme sebeplerinin ortadan kalkıp kalkmadığı değerlendirilir. Kanuni saklama yükümlülüğü veya bir hakkın korunması için gereken kayıtlar bakımından gerekçeli farklı değerlendirme yapılabilir. Delilleri koruma talebiyle bütün kayıtları derhâl yok etme talebini çelişkili biçimde kurmayın; hangi verinin neden silinmesini, hangi olay kayıtlarının hukuka uygun biçimde korunmasını istediğinizi belirtin.

Arama sonuçlarından kaldırma talepleri için unutulma hakkı ve indeks kaldırma başvurusu yazısını inceleyebilirsiniz.

Veri sorumlusuna başvuru nasıl gönderilir?

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5; yazılı başvuru, KEP, güvenli elektronik imza, mobil imza, önceden bildirilmiş ve sistemde kayıtlı e-posta veya başvuru için geliştirilmiş yazılım üzerinden başvuruya imkân verir. Sıradan e-posta kullanılacaksa adresin daha önce veri sorumlusuna bildirilmiş ve kayıtlı olması önemlidir. Sosyal medya yorumu ya da çağrı merkezine telefon etmekle usulün tamamlandığı varsayılmamalıdır.

Başvuruda ad ve soyad, yazılı başvuruda imza, Türk vatandaşları için T.C. kimlik numarası; yabancılar için uyruğu ve pasaport numarası veya varsa kimlik numarası bulunmalıdır. Tebligata esas yerleşim veya işyeri adresi, varsa bildirim e-postası, telefon ve faks ile talep konusu da gösterilir. İlgili belgeler eklenir; avukat aracılığıyla başvuruluyorsa vekâletname sunulur. Gereksiz kimlik görüntüleri ve olayla ilgisiz özel belgeler paylaşılmamalıdır.

Yazılı başvuruda evrakın veri sorumlusuna veya temsilcisine tebliğ edildiği tarih, diğer yöntemlerde başvurunun ulaştığı tarih esas alınır. Dolayısıyla dilekçeyi hazırlama tarihi ile teslim tarihi aynı olmayabilir. İadeli taahhütlü gönderinin teslim kaydını, KEP delilini veya uygulamanın başvuru numarasını saklayın. Yalnız gönderilenler klasöründeki ekran görüntüsü, her zaman muhataba ulaşmayı göstermeyebilir.

Dilekçenin omurgası nasıl kurulmalı?

Önce veri sorumlusuyla ilişkinizi, sonra olayı öğrendiğiniz tarihi ve dayanak belgeyi açıklayın. Ardından etkilendiğini düşündüğünüz veri kategorilerini yazıp her talebi ayrı numaralandırın. Son bölümde cevabın gönderilmesini istediğiniz uygun kanalı ve ekleri belirtin. “Bütün haklarım saklıdır” demek, cevabını istediğiniz soruların ve giderilmesini istediğiniz aykırılığın yerini tutmaz.

Örneğin üyelik hesabınızın etkilendiği bildirilmişse üyelik numarası, bildirim tarihi ve bildirimin eksik kalan yönleri eşleştirilebilir. Önce “adres bilgilerimin etkilenip etkilenmediği”, sonra “yetkisiz erişimin tespit edilen dönemi”, ardından “tekrarını önleyen önlemler” sorulabilir. Bunlar örnek başlıklardır; her olay için aynı metin kullanılmamalıdır. Olayın henüz doğrulanmayan kısmı, inceleme ve açıklama talebi olarak ifade edilmelidir.

Otuz günlük cevap süresi ve telefonla verilen cevap

KVKK m.13 ve Tebliğ m.6 gereğince veri sorumlusu talebi niteliğine göre en kısa sürede, en geç otuz gün içinde sonuçlandırır. Kabul veya ret cevabı gerekçeli olarak yazılı ya da elektronik ortamda bildirilmelidir. Başvuru kural olarak ücretsizdir; ayrıca maliyet gerektiren işlemlerde Tebliğ tarifesi uygulanabilir. Veri sorumlusunun hatasından kaynaklanan başvuruda alınan ücret iade edilir.

Telefonla “sorun çözüldü” denilmesi yeterli resmî cevap değildir. Kurumun 1 Ekim 2026 tarihli bildirim usulü duyurusu, açıklama almak amacıyla telefon görüşmesi yapılabileceğini; fakat sözlü bilgilendirmenin Kanun ve Tebliğ uyarınca verilmesi gereken cevabın yerine geçmeyeceğini açıklar. Görüşmenin tarihini not edin ve yazılı veya elektronik cevabı isteyin; bu arada şikâyet takvimini durdurmayın.

Kurula şikâyette otuz ve altmış gün nasıl hesaplanır?

KVKK m.14’teki iki sınır birlikte uygulanır. 24 Ocak 2019 tarihli, 2019/9 sayılı Kurul kararı üç durumu ayırır:

Süresinde cevap: İlk otuz gün içinde cevap alınmışsa öğrenmeden itibaren otuz gün içinde şikâyet edilir. Başlangıçtan itibaren mutlaka altmış gününüz olduğu sanılmamalıdır.
Cevapsızlık: Otuz gün beklenir; ardından ilk başvurudan itibaren altmış gün içinde Kurula gidilir.
Geç cevap: Otuz günden sonra gelen cevap yeni bir otuz günlük süre açmaz. İlk başvurudan itibaren altmış günlük sınır korunur.

Yalnız açıklama amacıyla, başvurunuzdan on gün sonra ret cevabını öğrendiğinizi varsayalım. Şikâyet için altmışıncı günü beklemek yerine, cevabı öğrenmenizden itibaren otuz günlük süreyi izlemelisiniz. Cevap kırk beşinci günde gelmişse de yeni otuz gün ekleyemezsiniz. Gerçek son gün; teslim, öğrenme ve belge tarihleri üzerinden hesaplanmalıdır.

Aynı talebi tekrar göndermenin kaçırılmış süreyi yeniden başlattığına güvenmeyin. Şirketin “inceleme sürüyor” açıklaması veya telefon görüşmesi nedeniyle üst sınırı unutmayın. Yeni ve bağımsız bir işleme ilişkin başvuru ile eski talebin tekrarı ayrı değerlendirilir; takvimde bütün işlemleri tarihleriyle gösterin.

Kurula şikâyet dosyasında hangi belgeler bulunmalı?

Kurula başvurmadan önce veri sorumlusuna başvuru yolu tüketilmelidir. Kurulun resen inceleme yetkisi bulunması, bireysel şikâyetin bu şartını ortadan kaldırmaz. Kurumun usul şartları duyurusu doğrultusunda dosyanız özellikle şu belgeleri içermelidir:

Veri sorumlusuna gönderilen başvurunun tam metni ve ekleri
Uygun yöntemle başvurulduğunu ve teslim tarihini gösteren kayıt
Varsa cevap metni ve cevabın ne zaman öğrenildiğine ilişkin belge
İhlal bildirimi, ilgili mesajlar ve olayla bağlantılı ekran görüntüleri
Cevaplanmayan her sorunun veya giderilmeyen aykırılığın açıklaması
Kimlik, adres, imza ve varsa vekâletnameye ilişkin gerekli bilgiler

Şikâyet, Kurumun resmî KVKK Şikâyet Modülü üzerinden iletilebilir; yazılı gönderim yolları da kullanılabilir. Modüle giriş için Kurumun yönlendirdiği e-Devlet akışını izleyin. Başvuruyu taslakta bırakmadığınızdan ve gönderim kaydını aldığınızdan emin olun. Veri sorumlusunun kullandığı ihlal bildirim sistemiyle mağdurun şikâyet sistemi aynı değildir.

Dijital deliller nasıl korunur?

Ekran görüntüsünde mümkünse adres, tarih ve olayın bağlamı görülsün; orijinal mesajları ve dosyaları değiştirmeden saklayın. Kaynağı belirsiz sızıntı arşivlerini indirip başkalarının verilerini yaymayın. Hukuka aykırı erişim sağlayarak delil üretmeye çalışmayın. Soruşturma kapsamında cihaz incelemesi gerektiğinde dijital arama, kopyalama ve elkoyma güvenceleri ayrıca uygulanır; kişisel ekran kaydı bu adli işlemlerin yerine geçmez.

Kurul ne yapabilir, tazminata hükmedebilir mi?

KVKK m.15 kapsamında Kurul bilgi ve belge isteyebilir, ihlalin giderilmesine karar verebilir. Açık hukuka aykırılık ile telafisi güç veya imkânsız zarar şartları birlikte varsa veri işlenmesinin veya yurt dışına aktarımın durdurulması gündeme gelebilir. Bu nedenle acil risk varsa yalnız “şikâyetçiyim” demek yerine riskin ne olduğunu ve dayanaklarını açıklayın. Her şikâyet otomatik para cezası veya durdurma kararı doğurmaz.

Kurul mağdura maddi veya manevi tazminat ödenmesine karar veren mahkeme değildir. İdari para cezası mağdura ödenmez. KVKK m.14/3 genel hükümlere göre tazminat hakkını saklı tutar. Kurumun başvuru hakkı açıklaması uyarınca veri sorumlusuna ön başvuru zorunluluğu, Kurula şikâyetin koşuludur; bütün yargısal yollar için genel bir bekleme zorunluluğu değildir. Davanın türüne özgü şartlar ve süreler ayrıca incelenmelidir.

Kurul cevap vermezse ne olur?

KVKK m.15/4 uyarınca şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır. Bu, veri sorumlusuna başvurudan başlayan altmış günlük şikâyet süresinden farklıdır. Kurula şikâyet ve inceleme usulü kapsamında açık veya zımni ret ile yargısal başvuru takvimi ayrıca değerlendirilmelidir. Dosyanın incelendiğini düşünerek sınırsız beklemek hak kaybına yol açabilir.

Ceza başvurusu ve 72 saat kuralı nasıl ayrılır?

Verilerin hukuka aykırı verilmesi, yayılması veya ele geçirilmesi TCK m.136 kapsamındaki kişisel veri suçunu gündeme getirebilir. Verilerin silinmesi, değiştirilmesi veya erişilemez kılınması varsa TCK m.244 kapsamında sisteme ve verilere müdahale ayrıca değerlendirilir. Kurula şikâyet, savcılığa suç bildirimini kendiliğinden yerine getirmez; her yolun konusu ve delilleri ayrı kurulmalıdır.

Haberlerde geçen 72 saat mağdurun şikâyet süresi değildir. 2019/10 sayılı Kurul kararı, veri sorumlusunun ihlali öğrendiğinde Kurula yapacağı bildirimi düzenler. İlgili kişiye bildirim ise etkilenen kişiler belirlendikten sonra makul olan en kısa sürede yapılmalıdır. Şirket bildirim yaptı diye sizin bireysel taleplerinizin karşılandığı veya sürelerinizin durduğu kabul edilemez.

Başvurmadan önce son kontrol

Doğru veri sorumlusunu belirleyin; olay, kanıt ve talebi birbirine bağlayın. Başvurunun teslim edildiğini belgeleyin, cevap tarihini kaydedin ve şikâyet son gününü ayrıca hesaplayın. KVKK veri ihlali başvurusu hazırlanırken en önemli hata, güçlü bir anlatımın usul eksikliğini gidereceğini sanmaktır. Somut ve ölçülü talepler, düzenli ekler ve ayrı tutulan başvuru takvimleri hak aramayı daha etkili hâle getirir.

Güncelleme tarihi: 1 Ekim 2026. Bu içerik genel bilgilendirmedir; teslim belgeleri, cevap ve olayın kapsamı incelenmeden kişiye özel süre veya dava değerlendirmesi yerine kullanılamaz.