Özel nitelikli veri, ihlal bildirimi ve 2024 değişikliği

Önceki derste genel kuralları gördün. Bu derste kuralların sertleştiği üç yere bakacaksın. İlki özel nitelikli veridir: sağlık, biyometrik veri ve sendika üyeliği gibi kategoriler. İkincisi veri ihlalidir: biri müşteri veritabanını kopyaladığında bir saat işlemeye başlar.

Üçüncüsü yurt dışı aktarımdır: İK sistemi başka bir ülkedeki buluta taşınırken hangi belgenin gerektiğini bilmen gerekir. 7499 sayılı Kanun 2024'te bu alanların ikisini baştan yazdı. Arada silme ve imha takvimini de göreceksin. İhlal riskini azaltmanın en ucuz yolu gereksiz veriyi tutmamaktır; tutmadığın veriyi kaybedemezsin.

Kanunun 6. maddesi bazı veri türlerini özel nitelikli sayar. Bunlar ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep ve diğer inançlar, kılık kıyafet, dernek, vakıf ya da sendika üyeliğidir. Sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veri, biyometrik ve genetik veri de listededir.

Liste sınırlı sayılmıştır, kıyasla genişletilemez. Bu veriler öğrenildiğinde kişi ayrımcılığa uğrayabilir; Kanun bu yüzden daha sıkı bir rejim kurar. Altay Kargo'da sürücü adayının sağlık raporu, depo girişindeki parmak izi şablonu ve çalışanın sendika üyeliği bu kategoriye girer. Müşterinin teslimat adresi ise genel kişisel veridir.

7499 sayılı Kanun 12 Mart 2024'te Resmî Gazete'de yayımlandı, KVKK'ya ilişkin hükümleri 1 Haziran 2024'te yürürlüğe girdi. Eski metin sağlık ve cinsel hayat verisini öbür özel nitelikli verilerden ayırıyordu. Sağlık verisi için açık rıza dışında yalnız dar bir sağlık hizmeti istisnası vardı.

İşveren, çalışanın sağlık raporunu kanuni yükümlülük için bile çoğu zaman rızaya dayandırmak zorunda kalıyordu. Yeni madde bu ayrımı kaldırdı ve şartları tek listede topladı. Açık rıza, kanunlarda açıkça öngörülme, hayati durum, alenileştirme ve hakkın tesisi listededir.

Sır saklama yükümlülüğü altındaki sağlık hizmeti ile istihdam, iş sağlığı ve güvenliği, sosyal güvenlik alanındaki hukuki yükümlülükler de eklendi. Dernek ve vakıfların üyeleriyle sınırlı işlemleri de listeye girdi. Kurum, açık rıza ile öbür şartlar arasında hiyerarşi olmadığını vurgular. Kurulun belirlediği yeterli önlemleri alma şartı ise aynen sürer.

Güncel bir örnek biyometrik veridir. Kurul, 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı'nı 2 Haziran 2026'da Resmî Gazete'de yayımladı. Karara göre yalnız mesai takibi için biyometrik veri işlemek 6. maddedeki şartların hiçbirine dayanmaz.

Geçerli bir açık rıza olsa bile ölçülülük ilkesini karşılamaz. Parmak izini matematiksel bir koda çevirip saklamak da veriyi biyometrik olmaktan çıkarmaz. Kritik alanlara giriş gibi güvenlik amaçlı kullanımlar ayrıca değerlendirilir. Altay Kargo mesai takibinde parmak izi okuyucuyu bırakır, kartlı giriş kullanır.

Özel nitelikli veri işleyen herkes, Kurulun 31 Ocak 2018 tarihli ve 2018/10 sayılı kararındaki yeterli önlemleri alır. Karar önce ayrı bir politika ve prosedür ister. Bu veriyi işleyen çalışanlara düzenli eğitim verilir, gizlilik sözleşmesi imzalatılır.

Erişim yetkilerinin kapsamı ve süresi net tanımlanır, düzenli olarak kontrol edilir. Görevi değişen ya da işten ayrılan çalışanın yetkisi derhal kaldırılır. Elektronik ortamda veri kriptografik yöntemlerle saklanır, anahtarlar ayrı ve güvenli ortamda tutulur.

Veri üzerindeki her hareket güvenli biçimde loglanır, güvenlik testleri düzenli yapılır. Uzaktan erişimde en az iki kademeli kimlik doğrulama kullanılır. E-postayla aktarımda şifreli kurumsal e-posta ya da KEP, sunucular arasında VPN ya da sFTP kullanılır.

Tedbirin en ucuzu, gereksiz veriyi elde tutmamaktır. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik bu işin takvimini koyar. VERBİS'e kayıtla yükümlü veri sorumlusu, envantere uygun bir saklama ve imha politikası hazırlar. Saklama süresi dolan veriyi, bir sonraki periyodik imhada siler, yok eder ya da anonim hâle getirir.

Periyodik imha aralığı her hâlde altı ayı geçemez. Politika hazırlama yükümlülüğü olmayan veri sorumlusu bu işi üç ay içinde yapar. İlgili kişinin silme talebi en geç 30 günde sonuçlanır. Her imha işlemi kayda geçer ve kayıtlar en az üç yıl saklanır.

Kanunun 12. maddesinin 5. fıkrası, veri kanuni olmayan yollarla başkalarının eline geçerse veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurula bildirmesini ister. Kurul, 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla süreyi somutlaştırdı.

Veri sorumlusu ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirir. Haklı bir gerekçeyle geç kalırsa gecikmenin nedenini de açıklar. Bilgi tek seferde toplanamıyorsa aşamalı olarak verilir.

İlgili kişilere, etkilenenler belirlendikten sonra makul olan en kısa sürede bildirim yapılır. Veri işleyen ise ihlali öğrenince gecikmeden veri sorumlusuna haber verir.

Sürenin başlangıcı olayın gerçekleştiği an değil, öğrenme anıdır. Saldırgan sisteme haftalar önce girmiş olabilir; süre yine de öğrenmeyle başlar. Öğrenme anı tartışmaya açık olduğu için olay kaydına açıkça yazılır. İlk şüphe, doğrulama ve karar ayrı satırlarda durur.

Kaydı tutan kişi saat dilimini de belirtir. Aşağıda Altay Kargo'nun olay kaydı var. Güvenlik izleme sistemi saatleri UTC olarak yazar, Türkiye saati (TSİ) ise UTC+3'tür.

2026-03-14T18:05:12Z  SIEM  UYARI  db-yedek01: olağan dışı dışa veri trafiği (4,2 GB)
2026-03-14T19:10:00Z  SOC   NOT    Nöbetçi analist incelemeye başladı
2026-03-14T20:40:00Z  SOC   KARAR  Müşteri tablosunun kopyalandığı doğrulandı
2026-03-14T20:55:00Z  UYUM  KAYIT  Öğrenme anı: 14.03.2026 23:40 TSİ, Kurula son an: 17.03.2026 23:40 TSİ

Satırları sırayla oku. İlk satır bir şüphedir: gece 21:05 TSİ'de alışılmadık bir veri çıkışı görülür. İkinci satırda inceleme başlar.

Üçüncü satırda ekip, kişisel verinin kopyalandığını doğrular; saat 20:40 UTC, yani 23:40 TSİ'dir. Uyum ekibi bu anı öğrenme anı olarak kaydeder. 72 saat eklenince son an 17 Mart 2026, 23:40 TSİ olur.

Hafta sonu ya da resmî tatil bu süreyi uzatmaz. Tartışmalı durumda erken anı esas almak daha güvenlidir.

2026-03-14T18:05:12Z  SIEM  UYARI  olağan dışı dışa veri trafiği
2026-03-14T20:40:00Z  SOC   KARAR  müşteri tablosunun kopyalandığı doğrulandı
2026-03-14T20:55:00Z  UYUM  KAYIT  öğrenme anı = doğrulama anı

Kurula bildirim, Kurumun yayımladığı Kişisel Veri İhlal Bildirim Formu ile yapılır. Form önce veri sorumlusunu ve bildirimi hazırlayan kişiyi sorar. Sonra ihlalin başlama, bitiş ve tespit tarihlerini ve saatlerini ister.

İhlali veri işleyen haber verdiyse onun tespit ve bildirim anı da yazılır. İhlalin kaynağı, gizliliğe, bütünlüğe ya da erişilebilirliğe etkisi ve nasıl tespit edildiği anlatılır. Etkilenen veri kategorileri, kişi ve kayıt sayısı, kişi grupları ve olası sonuçlar işaretlenir.

72 saat aşıldıysa gecikmenin nedeni yazılır. Son bölüm alınan tedbirleri ve ilgili kişilere nasıl bildirim yapıldığını sorar. Formda ihlale konu kişisel verinin kendisi yer almaz.

Kurul, gerekli görürse ihlali kendi internet sitesinde ya da uygun gördüğü başka bir yöntemle ilan edebilir. Bu yetki de Kanunun 12. maddesinin 5. fıkrasındadır.

Kurumun sitesindeki kamuoyu duyuruları hep aynı iskeleti izler: ihlalin nasıl gerçekleştiği ve nasıl tespit edildiği, etkilenen veri kategorileri, kişi sayısı ve grupları, ilgili kişilerin bilgi alacağı kanal. Kurulun ilanı, veri sorumlusunun ilgili kişilere yaptığı bildirimin yerine geçmez; ikisi ayrı yürür. Aşağıda Altay Kargo için örnek bir duyuru var.

Kamuoyu Duyurusu (Veri İhlali Bildirimi): Altay Kargo A.Ş.
- İhlal, müşteri veritabanı yedeğinin bulunduğu sunucuda yaması yapılmamış
  bir yazılım zafiyetinin istismarıyla gerçekleşti.
- İhlal, 14.03.2026 tarihinde güvenlik izleme sisteminin uyarısıyla tespit edildi.
- Etkilenen veriler: ad soyad, telefon numarası, teslimat adresi.
- Etkilenen kişi sayısı: yaklaşık 48.000 müşteri.
- Etkilenen kişi grupları: müşteriler ve alıcılar.
- Bilgi almak için: [email protected]

Duyuruyu satır satır oku. İlk satır kök nedeni verir; okuyan, yamalanmamış bir zafiyetten ders çıkarır. İkinci satır tespit tarihini ve yolunu söyler. Veri kategorileri ve kişi sayısı riskin boyutunu gösterir.

Son satır, ilgili kişinin soru sorabileceği kanaldır. İlgili kişiye giden mesaj ise daha pratik olmalıdır: ne oldu, hangi verisi etkilendi, kendini korumak için ne yapmalı. Telefonu sızan müşteriye, kargo firması gibi davranan dolandırıcılık mesajlarına karşı uyarı eklenir.

7499 sayılı Kanun, Kanunun 9. maddesini de baştan yazdı; değişiklik 1 Haziran 2024'te yürürlüğe girdi. Yeni düzen kademeli bir sıra kurar.

Her aktarımda önce 5. ya da 6. maddedeki bir işleme şartı bulunur. Sonra aktarım yapılacak ülke, ülkedeki sektör ya da uluslararası kuruluş için Kurulun yeterlilik kararı aranır.

Karar yoksa uygun güvencelerden biri sağlanır: Kurulun ilan ettiği standart sözleşme, Kurulun onayladığı bağlayıcı şirket kuralları ya da Kurul izniyle yazılı taahhütname. Kamu kurumları arasındaki anlaşmalar ayrı bir yoldur. Güvencelerde kişinin aktarım ülkesinde de haklarını kullanabilmesi ve etkili kanun yoluna gidebilmesi şarttır. Standart sözleşme değiştirilmeden kullanılır ve imzadan itibaren beş iş günü içinde Kuruma bildirilir.

ADIM 1  Aktarılan kişisel veri mi?                   Evet -> 2
ADIM 2  Madde 5/6 şartı var mı?                      Hayır -> DUR, önce dayanak bul
                                                      Evet -> 3
ADIM 3  Alıcı ülke/sektör için yeterlilik kararı?   Evet -> aktar; arşiv: karar, şart kaydı
                                                      Hayır -> 4
ADIM 4  Uygun güvence sağlanabiliyor mu?
        a) Standart sözleşme   -> imza + 5 iş günü içinde Kuruma bildirim
        b) Bağlayıcı şirket kuralları -> Kurul onayı
        c) Yazılı taahhütname  -> Kurul izni
        Hiçbiri yoksa -> 5
ADIM 5  Aktarım arızi mi? (tek seferlik, süreklilik yok)
        Evet -> istisnai hâllerden biri; arşiv: gerekçe
        Hayır -> aktarma

Ağacın son adımı en çok yanlış anlaşılanıdır. Yeterlilik kararı ve uygun güvence yoksa aktarım ancak arızi olmak kaydıyla, istisnai hâllerden birine dayanabilir. İlgili kişinin, olası riskler anlatılarak verdiği açık rıza bu hâllerden biridir. 10 Temmuz 2024'te yayımlanan yurt dışı aktarım yönetmeliği arıziyi tanımlar.

Düzenli olmayan, tek ya da birkaç sefer yapılan, süreklilik taşımayan ve olağan akış dışında kalan aktarım arızidir. Her gün veri gönderen bir İK sistemi bu tanıma uymaz. Böyle bir sistemi toplu rıza formuyla yurt dışına taşımak hukuken ayakta durmaz.

Şimdi kararı sen ver. Altay Kargo, İK sistemini yurt dışındaki bir bulut sağlayıcısına taşımayı planlıyor. Sistem her gün çalışan kayıtlarını, bordro verisini ve izin bilgilerini işleyecek. Sağlayıcının bulunduğu ülke için Kurulun yeterlilik kararı yok.

Sağlayıcı, sözleşme şablonlarını paylaşmaya hazır olduğunu söylüyor. Proje yöneticisi ise en hızlı yolun çalışanlardan toplu onay almak olduğunu düşünüyor. Ekip, projeyi geciktirmemek için hangi yola başvurması gerektiğini soruyor. Karar ağacında hangi adımda olduğunu düşün.