Kişisel Verileri Koruma Kurulu karar özetlerini kamuya açık yayımlıyor. Bu özetler, bir ihlalin nasıl başladığını ve Kurul'un hangi eksikliği tespit ettiğini adım adım anlatıyor. Dosya paylaşımıyla ilgili olanlarda tekrar eden üç kalıp var: erişimin zamanında kaldırılmaması, dosyanın kurum dışına kontrolsüz çıkması, ve ihlalin fark edilmesinin aylar sürmesi.
Aşağıda üç karar var. Her birinin yanında, o ihlali hangi kontrolün engelleyeceğini yazdım.
Önce rakamlar
6698 sayılı Kanun'un 18. maddesindeki idari para cezaları her yıl yeniden değerleme oranıyla güncelleniyor. 2026 için oran yüzde 25,49 olarak belirlendi (27 Kasım 2025 tarihli Resmî Gazete, 585 Sıra No'lu VUK Genel Tebliği).
| Aykırılık | Alt sınır | Üst sınır |
|---|---|---|
| Aydınlatma yükümlülüğü | 85.437 TL | 1.709.200 TL |
| Veri güvenliği yükümlülüğü (m.12) | 256.357 TL | 17.092.242 TL |
| Kurul kararlarına aykırılık | 427.263 TL | 17.092.242 TL |
| VERBİS kayıt ve bildirim | 341.809 TL | 17.092.242 TL |
İkinci satır bu yazının konusu. Dikkat çeken nokta şu: aşağıdaki kararların ikisinde verilen ceza, veri güvenliği aykırılığının bugünkü alt sınırının altında. Yani aynı ihlaller bugün gerçekleşse, taban çok daha yukarıda başlıyor.
Karar 1: Ayrılan geliştirici, GitHub ve iki yıl gecikme
Kurul'un 05/05/2020 tarihli ve 2020/345 sayılı kararı, bir bilgisayar oyunları şirketinin veri ihlali bildirimini konu alıyor.
Olan şu: şirketten ayrılan bir web geliştiricisi, kişisel veri içeren dosyaları kendi taşınabilir diskine kopyalamış, iş ilişkisi bittikten sonra da kaynak kod ve veri dosyalarını içeren klasörü herkese açık bir GitHub deposuna yüklemiş. Açığa çıkan veriler arasında müşterilerin doğum tarihi, e-posta adresi ve konum bilgileri var.
Kurul'un tespit ettiği eksiklikler, teknik olmaktan çok yönetişimle ilgili:
- Erişim kontrolünde "yasaklanmadıkça her şey serbesttir" yaklaşımı uygulanmış; olması gereken ise tersi, yani "izin verilmedikçe her şey yasaktır"
- Çalışanlara yeterli farkındalık eğitimi verilmemiş
- Düzenli güvenlik denetimi yapılmamış
Son madde en can alıcı olanı. İhlal Nisan 2017'de gerçekleşmiş, Ocak 2019'a kadar fark edilmemiş. Yaklaşık bir yıl dokuz ay.
Ceza toplam 130.000 TL: veri güvenliğini sağlamamaktan 100.000 TL, ihlali geç bildirmekten 30.000 TL.
Bunu ne engellerdi: dosyaların kişisel diske kopyalanabildiği bir düzende hiçbir şey. Kopyalama ile indirme arasındaki fark burada belirleyici. Kurumun sunucusunda duran ve her indirmesi kim, ne zaman, hangi dosya bilgisiyle kayda geçen bir yapıda, ayrılan çalışanın yüzlerce dosyayı çekmesi bir kayıt bırakır ve toplu indirme bir alarm üretir. İki yıl değil, aynı gün.
Karar 2: Bordro dosyaları yanlış kişilere gitti
Kurul'un 2021/464 sayılı kararı (16/06/2020) bir otoyol işletmesinin veri ihlal bildirimini konu alıyor. Bordro sisteminde çıkan bir hata nedeniyle çalışanlar kendi maaş belgeleri yerine iş arkadaşlarının belgelerini almış. Etkilenen kişi sayısı 489.
Kurul yalnızca teknik arızayı değil, arkasındaki idari eksiklikleri de değerlendirmiş: risk değerlendirmesinin yetersizliği, aydınlatma metninin çalışanları bilgilendirmemesi, ve saha çalışanları için kurumsal e-posta altyapısının bulunmaması, yani kişisel e-posta adreslerinin kullanılıyor olması.
Ceza 60.000 TL.
Bunu ne engellerdi: belge dağıtımının e-posta yerine yetkiye bağlı bir alan üzerinden yapılması. Bordro gibi kişiye özel belgelerde "yanlış alıcı" riski e-postanın yapısında var; alıcıyı gönderen seçiyor. Erişimi kişiye bağlayan bir modelde belge yerinde durur, kişi kendi belgesini görür ve yanlış alıcı diye bir kavram oluşmaz.
Karar 3: İşveren, ayrılan çalışanın e-postasına baktı
Kurul'un 25/11/2021 tarihli ve 2021/1187 sayılı kararı ters yönden bir vaka. Burada ihlali yapan çalışan değil, işveren.
İş ilişkisi 16 Kasım 2020'de sona eren bir çalışanın kurumsal e-posta hesabına, herhangi bir aydınlatma yapılmaksızın erişilmiş. Hesapta çalışanın nişanlısıyla yazışmaları, özel banka kayıtları ve harcama dökümleri varmış.
Kurul, önceden usulüne uygun bir aydınlatma yapılmadığında çalışanın kişisel yazışmalarının iş yerinde de korunacağı yönünde haklı bir beklentisi olduğunu belirtmiş. Kanun'un 12. maddesinin birinci fıkrasına aykırılık tespit edilmiş.
Ceza 250.000 TL.
Bunu ne engellerdi: ayrılan çalışanın verisine erişimin kişisel hesabını açmak yerine kurumsal içeriğin devri üzerinden yürümesi. Kurumun ihtiyacı olan şey çalışanın gelen kutusu değil, çalışanın ürettiği iş belgeleri. Bu ikisi ayrı tutulduğunda ve sahiplik devri tanımlı bir işlem olduğunda, kimsenin özel yazışmasına bakmak gerekmiyor.
Üç karardan çıkan ortak ders
Kararların hiçbirinde ceza, ihlalin kendisinden değil, ihlali mümkün kılan düzenden çıkıyor. Kurul'un baktığı sorular şunlar:
- Erişim nasıl veriliyordu? Varsayılan izin miydi, varsayılan yasak mı?
- Erişim ne zaman kaldırıldı? Kaldırıldığının kaydı var mı?
- İhlal ne kadar sürede fark edildi?
- Fark edildikten sonra 72 saat içinde bildirildi mi?
Üçüncü ve dördüncü soru birlikte değerlendiriliyor. 2020/345 kararında geç bildirim ayrı bir ceza kalemi olarak eklendi. Yani ihlali fark edememek iki kere maliyetli: hem ihlal büyüyor hem bildirim süresi kaçıyor.
Kendi kurumunuz için kontrol listesi
Bu dört soruyu bugün cevaplayabiliyor musunuz?
- Geçen ay kurum dışına kaç dosya çıktı, hangi kanaldan? Cevap "bilmiyoruz" ise, Kurul'a verilecek cevap da o olur.
- Son ayrılan çalışanın erişimleri ne zaman kalktı? Kaydı nerede?
- Bir kullanıcı bir günde yüz dosya indirse haberimiz olur mu?
- Bir ihlali fark ettiğimizde, hangi verinin etkilendiğini kaç saatte çıkarabiliriz? Bildirim süresi 72 saat ve bu sürenin içine analiz de giriyor.
Bu sorular teknik değil yönetişim soruları. Cevapları da yeni bir güvenlik ürününde değil, dosyaların nerede durduğu ve kimin ne yaptığının kaydedilip kaydedilmediğinde.
Veyro'da durum
Veyro, dosyaları kurumun kendi sunucusunda tutar ve her işlemi değiştirilemez bir denetim kaydına yazar: yükleme, görüntüleme, indirme, değiştirme, silme ve paylaşma. Kayıtlar hash zinciriyle birbirine bağlıdır, yani sonradan araya kayıt eklendiğinde bu tespit edilebilir. Kayda istek kaynağının IP adresi de düşer.
Yetkiler kullanıcı, grup ve departman bazında verilir ve süreli verilebilir; süre dolduğunda erişim kendiliğinden kalkar. Ayrılan çalışanın dosyaları silinmez, sahiplik devralana geçer ve bu devir denetim kaydına düşer.
Toplu silme ve alışılmadık hacimde indirme gibi hareketler için eşiği yapılandırılabilir anomali kuralları vardır. Kurum dışına paylaşım, kurallı bir bağlantı üzerinden yapılır: şifre, son kullanma tarihi, indirme limiti ve e-posta kısıtı koyabilirsiniz, ve her dış erişim kayda geçer.
Denetim kaydı CSV olarak dışa aktarılabilir ve künye ile bütünlük özeti içeren bir PDF rapor üretilebilir. Bir ihlal analizinde ihtiyacınız olan şey tam olarak budur: kimin neye eriştiğinin, sonradan değiştirilmediği kanıtlanabilir bir dökümü.
İlgili yazılar: dosya sunucusu mu, dosya platformu mu ve periyodik imha.
Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Karar özetlerinin tamamına kvkk.gov.tr adresinden ulaşabilirsiniz.
