505 Bin Müşteri, 1 Milyon Lira ve Süren Bir Dava: KVKK'nın 2025/88 Sayılı Kararı İşletmelere Ne Söylüyor?

Bir bilgi işlem yöneticisinin mesajlaşma hesabına bir mesaj geliyor: gönderenler, yöneticinin kripto para cüzdanlarının ve şirkete ait bir kısım verinin ellerinde olduğunu söylüyor. Yönetici cüzdanlarını kontrol ediyor; bilgi doğru. Sonra bilgisayarını formatlıyor ve sabit diskini çıkarıyor. Kişisel Verileri Koruma Kurulu'nun 9 Ocak 2025 tarihli, 2025/88 sayılı kararının özeti, 10 Ağustos 2026'da yayımlandı ve 505.337 müşteriyi etkileyen bir veri ihlalini böyle anlatıyor.

Karar özeti şirketin adını vermiyor; "restoran zinciri ve hızlı servis gıda şirketi" diyor. Eylül başında basında çıkan haberlerde ve şirketin kendi açıklamasında adı geçiyor; bu yazı Kurul'un yayımladığı metne bağlı kalıyor. Şirket açıklamasına göre bir idare mahkemesi cezayı iptal etti ve karar henüz kesinleşmedi. Aşağıda önce Kurul'un ne bulduğunu, sonra iptalin ne anlama geldiğini, en sonda da bir işletmenin bu dosyadan ne çıkarması gerektiğini okuyoruz.

İhlal nasıl gerçekleşti

Karar özetine göre saldırganlar, tarayıcı üzerinde çalışan zararlı bir yazılımla çalışanın bilgisayarına yetkisiz erişim sağladı ve tarayıcıda kayıtlı kullanıcı adı ve şifrelere ulaştı. Çalışan, destek verdiği bir sisteme giriş yaptığı kullanıcı adı ve şifresini de aynı tarayıcıda kayıtlı tuttuğu için saldırganlar o sisteme de girdi ve oradaki verileri aldı. Etkilenen veriler: 505.337 müşteriye ait ad-soyadı, cinsiyet, e-posta, telefon ve yaşadığı şehir bilgisi. Özete göre saldırıda ilgili sistem dışında başka bir sistem etkilenmedi.

Bu tabloda iki ayrıntı var. İhlal bir sunucu açığından değil, bir çalışanın bilgisayarından ve tarayıcısında sakladığı şifrelerden başladı. İhlal ise güvenlik sisteminin uyarısıyla değil, saldırganların yöneticiye gönderdiği mesajla öğrenildi.

Kurul'un tespitleri

Kurul 800.000 lirayı Kanun'un 12. maddesinin birinci fıkrasına, yani veri sorumlusunun uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğüne dayandırdı. Gerekçe dört başlıkta toplanıyor; üçü Kurum'un yayımladığı Kişisel Veri Güvenliği Rehberi'nin bir bölümüne, biri doğrudan Kanun'un 12. maddesinin birinci fıkrasına bağlanıyor.

Birincisi, takip ve kontrol. Rehber'in 3.2 bölümü, sistemlerin saldırılara maruz kaldığını ve belirtilere rağmen bunun uzun süre fark edilemeyebileceğini söyleyerek ağda hangi yazılımların çalıştığının kontrolünü, sızma hareketlerinin belirlenmesini, kullanıcı işlem kayıtlarının tutulmasını ve güvenlik sorunlarının hızla raporlanmasını istiyor. Kurul'un cümlesi şu: "saldırgan tarafından sisteme giriş sağlandığında bu durumu haber verecek herhangi bir alarm sisteminin kurulmadığı, bu sebeple veri sorumlusunun takip ve kontrol noktasında eksikliğinin bulunduğu".

İkincisi, risk analizi. Karar özeti, iki faktörlü kimlik doğrulamanın ve takip-kontrol sistemlerinin (SIEM programı, güvenlik duvarı) ihlalden sonra tedarik edilmesini, Rehber'in 2.1 bölümündeki risk ve tehditlerin önceden belirlenmesi ilkesine aykırı buldu ve "bilgi sistemlerinde verilerin korunması bağlamında temel sayılabilecek önlemlerin alınmadığı" sonucuna vardı.

Üçüncüsü, tarayıcıda kayıtlı şifre. Kurul, bilgi işlem personelinin destek verdiği sistemin şifresini tarayıcıda kayıtlı tutmasını ve saldırganın bu şifreyle o sisteme girmesini, 12. maddenin birinci fıkrasına aykırı olarak kişisel verilerin gizliliği ilkesinin ihlali saydı.

Dördüncüsü, eğitim. Özete göre ihlal çalışanın veri güvenliği noktasında özensiz davranmasından kaynaklandı; şirket ihlalden sonra çalışanlar için eğitim hazırladığını söyledi, ama ihlalden önce eğitim verildiğine ilişkin belge sunmadı. Kurul bunu Rehber'in 2.2 bölümündeki eğitim ve farkındalık yükümlülüğüne aykırı buldu.

200.000 liranın dayanağı ayrı. Kanun'un 12. maddesinin beşinci fıkrası, verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu "en kısa sürede ilgilisine ve Kurula" bildirmesini istiyor. Kurul, şirketin ilgili kişilere 2019/271 sayılı karara uygun bir bildirim yapmadığını tespit etti. O karar, ilgili kişiye yapılacak bildirimin açık ve sade bir dille yapılmasını ve asgari olarak ihlalin ne zaman gerçekleştiğini, kişisel veri kategorileri bazında (kişisel veri / özel nitelikli kişisel veri ayrımı yapılarak) hangi kişisel verilerin ihlalden etkilendiğini, olası sonuçları, alınan veya alınması önerilen tedbirleri ve irtibat kişilerinin isim ve iletişim detayları ya da veri sorumlusunun web sayfasının tam adresi, çağrı merkezi gibi iletişim yollarını içermesini arıyor. İki kalem birlikte 1.000.000 lira. Kanun'un 18. maddesinin birinci fıkrasının (b) bendi, veri güvenliği yükümlülüklerini yerine getirmeyenler için 15.000 liradan 1.000.000 liraya kadar idari para cezası öngörüyor; ancak bu rakamlar kanun metnindeki nominal tutarlardır. Kabahatler Kanunu'nun 17. maddesinin yedinci fıkrası uyarınca idari para cezaları her takvim yılı başından geçerli olmak üzere yeniden değerleme oranında artırılarak uygulanır; bu nedenle kararın verildiği yılda fiilen uygulanabilecek üst sınır, kanun metnindeki tutarın epeyce üzerindedir. Yani 1.000.000 lira, Kurul'un verebileceği azami ceza değildir.

Özette olmayan bir şeyi de söylemek gerekiyor: ihlalin tarihi, Kurul'a bildirim tarihi ve 2019/10 sayılı karardaki 72 saatlik Kurul'a bildirim süresine uyulup uyulmadığı karar özetinde yer almıyor. 200.000 liralık kalem ilgili kişilere bildirimle ilgili; Kurul'a geç bildirim tespiti özette yok.

İptal kararı: şirket açıklamasına göre

Kanun'un 18. maddesine 2024'te eklenen üçüncü fıkra, Kurul'un idari para cezalarına karşı idare mahkemelerinde dava açılabileceğini söylüyor. Şirket, Eylül 2026'da yaptığı açıklamada ihlalin 22 Mayıs 2022'de gerçekleştiğini, cezanın erken ödeme indirimiyle 750.000 lira olarak ödendiğini ve bir idare mahkemesinin 4 Aralık 2025 tarihli kararı hakkında "davayı kabul ederek, kurul işleminin iptaline hükmetti" ifadesini kullandı. Şirketin aktardığına göre mahkeme, bilgisayarlarda antivirüs programı bulunduğunu, güvenlik duvarı ve MPLS VPN altyapısından yararlanıldığını, sızma testlerinin yapıldığını değerlendirerek gerekli teknik ve idari tedbirlerin alındığı ve şirketin kusuru bulunmadığı sonucuna varmış.

Bu paragrafın tamamı şirketin açıklamasına dayanıyor; mahkeme kararının metni kamuya açık değil ve bu yazı için görülmedi. Aynı açıklamaya göre Kurum kararı istinaf etti ve dosya bölge idare mahkemesinde. Yani bugün elimizde kesinleşmiş bir yargı kararı yok; Kurul'un tespitleri ile bir ilk derece mahkemesinin farklı sonucu yan yana duruyor.

Buradaki asıl hukuki soru, kusur meselesi. Kurul'un gerekçesi olayı ihlalden önce alınmayan tedbirler (alarm, iki faktörlü doğrulama, eğitim, tarayıcıda şifre) üzerinden kuruyor; şirketin aktardığı mahkeme gerekçesi ise alınmış tedbirleri (antivirüs, güvenlik duvarı, VPN, sızma testi) sayıyor. İkisi aynı olaya bakıp farklı tedbir listelerini tartıyor. Dosya bölge idare mahkemesinde derdest; kaynaklarda istinaf incelemesinin kapsamı yer almıyor. Buradaki muhtemel tartışma başlığı, 12. maddedeki "uygun güvenlik düzeyi" ölçüsünün bir çalışanın tarayıcısında kayıtlı şifreyi de kapsayıp kapsamadığıdır.

Bir işletme bu dosyadan ne çıkarmalı

Kurul'un gerekçesi, hangi tedbirin yokluğunun ceza doğurduğunu tek tek yazıyor; mahkeme süreci ne yönde sonuçlanırsa sonuçlansın, bu liste Kurul'un ölçüsü olarak duruyor.

Tarayıcıda kayıtlı şifre, Kurul'un gözünde bir kolaylık değil, bir açık. Bir çalışanın bilgisayarından başlayan bir saldırının şirket sistemine ulaşması, şifre yönetimi ve iki faktörlü doğrulama olmadığında Kurul tarafından veri sorumlusunun eksikliği sayılıyor.

Saldırıyı saldırganın mesajıyla öğrenmek, Kurul'un gerekçesinde başlı başına bir tespit: sisteme girişi haber verecek bir alarm mekanizması olmaması, takip ve kontrol eksikliği olarak yazılıyor.

İhlalden sonra alınan tedbir, ihlalden önce alınmamış tedbirin kanıtı olarak okunuyor. Karar özetinde SIEM, güvenlik duvarı ve iki faktörlü doğrulamanın "ihlal sonrası tedarik edilmesi" tam bu anlamda kullanılmış.

Eğitim, yapıldığı kadar belgelendiği kadar da var. Kurul, ihlal öncesi eğitim verildiğine ilişkin bilgi ve belge gönderilmediği için özen eksikliği sonucuna ulaştı.

Bildirim iki yönlüdür ve ikisi ayrı ayrı cezalandırılabilir: Kurul'a bildirim için 2019/10 sayılı kararla belirlenen 72 saat; ilgili kişilere bildirim için 2019/271 sayılı kararda sayılan asgari içerik. Bu dosyada ceza ikincisinden geldi.

Bu süreçte bilinmesi gerekenler

Karar özetine göre ihlal, tarayıcıda kayıtlı şifrelerin zararlı yazılımla ele geçirilmesiyle başladı ve saldırganların mesajıyla öğrenildi. Kurul 800.000 lirayı alınmayan teknik ve idari tedbirlere, 200.000 lirayı ilgili kişilere bildirim yapılmamasına bağladı. İki ayrı cezanın toplamı, Kanun metnindeki nominal üst sınıra (1.000.000 TL) eşittir; ayrıca Kabahatler Kanunu uyarınca yeniden değerlemeyle uygulanan fiilî üst sınırlar bu tutardan daha yüksektir. Şirket açıklamasına göre bir idare mahkemesi cezayı iptal etti, Kurum istinafa gitti, karar kesin değil. Veri ihlali yaşayan bir işletme için iki süre ve bir içerik önemli: Kurul'a 72 saat içinde bildirim, ilgili kişilere makul en kısa sürede bildirim ve o bildirimde 2019/271 sayılı kararda sayılan beş unsur.