Toplu E-postada Alıcıları BCC'ye Almayı Unutmak Veri İhlali mi? Yanlış Kişiye Giden E-posta, 72 Saat Bildirimi ve Kurul Kararları
Alıcıları BCC yerine CC'ye almak da yanlış kişiye giden fatura da veri ihlali. 72 saat kuralı, Kurul'un ceza verdiği ve vermediği kararlar, pratik önlemler.
Kısa cevap: evet, ikisi de veri ihlali. Alıcıları BCC yerine CC alanına yazdığınızda listedeki herkes diğerlerinin e-posta adresini görür; yanlış kişiye giden bir ekstre, fatura ya da sipariş bilgisi de üçüncü bir kişinin eline geçmiş olur. 6698 sayılı Kanun'un 12. maddesi veri sorumlusuna kişisel verilere hukuka aykırı erişilmesini önleme yükümlülüğü yüklüyor, aynı maddenin beşinci fıkrası da ihlalin öğrenilmesi halinde en kısa sürede Kurula ve ilgili kişiye bildirim yapılmasını arıyor. Kurul bu süreyi 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla 72 saat olarak somutlaştırdı. Ama her ihlal idari para cezasıyla bitmiyor. Yayımlanan karar özetlerine bakınca sonucu belirleyen üç şey öne çıkıyor: açığa çıkan verinin niteliği, olayın hızla fark edilip sınırlandırılıp sınırlandırılmadığı ve bildirimlerin zamanında yapılıp yapılmadığı.
Önce klasik itirazı karşılayalım. E-posta adresi gerçekten kişisel veri mi? Kurumsal hayatta en yaygın format ad.soyad@firma.com, yani adres tek başına belirli bir kişiyi gösteriyor. Bireysel adreslerin de büyük kısmı ad ve soyadı içeriyor. Kurul'un 1 Ekim 2020 tarihli ve 2020/763 sayılı kararı tam bu noktadan kuruluyor. İnternetten market alışverişi hizmeti veren şirket 400 müşterisine toplu bir e-posta göndermiş, adresleri gizlemek için BCC alanını kullanmış, ancak çalışanlardan biri 43 müşterinin adresini hataen konu kısmına eklemiş. Sonuç: 43 adres 400 kişi tarafından görüldü. Şirket e-postayı geri almayı denemiş, başaramamış, ihlali 48 saat içinde Kuruma bildirmiş ve müşterilerinden iletiyi imha etmelerini istemiş. Kurul riski düşük bularak 12. madde kapsamında yapılacak bir işlem olmadığına karar verdi.
Benzer bir olay beş yıl sonra aynı sonucu verdi. 12 Mart 2025 tarihli ve 2025/536 sayılı kararda, küçük ev aletleri üreten ve satan bir şirketin müşterilerine gönderdiği 14 bilgilendirme e-postasında alıcı adreslerinin gizlenmediği Kuruma bildirildi. Tahminen 500 müşteri etkilendi, açığa çıkan veri kategorisi yalnızca e-posta adresiydi. Çalışan hatayı gönderimin hemen ardından fark etmiş, iletiler geri çağrılmış, bir kısmı alıcılara hiç ulaşmamıştı. Kurul olumsuz sonuç doğma ihtimalini düşük görüp bu aşamada işlem yapılmamasına hükmetti. Buradan çıkacak ders geri çağırma düğmesine güvenmek değil. Geri çağırma yalnızca aynı posta sistemi içinde ve ileti henüz açılmamışsa çalışır. Alıcı farklı bir sağlayıcıdaysa, bildirimi telefonundan görmüşse ya da mesaj bir arşive ya da yedeğe düşmüşse o veri artık dışarıdadır.
Ağır olaylar genellikle ekte yaşanıyor. 1 Haziran 2023 tarihli ve 2023/928 sayılı kararda bir üniversite rektörlüğü, aşı olmayan personelin PCR testi yaptırması gerektiğini duyuran e-postaya Excel dosyası eklemişti. Dosyanın içinde T.C. kimlik numaralarının son üç hanesi, cep telefonu numaraları, e-posta adresleri, adres bilgileri, HES kodları, aşı bilgileri ve risk durumu vardı. Aşı bilgisi sağlık verisi, yani Kanun'un 6. maddesindeki özel nitelikli kategoriden. Kurul hukuka aykırı işlemeyi önlemeye yönelik yeterli tedbirin alınmadığını ve veri ihlal bildiriminde bulunulmadığını tespit etti; veri sorumlusu kamu tüzel kişisi olduğu için ilgililer hakkında disiplin hükümlerine göre işlem yapılmasına karar verildi. Toplu e-postada tehlike alıcı listesinden ibaret değil. Tabloyu göndermeden önce gizli sütunları, ikinci sayfaları, filtrelenmiş satırları ve pivot kaynağını kontrol edin.
İkinci senaryo, doğru şablonun yanlış kişiye gitmesi. Kurul'un 3 Ağustos 2022 tarihli ve 2022/774 sayılı kararında, bir e-ticaret sitesinde aynı ismi taşıyan başka bir müşteri misafir girişiyle sipariş verirken şikayetçinin e-posta adresini yazmıştı. Sipariş bilgilendirme iletisinde gönderici ve alıcının adı soyadı, telefon numaraları, adresleri, sipariş içeriği ve tutarı yer alıyordu. Kurul, teyit mekanizması kurulmadan satış sözleşmesiyle ilgisiz üçüncü kişiye bilgilendirme gönderilmesini hukuka aykırı işleme sayıp 120.000 TL idari para cezası uyguladı. 7 Kasım 2019 tarihli ve 2019/333 sayılı kararda aynı e-posta adresi iki farklı aboneye kayıtlıydı ve sistem mükerrer kayıtta uyarı üretmiyordu; ceza 50.000 TL. 8 Eylül 2022 tarihli ve 2022/925 sayılı kararda başka abonelere ait e-faturaların şikayetçinin adresine gitmesi ilk şikayetten aylar sonra bile sürüyordu; ceza 200.000 TL.
Bu kararların ortak paydası tek bir eksik: iletişim bilgisinin doğruluğunu teyit eden bir mekanizmanın bulunmaması. Kurul meseleyi 22 Aralık 2020 tarihli ve 2020/966 sayılı ilke kararıyla sektör geneline taşıdı; karar 15 Ocak 2021 tarihli ve 31365 sayılı Resmî Gazete'de yayımlandı. Kararda e-ticaret, telekomünikasyon, ulaşım ve turizm gibi alanlarda fatura, ekstre ve rezervasyon belgesi gibi kişisel veri içeren belgelerin, yanlış beyan nedeniyle ilgisiz üçüncü kişilere ulaştığı tespit ediliyor ve beyan edilen iletişim bilgilerinin doğrulanmasına yönelik makul önlemler alınması isteniyor. Kurul'un verdiği örnek gayet somut: telefon numarasına veya e-posta adresine doğrulama kodu ya da bağlantı göndermek. Kayıt formuna eklenen tek bir doğrulama adımı, yıllar sonra karşınıza çıkacak bir şikayet dosyasını baştan bitirir.
Her yanlış gönderim ceza getirmiyor, bunu da görmek gerekiyor. 12 Ocak 2023 tarihli ve 2023/67 sayılı kararda bir bankanın para transferi ve hesap hareketi bilgilerini üçüncü kişiye ait e-posta adresine gönderdiği ileri sürülmüştü. İnceleme, adresin ilk olarak ilgili kişinin ortağı olduğu şirketin vekili tarafından imzalı bir formla bankaya bildirildiğini, ilgili kişinin daha sonra bireysel emeklilik başvurusuna ilişkin formda aynı adresi imzalayarak onayladığını, yanlışlık bildirildiğinde ise bankanın adresi aynı gün düzelttiğini ortaya koydu. Kurul, bankanın özen yükümlülüğü çerçevesinde hareket ettiği sonucuna vardı. Farkı yaratan iki şey var: kaydın kaynağının belgelenebilmesi ve düzeltmenin gecikmemesi. Müşteri iletişim bilgisini kimin, ne zaman, hangi belgeye dayanarak girdiğini gösteremeyen bir sistemde bu savunma kurulamaz.
Bildirim tarafında iki ayrı yükümlülük var ve ikisi ayrı ayrı yaptırıma bağlanıyor. Kuruma bildirim, ihlalin öğrenilmesinden itibaren 72 saat içinde ve Kurumun ihlal bildirim formu üzerinden yapılıyor. İlgili kişiye bildirim ise makul olan en kısa sürede; iletişim adresi biliniyorsa doğrudan, bilinmiyorsa veri sorumlusunun kendi internet sitesinde yayımlanması gibi uygun yöntemlerle. 9 Mayıs 2024 tarihli ve 2024/728 sayılı karar bu ayrımın maliyetini gösteriyor. Uluslararası bir meslek kuruluşunda saldırganlar başkanın e-posta hesabını taklit edip bir çalışandan üye listesini istemiş, çalışan dosyayı dış bir adrese göndermiş, 217 Türk üye etkilenmişti. Kurul teknik tedbirlerin yetersizliği için 750.000 TL, süresinde bildirim yapılmaması için 250.000 TL olmak üzere toplam 1.000.000 TL ceza verdi. İhlali iyi yönetseniz bile bildirimi kaçırırsanız ikinci bir fatura geliyor.
2026'da bu alana yeni bir ayrıntı eklendi. Kurul'un 25 Aralık 2025 tarihli ve 2025/2451 sayılı kararıyla, Kurumun internet sitesinde yayımlanan veri ihlali bildirimlerinin azami 60 gün süreyle yayımda kalmasına karar verildi; veri sorumlusu ilgili kişilere bu süreden daha kısa sürede bildirim yaptığını ispat ederse ilan siteden kaldırılıyor. Konuya ilişkin kamuoyu duyurusu 20 Ocak 2026'da yayımlandı. Daha önce bu ilanlar süre sınırı olmaksızın yayında kalıyordu. Mantığı basit: ilgili kişiye bildirimi geciktiren şirket, kendi adının Kurum sitesinde daha uzun süre durmasını göze almış oluyor. İtibar tarafından bakıldığında, bildirimi hızlandırmak için bugüne kadarki en somut gerekçelerden biri.
Rakamlar tabloyu tamamlıyor. Kurumun 2025 yılı faaliyet raporuna göre yıl içinde 328 veri ihlali bildirimi yapıldı; bunların 296'sı yurt içi, 32'si yurt dışı kaynaklıydı. Aynı yıl 876 veri sorumlusu hakkında yaklaşık 352,5 milyon TL idari para cezası uygulandı ve bu tutarın yaklaşık 90,36 milyon TL'si doğrudan veri ihlal bildirimi yükümlülüğüne aykırılıktan kaynaklandı. 2026 yılında veri güvenliğine ilişkin yükümlülüklerin ihlali, 12. madde kapsamında 256.357 TL ile 17.092.242 TL arasında idari para cezasına konu oluyor. Alt sınır bile bir gönderim şablonunu düzeltmenin ya da ekibe yarım günlük eğitim vermenin maliyetinin epey üstünde.
İşe yarayan önlemler teknik olarak iddialı değil. Toplu gönderimleri elle BCC doldurarak değil, her alıcıya ayrı ileti üreten bir araçla yapın; alıcı listesi hiçbir alıcının ekranına düşmesin. Posta sunucunuzda dış alıcı uyarısı tanımlayın ve belirli bir alıcı sayısını aşan gönderimler için onay adımı koyun. Giden kutusunda bir iki dakikalık gecikme kuralı, yanlış gönderimlerin önemli bir kısmını daha ileti karşı tarafa ulaşmadan yakalar. Eklerde gizli sütun ve filtre kalıntısı kontrolü yapın, tabloyu mümkünse düzleştirilmiş bir dosya olarak gönderin. Müşteri kaydında e-posta ve telefon için doğrulama adımı ile mükerrer adres uyarısı kurun. Kimin hangi saatte ne bildireceğini yazan bir veri ihlali müdahale planı hazırlayın ve ihlalleri kendi kayıtlarınızda tutun; Kurul inceleme sırasında bu kayıtları isteyebiliyor.
Birkaç saniyelik bir dikkatsizlik, yıllar sonra karşınıza şikayet dosyası olarak çıkabiliyor. Toplu e-posta gönderimleriniz, fatura ve ekstre akışlarınız ya da elinizde duran bir ihlal bildirimi kararı konusunda nereden başlayacağınızdan emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde gönderim süreçlerinizi, iletişim bilgisi doğrulamanızı ve ihlal müdahale planınızı birlikte gözden geçirebiliriz.