This article is published in Turkish.
KVKK Cezaları ve Yaptırımlar
KVKK, veri koruma yükümlülüklerinin ihlali halinde hem idari para cezaları hem de cezai yaptırımlar öngörmektedir. Ceza türleri, miktarları, Kurul uygulamaları ve itiraz yolları.
1. Giriş
Kişisel verilerin korunması mevzuatı, yükümlülüklerin etkin şekilde uygulanmasını sağlamak amacıyla çeşitli yaptırım mekanizmaları öngörmektedir. KVKK, hem idari para cezaları hem de cezai yaptırımlar düzenlemiş olup, Kişisel Verileri Koruma Kurulu bu alanda önemli bir denetim ve yaptırım yetkisine sahiptir.
Kurul, 2018 yılından bu yana binlerce başvuru incelemiş ve veri koruma ihlallerine karşı önemli miktarlarda idari para cezası uygulamıştır.
2. Yaptırım Türleri
KVKK, iki tür yaptırım öngörmektedir: idari para cezaları ve cezai yaptırımlar. İdari para cezaları Kurul tarafından uygulanırken, cezai yaptırımlar ceza mahkemeleri tarafından verilir.
3. İdari Para Cezaları
KVKK'nın 18. maddesi, çeşitli ihlaller için idari para cezaları düzenlemiştir. Bu cezalar her yıl yeniden değerleme oranına göre güncellenir.
2026 Yılı Güncel Ceza Miktarları
| İhlal Türü | Alt Sınır | Üst Sınır |
|---|---|---|
| Aydınlatma yükümlülüğü (m.10) | 85.437 TL | 1.709.200 TL |
| Veri güvenliği yükümlülüğü (m.12) | 256.357 TL | 17.092.242 TL |
| Kurul kararlarını yerine getirmeme (m.15) | 427.263 TL | 17.092.242 TL |
| VERBİS kayıt ve bildirim yükümlülüğü (m.16) | 341.809 TL | 17.092.242 TL |
| Standart sözleşme bildirimi (m.9) | 90.308 TL | 1.806.177 TL |
Ceza Belirleme Kriterleri
Kurul, idari para cezasının alt ve üst sınırları arasındaki miktarı belirlerken çeşitli faktörleri değerlendirir.
| Kriter | Cezayı Artıran | Cezayı Azaltan |
|---|---|---|
| İhlalin ağırlığı | Çok sayıda kişiyi etkileyen, hassas veri içeren | Sınırlı kapsam, düşük etki |
| Kasıt | Kasıtlı ihlal | İhmal, bilgisizlik |
| Tekrar | Daha önce benzer ihlal | İlk ihlal |
| İşbirliği | Kurul ile işbirliğinden kaçınma | Aktif işbirliği, hızlı düzeltme |
| Mali durum | Büyük ölçekli şirket | KOBİ, düşük ciro |
| İyileştirme | Düzeltici önlem almama | Hızlı iyileştirme |
4. Cezai Yaptırımlar
KVKK'nın 17. maddesi, bazı ihlalleri suç olarak tanımlamış ve ceza hükümlerine atıfta bulunmuştur.
Kişisel verilere ilişkin suçlar bakımından (…) Türk Ceza Kanununun 135 ila 140 ıncı madde hükümleri uygulanır.
TCK'daki İlgili Suçlar
KVKK m.17'nin atfı TCK m.135-140'a ilişkindir; özel hayatın gizliliğini ihlal suçu (m.134) bu atfın kapsamında olmamakla birlikte, kişisel veri ihlalleriyle bağlantılı olarak uygulamada sıkça gündeme gelir.
| Suç | TCK Maddesi | Ceza |
|---|---|---|
| Kişisel verilerin kaydedilmesi | m.135 | 1-3 yıl hapis |
| Özel hayatın gizliliğini ihlal (m.17 atfı dışında) | m.134 | 1-3 yıl hapis |
| Verileri hukuka aykırı verme/ele geçirme | m.136 | 2-4 yıl hapis |
| Nitelikli haller | m.137 | Cezanın yarı oranında artırılması |
| Verileri yok etmeme | m.138 | 1-2 yıl hapis |
Nitelikli Haller (TCK m.137)
- Suçun kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılarak işlenmesi
- Suçun belli bir meslek veya sanatın sağladığı kolaylıktan yararlanılarak işlenmesi
5. Kurul Karar İstatistikleri
Kurul, 2018 yılından bu yana binlerce başvuru incelemiş ve önemli miktarlarda idari para cezası uygulamıştır.
En Sık Cezalandırılan İhlaller
| İhlal Türü | Tipik Senaryo |
|---|---|
| Veri güvenliği eksikliği | Veri sızıntısı, yetersiz teknik tedbirler |
| Aydınlatma eksikliği | Bilgilendirme yapmadan veri işleme |
| Hukuka aykırı işleme | Açık rıza veya yasal dayanak olmadan işleme |
| VERBİS kaydı eksikliği | Kayıt yükümlülüğüne rağmen kayıt olmama |
| İlgili kişi taleplerini yanıtlamama | Başvurulara süresinde veya gereği gibi cevap vermeme |
| Veri ihlali bildirmeme | İhlali Kurul'a veya ilgili kişilere bildirmeme |
6. Yüksek Ceza Örnekleri
7. Kurul Kararlarına İtiraz
Kurul'un idari para cezası kararlarına karşı idari yargı yoluna başvurulabilir.
| Aşama | Süre | Yetkili Merci |
|---|---|---|
| İdari para cezası kararı | - | Kişisel Verileri Koruma Kurulu |
| İptal davası | 60 gün (tebliğden itibaren) | Ankara İdare Mahkemeleri |
| İstinaf | 30 gün (karar tebliğinden) | Bölge İdare Mahkemesi |
| Temyiz | 30 gün | Danıştay (belirli hallerde) |
Yürütmeyi Durdurma
İptal davası açılması, idari para cezasının tahsilini otomatik olarak durdurmaz. Ancak mahkemeden yürütmeyi durdurma kararı talep edilebilir. Mahkeme, telafisi güç zarar ve hukuka açık aykırılık şartlarını değerlendirir.
8. İdari Para Cezalarının Tahsili
İdari para cezaları, 6183 sayılı Amme Alacaklarının Tahsil Usulü Hakkında Kanun hükümlerine göre tahsil edilir.
- Ceza kararının tebliğinden itibaren 30 gün içinde ödeme yapılmalıdır
- Süresinde ödenmezse gecikme zammı uygulanır
- Cebri icra yoluyla tahsil edilebilir
9. Cezaların Önlenmesi İçin Öneriler
| Öneri | Açıklama |
|---|---|
| KVKK uyum programı | Kapsamlı bir uyum programı oluşturun |
| Veri envanteri | İşlenen verileri haritalayın ve kayıt altına alın |
| Aydınlatma | Tüm veri toplama noktalarında aydınlatma yapın |
| Güvenlik tedbirleri | Teknik ve idari tedbirleri uygulayın |
| Çalışan eğitimi | Düzenli farkındalık eğitimleri verin |
| İhlal müdahale planı | Veri ihlali durumunda hızlı müdahale için hazırlıklı olun |
| Düzenli denetim | İç denetim ve uyum kontrolleri yapın |
10. Sonuç
KVKK cezaları, veri koruma yükümlülüklerinin ciddiye alınmasını sağlayan önemli bir caydırıcı mekanizmadır. Kurul, yıllar içinde ceza uygulamalarını artırmış ve özellikle veri güvenliği ihlallerinde yüksek cezalar vermiştir.
Veri sorumluları, olası cezalardan korunmak için proaktif bir yaklaşım benimsemeli, KVKK uyum programı oluşturmalı ve düzenli olarak uyum durumlarını gözden geçirmelidir. Kurul kararlarına itiraz mümkün olmakla birlikte, ihlallerin baştan önlenmesi uygulamada öne çıkan yaklaşımdır.