# KVKK Cezaları ve Yaptırımlar

- Yazar: Av. Ersan Çetin
- Alan: Kişisel Verilerin Korunması
- Yayın: 2025-03-15
- Son güncelleme: 2026-07-08
- Kaynak: https://ersancetin.av.tr/makaleler/kvkk-cezalar-yaptirimlar/

> KVKK, veri koruma yükümlülüklerinin ihlali halinde hem idari para cezaları hem de cezai yaptırımlar öngörmektedir. Ceza türleri, miktarları, Kurul uygulamaları ve itiraz yolları.

## 1. Giriş

Kişisel verilerin korunması mevzuatı, yükümlülüklerin etkin şekilde uygulanmasını sağlamak amacıyla çeşitli yaptırım mekanizmaları öngörmektedir. KVKK, hem idari para cezaları hem de cezai yaptırımlar düzenlemiş olup, Kişisel Verileri Koruma Kurulu bu alanda önemli bir denetim ve yaptırım yetkisine sahiptir.

Kurul, 2018 yılından bu yana binlerce başvuru incelemiş ve veri koruma ihlallerine karşı önemli miktarlarda idari para cezası uygulamıştır.

**Karşılaştırmalı Hukuk**

**AB (GDPR):** GDPR, çok daha yüksek cezalar öngörmektedir: Ciddi ihlaller için 20 milyon Euro veya global yıllık cironun %4'üne kadar, daha hafif ihlaller için 10 milyon Euro veya cironun %2'sine kadar ceza uygulanabilir.

**ABD:** HIPAA (sağlık), GLBA (finans) gibi sektörel düzenlemeler farklı ceza rejimleri içerir. CCPA (California) tüketici başına 7.500 dolara kadar ceza öngörür.

**Türkiye:** KVKK'daki ceza miktarları GDPR'a kıyasla oldukça düşük olmakla birlikte, Kurul aktif bir denetim ve ceza politikası izlemektedir.

## 2. Yaptırım Türleri

KVKK, iki tür yaptırım öngörmektedir: idari para cezaları ve cezai yaptırımlar. İdari para cezaları Kurul tarafından uygulanırken, cezai yaptırımlar ceza mahkemeleri tarafından verilir.

## 3. İdari Para Cezaları

KVKK'nın 18. maddesi, çeşitli ihlaller için idari para cezaları düzenlemiştir. Bu cezalar her yıl yeniden değerleme oranına göre güncellenir.

### 2026 Yılı Güncel Ceza Miktarları

| İhlal Türü | Alt Sınır | Üst Sınır |
| --- | --- | --- |
| Aydınlatma yükümlülüğü (m.10) | 85.437 TL | 1.709.200 TL |
| Veri güvenliği yükümlülüğü (m.12) | 256.357 TL | 17.092.242 TL |
| Kurul kararlarını yerine getirmeme (m.15) | 427.263 TL | 17.092.242 TL |
| VERBİS kayıt ve bildirim yükümlülüğü (m.16) | 341.809 TL | 17.092.242 TL |
| Standart sözleşme bildirimi (m.9) | 90.308 TL | 1.806.177 TL |

**KARŞILAŞTIRMALI HUKUK**

GDPR Cezaları

GDPR, çok daha yüksek cezalar öngörmektedir: Ciddi ihlaller için 20 milyon Euro veya global yıllık cironun %4'üne kadar (hangisi yüksekse), daha hafif ihlaller için 10 milyon Euro veya cironun %2'sine kadar ceza uygulanabilir. KVKK'daki ceza miktarları GDPR'a kıyasla oldukça düşüktür.

### Ceza Belirleme Kriterleri

Kurul, idari para cezasının alt ve üst sınırları arasındaki miktarı belirlerken çeşitli faktörleri değerlendirir.

| Kriter | Cezayı Artıran | Cezayı Azaltan |
| --- | --- | --- |
| İhlalin ağırlığı | Çok sayıda kişiyi etkileyen, hassas veri içeren | Sınırlı kapsam, düşük etki |
| Kasıt | Kasıtlı ihlal | İhmal, bilgisizlik |
| Tekrar | Daha önce benzer ihlal | İlk ihlal |
| İşbirliği | Kurul ile işbirliğinden kaçınma | Aktif işbirliği, hızlı düzeltme |
| Mali durum | Büyük ölçekli şirket | KOBİ, düşük ciro |
| İyileştirme | Düzeltici önlem almama | Hızlı iyileştirme |

## 4. Cezai Yaptırımlar

KVKK'nın 17. maddesi, bazı ihlalleri suç olarak tanımlamış ve ceza hükümlerine atıfta bulunmuştur.

> **KVKK m. 17 (Suçlar)**
>
> Kişisel verilere ilişkin suçlar bakımından (…) Türk Ceza Kanununun 135 ila 140 ıncı madde hükümleri uygulanır.

### TCK'daki İlgili Suçlar

KVKK m.17'nin atfı TCK m.135-140'a ilişkindir; özel hayatın gizliliğini ihlal suçu (m.134) bu atfın kapsamında olmamakla birlikte, kişisel veri ihlalleriyle bağlantılı olarak uygulamada sıkça gündeme gelir.

| Suç | TCK Maddesi | Ceza |
| --- | --- | --- |
| Kişisel verilerin kaydedilmesi | m.135 | 1-3 yıl hapis |
| Özel hayatın gizliliğini ihlal (m.17 atfı dışında) | m.134 | 1-3 yıl hapis |
| Verileri hukuka aykırı verme/ele geçirme | m.136 | 2-4 yıl hapis |
| Nitelikli haller | m.137 | Cezanın yarı oranında artırılması |
| Verileri yok etmeme | m.138 | 1-2 yıl hapis |

### Nitelikli Haller (TCK m.137)

-   Suçun kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılarak işlenmesi
-   Suçun belli bir meslek veya sanatın sağladığı kolaylıktan yararlanılarak işlenmesi

## 5. Kurul Karar İstatistikleri

Kurul, 2018 yılından bu yana binlerce başvuru incelemiş ve önemli miktarlarda idari para cezası uygulamıştır.

**İSTATİSTİK**

Kurul Karar İstatistikleri (2018-2023)

Kurul bugüne kadar yüzlerce idari para cezası kararı vermiş ve toplamda milyonlarca TL ceza uygulamıştır. En yüksek cezalar genellikle büyük veri ihlalleri, açık rıza olmaksızın veri işleme ve yetersiz güvenlik tedbirleri nedeniyle verilmiştir.

### En Sık Cezalandırılan İhlaller

| İhlal Türü | Tipik Senaryo |
| --- | --- |
| Veri güvenliği eksikliği | Veri sızıntısı, yetersiz teknik tedbirler |
| Aydınlatma eksikliği | Bilgilendirme yapmadan veri işleme |
| Hukuka aykırı işleme | Açık rıza veya yasal dayanak olmadan işleme |
| VERBİS kaydı eksikliği | Kayıt yükümlülüğüne rağmen kayıt olmama |
| İlgili kişi taleplerini yanıtlamama | Başvurulara süresinde veya gereği gibi cevap vermeme |
| Veri ihlali bildirmeme | İhlali Kurul'a veya ilgili kişilere bildirmeme |

## 6. Yüksek Ceza Örnekleri

**TEMSİLİ SENARYO**

Banka - Veri İhlali

Kurul uygulamasında, bankaların sistemlerindeki güvenlik açıkları nedeniyle müşteri verilerinin sızdığı olaylarda, yetersiz güvenlik tedbirleri ve geç bildirim gerekçesiyle yüksek tutarlı idari para cezaları uygulandığı görülmektedir.

**TEMSİLİ SENARYO**

E-Ticaret Şirketi - Açık Rıza Olmadan İşleme

Kurul uygulamasında, müşteri verilerinin açık rıza alınmadan üçüncü taraf pazarlama şirketleriyle paylaşılması halinde, hem aydınlatma hem de hukuka aykırı işleme nedeniyle çoklu idari para cezası uygulandığı görülmektedir.

## 7. Kurul Kararlarına İtiraz

Kurul'un idari para cezası kararlarına karşı idari yargı yoluna başvurulabilir.

| Aşama | Süre | Yetkili Merci |
| --- | --- | --- |
| İdari para cezası kararı | -   | Kişisel Verileri Koruma Kurulu |
| İptal davası | 60 gün (tebliğden itibaren) | Ankara İdare Mahkemeleri |
| İstinaf | 30 gün (karar tebliğinden) | Bölge İdare Mahkemesi |
| Temyiz | 30 gün | Danıştay (belirli hallerde) |

### Yürütmeyi Durdurma

İptal davası açılması, idari para cezasının tahsilini otomatik olarak durdurmaz. Ancak mahkemeden yürütmeyi durdurma kararı talep edilebilir. Mahkeme, telafisi güç zarar ve hukuka açık aykırılık şartlarını değerlendirir.

## 8. İdari Para Cezalarının Tahsili

İdari para cezaları, 6183 sayılı Amme Alacaklarının Tahsil Usulü Hakkında Kanun hükümlerine göre tahsil edilir.

-   Ceza kararının tebliğinden itibaren 30 gün içinde ödeme yapılmalıdır
-   Süresinde ödenmezse gecikme zammı uygulanır
-   Cebri icra yoluyla tahsil edilebilir

## 9. Cezaların Önlenmesi İçin Öneriler

| Öneri | Açıklama |
| --- | --- |
| KVKK uyum programı | Kapsamlı bir uyum programı oluşturun |
| Veri envanteri | İşlenen verileri haritalayın ve kayıt altına alın |
| Aydınlatma | Tüm veri toplama noktalarında aydınlatma yapın |
| Güvenlik tedbirleri | Teknik ve idari tedbirleri uygulayın |
| Çalışan eğitimi | Düzenli farkındalık eğitimleri verin |
| İhlal müdahale planı | Veri ihlali durumunda hızlı müdahale için hazırlıklı olun |
| Düzenli denetim | İç denetim ve uyum kontrolleri yapın |

## 10. Sonuç

KVKK cezaları, veri koruma yükümlülüklerinin ciddiye alınmasını sağlayan önemli bir caydırıcı mekanizmadır. Kurul, yıllar içinde ceza uygulamalarını artırmış ve özellikle veri güvenliği ihlallerinde yüksek cezalar vermiştir.

Veri sorumluları, olası cezalardan korunmak için proaktif bir yaklaşım benimsemeli, KVKK uyum programı oluşturmalı ve düzenli olarak uyum durumlarını gözden geçirmelidir. Kurul kararlarına itiraz mümkün olmakla birlikte, ihlallerin baştan önlenmesi uygulamada öne çıkan yaklaşımdır.

---

Bu çalışma yalnızca bilgilendirme amacıyla hazırlanmış olup hukuki tavsiye niteliği taşımaz. Mevzuat ve içtihatlarda meydana gelebilecek değişiklikler nedeniyle içerik zamanla geçerliliğini yitirebilir. İçeriğin somut olaylara uygulanması veya bu içeriğe dayanılarak alınan kararlar nedeniyle doğabilecek sonuçlardan sorumluluk kabul edilmez.