KVKK’ya aykırılığın en görünür sonucu idari para cezasıdır. Cezalar, Kanunun 18. maddesinde kabahat türlerine göre ayrı ayrı düzenlenmiştir ve tutarlar her yıl yeniden değerleme oranında güncellenir. Bu alanda 2024’te önemli bir usul değişikliği yaşandı: Kurul kararlarına karşı itiraz artık sulh ceza hâkimliğine değil, idare mahkemesine yapılmaktadır. Eski usulü esas alan kaynaklara güvenmek, dava hakkının kaybıyla sonuçlanabilir.
Kişisel veri ve bilişim uyuşmazlığında hakkınızı arayın
Av. Fatma Öztürk — Hukukçular Evi Ankara
Kabahat Türleri (m.18)
| Kabahat | Dayanak |
|---|---|
| Aydınlatma yükümlülüğünü yerine getirmemek | m.10 |
| Veri güvenliğine ilişkin yükümlülükleri yerine getirmemek | m.12 |
| Kurul kararlarını yerine getirmemek | m.15 |
| VERBİS’e kayıt ve bildirim yükümlülüğüne aykırı davranmak | m.16 |
| Yurt dışına aktarımda standart sözleşmeyi süresinde Kuruma bildirmemek | m.9 (2024’te eklendi) |
Son satır, 7499 sayılı Kanunla getirilen yeni bir kabahattir. Yurt dışına veri aktarımında kullanılan standart sözleşmenin, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur; bildirilmemesi bağımsız bir idari para cezası doğurur.
Ceza Tutarları
Her kabahat için alt ve üst sınır ayrı belirlenmiştir. Tutarlar her yıl yeniden değerleme oranında artırıldığından, bu rehberde sabit rakam verilmemektedir; güncel tutarlar için Kurumun resmî duyuruları esas alınmalıdır. Cezanın miktarı belirlenirken kabahatin ağırlığı, ihlalden etkilenen kişi sayısı, veri sorumlusunun ekonomik durumu ve varsa tekerrür birlikte değerlendirilir.
Kamu kurumları bakımından
Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenen ihlallerde idari para cezası uygulanmaz. Bunun yerine Kurulun bildirimi üzerine ilgili kamu kurumunda disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.
İtiraz Yolu: 2024 Değişikliği
7499 sayılı Kanun öncesinde, Kurulun verdiği idari para cezalarına karşı sulh ceza hâkimliğine itiraz ediliyor; para cezası dışındaki yaptırımlar için ise idari yargıya gidiliyordu. Bu ikili yapı uygulamada görev tartışmalarına yol açıyordu.
Değişiklikle birlikte, idari para cezaları dahil Kurulun tüm kararlarına karşı idare mahkemesinde dava açılır. Yeni düzen 1 Haziran 2024’te yürürlüğe girmiştir. Bu tarihte hâlihazırda sulh ceza hâkimliğinde görülmekte olan dosyalar ise bu hâkimliklerde görülmeye devam etmiştir.
İdari yargıda dava açma süresi bakımından genel kural uygulanır; kararın tebliğinden itibaren işleyen süre hak düşürücü niteliktedir ve kaçırılması hâlinde ceza kesinleşir.
Savunma Stratejisi: Nereye Bakılır?
- Rol tespiti: Ceza kesilen taraf gerçekten veri sorumlusu mu, yoksa veri işleyen mi?
- İşleme şartı: İşlemenin m.5 veya m.6’da bir dayanağı var mıydı, bu dayanak dosyada gösterilmiş mi?
- Ölçülülük: Kabahatin ağırlığı ile ceza miktarı arasında denge kurulmuş mu?
- Tedbirlerin belgelenmesi: Alınan teknik ve idari tedbirler zamanında belgelenmiş mi?
- Usul: Savunma hakkı tanınmış, bilgi ve belge talepleri usulüne uygun yapılmış mı?
- Tekerrür: Aynı fiil için birden fazla ceza uygulanmış mı?
Ceza Riskini Azaltan Uygulamalar
- Kişisel veri işleme envanterinin güncel tutulması
- Aydınlatma metinlerinin sürümlenmesi ve ispat kayıtlarının saklanması
- Saklama ve imha politikasının fiilen uygulanması, periyodik imha kayıtlarının tutulması
- Veri işleyenlerle yazılı sözleşme ve denetim kaydı
- İhlal müdahale planı ve bildirim şablonlarının önceden hazırlanması
- Personel eğitimlerinin kayda geçirilmesi
Denetimde en belirleyici olan, tedbirin alınmış olması kadar alındığının belgelenebilmesidir. Belgelenemeyen tedbir, alınmamış sayılır.
Cezanın Miktarını Etkileyen Ölçütler
Kurul, alt ve üst sınır arasında ceza belirlerken tek bir ölçüte değil bir bütüne bakar. Kararlarda tekrar eden değerlendirme unsurları şunlardır:
- İhlalin süresi ve devam edip etmediği
- Etkilenen ilgili kişi sayısı
- İşlenen verinin niteliği — özel nitelikli veri bulunması ağırlaştırıcı etki yapar
- İhlalin kasıtlı mı ihmalden mi kaynaklandığı
- Veri sorumlusunun ihlali kendiliğinden bildirip bildirmediği
- İhlalin giderilmesi için alınan tedbirler ve Kurul ile işbirliği
- Veri sorumlusunun ekonomik büyüklüğü
- Daha önce benzer bir ihlalin bulunup bulunmadığı
Bu liste, savunma dilekçesinin iskeletini de verir: her ölçüt bakımından lehe olan hususlar belgelenerek ileri sürülmelidir.
Aynı Fiile Birden Fazla Ceza Verilebilir mi?
KVKK m.18’de sayılan kabahatler birbirinden bağımsızdır. Bir olayda hem aydınlatma yükümlülüğünün ihlal edilmesi hem de veri güvenliği tedbirlerinin alınmamış olması, iki ayrı kabahat oluşturur ve iki ayrı ceza verilebilir. Buna karşılık aynı kabahat için tek fiilden dolayı birden fazla ceza verilmesi hukuka aykırıdır. Savunmada fiillerin gerçekten ayrı olup olmadığının tartışılması gerekir.
Veri İhlali Bildirimi: Cezayı Doğuran Değil, Hafifleten Unsur
Uygulamada sık görülen bir yanılgı, ihlali bildirmenin ceza riskini artıracağı düşüncesiyle bildirimden kaçınılmasıdır. Oysa bildirim yükümlülüğünün ihlali başlı başına bir kabahattir ve gizlenen ihlal sonradan ortaya çıktığında hem asıl ihlal hem bildirmeme cezalandırılır. Buna karşılık zamanında ve şeffaf bildirim, işbirliği unsuru olarak lehe değerlendirilir.
Dava Açarken Yürütmenin Durdurulması
İdare mahkemesinde açılan davada, cezanın tahsili sürecinin işlemeye devam etmesi ihtimaline karşı yürütmenin durdurulması talebi dilekçede ayrıca ve gerekçeli olarak kurulmalıdır. Talebin kabulü için işlemin açıkça hukuka aykırı olması ve uygulanması hâlinde telafisi güç zarar doğması birlikte aranır. Ekonomik olarak ağır bir cezanın işletmenin faaliyetini durduracak nitelikte olduğunun somut verilerle ortaya konması bu talebi güçlendirir.
Ceza Sonrası Yapılması Gerekenler
- Kararda tespit edilen eksikliği derhal gidermek ve giderildiğini belgelemek
- Kurul kararında verilen talimatları süresinde yerine getirmek — aksi hâlde ayrı bir kabahat doğar
- Aynı türden ihlalin tekrarını önleyecek süreç değişikliğini yazılı hâle getirmek
- Dava yolunu kullanacaksa süreyi kaçırmamak
- Etkilenen ilgili kişilerin başvurularına hazırlık yapmak; ceza kararı sonrası tazminat talepleri gündeme gelebilir
Son madde önemlidir: idari para cezası, zarar gören ilgili kişilerin tazminat davası açmasını engellemez. Kurul kararı, bu davalarda hukuka aykırılığın ispatı bakımından güçlü bir delil oluşturur.
Ceza kararına itiraz
KVKK uyumsuzluğu idari para cezasıyla sonuçlanır. Süreçlerinizi ve belgelerinizi birlikte gözden geçirelim.
Başvuru ve dava yolunuzu birlikte belirleyelim
Av. Fatma Öztürk — Hukukçular Evi Ankara
Geçiş Kuralı: Hangi Dosya Nerede Görülür?
Usul değişikliği tüm dosyaları aynı anda taşımadı; devam eden başvurular için ayrı bir kural konuldu.
| Durum | Görevli merci |
|---|---|
| Yürürlük tarihi itibarıyla derdest başvurular | Sulh ceza hâkimliklerinde görülmeye devam eder |
| Sonrasında verilen cezalar | İdare mahkemesinde dava açılır |
| Belirleyici an | Başvurunun o tarihte görülmekte olup olmadığı |
| Yanlış mercie başvuru | Görev yönünden ret; bu arada süre işlemeye devam eder |
| Eski kaynak riski | Sulh ceza usulünü anlatan metinler güncelliğini yitirmiştir |
Dördüncü satır en pahalı hatadır. Ceza kararı tebliğ edildiğinde sulh ceza hâkimliğine başvurulursa, dosya görev yönünden reddedilir; bu süreçte idari yargıda dava açma süresi işlemeye devam eder ve çoğu zaman dolar. Bu nedenle karar eline geçtiğinde; kararın hangi tarihte verildiği ile yürürlük tarihi karşılaştırılmalı, tereddüt hâlinde doğrudan idari yargı yolu tercih edilmelidir. Karar metninde gösterilen başvuru yolu da mutlaka okunmalıdır.
Muhatap Ayrımı: Veri Sorumlusu mu, Veri İşleyen mi?
Cezanın kime kesilebileceği bent bent farklılaşır; bu ayrım savunmanın başlangıç noktasıdır.
- Klasik kabahatler. Aydınlatma, veri güvenliği, karar uyumu ve kayıt yükümlülüğüne aykırılıkta muhatap veri sorumlusudur.
- Yurt dışına aktarım bildirimi. Bu bentte muhatap, veri sorumlusu veya veri işleyen olabilir.
- Kapsam. Gerçek kişiler ile özel hukuk tüzel kişileri bakımından uygulanır.
- Kamu kurumları. Bu kuruluşlar bakımından farklı bir yaptırım rejimi işler.
- Sıfat itirazı. Ceza yanlış sıfata kesilmişse bu husus ilk savunmada ileri sürülmelidir.
Beşinci madde çoğu dosyada hiç tartışılmaz. Uygulamada bulut hizmeti sağlayıcıları, çağrı merkezleri ve yazılım firmaları kendilerini veri sorumlusu sanarak savunma kurar; oysa bazı kabahatlerde ceza yalnızca veri sorumlusuna kesilebilir. Sıfatın yanlış belirlenmesi, kararın esasa girilmeden iptalini sağlayabilir. Bu nedenle savunmaya başlanmadan önce; sözleşmeler incelenerek verinin amaç ve vasıtalarını kimin belirlediği tespit edilmeli, sıfat itirazı varsa öne alınmalıdır.
Yurt Dışına Aktarım Bildirimi: Beş İş Günü
2024 reformuyla getirilen yeni kabahat, kısa ve kolay kaçırılan bir süreye bağlıdır.
| Unsur | Açıklama |
|---|---|
| Konu | Kurulca ilan edilen standart sözleşme kullanılarak yapılan aktarım |
| Süre | Sözleşmenin imzalanmasından itibaren beş iş günü |
| Yükümlü | Veri sorumlusu veya veri işleyen |
| İçerik | Veri kategorileri, aktarım amacı, alıcı grupları, teknik ve idari tedbirler |
| Yaptırım | Bildirilmemesi başlı başına idari para cezası sebebidir |
İkinci satır uyum takvimini değiştirir. Beş iş günlük süre, sözleşmenin imzalandığı tarihten işler; aktarımın fiilen başladığı tarihten değil. Grup şirketleri arasında veya yurt dışı hizmet sağlayıcılarla imzalanan sözleşmelerde bu süre, hukuk biriminin haberi olmadan geçebilir. Bu nedenle şirket içinde; standart sözleşme imzalayan birimlerin imza tarihini aynı gün uyum birimine bildirmesi kural hâline getirilmeli, bildirim takibi için sorumlu tayin edilmelidir.
İdari Yargıya Geçişin Pratik Sonuçları
Merci değişikliği yalnızca adres değişikliği değildir; usul de değişir.
| Ölçüt | Eski usul | Yeni usul |
|---|---|---|
| Merci | Sulh ceza hâkimliği | İdare mahkemesi |
| Usul kanunu | Kabahatler rejimi | İdari yargılama usulü |
| Yürütmenin durdurulması | Farklı işlerdi | Ayrıca talep edilmelidir |
| Kanun yolu | İtiraz | İstinaf ve koşulları varsa temyiz |
| İnceleme | Dar | İdari işlemin tüm unsurları denetlenir |
Son satır savunma alanını genişletir. İdari yargıda işlem; yetki, şekil, sebep, konu ve maksat yönlerinden denetlenir. Bu, yalnızca ceza miktarının değil; soruşturmanın usulüne uygun yürütülüp yürütülmediğinin, savunma hakkının tanınıp tanınmadığının ve gerekçenin yeterliliğinin de tartışılabilmesi demektir. Bu nedenle dava dilekçesi; her unsur için ayrı başlık açılarak kurulmalı, yalnızca “ceza fahiştir” argümanına indirgenmemelidir.
Mevzuat Haritası
| Hüküm | Düzenlediği konu |
|---|---|
| 6698 m. 18 | Kabahatler; idari para cezaları ve itiraz yolu |
| 6698 geçici m. 3 | Geçiş hükmü — derdest başvurular ve aktarım rejimi |
| 6698 m. 6 | Özel nitelikli kişisel veriler (2024’te yeniden yazıldı) |
| 6698 m. 9 | Yurt dışına aktarım (2024’te yeniden yazıldı) |
| 6698 m. 5 | İşleme şartları |
| 6698 m. 10 | Aydınlatma yükümlülüğü |
| 6698 m. 11, 13, 14 | İlgili kişinin hakları, başvuru ve Kurula şikâyet |
| 6698 m. 12 | Veri güvenliği ve ihlal bildirimi |
| 6698 m. 15 | Kurulun re’sen inceleme yetkisi ve talimat süresi |
| 6698 m. 16 | VERBİS — sicile kayıt |
| 6698 m. 17 | Suçlar — TCK m. 135-140‘a yollama |
| 7499 sayılı Kanun | Değişikliğin kaynağı (RG: 12/3/2024, 32487; yürürlük 1/6/2024) |
| 5326 m. 17 | İdari para cezalarında peşin ödeme indirimi |
| 2577 m. 7 | Dava açma süresi |
| 2577 m. 27 | Yürütmenin durdurulması — iki şart |
| 2577 m. 2 | İptal davasının beş unsuru |
| 6183 sayılı Kanun | Ödenmeyen cezanın takip ve tahsili |
Değişikliğin Künyesi ve Kapsamı
Usul değişikliğinin kaynağı, kamuoyunda sekizinci yargı paketi olarak anılan kanundur ve künyesi dosyada mutlaka doğru verilmelidir.
| Hüküm | Değişiklik |
|---|---|
| m. 6 | İkinci fıkra yürürlükten kaldırıldı; özel nitelikli veri rejimi yeniden yazıldı |
| m. 9 | Yurt dışına aktarım tamamen yeniden düzenlendi |
| m. 18 | “Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir” hükmü eklendi |
| Geçici m. 3 | Geçiş hükmü eklendi |
| Künye | RG: 12/3/2024, 32487 — KVKK değişikliklerinin yürürlüğü 1/6/2024 |
Geçiş hükmünün iki fıkrası farklı konuları düzenler ve ikisi de sık karıştırılır. Geçici m. 3/2, yazının doğru anlattığı görev kuralını içerir: “1/6/2024 tarihi itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvurular, bu hâkimliklerce görülmeye devam olunur.” Aynı maddenin birinci fıkrası ise tamamen ayrı bir konuya — yurt dışına aktarıma — ilişkindir: m. 9‘un değiştirilmeden önceki birinci fıkrası, maddenin yeni hâliyle birlikte 1/9/2024 tarihine kadar uygulanmaya devam etmiştir. Yani aktarımlar bakımından üç aylık bir çift rejim dönemi yaşanmıştır. Bu tarihten önceki aktarımların hukuka uygunluğu değerlendirilirken, o dönemde hangi rejimin geçerli olduğu ayrıca tespit edilmelidir.
Cezaya Karşı İki Ayrı Karar: Ödemek mi, Dava Açmak mı?
Dava yolunun yanında, çoğu dosyada hiç tartışılmayan bir seçenek daha vardır ve ikisi birbirini dışlar.
5326 sayılı Kabahatler Kanunu m. 17, idari para cezasının kanun yoluna başvurulmadan önce ödenmesi hâlinde indirim uygulanmasını öngörür. KVKK cezaları da idari para cezası niteliğinde olduğundan bu genel hüküm kapsamındadır.
| Ölçüt | Peşin ödeme | Dava |
|---|---|---|
| Mali sonuç | İndirimli tutar | Tam tutar; kazanılırsa sıfır |
| Dava hakkı | İndirim, kanun yoluna başvurmadan önce ödemeye bağlıdır | Korunur |
| Süre | Hızlı kapanış | Yargılama süresi |
| Tekerrür | Ceza kesinleşir; sonraki dosyalarda geçmiş oluşur | İptal edilirse iz kalmaz |
| Uyum sinyali | İhlalin kabulü izlenimi | Hukuka aykırılık iddiası sürdürülür |
Dördüncü satır, kararın gerçek maliyetini belirler ve çoğu zaman hesaba katılmaz. Peşin ödeme yalnızca o dosyayı kapatmaz; cezayı kesinleştirir. KVKK uygulamasında cezanın miktarı belirlenirken daha önce benzer bir ihlalin bulunup bulunmadığı gözetildiğinden, bugün indirimle kapatılan bir dosya yarınki cezanın ağırlaştırıcı unsuru hâline gelebilir. Aynı şekilde, ilgili kişilerin açacağı tazminat davalarında kesinleşmiş bir ceza kararı aleyhe delil oluşturur. Bu nedenle karar yalnızca bu dosyanın tutarına göre değil; tekrar riski, ilgili kişi başvurularının hacmi ve kararın gerekçesindeki tespitler birlikte değerlendirilerek verilmelidir.
Dava Süresi ve İptal Sebepleri
Yazının “genel kural uygulanır” dediği süre, İdari Yargılama Usulü Kanunu’ndadır ve hak düşürücüdür.
| Konu | Kural | Dayanak |
|---|---|---|
| Dava süresi | İdare mahkemelerinde altmış gün; tebliğ tarihini izleyen günden işler | 2577 m. 7 |
| İptal sebepleri | Yetki, şekil, sebep, konu ve maksat yönlerinden hukuka aykırılık | 2577 m. 2 |
| Yürütmenin durdurulması | Açıkça hukuka aykırılık ve telafisi güç veya imkânsız zarar — birlikte aranır | 2577 m. 27 |
| Tahsil | Ödenmeyen ceza 6183 hükümlerine göre takip edilir | 6183 |
İkinci satır, yazının “savunma alanını genişletir” tespitinin somut karşılığıdır ve dilekçenin iskeletini verir. 2577 m. 2 iptal davasını beş unsur üzerinden kurar; her biri KVKK dosyasında ayrı bir başlığa karşılık gelir: yetki (kararı veren organın yetkisi ve kararın usulüne uygun alınıp alınmadığı), şekil (savunma hakkının tanınması, bilgi-belge taleplerinin usulü, kararın gerekçelendirilmesi), sebep (ihlalin fiilen gerçekleşip gerçekleşmediği ve delillendirilmesi), konu (kesilen kabahatin doğru nitelendirilmesi ve tutarın sınırlar içinde olması), maksat (kamu yararı amacı). Dilekçe bu beş başlık altında kurulduğunda, yalnızca “ceza fahiştir” savunmasından çok daha geniş bir denetim alanı açılır.
Yürütmenin durdurulmasında iki şart birlikte aranır. 2577 m. 27 uyarınca işlemin açıkça hukuka aykırı olması ve uygulanması hâlinde telafisi güç veya imkânsız zararların doğması gerekir. Talep dilekçede ayrıca ve gerekçeli olarak kurulmalı; mali tablolar, nakit akışı ve cezanın faaliyeti durdurucu etkisi sayısal olarak gösterilmelidir.
m. 12: Güvenlik Yükümlülüğü ve İhlal Bildirimi
Ceza dosyalarının en kalabalık kalemi olan veri güvenliği, maddenin birden çok fıkrasını birden ilgilendirir.
| Yükümlülük | İçerik |
|---|---|
| Teknik ve idari tedbirler | Hukuka aykırı işlemeyi ve erişimi önlemek, muhafazayı sağlamak |
| Veri işleyenle müştereklik | Veri sorumlusu, veri işleyenle müştereken sorumludur |
| Denetim | Kendi kurum veya kuruluşunda gerekli denetimleri yapmak veya yaptırmak |
| İhlal bildirimi | Verilerin hukuka aykırı olarak başkalarınca elde edilmesi hâlinde ilgili kişiye ve Kurula bildirim |
İkinci satır, yazının “muhatap ayrımı” bölümünü tamamlayan ve tersine işleyen kuraldır. Cezanın muhatabının veri sorumlusu olması, veri işleyenin sorumsuz olduğu anlamına gelmez: m. 12 veri sorumlusunu, veri işleyenle müştereken sorumlu tutar. Bunun iki yönlü sonucu vardır. Veri sorumlusu bakımından: bulut sağlayıcısında yaşanan bir güvenlik açığı kendi yükümlülüğünün ihlali olarak değerlendirilebilir; “hizmeti dışarıdan alıyorduk” savunması tek başına kurtarmaz. Veri işleyen bakımından ise: idari ceza veri sorumlusuna kesilse dahi, aradaki sözleşmeye dayalı rücu ilişkisi ayrıca işler. Bu nedenle veri işleyenlerle yapılan sözleşmelerde sorumluluk ve rücu maddesi, ceza riskinin fiilen kimde kalacağını belirler.
Bildirimin süresi Kanun’da değil Kurul kararındadır. m. 12 bildirimin “en kısa sürede” yapılmasını öngörür; sürenin somut karşılığı Kurul kararıyla belirlenmiştir. Bu nedenle ihlal müdahale planında süre, Kanun metninden değil güncel Kurul kararından alınmalıdır.
Yurt Dışına Aktarımın Üç Kademesi
Yazı, yeni kabahat olan beş iş günlük bildirimi doğru anlatıyor; ancak bu, m. 9‘un yalnızca bir ayağıdır. Maddenin yeni hâli üç kademeli bir yapı kurar.
| Kademe | İçerik |
|---|---|
| 1. Yeterlilik kararı | m. 5 ve 6‘daki şartlardan birinin varlığı ve ülke, sektör ya da uluslararası kuruluş hakkında yeterlilik kararı bulunması hâlinde aktarım yapılabilir |
| Kararın usulü | Yeterlilik kararı Kurul tarafından verilir, Resmî Gazete’de yayımlanır ve en geç dört yılda bir değerlendirilir |
| 2. Uygun güvenceler | Yeterlilik kararı yoksa; standart sözleşme, bağlayıcı şirket kuralları, taahhütname gibi araçlarla aktarım |
| Bildirim | Standart sözleşme, imzadan itibaren beş iş günü içinde Kuruma bildirilir |
| 3. Arızi hâller | İlk iki kademe yoksa, sınırlı ve arızi durumlara özgü istisnalar |
Kademelerin sırası bağlayıcıdır ve savunmanın yapısını belirler. Yeni rejim, eski uygulamadaki açık rızayı önceleyen yaklaşımı terk etmiştir: aktarım için önce yeterlilik kararı aranır, yoksa uygun güvencelere bakılır, o da yoksa ancak arızi hâller gündeme gelir. Bunun pratik anlamı şudur: bir denetimde “ilgili kişiden açık rıza almıştık” savunması, artık tek başına yeterli bir dayanak olarak sunulamaz. Aktarım dosyasında gösterilmesi gereken, hangi kademeye dayanıldığı ve o kademenin şartlarının sağlandığıdır. Ayrıca aktarım, m. 5 veya 6‘daki bir işleme şartının varlığını da gerektirir — yani yurt dışına aktarım, işleme şartını ortadan kaldırmaz, ona eklenir.
Özel Nitelikli Verilerde Değişen Rejim
Yazı, özel nitelikli veri bulunmasının cezayı ağırlaştırdığını doğru tespit ediyor. Bu verilerin işlenme rejimi de 2024’te yeniden yazılmıştır.
| Konu | Yeni durum |
|---|---|
| Temel kural | Özel nitelikli kişisel verilerin işlenmesi yasaktır |
| Kaldırılan ayrım | Sağlık ve cinsel hayat ile diğer özel nitelikli veriler ayrımı kaldırıldı |
| İşleme şartları | Tahdidi sayma yöntemiyle genişletildi |
| Eklenen hâller | İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülükler; kâr amacı gütmeyen kuruluşların üyeleriyle ilişkisi |
| Açık rıza | Tek yol olmaktan çıktı; sayılan şartlardan biri de yeterlidir |
Savunmada bu, ikili bir imkân doğurur. Bir yandan işleme için açık rıza dışında bir dayanak gösterilebilir; diğer yandan, kaldırılan ayrım nedeniyle tüm özel nitelikli veriler aynı rejime tabi olduğundan, eski metne göre kurulmuş politikalar güncelliğini yitirmiştir. Dosyada işlemenin hangi bende dayandığı açıkça gösterilmelidir.
İdari Ceza ile Ceza Sorumluluğu Ayrı İşler
KVKK’nın yaptırım mimarisi iki ayrı kanalı birlikte çalıştırır ve ikisi birbirini engellemez.
| Kanal | İçerik | Dayanak |
|---|---|---|
| İdari | Kurul tarafından idari para cezası | m. 18 |
| Cezai | Kişisel verilere ilişkin suçlar — hukuka aykırı kaydetme, verme-yayma, yok etmeme | m. 17; TCK m. 135-140 |
| Özel hukuk | İlgili kişinin zararının giderilmesini talep hakkı | m. 11 |
İkinci kanal, ceza kararının şirket içinde kimi ilgilendirdiğini değiştirir. m. 17, kişisel verilere ilişkin suçlar bakımından doğrudan Türk Ceza Kanunu hükümlerine yollama yapar. İdari para cezası tüzel kişiye kesilirken, ceza sorumluluğu gerçek kişiler üzerinde doğar: verileri hukuka aykırı biçimde kaydeden, veren veya yayan çalışan ve yöneticiler bakımından ayrı bir soruşturma gündeme gelebilir. Özellikle verileri yok etme yükümlülüğüne aykırılık, saklama ve imha politikasının fiilen uygulanmadığı dosyalarda bu kanalı açar. Bu nedenle bir ceza kararı geldiğinde yapılacak değerlendirme yalnızca idari değil; kişisel ceza riski bakımından da yapılmalıdır.
Üçüncü kanal da bağımsızdır. İlgili kişi, zararının giderilmesini talep hakkını genel hükümlere göre kullanır; idari para cezasının verilmiş veya verilmemiş olması bu hakkı etkilemez. Yazının doğru belirttiği gibi Kurul kararı, bu davalarda hukuka aykırılığın ispatı bakımından güçlü bir delildir.
Kurulun Süreç İçindeki Yetkileri
Ceza, çoğu zaman tek başına verilmez; m. 15 kapsamındaki inceleme süreci ve talimatlarla birlikte gelir.
| Aşama | İçerik |
|---|---|
| Başlangıç | Şikâyet üzerine veya ihlal iddiasını öğrenmesi hâlinde re’sen |
| Bilgi ve belge talebi | İstenen bilgi ve belgelerin gönderilmesi zorunludur |
| İhlalin giderilmesi | İhlal tespit edilirse hukuka aykırılığın giderilmesi ilgiliye bildirilir ve süre verilir |
| Uymama | Kurul kararlarını yerine getirmemek ayrı bir kabahattir (m. 18) |
| Telafisi güç zarar | Kurul, telafisi güç veya imkânsız zarar ve açık hukuka aykırılık hâlinde işlemenin durdurulmasına karar verebilir |
Dördüncü satır, tek bir olaydan iki ceza çıkmasının en yaygın yoludur. Kurul kararında verilen talimatların süresinde yerine getirilmemesi, asıl ihlalden bağımsız olarak m. 18 kapsamında yeni bir kabahat oluşturur. Uygulamada sık görülen senaryo şudur: veri sorumlusu ceza kararına dava açar, dava sürerken talimatları da yerine getirmez — ve ikinci bir ceza ile karşılaşır. Oysa dava açmak, kararın yürütmesini kendiliğinden durdurmaz; yürütmenin durdurulması ayrıca talep edilip kabul edilmedikçe talimatlar uygulanmaya devam eder. Doğru strateji, dava yolunu kullanırken talimatları da ihtirazi kayıtla yerine getirmek ve bunu belgelemektir.
Sıkça Sorulan Sorular
KVKK cezasına nereye itiraz edilir?
7499 sayılı Kanun (RG: 12/3/2024, 32487) sonrası, idari para cezaları dâhil Kurulun tüm kararlarına karşı idare mahkemesinde dava açılır. m. 18‘e eklenen hüküm nettir: “Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.” Yürürlük 1/6/2024.
Eskiden nereye başvuruluyordu?
Sulh ceza hâkimliğine. Para cezası dışındaki yaptırımlar için ise idari yargıya gidiliyordu; bu ikili yapı görev tartışmalarına yol açıyordu.
Derdest dosyalar ne oldu?
Geçici m. 3/2: “1/6/2024 tarihi itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvurular, bu hâkimliklerce görülmeye devam olunur.”
Geçici maddenin birinci fıkrası ne düzenliyor?
Tamamen ayrı bir konuyu — yurt dışına aktarımı. m. 9‘un değiştirilmeden önceki birinci fıkrası, yeni hâliyle birlikte 1/9/2024 tarihine kadar uygulanmaya devam etmiştir; yani üç aylık bir çift rejim dönemi yaşanmıştır.
Yanlış mercie başvurursam ne olur?
Dosya görev yönünden reddedilir ve bu süreçte idari yargıda dava açma süresi işlemeye devam eder. Tereddüt hâlinde doğrudan idari yargı yolu tercih edilmeli, karar metnindeki başvuru yolu mutlaka okunmalıdır.
Dava açma süresi nedir?
2577 m. 7 uyarınca idare mahkemelerinde altmış gün; süre tebliğ tarihini izleyen günden işler ve hak düşürücüdür.
Hangi sebeplerle iptal istenebilir?
2577 m. 2 uyarınca yetki, şekil, sebep, konu ve maksat yönlerinden hukuka aykırılık. Dilekçe bu beş başlık altında kurulduğunda denetim alanı, “ceza fahiştir” savunmasından çok daha geniş olur.
Yürütmenin durdurulması nasıl istenir?
2577 m. 27 uyarınca açıkça hukuka aykırılık ve telafisi güç veya imkânsız zarar şartları birlikte aranır. Talep dilekçede ayrıca ve gerekçeli kurulmalı; mali tablolar ve cezanın faaliyeti durdurucu etkisi sayısal gösterilmelidir.
Dava açmak talimatları askıya alır mı?
Hayır. Dava açmak kararın yürütmesini kendiliğinden durdurmaz; yürütmenin durdurulması kabul edilmedikçe talimatlar uygulanmaya devam eder. Doğru strateji, dava yolunu kullanırken talimatları ihtirazi kayıtla yerine getirip belgelemektir.
Cezayı ödersem indirim olur mu?
5326 m. 17 uyarınca idari para cezasının kanun yoluna başvurulmadan önce ödenmesi hâlinde indirim uygulanır. KVKK cezaları da idari para cezası niteliğinde olduğundan bu genel hüküm kapsamındadır.
Peşin ödemenin riski nedir?
Ceza kesinleşir. Ceza miktarı belirlenirken daha önce benzer bir ihlalin bulunup bulunmadığı gözetildiğinden, bugün kapatılan dosya yarınki cezanın ağırlaştırıcı unsuru olabilir; ayrıca ilgili kişilerin tazminat davalarında aleyhe delil oluşturur.
Kabahat türleri nelerdir?
m. 18‘de ayrı ayrı sayılır: m. 10 aydınlatma, m. 12 veri güvenliği, m. 15 Kurul kararlarına uymama, m. 16 VERBİS ve m. 9 yurt dışına aktarımda standart sözleşmeyi süresinde bildirmeme.
Ceza tutarları ne kadar?
Her kabahat için alt ve üst sınır ayrı belirlenmiştir ve tutarlar her yıl yeniden değerleme oranında güncellenir. Güncel rakamlar için Kurumun resmî duyuruları esas alınmalıdır.
Aynı fiile birden fazla ceza verilebilir mi?
m. 18‘deki kabahatler birbirinden bağımsızdır; bir olayda hem aydınlatma hem veri güvenliği ihlali varsa iki ayrı ceza verilebilir. Buna karşılık aynı kabahat için tek fiilden birden fazla ceza verilmesi hukuka aykırıdır.
Kamu kurumlarına da para cezası verilir mi?
Hayır. Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarında idari para cezası uygulanmaz; Kurulun bildirimi üzerine disiplin hükümlerine göre işlem yapılır ve sonuç Kurula bildirilir.
Ceza kime kesilir, veri sorumlusuna mı veri işleyene mi?
Klasik kabahatlerde muhatap veri sorumlusudur. Yurt dışına aktarım bildiriminde ise muhatap veri sorumlusu veya veri işleyen olabilir. Sıfat yanlış belirlenmişse bu husus ilk savunmada ileri sürülmelidir.
Veri işleyen tamamen sorumsuz mu?
Hayır ve bu ters yönde de işler: m. 12, veri sorumlusunu veri işleyenle müştereken sorumlu tutar. Bulut sağlayıcısındaki açık, veri sorumlusunun kendi yükümlülüğünün ihlali sayılabilir; “hizmeti dışarıdan alıyorduk” savunması tek başına kurtarmaz.
O hâlde riski nasıl dağıtırım?
Veri işleyenlerle yapılan sözleşmelerdeki sorumluluk ve rücu maddesi, ceza riskinin fiilen kimde kalacağını belirler.
Veri ihlalini bildirmek riski artırır mı?
Tam tersi. Bildirim yükümlülüğünün ihlali başlı başına bir kabahattir; gizlenen ihlal sonradan ortaya çıktığında hem asıl ihlal hem bildirmeme cezalandırılır. Zamanında ve şeffaf bildirim işbirliği unsuru olarak lehe değerlendirilir.
Bildirim süresi ne kadar?
m. 12 bildirimin “en kısa sürede” yapılmasını öngörür; sürenin somut karşılığı Kurul kararıyla belirlenmiştir. İhlal müdahale planındaki süre, Kanun metninden değil güncel Kurul kararından alınmalıdır.
Yurt dışına aktarımda yeni bir ceza kalemi var mı?
Evet. Kurulca ilan edilen standart sözleşme kullanılarak yapılan aktarımda sözleşmenin, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmemesi bağımsız bir kabahattir.
Beş iş günü ne zaman başlar?
Sözleşmenin imzalandığı tarihten — aktarımın fiilen başladığı tarihten değil. Standart sözleşme imzalayan birimlerin imza tarihini aynı gün uyum birimine bildirmesi kural hâline getirilmelidir.
Yurt dışına aktarımın genel rejimi nedir?
m. 9 üç kademelidir: (1) yeterlilik kararı — m. 5 veya 6’daki bir şartın varlığı ve ülke, sektör ya da uluslararası kuruluş hakkında yeterlilik kararı; (2) uygun güvenceler — standart sözleşme, bağlayıcı şirket kuralları, taahhütname; (3) arızi hâller.
Yeterlilik kararını kim verir?
Kurul. Karar Resmî Gazete’de yayımlanır ve en geç dört yılda bir değerlendirilir.
“Açık rıza aldık” savunması yeterli mi?
Artık tek başına yeterli bir dayanak olarak sunulamaz. Yeni rejim açık rızayı önceleyen yaklaşımı terk etmiştir; dosyada hangi kademeye dayanıldığı ve o kademenin şartlarının sağlandığı gösterilmelidir. Ayrıca aktarım, m. 5 veya 6‘daki işleme şartını ortadan kaldırmaz — ona eklenir.
Özel nitelikli verilerde rejim değişti mi?
Evet. İşleme yasaktır kuralı korunmuş; sağlık-cinsel hayat ile diğer özel nitelikli veriler ayrımı kaldırılmış; işleme şartları tahdidi sayma yöntemiyle genişletilmiştir.
Hangi hâller eklendi?
İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunluluk; kâr amacı gütmeyen kuruluşların üyeleriyle ilişkisi gibi hâller.
Ceza miktarını ne etkiler?
İhlalin süresi, etkilenen ilgili kişi sayısı, verinin niteliği (özel nitelikli veri ağırlaştırır), kasıt mı ihmal mi olduğu, kendiliğinden bildirim, giderme tedbirleri ve Kurul ile işbirliği, ekonomik büyüklük ve tekerrür.
Kurul ceza dışında ne yapabilir?
m. 15 kapsamında şikâyet üzerine veya re’sen inceleme yapar; bilgi ve belge talebine yanıt zorunludur; ihlal tespitinde hukuka aykırılığın giderilmesi bildirilir ve süre verilir. Telafisi güç zarar ve açık hukuka aykırılık hâlinde işlemenin durdurulmasına karar verilebilir.
Talimatlara uymazsam ne olur?
Kurul kararlarını yerine getirmemek, asıl ihlalden bağımsız olarak m. 18 kapsamında yeni bir kabahat oluşturur. Tek olaydan iki ceza çıkmasının en yaygın yolu budur.
İdari ceza dışında başka sorumluluk var mı?
İki kanal daha: m. 17 uyarınca TCK m. 135-140‘taki suçlar — idari ceza tüzel kişiye kesilirken ceza sorumluluğu gerçek kişiler üzerinde doğar; ve m. 11 uyarınca ilgili kişinin zararının giderilmesini talep hakkı.
Ceza kararı tazminat davasını etkiler mi?
İdari para cezası, ilgili kişilerin tazminat davası açmasını engellemez. Kurul kararı bu davalarda hukuka aykırılığın ispatı bakımından güçlü bir delil oluşturur.
İlgili Rehberler
- Özel Nitelikli Kişisel Veriler (KVKK m.6)
- İlgili Kişi Başvurusu ve Kurula Şikâyet
- Bilişim ve Kişisel Veriler Hukuku — tüm rehberler
- Bilişim Hukuku Rehberi
- İlaç ve Medikal Firmalarında KVKK — sağlık verisi, hasta destek programları ve yurt dışına aktarım
Uyum denetimi
Aydınlatma metni, envanter ve saklama politikası eksikleri denetimde ilk bakılan yerlerdir.
Atıf yapılan başlıca mevzuat: 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 5, 6, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18 ve geçici m. 3; 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun (RG: 12/3/2024, 32487; KVKK değişikliklerinin yürürlüğü 1/6/2024); 5237 sayılı Türk Ceza Kanunu m. 135-140; 5326 sayılı Kabahatler Kanunu m. 17; 2577 sayılı İdari Yargılama Usulü Kanunu m. 2, 7 ve 27; 6183 sayılı Amme Alacaklarının Tahsil Usulü Hakkında Kanun; Veri Sorumluları Sicili Hakkında Yönetmelik ve ilgili Kurul kararları. İdari para cezası tutarları her yıl yeniden değerleme oranında güncellendiğinden, işlem öncesi güncel tutarların teyidi gerekir.
