KVKK’ya aykırılığın en görünür sonucu idari para cezasıdır. Cezalar, Kanunun 18. maddesinde kabahat türlerine göre ayrı ayrı düzenlenmiştir ve tutarlar her yıl yeniden değerleme oranında güncellenir. Bu alanda 2024’te önemli bir usul değişikliği yaşandı: Kurul kararlarına karşı itiraz artık sulh ceza hâkimliğine değil, idare mahkemesine yapılmaktadır. Eski usulü esas alan kaynaklara güvenmek, dava hakkının kaybıyla sonuçlanabilir.
Kişisel veri ve bilişim uyuşmazlığında hakkınızı arayın
Av. Fatma Öztürk — Hukukçular Evi Ankara
Kabahat Türleri (m.18)
| Kabahat | Dayanak |
|---|---|
| Aydınlatma yükümlülüğünü yerine getirmemek | m.10 |
| Veri güvenliğine ilişkin yükümlülükleri yerine getirmemek | m.12 |
| Kurul kararlarını yerine getirmemek | m.15 |
| VERBİS’e kayıt ve bildirim yükümlülüğüne aykırı davranmak | m.16 |
| Yurt dışına aktarımda standart sözleşmeyi süresinde Kuruma bildirmemek | m.9 (2024’te eklendi) |
Son satır, 7499 sayılı Kanunla getirilen yeni bir kabahattir. Yurt dışına veri aktarımında kullanılan standart sözleşmenin, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur; bildirilmemesi bağımsız bir idari para cezası doğurur.
Ceza Tutarları
Her kabahat için alt ve üst sınır ayrı belirlenmiştir. Tutarlar her yıl yeniden değerleme oranında artırıldığından, bu rehberde sabit rakam verilmemektedir; güncel tutarlar için Kurumun resmî duyuruları esas alınmalıdır. Cezanın miktarı belirlenirken kabahatin ağırlığı, ihlalden etkilenen kişi sayısı, veri sorumlusunun ekonomik durumu ve varsa tekerrür birlikte değerlendirilir.
Kamu kurumları bakımından
Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenen ihlallerde idari para cezası uygulanmaz. Bunun yerine Kurulun bildirimi üzerine ilgili kamu kurumunda disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.
İtiraz Yolu: 2024 Değişikliği
7499 sayılı Kanun öncesinde, Kurulun verdiği idari para cezalarına karşı sulh ceza hâkimliğine itiraz ediliyor; para cezası dışındaki yaptırımlar için ise idari yargıya gidiliyordu. Bu ikili yapı uygulamada görev tartışmalarına yol açıyordu.
Değişiklikle birlikte, idari para cezaları dahil Kurulun tüm kararlarına karşı idare mahkemesinde dava açılır. Yeni düzen 1 Haziran 2024’te yürürlüğe girmiştir. Bu tarihte hâlihazırda sulh ceza hâkimliğinde görülmekte olan dosyalar ise bu hâkimliklerde görülmeye devam etmiştir.
İdari yargıda dava açma süresi bakımından genel kural uygulanır; kararın tebliğinden itibaren işleyen süre hak düşürücü niteliktedir ve kaçırılması hâlinde ceza kesinleşir.
Savunma Stratejisi: Nereye Bakılır?
- Rol tespiti: Ceza kesilen taraf gerçekten veri sorumlusu mu, yoksa veri işleyen mi?
- İşleme şartı: İşlemenin m.5 veya m.6’da bir dayanağı var mıydı, bu dayanak dosyada gösterilmiş mi?
- Ölçülülük: Kabahatin ağırlığı ile ceza miktarı arasında denge kurulmuş mu?
- Tedbirlerin belgelenmesi: Alınan teknik ve idari tedbirler zamanında belgelenmiş mi?
- Usul: Savunma hakkı tanınmış, bilgi ve belge talepleri usulüne uygun yapılmış mı?
- Tekerrür: Aynı fiil için birden fazla ceza uygulanmış mı?
Ceza Riskini Azaltan Uygulamalar
- Kişisel veri işleme envanterinin güncel tutulması
- Aydınlatma metinlerinin sürümlenmesi ve ispat kayıtlarının saklanması
- Saklama ve imha politikasının fiilen uygulanması, periyodik imha kayıtlarının tutulması
- Veri işleyenlerle yazılı sözleşme ve denetim kaydı
- İhlal müdahale planı ve bildirim şablonlarının önceden hazırlanması
- Personel eğitimlerinin kayda geçirilmesi
Denetimde en belirleyici olan, tedbirin alınmış olması kadar alındığının belgelenebilmesidir. Belgelenemeyen tedbir, alınmamış sayılır.
Cezanın Miktarını Etkileyen Ölçütler
Kurul, alt ve üst sınır arasında ceza belirlerken tek bir ölçüte değil bir bütüne bakar. Kararlarda tekrar eden değerlendirme unsurları şunlardır:
- İhlalin süresi ve devam edip etmediği
- Etkilenen ilgili kişi sayısı
- İşlenen verinin niteliği — özel nitelikli veri bulunması ağırlaştırıcı etki yapar
- İhlalin kasıtlı mı ihmalden mi kaynaklandığı
- Veri sorumlusunun ihlali kendiliğinden bildirip bildirmediği
- İhlalin giderilmesi için alınan tedbirler ve Kurul ile işbirliği
- Veri sorumlusunun ekonomik büyüklüğü
- Daha önce benzer bir ihlalin bulunup bulunmadığı
Bu liste, savunma dilekçesinin iskeletini de verir: her ölçüt bakımından lehe olan hususlar belgelenerek ileri sürülmelidir.
Aynı Fiile Birden Fazla Ceza Verilebilir mi?
KVKK m.18’de sayılan kabahatler birbirinden bağımsızdır. Bir olayda hem aydınlatma yükümlülüğünün ihlal edilmesi hem de veri güvenliği tedbirlerinin alınmamış olması, iki ayrı kabahat oluşturur ve iki ayrı ceza verilebilir. Buna karşılık aynı kabahat için tek fiilden dolayı birden fazla ceza verilmesi hukuka aykırıdır. Savunmada fiillerin gerçekten ayrı olup olmadığının tartışılması gerekir.
Veri İhlali Bildirimi: Cezayı Doğuran Değil, Hafifleten Unsur
Uygulamada sık görülen bir yanılgı, ihlali bildirmenin ceza riskini artıracağı düşüncesiyle bildirimden kaçınılmasıdır. Oysa bildirim yükümlülüğünün ihlali başlı başına bir kabahattir ve gizlenen ihlal sonradan ortaya çıktığında hem asıl ihlal hem bildirmeme cezalandırılır. Buna karşılık zamanında ve şeffaf bildirim, işbirliği unsuru olarak lehe değerlendirilir.
Dava Açarken Yürütmenin Durdurulması
İdare mahkemesinde açılan davada, cezanın tahsili sürecinin işlemeye devam etmesi ihtimaline karşı yürütmenin durdurulması talebi dilekçede ayrıca ve gerekçeli olarak kurulmalıdır. Talebin kabulü için işlemin açıkça hukuka aykırı olması ve uygulanması hâlinde telafisi güç zarar doğması birlikte aranır. Ekonomik olarak ağır bir cezanın işletmenin faaliyetini durduracak nitelikte olduğunun somut verilerle ortaya konması bu talebi güçlendirir.
Ceza Sonrası Yapılması Gerekenler
- Kararda tespit edilen eksikliği derhal gidermek ve giderildiğini belgelemek
- Kurul kararında verilen talimatları süresinde yerine getirmek — aksi hâlde ayrı bir kabahat doğar
- Aynı türden ihlalin tekrarını önleyecek süreç değişikliğini yazılı hâle getirmek
- Dava yolunu kullanacaksa süreyi kaçırmamak
- Etkilenen ilgili kişilerin başvurularına hazırlık yapmak; ceza kararı sonrası tazminat talepleri gündeme gelebilir
Son madde önemlidir: idari para cezası, zarar gören ilgili kişilerin tazminat davası açmasını engellemez. Kurul kararı, bu davalarda hukuka aykırılığın ispatı bakımından güçlü bir delil oluşturur.
Ceza kararına itiraz
KVKK uyumsuzluğu idari para cezasıyla sonuçlanır. Süreçlerinizi ve belgelerinizi birlikte gözden geçirelim.
Başvuru ve dava yolunuzu birlikte belirleyelim
Av. Fatma Öztürk — Hukukçular Evi Ankara
Geçiş Kuralı: Hangi Dosya Nerede Görülür?
Usul değişikliği tüm dosyaları aynı anda taşımadı; devam eden başvurular için ayrı bir kural konuldu.
| Durum | Görevli merci |
|---|---|
| Yürürlük tarihi itibarıyla derdest başvurular | Sulh ceza hâkimliklerinde görülmeye devam eder |
| Sonrasında verilen cezalar | İdare mahkemesinde dava açılır |
| Belirleyici an | Başvurunun o tarihte görülmekte olup olmadığı |
| Yanlış mercie başvuru | Görev yönünden ret; bu arada süre işlemeye devam eder |
| Eski kaynak riski | Sulh ceza usulünü anlatan metinler güncelliğini yitirmiştir |
Dördüncü satır en pahalı hatadır. Ceza kararı tebliğ edildiğinde sulh ceza hâkimliğine başvurulursa, dosya görev yönünden reddedilir; bu süreçte idari yargıda dava açma süresi işlemeye devam eder ve çoğu zaman dolar. Bu nedenle karar eline geçtiğinde; kararın hangi tarihte verildiği ile yürürlük tarihi karşılaştırılmalı, tereddüt hâlinde doğrudan idari yargı yolu tercih edilmelidir. Karar metninde gösterilen başvuru yolu da mutlaka okunmalıdır.
Muhatap Ayrımı: Veri Sorumlusu mu, Veri İşleyen mi?
Cezanın kime kesilebileceği bent bent farklılaşır; bu ayrım savunmanın başlangıç noktasıdır.
- Klasik kabahatler. Aydınlatma, veri güvenliği, karar uyumu ve kayıt yükümlülüğüne aykırılıkta muhatap veri sorumlusudur.
- Yurt dışına aktarım bildirimi. Bu bentte muhatap, veri sorumlusu veya veri işleyen olabilir.
- Kapsam. Gerçek kişiler ile özel hukuk tüzel kişileri bakımından uygulanır.
- Kamu kurumları. Bu kuruluşlar bakımından farklı bir yaptırım rejimi işler.
- Sıfat itirazı. Ceza yanlış sıfata kesilmişse bu husus ilk savunmada ileri sürülmelidir.
Beşinci madde çoğu dosyada hiç tartışılmaz. Uygulamada bulut hizmeti sağlayıcıları, çağrı merkezleri ve yazılım firmaları kendilerini veri sorumlusu sanarak savunma kurar; oysa bazı kabahatlerde ceza yalnızca veri sorumlusuna kesilebilir. Sıfatın yanlış belirlenmesi, kararın esasa girilmeden iptalini sağlayabilir. Bu nedenle savunmaya başlanmadan önce; sözleşmeler incelenerek verinin amaç ve vasıtalarını kimin belirlediği tespit edilmeli, sıfat itirazı varsa öne alınmalıdır.
Yurt Dışına Aktarım Bildirimi: Beş İş Günü
2024 reformuyla getirilen yeni kabahat, kısa ve kolay kaçırılan bir süreye bağlıdır.
| Unsur | Açıklama |
|---|---|
| Konu | Kurulca ilan edilen standart sözleşme kullanılarak yapılan aktarım |
| Süre | Sözleşmenin imzalanmasından itibaren beş iş günü |
| Yükümlü | Veri sorumlusu veya veri işleyen |
| İçerik | Veri kategorileri, aktarım amacı, alıcı grupları, teknik ve idari tedbirler |
| Yaptırım | Bildirilmemesi başlı başına idari para cezası sebebidir |
İkinci satır uyum takvimini değiştirir. Beş iş günlük süre, sözleşmenin imzalandığı tarihten işler; aktarımın fiilen başladığı tarihten değil. Grup şirketleri arasında veya yurt dışı hizmet sağlayıcılarla imzalanan sözleşmelerde bu süre, hukuk biriminin haberi olmadan geçebilir. Bu nedenle şirket içinde; standart sözleşme imzalayan birimlerin imza tarihini aynı gün uyum birimine bildirmesi kural hâline getirilmeli, bildirim takibi için sorumlu tayin edilmelidir.
İdari Yargıya Geçişin Pratik Sonuçları
Merci değişikliği yalnızca adres değişikliği değildir; usul de değişir.
| Ölçüt | Eski usul | Yeni usul |
|---|---|---|
| Merci | Sulh ceza hâkimliği | İdare mahkemesi |
| Usul kanunu | Kabahatler rejimi | İdari yargılama usulü |
| Yürütmenin durdurulması | Farklı işlerdi | Ayrıca talep edilmelidir |
| Kanun yolu | İtiraz | İstinaf ve koşulları varsa temyiz |
| İnceleme | Dar | İdari işlemin tüm unsurları denetlenir |
Son satır savunma alanını genişletir. İdari yargıda işlem; yetki, şekil, sebep, konu ve maksat yönlerinden denetlenir. Bu, yalnızca ceza miktarının değil; soruşturmanın usulüne uygun yürütülüp yürütülmediğinin, savunma hakkının tanınıp tanınmadığının ve gerekçenin yeterliliğinin de tartışılabilmesi demektir. Bu nedenle dava dilekçesi; her unsur için ayrı başlık açılarak kurulmalı, yalnızca “ceza fahiştir” argümanına indirgenmemelidir.
Sıkça Sorulan Sorular
KVKK cezasına nereye itiraz edilir?
7499 sayılı Kanunla yapılan değişiklik sonrası, idari para cezaları dahil Kurulun tüm kararlarına karşı idare mahkemesinde dava açılır. Bu düzen 1 Haziran 2024’te yürürlüğe girmiştir; öncesinde sulh ceza hâkimliği görevliydi.
Ceza tutarları ne kadar?
Her kabahat için alt ve üst sınır ayrı belirlenmiştir ve tutarlar her yıl yeniden değerleme oranında güncellenir. Güncel rakamlar için Kurumun resmî duyuruları esas alınmalıdır.
Kamu kurumlarına da para cezası verilir mi?
Hayır. Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarında idari para cezası uygulanmaz; Kurulun bildirimi üzerine disiplin hükümlerine göre işlem yapılır ve sonuç Kurula bildirilir.
Yurt dışına aktarımda yeni bir ceza kalemi var mı?
Evet. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmemesi, 2024 değişikliğiyle bağımsız bir kabahat olarak düzenlenmiştir.
Bilgilendirme: Bu rehber genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. İdari para cezası tutarları her yıl yeniden değerleme oranında güncellenir; işlem öncesi güncel tutarları teyit edin.
İlgili Rehberler
- Özel Nitelikli Kişisel Veriler (KVKK m.6)
- İlgili Kişi Başvurusu ve Kurula Şikâyet
- Bilişim ve Kişisel Veriler Hukuku — tüm rehberler
- Bilişim Hukuku Rehberi
Uyum denetimi
Aydınlatma metni, envanter ve saklama politikası eksikleri denetimde ilk bakılan yerlerdir.
