KVKK idari para cezaları, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi kapsamında; aydınlatma, veri güvenliği, Kurul kararlarına uyum ve VERBİS yükümlülüklerinin ihlali hâlinde Kişisel Verileri Koruma Kurulu tarafından verilen idari yaptırımlardır. Tutarlar her yıl yeniden değerleme oranıyla güncellenir ve cezaya karşı 15 gün içinde sulh ceza hâkimliğine itiraz edilebilir.

"Hangi davranış ihlal sayılır, Kurul cezayı neye göre belirler ve karara nasıl itiraz ederim?" — bu rehber, ceza tutarını hesaplamaktan çok, KVKK cezalarının hangi mantıkla verildiğini ve nasıl itiraz edileceğini ele alır. Somut tutar tahmini için yazının sonundaki hesaplayıcıya yönlendiriyoruz.

KVKK'da Ceza Yetkisi: Kurul ve Kabahatler

Kişisel Verileri Koruma Kurulu, 6698 sayılı Kanun kapsamında veri sorumlularını denetler ve mevzuata aykırılık hâlinde idari para cezası uygulama yetkisine sahiptir. KVKK cezaları iki temel özelliğiyle diğer düzenleyici kurumların cezalarından ayrılır:

  • Kabahat niteliği: İdari para cezaları, Kabahatler Kanunu'nun genel hükümlerine tabidir. Bu, hem tutarın belirlenmesinde hem de itiraz yolunda kendine özgü bir usul getirir.
  • İtiraz mercii: Cezaya itiraz, idare mahkemesine değil, sulh ceza hâkimliğine yapılır — aşağıda ayrıntısıyla ele alıyoruz.

İdari Para Cezası Gerektiren İhlal Türleri

6698 sayılı Kanun'un 18. maddesi, idari para cezası gerektiren dört temel kabahat türü sayar:

1. Aydınlatma Yükümlülüğünün İhlali

Veri sorumlusunun, kişisel veri işlerken ilgili kişiyi Kanun'un 10. maddesi kapsamında aydınlatmaması. Aydınlatma metninin hiç sunulmaması veya eksik/yanıltıcı olması bu kategoriye girer.

2. Veri Güvenliği Yükümlülüklerinin İhlali

Kanun'un 12. maddesindeki teknik ve idari tedbirlerin alınmaması. Veri ihlali (data breach) yaşanması, yetkisiz erişim veya sızıntı bu başlıkta değerlendirilir.

3. Kurul Kararlarının Yerine Getirilmemesi

Kurul'un verdiği kararların süresinde ve gereğince yerine getirilmemesi. Şikâyet sonrası verilen düzeltme kararlarına uyulmaması bu kategoridedir.

4. VERBİS Kayıt ve Bildirim İhlali

Veri Sorumluları Sicili'ne kayıt yükümlüsü olduğu hâlde süresinde kaydolmamak veya bildirim yükümlülüğünü eksik yerine getirmek.

Kurul Cezayı Neye Göre Belirler?

Her ihlal için Kanun bir alt ve üst sınır belirler; Kurul bu aralıkta somut cezayı belirlerken çeşitli ölçütleri dikkate alır:

  • Kabahatin haksızlık içeriği ve ihlalin ağırlığı,
  • Etkilenen ilgili kişi sayısı ve verinin niteliği (özel nitelikli veri ağırlaştırıcıdır),
  • Veri sorumlusunun kusur derecesi ve iyi niyeti,
  • İhlalin tekrar edip etmediği,
  • İhlalin giderilmesi için alınan önlemler.

Maktu tutarlar her takvim yılı başında yeniden değerleme oranıyla güncellenir. Bu nedenle sabit bir rakam yerine, o yıl için Kurul'un ilan ettiği güncel tarife esas alınmalıdır.

Somut tutarı merak ediyorsanız: İhlal türüne göre 2026 tahmini ceza aralığını KVKK Ceza Hesaplayıcı ile saniyeler içinde görebilirsiniz.

İdari Ceza mı, Veri Suçu mu?

KVKK kapsamında her ihlal idari para cezasıyla sonuçlanmaz; bazı fiiller suç olarak düzenlenmiştir:

Fiil Niteliği Yaptırım
Aydınlatma / veri güvenliği ihlali İdari kabahat (md.18) İdari para cezası
VERBİS ihlali İdari kabahat (md.18) İdari para cezası
Kişisel verileri hukuka aykırı kaydetme Suç (TCK 135) Hapis
Verileri hukuka aykırı yayma / ele geçirme Suç (TCK 136-140) Hapis

6698 md.17, kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu'nun 135-140. maddelerine atıf yapar. Bu fiillerde Kurul idari ceza kesmez; suç duyurusunda bulunur ve yargılama ceza mahkemelerinde yürür.

KVKK Cezasına İtiraz: Sulh Ceza Hâkimliği, 15 Gün

KVKK idari para cezaları Kabahatler Kanunu kapsamında olduğundan, itiraz usulü diğer düzenleyici kurumlardan farklıdır:

  • Süre: Kararın tebliğinden itibaren 15 gün içinde itiraz edilmelidir.
  • Mercii: İtiraz, idare mahkemesine değil sulh ceza hâkimliğine yapılır.
  • Karşılaştırma: SPK ve BDDK idari para cezalarında itiraz idare mahkemesinde ve 60 gün içindedir; KVKK'da bu süre ve mercii farklıdır. Bu ayrımı kaçırmak hak kaybına yol açabilir.

İtiraz sürecinde ihlal iddiasının unsurları, alınan teknik/idari tedbirlerin kayıtları ve Kurul yazışmaları belirleyicidir; bu nedenle uyum kanıtlarının düzenli arşivlenmesi önemlidir.

Ceza Riskini Operasyonel Olarak Yönetmek

KVKK cezalarının önemli bölümü, kötü niyetten değil; aydınlatma metinlerinin güncellenmemesi, VERBİS bildirim sürelerinin kaçırılması ve Kurul karar/ilke değişikliklerinin geç fark edilmesi gibi takip boşluklarından doğar. Bu boşlukları kapatmanın yolu:

  • Kurul'un yeni karar ve ilke değişikliklerini yayımlandığı anda izlemek,
  • VERBİS ve aydınlatma yükümlülüklerini takvimlemek ve sorumlu atamak,
  • Veri güvenliği tedbirlerini denetime hazır kayıtlarla belgelemek.

Bu yaklaşım, ceza riskini azaltmadan önce ekibin zamanını geri kazandırır: mevzuatı manuel taramak yerine değişiklikler size gelir.

Sonuç

KVKK idari para cezaları, 6698 md.18 kapsamında dört ihlal türünde; Kurul'un ihlalin ağırlığı, etkilenen kişi sayısı ve tekrar durumuna göre belirlediği yaptırımlardır. İdari kabahatler ile TCK kapsamındaki veri suçları farklı süreçlerde işler ve cezaya itiraz, 15 gün içinde sulh ceza hâkimliğine yapılır. Asıl mesele cezayı sonradan tartışmak değil; aydınlatma, VERBİS ve veri güvenliği yükümlülüklerini kaçırmayan bir uyum operasyonu kurmaktır.

İlgili İçerikler