KVKK uyumu yalnızca idari para cezası riskini azaltmaya yönelik bir çalışma değildir. Doğru oluşturulmuş ve düzenli olarak güncellenen bir uyum sistemi kişisel verilerin korunmasını, veri ihlallerine daha hızlı müdahale edilmesini ve kurumun müşterileri, çalışanları ve iş ortakları nezdindeki itibarının güçlendirilmesini sağlar.
6698 sayılı Kişisel Verilerin Korunması Kanunu’na aykırılık idari para cezalarının yanı sıra Kurul talimatları, veri işleme faaliyetinin durdurulması, itibar kaybı, tazminat talepleri ve somut olayın niteliğine göre cezai sorumluluk doğurabilir.
KVKK’nın 18’inci maddesinde düzenlenen idari para cezaları her takvim yılı başında yeniden değerleme oranında artırılmaktadır. 2026 yılında uygulanacak tutarlar, 2025 yılı için ilan edilen yüzde 25,49 yeniden değerleme oranı esas alınarak belirlenmiştir.
İdari para cezasının miktarı her olayda otomatik olarak üst sınırdan uygulanmaz. Kurul; ihlalin niteliğini, kusurun derecesini, veri sorumlusunun ekonomik durumunu, etkilenen kişi ve veri sayısını, alınan tedbirleri ve ihlalin sonuçlarını somut olay özelinde değerlendirir.
1. Aydınlatma Yükümlülüğünü Yerine Getirmeme
KVKK m.10 ve m.18/1-a
Kişisel veriler elde edilirken ilgili kişilere veri sorumlusunun kimliği, verilerin hangi amaçlarla işlendiği, kimlere aktarılabileceği, veri toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları hakkında bilgi verilmelidir.
Aydınlatma yükümlülüğünün gereği gibi yerine getirilmemesi hâlinde 2026 yılında 85.437 TL – 1.709.200 TL arasında idari para cezası uygulanabilir.
Aydınlatma metninin yalnızca yayımlanmış olması yeterli değildir. Metnin fiilî veri işleme faaliyetleriyle uyumlu, açık, anlaşılır ve ilgili kişiye erişilebilir olması gerekir.
2. Veri Güvenliği Yükümlülüklerini Yerine Getirmeme
KVKK m.12 ve m.18/1-b
Veri sorumluları; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin güvenli biçimde muhafazasını sağlamak amacıyla uygun teknik ve idari tedbirleri almak zorundadır.
Bu yükümlülüğün ihlali hâlinde 2026 yılında 256.357 TL – 17.092.242 TL arasında idari para cezası uygulanabilir.
Yetki kontrollerinin bulunmaması, yetersiz parola politikaları, çalışan erişimlerinin zamanında kapatılmaması, güvenlik testlerinin yapılmaması veya veri ihlaline geç müdahale edilmesi bu kapsamda değerlendirilebilir.
Somut olay aynı zamanda kişisel verilerin hukuka aykırı olarak verilmesi, yayılması veya ele geçirilmesi gibi bir suç oluşturuyorsa Türk Ceza Kanunu hükümleri de ayrıca gündeme gelebilir.
3. Kurul Kararlarını Yerine Getirmeme
KVKK m.15 ve m.18/1-c
Kişisel Verileri Koruma Kurulu tarafından verilen kararların, kararda belirtilen süre ve kapsam içinde yerine getirilmesi gerekir.
Kurul kararlarının yerine getirilmemesi hâlinde 2026 yılında 427.263 TL – 17.092.242 TL arasında idari para cezası uygulanabilir.
Kurul kararının gereğinin zamanında yerine getirilmemesi, devam eden hukuka aykırılığın büyümesine ve ilave idari veya hukuki sonuçların ortaya çıkmasına neden olabilir.
4. VERBİS Kayıt ve Bildirim Yükümlülüğüne Aykırılık
KVKK m.16 ve m.18/1-ç
Veri Sorumluları Siciline kayıt yükümlülüğü bulunan veri sorumlularının VERBİS kayıtlarını süresinde tamamlaması; kayıt bilgilerini doğru ve güncel tutması gerekir.
Kayıt ve bildirim yükümlülüğüne aykırılık hâlinde 2026 yılında 341.809 TL – 17.092.242 TL arasında idari para cezası uygulanabilir.
VERBİS kaydının yapılmış olması tek başına KVKK uyumunun tamamlandığı anlamına gelmez. Sicile bildirilen bilgiler ile kişisel veri işleme envanteri ve kurumun fiilî faaliyetleri birbiriyle uyumlu olmalıdır.
5. Standart Sözleşmenin Kuruma Bildirilmemesi
KVKK m.9/5 ve m.18/1-d
Kişisel verilerin yurt dışına aktarılmasında uygun güvence yöntemi olarak standart sözleşme kullanılıyorsa, imzalanan sözleşmenin beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmesi gerekir.
Bu bildirim yükümlülüğünün yerine getirilmemesi hâlinde 2026 yılında 90.308 TL – 1.806.177 TL arasında idari para cezası uygulanabilir.
Bu yaptırım, doğrudan “izinsiz yurt dışı aktarım cezası” olarak değil, standart sözleşmenin süresinde Kuruma bildirilmemesine ilişkin özel bir kabahat olarak açıklanmalıdır. Yurt dışına aktarımın hukuki dayanağının bulunmaması ayrıca değerlendirilir.
6. Hukuki İşleme Şartı Bulunmadan Kişisel Veri İşleme
KVKK m.5 ve m.6
Kişisel veri işleme faaliyetinin açık rızaya veya Kanun’da düzenlenen diğer işleme şartlarından en az birine dayanması gerekir. Her veri işleme faaliyeti için açık rıza alınması zorunlu olmadığı gibi, hukuki sebep bulunmadığında yalnızca aydınlatma yapılması da işlemi hukuka uygun hâle getirmez.
Bu fiil için KVKK m.18’de bağımsız ve sabit bir ceza aralığı düzenlenmemiştir. Bununla birlikte olayın özelliklerine göre aydınlatma ve veri güvenliği yükümlülüklerinin ihlali nedeniyle idari yaptırım uygulanabilir. Kurul, verilerin silinmesi veya işleme faaliyetinin durdurulması yönünde talimat verebilir.
Hukuka aykırı veri kaydı söz konusuysa TCK m.135 kapsamında cezai sorumluluk da gündeme gelebilir.
7. Veri İhlali Bildirim Sürecinin Gereği Gibi Yürütülmemesi
KVKK m.12/5
Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin öğrenilmesi hâlinde veri sorumlusu, gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunmalıdır.
İhlalden etkilenen ilgili kişiler ise belirlendikten sonra makul olan en kısa süre içerisinde bilgilendirilmelidir. İlgili kişilere yapılacak bildirim bakımından ayrıca bir “72 saat” sınırı öngörülmemiştir.
Bu yükümlülük için ayrı bir ceza tarifesi bulunmamakla birlikte, bildirim sürecindeki eksiklikler veri güvenliği yükümlülüğünün ihlali kapsamında değerlendirilerek 256.357 TL – 17.092.242 TL arasında idari para cezasına konu olabilir.
8. Saklama Süresi Sona Eren Verileri İmha Etmeme
KVKK m.7 ve TCK m.138
Kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında veriler resen veya ilgili kişinin talebi üzerine silinmeli, yok edilmeli ya da anonim hâle getirilmelidir.
Bu fiil için KVKK m.18’de bağımsız bir idari para cezası aralığı bulunmamaktadır. Bununla birlikte imha yükümlülüğünün yerine getirilmemesi, Kurul kararına veya veri güvenliği yükümlülüklerine aykırılık kapsamında yaptırıma konu olabilir.
Kanunların belirlediği sürelerin geçmiş olmasına rağmen verileri sistem içinde yok etmekle yükümlü olan kişinin görevini yerine getirmemesi, TCK m.138 kapsamında cezai sorumluluk doğurabilir.
9. İlgili Kişi Başvurularını Süresinde Cevaplamama
KVKK m.11, m.13 ve m.15
Veri sorumlusu, ilgili kişi tarafından yapılan başvuruyu talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır.
Başvurunun süresinde cevaplanmaması için KVKK m.18’de doğrudan ve bağımsız bir para cezası aralığı düzenlenmemiştir. İlgili kişi Kurula şikâyette bulunabilir; Kurul veri sorumlusuna başvurunun cevaplanması veya hukuka aykırılığın giderilmesi yönünde talimat verebilir.
Kurulun verdiği kararın yerine getirilmemesi hâlinde 2026 yılında 427.263 TL – 17.092.242 TL arasında idari para cezası uygulanabilir.
10. Özel Nitelikli Kişisel Veriler İçin Yeterli Önlem Almama
KVKK m.6 ve m.12
Sağlık, biyometrik ve genetik veriler gibi özel nitelikli kişisel veriler işlenirken Kanun’da öngörülen işleme şartlarına uyulması ve Kurul tarafından belirlenen yeterli önlemlerin alınması gerekir.
Özel nitelikli kişisel veriler için uygun güvenlik önlemlerinin alınmaması, veri güvenliği yükümlülüğünün ihlali kapsamında 256.357 TL – 17.092.242 TL arasında idari para cezasına konu olabilir.
Fiilin niteliğine bağlı olarak Türk Ceza Kanunu kapsamında ayrıca cezai sorumluluk doğması mümkündür.
