6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi, belirli yükümlülüklere aykırılıklar için alt ve üst sınırı kanunda yazılı idari para cezaları düzenler. Bu yükümlülükler; aydınlatma, veri güvenliği, Kurul kararlarının yerine getirilmesi, Veri Sorumluları Siciline kayıt ve bildirim ile 2/3/2024 tarihli ve 7499 sayılı Kanun'un 35. maddesiyle eklenen bildirim yükümlülüğünden oluşur. Cezalara karşı idare mahkemesinde dava açılabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç
Aydınlatma ve veri güvenliği yükümlülükleri
Kanunun 10. maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirası alt sınır, 100.000 Türk lirası üst sınır belirlenmiştir. Bu bent yalnızca aydınlatma yükümlülüğünün yerine getirilmemesini yaptırıma bağlar; ceza tutarının bu sınırlar içinde nasıl belirleneceği aynı bentte düzenlenmez.
Kanunun 12. maddesindeki veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler için ise 15.000 Türk lirası alt sınır, 1.000.000 Türk lirası üst sınır öngörülür. Bent, yaptırımı veri güvenliği yükümlülüklerinin yerine getirilmemesine bağlar; ceza tutarının bu aralık içinde nasıl belirleneceği bu bendin metninde yer almaz.
Kurul kararı, sicil ve bildirim yükümlülükleri
Kanunun 15. maddesi uyarınca Kişisel Verileri Koruma Kurulu tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirası alt sınır, 1.000.000 Türk lirası üst sınır belirlenmiştir. Bent, yaptırımın konusunu kararın yerine getirilmemesi olarak kurar; hangi içerikteki kararın ya da ne kadarlık bir süre içinde yerine getirilmesinin aranacağı bu bent metninde ayrıca düzenlenmez.
Kanunun 16. maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirası alt sınır, 1.000.000 Türk lirası üst sınır uygulanır. Sicile ilişkin istisnalar bu bent metninde sayılmamıştır.
2/3/2024 tarihli ve 7499 sayılı Kanun'un 35. maddesiyle 18. maddeye eklenen bent, 6698 sayılı Kanun'un 9. maddesinin beşinci fıkrasında öngörülen bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirası alt sınır, 1.000.000 Türk lirası üst sınır öngörür. Bu ek hükmün yürürlüğe girdiği tarihe ve 9. maddenin beşinci fıkrasının içeriğine ilişkin ayrı bir bilgi bu çalışmada bulunmamaktadır.
Cezanın uygulandığı kişiler
Kanunun 18. maddesinin ikinci fıkrası, 2/3/2024 tarihli ve 7499 sayılı Kanun'un 35. maddesiyle değiştirilmiştir. Bu değişikliğe göre birinci fıkranın (a), (b), (c) ve (ç) bentlerindeki idari para cezaları yalnızca veri sorumlusuna uygulanır. (d) bendindeki ceza ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Değişiklikten önceki ikinci fıkra metnine bu düzenlemede yer verilmemiştir; belirli bir tarihten önce tesis edilen işlemlere hangi fıkranın uygulanacağı bu hükümden çözülmez.
Kamu kurumları ve meslek kuruluşlarında uygulama
Birinci fıkrada sayılan eylemler kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlendiğinde farklı bir işlem yolu öngörülür. Bu durumda Kurulun bildirimi üzerine, söz konusu kurum ve kuruluşlarda görev yapan memurlar, diğer kamu görevlileri ve meslek kuruluşlarında çalışanlar hakkında disiplin hükümlerine göre işlem yapılır; işlemin sonucu Kurula bildirilir. Dördüncü fıkra bu özel disiplin yolunu kurar. Birinci ve ikinci fıkralardaki idari para cezası özel hukuk gerçek ve tüzel kişilerine yönelik yaptırımı düzenler.
İdari para cezasına karşı başvuru yolları
2/3/2024 tarihli ve 7499 sayılı Kanun'un 35. maddesiyle eklenen 18. maddenin üçüncü fıkrası, Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabileceğini düzenler. Fıkra dava açma süresini ayrıca göstermez.
2577 sayılı İdari Yargılama Usulü Kanunu'nun 7. maddesinin birinci fıkrası, özel kanunlarında ayrı süre gösterilmeyen hallerde Danıştayda ve idare mahkemelerinde dava açma süresini altmış gün olarak belirler. Aynı maddeye göre bu süre, idari uyuşmazlıklarda yazılı bildirimin yapıldığı tarihi izleyen günden başlar. Bu hüküm genel nitelikte olup 6698 sayılı Kanun kapsamındaki idari para cezasına özgü bir düzenleme değildir.
2577 sayılı İDARİ YARGILAMA USULÜ KANUNU m. 7Kaynağı aç
5326 sayılı Kabahatler Kanunu'nun 27. maddesinin birinci fıkrasında, idari para cezası ve mülkiyetin kamuya geçirilmesine ilişkin idari yaptırım kararlarına karşı kararın tebliği veya tefhiminden itibaren en geç on beş gün içinde sulh ceza mahkemesine başvurulabileceği ve bu süre içinde başvurulmazsa kararın kesinleşeceği düzenlenmektedir. Bu hüküm 6698 sayılı Kanun'a veya belirli bir tarihe doğrudan bağlı değildir. İdare mahkemesinde dava açılmasını öngören 6698 sayılı Kanun m. 18/3 ile Kabahatler Kanunu m. 27'deki on beş günlük sulh ceza mahkemesi yolu arasındaki zaman ve kapsam ilişkisi, bu iki hüküm tek başına değerlendirildiğinde tek bir sonuca bağlanamaz.
5326 sayılı KABAHATLER KANUNU m. 27Kaynağı aç
Kabahatler Kanunu'nun 27. maddesine göre mücbir sebebin varlığı nedeniyle bu sürenin geçirilmesi halinde, sebebin ortadan kalktığı tarihten itibaren en geç yedi gün içinde başvuruda bulunulabilir. Bu başvuru kararın kesinleşmesini engellemez; ancak mahkeme yerine getirmeyi durdurabilir. Başvuru bizzat, kanuni temsilci veya avukat aracılığıyla sulh ceza mahkemesine verilecek iki nüsha dilekçeyle yapılır. Madde bu usulü genel kabahat yaptırımı başvurusu olarak kurar ve kişisel verilerin korunmasına ilişkin cezaya uygulanacağını özel olarak belirtmez.
Aynı maddenin sekizinci fıkrasına göre, idari yaptırım kararının verildiği işlem kapsamında aynı kişiyle ilgili olarak idari yargının görev alanına giren kararlar da verilmişse, idari yaptırım kararına ilişkin hukuka aykırılık iddiaları bu işlemin iptali talebiyle birlikte idari yargı merciinde görülür. Bu hükmün uygulanması, aynı işlem kapsamında idari yargıya giren ayrı bir kararın da bulunması koşuluna bağlıdır.
Verileri sistem içinde yok etmeme suçu
5237 sayılı Türk Ceza Kanunu'nun 138. maddesi, idari yaptırımın ötesinde ceza hukuku alanında da bir düzenleme içerir. Birinci fıkraya göre, kanunların belirlediği süreler geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlar bu görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezasına hükmedilir. Hüküm iki unsur üzerine kuruludur: kanunların belirlediği sürelerin geçmiş olması ve kişinin verileri sistem içinde yok etmekle yükümlü bulunması.
5237 sayılı TÜRK CEZA KANUNU m. 138Kaynağı aç
Maddenin 21/2/2014 tarihli ve 6526 sayılı Kanun'un 5. maddesiyle eklenen ikinci fıkrasına göre, suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması halinde verilecek ceza bir kat artırılır. Ceza Muhakemesi Kanunu'ndaki ilgili imha hükümlerinin içeriği bu düzenlemede gösterilmez.
Sık sorulan sorular
Aydınlatma yükümlülüğü ihlal edilirse hangi ceza verilir?
Kanunun 10. maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası uygulanır. Bu aralık kanunda yazılı alt ve üst sınırlardır; tutarın bu sınırlar içinde nasıl saptanacağı m. 18/1-a'da ayrıca düzenlenmez.
Veri güvenliği yükümlülüğü yerine getirilmezse ne olur?
Veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir. Bu bent ihlale bağlı yaptırımı düzenler; cezanın alt ve üst sınır arasında nereye denk geleceği m. 18/1-b'de ayrıca açıklanmaz.
Kurul kararı yerine getirilmezse hangi yaptırım uygulanır?
Kanunun 15. maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası uygulanır.
VERBİS'e kayıt yaptırmayan veri sorumlusuna ceza var mı?
Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir.
Bildirim yükümlülüğünü yerine getirmemenin cezası nedir ve bu ceza kime uygulanır?
7499 sayılı Kanun'un 35. maddesiyle 6698 sayılı Kanun'a eklenen m. 18/1-d, 9. maddenin beşinci fıkrasındaki bildirim yükümlülüğünü yerine getirmeyenler için 50.000 Türk lirası ile 1.000.000 Türk lirası arasında idari para cezası öngörür. Bu ceza, m. 18/2 uyarınca veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Diğer bentlerdeki cezalar ise yalnızca veri sorumlusuna uygulanır.
KVKK idari para cezasına karşı hangi yola başvurulabilir?
6698 sayılı Kanun m. 18/3 uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Bu fıkra dava süresini belirtmez. 2577 sayılı Kanun m. 7/1, özel kanunda ayrı süre bulunmayan hallerde idare mahkemelerinde dava açma süresinin altmış gün olduğunu ve bu sürenin yazılı bildirimi izleyen günden başlayacağını düzenler; ancak hüküm genel nitelikte olup 6698 sayılı Kanun'a özgü değildir. Öte yandan 5326 sayılı Kabahatler Kanunu m. 27 on beş günlük sulh ceza mahkemesi başvurusunu düzenler; bu hüküm 6698 sayılı Kanun'a doğrudan bağlı değildir. İki hükmün zaman ve kapsam ilişkisi tek sonuca bağlanamaz.
Kamu kurumunda kişisel veri ihlali gerçekleşirse ne olur?
Sayılan eylemler kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenirse, Kurulun bildirimi üzerine ilgili görevliler hakkında disiplin hükümlerine göre işlem yapılır ve sonuç Kurula bildirilir. Dördüncü fıkra bu özel disiplin yolunu kurar; birinci ve ikinci fıkralardaki idari para cezası özel hukuk gerçek ve tüzel kişilerine yönelik yaptırımı düzenler.
Verileri yasal süresi geçmesine rağmen sistemden silmemenin suç olarak yaptırımı nedir?
Türk Ceza Kanunu'nun 138. maddesi bu eylemi suç olarak tanımlar. Kanunların belirlediği süreler geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlar bu görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezasıyla karşılaşır. Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre yok edilmesi gereken veri olması durumunda bu ceza bir kat artırılır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy