KVKK İdari Para Cezaları ve Şirketlerin Sorumluluğu

KVKK Kapsamında İdari Para Cezalarının Niteliği ve Uygulanma Halleri

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki para cezaları, adli para cezası niteliği taşımayıp Kanun'da düzenlenen yükümlülüklere aykırılık tespit edildiğinde Kişisel Verileri Koruma Kurulu tarafından tesis edilen idari yaptırımlardır. Bu yaptırımlar sadece veri güvenliği sızıntılarıyla sınırlı kalmayıp; aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınmaması, Kurul kararlarının süresi içinde uygulanmaması, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edilmesi ve yurt dışına veri aktarımında öngörülen bildirim yükümlülüğünün ihlali durumlarında da idari para cezası uygulanmasına yol açabilmektedir.

Kanuni Ceza Tutarları ve Yeniden Değerleme Oranı

6698 sayılı Kanun’un 18. maddesinin 1. fıkrasında idari para cezalarının kanuni alt ve üst sınırları gösterilmiştir. Buna göre aydınlatma yükümlülüğüne aykırılıkta 5.000 Türk lirasından 100.000 Türk lirasına kadar; veri güvenliği yükümlülüklerinin ihlalinde 15.000 Türk lirasından 1.000.000 Türk lirasına kadar; Kurul kararlarının yerine getirilmemesinde 25.000 Türk lirasından 1.000.000 Türk lirasına kadar; Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırılıkta 20.000 Türk lirasından 1.000.000 Türk lirasına kadar ve Kanun’un 9. maddesinin 5. fıkrasındaki bildirim yükümlülüğünün yerine getirilmemesinde 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir. Bu idari para cezaları her takvim yılı başından itibaren yeniden değerleme oranında artırılmaktadır.

Yeniden değerleme oranına göre belirlenen 2026 yılı ceza aralıkları; aydınlatma yükümlülüğünün yerine getirilmemesi halinde 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesinde 256.357 TL ile 17.092.242 TL, Kurul kararlarının uygulanmamasında 427.263 TL ile 17.092.242 TL, VERBİS kayıt ve bildirim yükümlülüğüne aykırılıkta 341.809 TL ile 17.092.242 TL ve Kanun’un 9. maddesinin 5. fıkrasındaki bildirim yükümlülüğünün ihlalinde 90.308 TL ile 1.806.177 TL düzeyindedir.

Cezaların Muhatabı ve Dava Yolu

6698 sayılı Kanun’un 18. maddesinin 2. fıkrası uyarınca; birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para cezaları veri sorumlusu hakkında; (d) bendinde öngörülen Kanun’un 9. maddesinin 5. fıkrasındaki bildirim yükümlülüğüne aykırılık cezası ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir.

6698 sayılı Kanun’un 18. maddesinin 4. fıkrasına göre, birinci fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.

Veri Sorumlusu Kavramı ve Güvenlik Yükümlülükleri

6698 sayılı Kanun çerçevesinde veri sorumlusu; kişisel verilerin işleme vasıtalarını ve amaçlarını tayin eden, veri kayıt sisteminin idaresinden ve kurulmasından sorumlu bulunan gerçek veya tüzel kişidir. Kanun’un 12. maddesinin 1. fıkrası gereğince veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişilmesini engellemek ve verilerin muhafazasını temin etmek maksadıyla gereken güvenlik seviyesini sağlayacak her çeşit teknik ve idari tedbiri almakla yükümlüdür. Veri güvenliğine yönelik önlemler tek tip olmayıp veri sorumlusunun kendi kurumsal organizasyonuna, faaliyet türüne ve taşıdığı risklere uygun biçimde yapılandırılmalıdır.

Veri sorumlusu, kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar; bu yükümlülük görevden ayrılmalarından sonra da devam eder.

Kişisel verilerin veri sorumlusu namına başka bir gerçek veya tüzel kişi eliyle işlendiği hallerde, veri güvenliğine yönelik teknik ve idari tedbirlerin yerine getirilmesi hususunda veri sorumlusu veri işleyenle müştereken sorumlu tutulabilir; 6698 sayılı Kanun’un 12. maddesinin 2. fıkrasında da bu kişilerin birlikte müştereken sorumlu olduğu düzenlenmiştir.

Veri Güvenliği İhlalinin Bildirilmesi

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür. Kurul, gerekmesi hâlinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

Aydınlatma Yükümlülüğü ile Açık Rıza İlişkisi

6698 sayılı Kanun’un 10. maddesi doğrultusunda verilerin temin edilmesi anında veri sorumlusu veya onun yetkilendirdiği kişi; veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, işlenen verilerin kimlere ve hangi gayeyle aktarılabileceği, veri toplama yöntemi ve hukuki sebebi ile Kanun’un 11. maddesinde sıralanan haklar konusunda ilgili kişiyi bilgilendirmek mecburiyetindedir. Veri işleme ameliyesinin açık rızaya dayanması ya da Kanun’daki rıza dışı diğer işleme sebeplerinden birine dayanması aydınlatma yapma gerekliliğini kaldırmaz.

Aydınlatma işlemi ilgili kişiye bilgi verilmesini teşkil ederken açık rıza belirli bir veri işleme işlemine onay sunulmasıdır. Bu ayrım sebebiyle tüm verilerin işlenmesine peşinen izin verildiği yolundaki genel ve toptan rıza metinlerinden kaçınılmalıdır. Aydınlatma yükümlülüğü gereğince yerine getirilmediğinde bu temele oturtulan açık rıza süreci de hukuken tartışmalı hale gelmektedir.

Verilerin Saklanması, Silinmesi ve VERBİS İstisnası

Kişisel veriler kural olarak işleme gayesi için zaruri olan mühlet kadar korunabilir. 6698 sayılı Kanun’un 7. maddesi uyarınca mevzuata uygun işlenmiş bulunsa dahi, işlenmesini gerektiren sebeplerin son bulması durumunda kişisel veriler resen yahut ilgili kişinin talebi doğrultusunda veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir; silme, yok etme veya anonim hale getirmeye ilişkin diğer kanun hükümleri saklıdır.

6698 sayılı Kanun’un 16. maddesi uyarınca kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır; ancak işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif kriterler gözetilerek Kurul tarafından kayıt zorunluluğuna istisna getirilebilir. VERBİS kayıt zorunluluğundan istisna tutulmuş olmak Kanun’dan tamamen muaf olunduğu anlamına gelmez; aydınlatma, veri güvenliği, hukuka uygun veri işleme, saklama ve imha, başvurulara cevap verme ve veri ihlali bildirimi yükümlülükleri devam edebilir.

Kurul İncelemesi, Şikâyet Usulü ve Tazminat Talepleri

Kişisel Verileri Koruma Kurulu ihlal şikâyeti üzerine harekete geçebileceği gibi herhangi bir ihlal iddiası öğrendiğinde kendiliğinden resen inceleme başlatabilir. İncelemede hukuka aykırılık belirlenirse aykırılığın giderilmesine karar verilir ve karar tebliğ edilir. Veri sorumlusu kendisine ulaştırılan Kurul kararını tebliğden itibaren derhal ve en geç otuz günlük yasal sürede uygulamakla yükümlüdür.

İlgili kişinin Kurula şikâyette bulunabilmesi kural olarak öncelikle veri sorumlusuna başvurmasına bağlıdır. Veri sorumlusunun kendisine yapılan başvuruyu gecikmeksizin ve en çok otuz gün içinde cevaplandırması gerekir. Talebin reddi, cevabın yetersiz görülmesi veya hiç cevap verilmemesi hallerinde kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz gün ve herhalde ilk başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir.

Kurul tarafından idari para cezası uygulanması, kişilik hakları ihlal edilen ilgili kişinin genel hükümlere göre tazminat talep etme hakkını engellemez; adli veya idari yargı yoluna başvurma imkânını ortadan kaldırmaz.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy