KVKK Kapsamındaki İdari Para Cezaları ve Yargı Yolu

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi, kanunda düzenlenen temel yükümlülüklere aykırılık halinde tatbik edilecek idari para cezalarını düzenlemektedir. Bu çerçevede aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğine ilişkin tedbirlerin alınmaması, Kişisel Verileri Koruma Kurulu kararlarının uygulanmaması, Veri Sorumluları Siciline kayıt ve bildirim şartına uyulmaması ile standart sözleşmelerin Kuruma bildirilmemesi yaptırıma bağlanmıştır. Kurul tarafından tesis edilen bu idari yaptırımlara karşı idare mahkemelerinde dava açılabilmektedir.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç

MADDE 18- (1) Bu Kanunun;
a) 10 uncu maddesinde öngörülen
aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000
Türk lirasına kadar,
b) 12 nci maddesinde öngörülen
veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk
lirasından 1.000.000 Türk lirasına kadar,
c) 15 inci maddesi uyarınca
Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından
1.000.000 Türk lirasına kadar,
ç) 16 ncı maddesinde öngörülen
Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler
hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar,
d) (Ek:2/3/2024-7499/35 md.) 9
uncu maddenin beşinci fıkrasında öngörülen bildirim yükümlülüğünü yerine
getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar,
idari para cezası verilir.
(2) (Değişik:2/3/2024-7499/35
md.) Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para
cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri
sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri
hakkında uygulanır.
(3) (Ek:2/3/2024-7499/35 md.) Kurulca
verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.
(4) Birinci fıkrada sayılan
eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları
bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum
ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki
meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır
ve sonucu Kurula bildirilir.
ALTINCI BÖLÜM
Kişisel Verileri Koruma Kurumu
ve Teşkilat
Kişisel Verileri Koruma Kurumu

Aydınlatma Yükümlülüğünün İhlali Halinde Uygulanan Yaptırımlar

6698 sayılı Kanun'un 10. maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyen veri sorumluları hakkında, Kanun'un 18. maddesinin birinci fıkrasının (a) bendi uyarınca 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası verilmektedir. Kanunda yer alan bu maktu alt ve üst sınırlar her takvim yılı başından itibaren yeniden değerleme oranında artırılmaktadır. Bu kapsamda 2026 yılı için aydınlatma yükümlülüğüne aykırılıkta uygulanan idari para cezası aralığı 85.437 Türk lirası ile 1.709.200 Türk lirası arasında belirlenmiştir. Bu bent kapsamındaki idari para cezası veri sorumlusu hakkında uygulanmaktadır.

Veri Güvenliğine İlişkin Yükümlülüklere Aykırılık

Kişisel verilerin hukuka aykırı işlenmesini ve kişisel verilere hukuka aykırı erişilmesini önlemek ile muhafazasını temin etmek üzere 6698 sayılı Kanun'un 12. maddesinde düzenlenen veri güvenliğine ilişkin teknik ve idari tedbirleri yerine getirmeyen veri sorumluları hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası öngörülmüştür. Kanundaki temel limitler yıllık yeniden değerleme oranına göre güncellenmektedir. 2026 yılı bakımından veri güvenliği yükümlülüklerinin ihlalinde tayin edilen ceza aralığı 256.357 Türk lirası ile 17.092.242 Türk lirası arasındadır. Bu yaptırımın muhatabı veri sorumlusudur.

Kurul İncelemesi ve Kararların Yerine Getirilmesi

Kişisel Verileri Koruma Kurulu tarafından yürütülen incelemelerde, veri sorumlusu devlet sırrı niteliğindekiler haricindeki bilgi ve belgeleri on beş gün içinde Kurula göndermek ve gerektiğinde yerinde inceleme yapılmasına imkân sağlamakla yükümlüdür.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 15Kaynağı aç

MADDE 15- (1) Kurul, şikâyet üzerine
veya ihlal iddiasını öğrenmesi durumunda resen, görev alanına giren konularda gerekli
incelemeyi yapar.
(2) 1/11/1984
tarihli ve 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanunun 6 ncı maddesinde belirtilen şartları
taşımayan ihbar veya şikâyetler incelemeye alınmaz.
(3) Devlet sırrı niteliğindeki
bilgi ve belgeler hariç; veri sorumlusu, Kurulun, inceleme konusuyla ilgili istemiş
olduğu bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde inceleme
yapılmasına imkân sağlamak zorundadır.
(4) Şikâyet üzerine Kurul,
talebi inceleyerek ilgililere bir cevap verir. Şikâyet tarihinden itibaren altmış
gün içinde cevap verilmezse talep reddedilmiş sayılır.
(5) Şikâyet üzerine veya resen
yapılan inceleme sonucunda, ihlalin varlığının anlaşılması hâlinde Kurul, tespit
ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek
ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz
gün içinde yerine getirilir.
(6) Şikâyet
üzerine veya resen yapılan inceleme sonucunda, ihlalin yaygın olduğunun tespit edilmesi
hâlinde Kurul, bu konuda ilke kararı alır ve bu kararı yayımlar. Kurul, ilke kararı
almadan önce ihtiyaç duyması hâlinde, ilgili kurum ve kuruluşların görüşlerini de
alabilir.
(7) Kurul, telafisi güç veya
imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde, veri işlenmesinin
veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir.
Veri Sorumluları Sicili

Kurul tarafından şikayet üzerine veya resen yapılan inceleme sonucunda hukuka aykırılık tespit edilirse bu durumun giderilmesine karar verilerek ilgililere tebliğ edilir. 6698 sayılı Kanun'un 15. maddesinin beşinci fıkrası gereğince Kurul kararının tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmesi zorunludur.

Kurul tarafından 6698 sayılı Kanun'un 15. maddesi uyarınca verilen kararları yerine getirmeyen veri sorumluları hakkında Kanun'un 18. maddesinin birinci fıkrasının (c) bendi gereğince 25.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası uygulanır. Yeniden değerleme düzenlemeleri neticesinde 2026 yılında Kurul kararlarına uymayan veri sorumluları hakkında belirlenen ceza aralığı 427.263 Türk lirasından 17.092.242 Türk lirasına kadardır. İlgili ceza veri sorumlusu hakkında tesis edilmektedir.

Veri Sorumluları Siciline Kayıt ve Bildirim Yükümlülüğü

6698 sayılı Kanun'un 16. maddesinin ikinci fıkrası uyarınca kişisel verileri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmaları gerekmektedir. Ancak işlenen kişisel verinin niteliği, sayısı, işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif kriterler göz önüne alınarak Kurul tarafından kayıt zorunluluğuna istisna tanınabilmektedir.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 16Kaynağı aç

MADDE 16- (1) Kurulun gözetiminde,
Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicili tutulur.
(2) Kişisel verileri işleyen
gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline
kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin
kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek
objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları
Siciline kayıt zorunluluğuna istisna getirilebilir.
(3) Veri Sorumluları Siciline
kayıt başvurusu aşağıdaki hususları içeren bir bildirimle yapılır:
a) Veri sorumlusu ve varsa
temsilcisinin kimlik ve adres bilgileri.
b) Kişisel verilerin hangi
amaçla işleneceği.
c) Veri konusu kişi grubu
ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar.
ç) Kişisel verilerin aktarılabileceği
alıcı veya alıcı grupları.
d) Yabancı ülkelere aktarımı
öngörülen kişisel veriler.
e) Kişisel veri güvenliğine
ilişkin alınan tedbirler.
f) Kişisel verilerin işlendikleri
amaç için gerekli olan azami süre.
(4) Üçüncü fıkra uyarınca
verilen bilgilerde meydana gelen değişiklikler derhâl Başkanlığa bildirilir.
(5) Veri Sorumluları Siciline
ilişkin diğer usul ve esaslar yönetmelikle düzenlenir.
BEŞİNCİ BÖLÜM
Suçlar ve Kabahatler
Suçlar

İstisna kapsamında yer almayıp Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket eden veri sorumluları hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası tayin edilir. 2026 yılı için bu kabahat kapsamında uygulanan idari para cezası 341.809 Türk lirası ile 17.092.242 Türk lirası arasındadır. Bu yaptırım da veri sorumlusuna yöneltilmektedir.

Standart Sözleşme Bildirimi ve Veri İşleyenlerin Sorumluluğu

Kişisel verilerin yurt dışına aktarımında kullanılan standart sözleşmenin, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmesi zorunludur.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç

MADDE 9- (Değişik:2/3/2024-7499/34
md.)
(1) Kişisel veriler, 5
inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve
aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası
kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve
veri işleyenler tarafından yurt dışına aktarılabilir.
(2) Yeterlilik kararı,
Kurul tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul, ihtiyaç duyması
halinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç
dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli
gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere
değiştirebilir, askıya alabilir veya kaldırabilir.
(3) Yeterlilik kararı
verilirken öncelikle aşağıdaki hususlar dikkate alınır:
a) Kişisel verilerin
aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile
Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.
b) Kişisel verilerin
aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin
aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar.
c) Kişisel verilerin
aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin
bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının
bulunması.
ç) Kişisel verilerin
aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin
korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası
kuruluşlara üye olma durumu.
d) Kişisel verilerin
aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye’nin üye olduğu
küresel veya bölgesel kuruluşlara üye olma durumu.
e) Türkiye’nin taraf
olduğu uluslararası sözleşmeler.
(4) Kişisel veriler,
yeterlilik kararının bulunmaması durumunda, 5 inci ve
6 ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili
kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun
yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun
güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler
tarafından yurt dışına aktarılabilir:
a) Yurt dışındaki kamu
kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum
ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında
yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul
tarafından aktarıma izin verilmesi.
b) Ortak ekonomik
faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü
oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul
tarafından onaylanan bağlayıcı şirket kurallarının varlığı.
c) Kurul tarafından ilan
edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları,
veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli
kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart
sözleşmenin varlığı.
ç) Yeterli korumayı
sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul
tarafından aktarıma izin verilmesi.
(5) Standart sözleşme,
imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen
tarafından Kuruma bildirilir.
(6) Veri sorumluları ve
veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen
uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak
kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel
veri aktarabilir:
a) İlgili kişinin,
muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza
vermesi.
b) Aktarımın, ilgili kişi
ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi
üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.
c) Aktarımın, ilgili kişi
yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak
bir sözleşmenin kurulması veya ifası için zorunlu olması.
ç) Aktarımın üstün bir
kamu yararı için zorunlu olması.
d) Bir hakkın tesisi,
kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu
olması.
e) Fiili imkânsızlık
nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki
geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden
bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.
f) Kamuya veya meşru
menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile
erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep
etmesi kaydıyla aktarım yapılması.
(7) Altıncı fıkranın (a),
(b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi
faaliyetlerine uygulanmaz.
(8) Veri sorumlusu ve
veri işleyenler tarafından, yurt dışına aktarılan kişisel verilerin sonraki
aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da bu Kanunda yer
alan güvenceler sağlanır ve bu madde hükümleri uygulanır.
(9) Kişisel veriler,
uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili
kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili
kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına
aktarılabilir.
(10) Kişisel verilerin
yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.
(11) Bu maddenin
uygulanmasına ilişkin usul ve esaslar yönetmelikle düzenlenir.
ÜÇÜNCÜ BÖLÜM
Haklar ve Yükümlülükler
Veri sorumlusunun aydınlatma
yükümlülüğü

Kanun'un 9. maddesinin beşinci fıkrasında öngörülen bildirim yükümlülüğünü yerine getirmeyenler hakkında 6698 sayılı Kanun'un 18. maddesinin birinci fıkrasının (d) bendi uyarınca 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir. Bu ceza miktarı 2026 yılı bakımından 90.308 Türk lirası ile 1.806.177 Türk lirası aralığında belirlenmiştir. Kanun'un 18. maddesinin ikinci fıkrası gereğince bu bentte öngörülen idari para cezası, veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanmaktadır.

Kamu Kurum ve Kuruluşları Yönünden Düzenlenen İstisna

6698 sayılı Kanun'un 18. maddesinin dördüncü fıkrası uyarınca, kanunda sayılan idari yaptırımı gerektiren fiillerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi halinde idari para cezası uygulanmamaktadır. Kurulun durumu ilgili kuruma bildirmesi üzerine, görevli memurlar ve diğer kamu görevlileri ile meslek kuruluşlarında çalışanlar hakkında tabi oldukları disiplin hükümleri işletilmekte ve işlem sonucu Kurula bildirilmektedir.

İdari Para Cezalarına Karşı Başvuru ve Görevli Yargı Yeri

6698 sayılı Kanun'un 18. maddesinin üçüncü fıkrası uyarınca, Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilmektedir.

Kurul tarafından istenen bilgi ve belgeler ne kadar sürede verilmelidir?

6698 sayılı Kanun'un 15. maddesinin üçüncü fıkrası uyarınca veri sorumlusu, devlet sırrı niteliğindekiler hariç olmak üzere istenen bilgi ve belgeleri on beş gün içinde Kurula iletmek ve gerektiğinde yerinde incelemeye imkân sağlamak zorundadır.

Kurul tarafından verilen kararların yerine getirilmesi için kanuni süre nedir?

6698 sayılı Kanun'un 15. maddesinin beşinci fıkrası uyarınca Kurul tarafından tespit edilen hukuka aykırılıkların giderilmesine ilişkin kararlar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmelidir.

Yurt dışına veri aktarımındaki standart sözleşme Kuruma ne zaman bildirilmelidir?

6698 sayılı Kanun'un 9. maddesinin beşinci fıkrası gereğince standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmesi zorunludur.

Kamu kurum ve kuruluşlarına KVKK kapsamında idari para cezası verilebilir mi?

Hayır, 6698 sayılı Kanun'un 18. maddesinin dördüncü fıkrası gereğince kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarına idari para cezası verilmez; disiplin hükümleri uygulanır.

KVKK idari para cezalarına karşı hangi mahkemede dava açılır?

6698 sayılı Kanun'un 18. maddesinin üçüncü fıkrası uyarınca Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilmektedir.

Veri işleyenler hakkında KVKK idari para cezası uygulanabilir mi?

6698 sayılı Kanun'un 18. maddesinin ikinci fıkrası uyarınca veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında yalnızca standart sözleşme bildirim yükümlülüğünün yerine getirilmemesi halinde ceza uygulanır; diğer ihlallerde yaptırım veri sorumlusuna yöneliktir.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy

Avukat Erdal Ersoy İletişim ve randevu

Bilişim hukuku