KVKK İdari Para Cezaları Ne Kadar?

KVKK İdari Para Cezaları Ne Kadar?

İlgili hizmet sayfası → Fikri Mülkiyet Avukatı: Marka, telif, haksız rekabet ve dijital hukuk uyuşmazlıkları için hizmet sayfası.

Kısa cevap: Tek bir rakam yoktur. KVKK md. 18, beş ayrı aykırılık kalemi için alt ve üst sınırı belirlenmiş idari para cezaları öngörür. Kanunda yazılı tutarlar 2016 yılı esas alınarak konulmuştur ve her takvim yılı başında yeniden değerleme oranında artırılarak uygulanır. Bu nedenle güncel tutar için Kanun metnine değil, Kişisel Verileri Koruma Kurumunun ilgili yıla ait duyurusuna bakılır.

Ceza miktarını belirleyen ikinci etken, alt ve üst sınır arasında yapılan takdirdir. Aynı kabahat için verilen ceza, işletmeden işletmeye ciddi biçimde değişir.

---

1. Hangi Aykırılıklar Cezaya Bağlanmıştır

KVKK md. 18/1, cezayı gerektiren fiilleri sayarak belirler:

• Aydınlatma yükümlülüğü. KVKK md. 10 uyarınca ilgili kişiyi bilgilendirmeyen veri sorumlusu.
• Veri güvenliği yükümlülükleri. KVKK md. 12 kapsamında teknik ve idari tedbirleri almayan veri sorumlusu.
• Kurul kararlarının yerine getirilmemesi. KVKK md. 15 uyarınca verilen kararı süresinde uygulamayan veri sorumlusu.
• Sicile kayıt ve bildirim. KVKK md. 16 kapsamındaki VERBİS yükümlülüğüne aykırı hareket edenler.
• Yurt dışına aktarımda bildirim. 7499 sayılı Kanunla eklenen bent uyarınca, standart sözleşmenin Kuruma bildirilmesi yükümlülüğünü yerine getirmeyenler.

Bu kalemler içinde en yüksek üst sınırlar veri güvenliği, Kurul kararına uymama ve sicil yükümlülüğü bakımından öngörülmüştür. Aydınlatma ihlali için öngörülen aralık ise görece dardır¹.

---

2. Tutar Nasıl Belirlenir

Kanunda yazılı rakamlar sabit tutar değil, aralıktır. Somut ceza iki aşamada oluşur.

Birinci aşama güncellemedir. İdari para cezaları, Kabahatler Kanunu md. 17/7 uyarınca her takvim yılı başından geçerli olmak üzere yeniden değerleme oranında artırılır. Kurum, güncel alt ve üst sınırları yıl başında ilan eder.

İkinci aşama takdirdir. Kabahatler Kanunu md. 17/2, alt ve üst sınırı gösterilen cezalarda miktarın belirlenmesinde kabahatin haksızlık içeriği ile failin kusurunun ve ekonomik durumunun birlikte göz önünde bulundurulmasını öngörür. Etkilenen kişi sayısı, verinin niteliği, ihlalin süresi ve veri sorumlusunun ihlali gidermek için attığı adımlar bu değerlendirmede ağırlık taşır.

Önemli: Ceza aralığının üst sınırı korkutucu görünse de, uygulamada belirleyici olan alt sınıra mı yoksa üst sınıra mı yaklaşıldığıdır. İhlali kendiliğinden tespit eden, bildiren ve gideren veri sorumlusu ile aynı eksikliği yıllarca sürdüren veri sorumlusu aynı muameleyi görmez.

---

3. Ceza Kime Verilir

KVKK md. 18/2, aydınlatma, veri güvenliği, Kurul kararı ve sicil kalemlerindeki cezaların veri sorumlusu hakkında uygulanacağını söyler. Yurt dışına aktarım bildirimine ilişkin ceza ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanabilir. Sıfat ayrımının pratik sonuçları veri sorumlusu ile veri işleyen arasındaki fark sorusunda ayrıca açıklanır.

Fiil kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmişse idari para cezası uygulanmaz. Bu halde Kurulun bildirimi üzerine görevliler hakkında disiplin hükümlerine göre işlem yapılır ve sonuç Kurula bildirilir.

---

4. Cezaya Karşı Başvuru Yolu

7499 sayılı Kanunla KVKK md. 18'e eklenen fıkra uyarınca, Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılır. Bu değişiklikten önce başvuru yolu sulh ceza hakimliğiydi; güncel uygulamada idari yargı görevlidir.

Dava açma süresi, İdari Yargılama Usulü Kanunu'nun genel hükümlerine göre tebliğden itibaren işler. Süre kaçırıldığında ceza kesinleşir ve esasa ilişkin itirazlar dinlenmez. Dava dilekçesinde yalnızca ihlalin varlığı değil, ceza miktarının takdirindeki ölçüsüzlük de ayrıca ileri sürülmelidir.

Dava açılması tek başına tahsili durdurmaz. Yürütmenin durdurulması ayrıca talep edilmeli ve talebin gerekçesi somutlaştırılmalıdır. Kurul kararının idari para cezası dışında bir gereği varsa, bu bölüm dava sürecinden bağımsız olarak yerine getirilmelidir; aksi halde yeni bir aykırılık doğar.

---

Uygulamada

Ceza riskini yöneten şey tutar tablosu değil, kayıt disiplinidir. Kurul incelemesinde veri sorumlusundan istenen belgeler bellidir: kişisel veri işleme envanteri, saklama ve imha politikası, aydınlatma metinleri, açık rıza kayıtları, teknik tedbir dokümantasyonu ve veri işleyen sözleşmeleri. Bu belgelerin ihlal anından sonra üretilmesi mümkün değildir; tarih izleriyle birlikte önceden hazırlanmış olmaları gerekir.

İkinci pratik nokta, tek bir olayın birden çok kalemi tetiklemesidir. Bir veri ihlali olayında hem KVKK md. 12 güvenlik yükümlülüğü hem bildirim yükümlülüğü hem de aydınlatma eksikliği aynı anda gündeme gelebilir. Bu nedenle inceleme başladığında savunma tek bir kaleme odaklanarak kurulmamalıdır.

Üçüncü nokta zamanlamadır. Kurul kararının gereğinin en geç otuz gün içinde yerine getirilmesi gerekir. Bu süreye uyulmaması, asıl ihlalden bağımsız yeni bir ceza kalemi doğurur.

---

İlgili içerikler için bkz. KVKK Aydınlatma Metni Rehberi, VERBİS Kaydı Kimler İçin Zorunlu?, KVKK Veri İhlali Bildirimi Nasıl Yapılır?, Haksız Rekabet.

Dipnotlar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu md. 10, md. 12, md. 15, md. 16, md. 18, RG 07.04.2016/29677. ↩