KVKK’ye Aykırılık Hâlinde Uygulanan İdari ve Cezai Yaptırımlar

Kişisel verilerin korunmasına ilişkin kurallara aykırılık, tek bir yaptırım doğurmaz. 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), birbirinden bağımsız işleyen üç ayrı sorumluluk katmanı öngörür: Kişisel Verileri Koruma Kurulu tarafından uygulanan idari para cezaları, Türk Ceza Kanunu kapsamındaki suçlar ve zarara uğrayan kişilerin açabileceği tazminat davaları.¹ Bu katmanlar birbirinin alternatifi değildir; aynı olay nedeniyle hem idari para cezası uygulanması hem de ceza soruşturması yürütülmesi mümkündür.

İdari para cezaları nasıl uygulanır?

Kanun’un 18. maddesi, belirli yükümlülüklerin ihlalini kabahat olarak düzenler ve her biri için bir alt–üst sınır öngörür. Cezanın muhatabı kural olarak veri sorumlusudur; standart sözleşmenin bildirilmemesi bakımından ise veri işleyen de muhatap olabilir. 2026 yılı için geçerli tutarlar şöyledir:

Tutarlar, 5326 sayılı Kabahatler Kanunu’nun 17. maddesinin yedinci fıkrası uyarınca her yıl yeniden değerleme oranında artırılır ve 1 Ocak’tan itibaren işlenen kabahatlere uygulanır.² Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bakımından ise 18. maddenin ikinci fıkrası farklı bir yol öngörür: ihlalin bildirilmesi üzerine ilgili kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.

Cezanın miktarı belirlenirken Kabahatler Kanunu’nun 17. maddesinin ikinci fıkrası uyarınca kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumu birlikte değerlendirilir. Uygulamada ihlalden etkilenen kişi sayısı, verinin niteliği, ihlalin süresi ve veri sorumlusunun aldığı tedbirler belirleyici olmaktadır.

İdari para cezasına karşı hangi yola başvurulur?

Kurul kararlarına karşı başvurulacak kanun yolu 2024 yılında değiştirilmiştir. 18. maddenin üçüncü fıkrası uyarınca idari para cezalarına karşı idare mahkemelerinde dava açılır.³ Ayrıca şikâyet üzerine veya re’sen yapılan inceleme sonucunda Kurul, hukuka aykırılığın giderilmesini isteyebilir; bu karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmelidir (m. 15). Kararın yerine getirilmemesi, Kanun’un en yüksek ceza aralığına tabi kabahatlerden biridir.

Hangi fiiller suç oluşturur?

Kanun’un 17. maddesi, kişisel verilere ilişkin suçlar bakımından 5237 sayılı Türk Ceza Kanunu’nun 135 ilâ 140. maddelerine yollama yapar. Bu hükümler, idari para cezasından bağımsız olarak uygulanır ve muhatabı tüzel kişi değil, fiili işleyen gerçek kişidir:

• Kişisel verilerin kaydedilmesi (TCK m. 135): hukuka aykırı olarak kişisel veri kaydeden kişi bir yıldan üç yıla kadar hapis cezası ile cezalandırılır. Verinin siyasi görüş, din, ırk, ahlaki eğilim, cinsel yaşam, sağlık durumu veya sendikal bağlantı gibi nitelikte olması cezayı artırır.
• Verileri hukuka aykırı olarak verme veya ele geçirme (TCK m. 136): iki yıldan dört yıla kadar hapis.
• Nitelikli hâller (TCK m. 137): fiilin kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılarak ya da belli bir meslek veya sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde ceza yarı oranında artırılır.
• Verileri yok etmeme (TCK m. 138): kanunların belirlediği süreler geçmiş olmasına rağmen verileri sistem içinde yok etmekle yükümlü olanların bu görevi yerine getirmemesi, bir yıldan iki yıla kadar hapis cezasını gerektirir.

Bu suçlardan kişisel verilerin kaydedilmesi, hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme, şikâyete bağlı değildir; savcılık re’sen soruşturma yürütür (TCK m. 139). Tüzel kişiler bakımından ise TCK’nın 140. maddesi uyarınca güvenlik tedbiri uygulanması gündeme gelebilir.⁴

Zarar görenin tazminat hakkı

Üçüncü katman özel hukuk sorumluluğudur. Kanun’un 11. maddesinin birinci fıkrasının (g) bendi, kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğrayan ilgili kişiye zararın giderilmesini talep etme hakkı tanır. Talep, 6098 sayılı Türk Borçlar Kanunu’nun haksız fiil hükümlerine göre değerlendirilir ve maddi zararın yanında manevi tazminatı da kapsayabilir. Veri güvenliğine ilişkin yükümlülükler bakımından veri sorumlusu ile veri işleyenin müştereken sorumlu olduğu (m. 12/2) hatırda tutulmalıdır.

Yaptırımın sınırı: kanunilik ilkesi

İdari yaptırımların kanuni dayanağının açık olması gerekir. Anayasa Mahkemesi, bir bireysel başvuruda, Kanun’da yer almayan ve yalnızca Kurum rehberinde açıklanan bir ölçüte dayanılarak idari para cezası uygulanmasını suçta ve cezada kanunilik ilkesine aykırı bulmuştur.⁵ Bu karar münferit bir bireysel başvuru kararıdır ve yerleşik içtihat olarak sunulamaz; bununla birlikte, idari yaptırımlara karşı savunma geliştirilirken yaptırımın kanuni dayanağının da incelenmesi gerektiğini göstermesi bakımından önem taşır.

Uygulamada sık yapılan hatalar

• İdari para cezası ile ceza sorumluluğunun aynı şey sanılması; tüzel kişiye ceza verilemeyeceği gerekçesiyle ceza riskinin tamamen göz ardı edilmesi.
• Kurul kararına uyulmaması; ceza riskini artıran en pahalı davranışlardan biridir.
• Kurul yazışmalarına süresinde ve eksiksiz cevap verilmemesi, istenen bilgi ve belgelerin geç gönderilmesi.
• İdari para cezasına karşı yanlış mercide dava açılması; 2024 değişikliğinden sonra yetkili merci idare mahkemeleridir.
• Veri işleyenle yapılan sözleşmede sorumluluk ve rücu hükümlerinin bulunmaması.
• Cezaya konu ihlalin giderilmemesi; aynı aykırılığın sürmesi yeni bir yaptırım riski doğurur.

Hukuki Dayanaklar ve Kaynaklar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016, S. 29677.
2. 2026 yılında uygulanan yeniden değerleme oranı, 2025 yılı için tespit edilen %25,49’dur; bkz. 585 Sıra No.lu Vergi Usul Kanunu Genel Tebliği, RG 27.11.2025, S. 33090.
3. 7499 sayılı Kanun, RG 12.03.2024, S. 32487; değişiklikler 01.06.2024 tarihinde yürürlüğe girmiştir.
4. Türk Ceza Kanunu’nun ilgili hükümlerinin değerlendirmesi için bkz. mevzuatın güncel metni (www.mevzuat.gov.tr) ve ilgili doktrin çalışmaları.
5. Anayasa Mahkemesi, Viennalife Emeklilik ve Hayat A.Ş. başvurusu, B. No: 2020/32193, K.T. 27.01.2026, RG 16.06.2026, S. 33282.