KVKK’ya Uymayan Şirketlere Verilen Cezalar

KVKK Cezaları ve Yaptırımlar: Şirketler İçin İdari ve Cezai Riskler

Dijital dönüşümün ticari faaliyetlerin merkezine yerleştiği günümüzde, veri en stratejik ticari varlık haline gelmiştir. Bu varlığın yönetimi ve korunması, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile emredici kurallara bağlanmıştır. Kişisel verilerin korunması, işletmeler için artık isteğe bağlı bir uyum süreci değil; uyulmadığı takdirde ağır mali yükümlülükler ve hürriyeti bağlayıcı cezai yaptırımlar doğuran yasal bir zorunluluktur. Veri sorumlusu sıfatını haiz şirketlerin, yasal uyum süreçlerini tamamlamaması durumunda karşılaşacakları riskler iki ana düzlemde (İdari ve Cezai) incelenmelidir.

1. KVKK Kapsamında İdari Para Cezaları (Kabahatler)

KVKK’nın 18. maddesi uyarınca belirlenen kabahatler, Kişisel Verileri Koruma Kurulu tarafından resen veya şikayet üzerine yapılan incelemeler sonucunda karara bağlanır. Bu cezalar her yıl Yeniden Değerleme Oranı doğrultusunda güncellenmektedir.

1.1. Aydınlatma Yükümlülüğüne Aykırılık

Veri sorumlusu, veriyi elde ettiği anda ilgili kişiyi işleme amaçları, aktarım kanalları ve yasal hakları konusunda bilgilendirmekle yükümlüdür. Eksik veya hatalı aydınlatma yapılması (örn: Web sitesinde güncel olmayan metinlerin kullanılması), 2026 yılı limitlerine göre yüz binlerce Türk Lirası'ndan başlayan cezalara yol açabilmektedir.

1.2. Veri Güvenliği Yükümlülüklerinin İhlali

Kurul’un en yüksek meblağlı yaptırımları uyguladığı alan budur. Şirketler, verilerin hukuka aykırı erişimini ve işlenmesini önlemek için gerekli teknik (firewall, şifreleme, sızma testleri) ve idari (sözleşme yönetimi, eğitim) tedbirleri almak zorundadır. Sunucuların hacklenmesi veya veri sızıntıları, milyonlarca TL'yi bulan idari para cezalarını tetikleyebilir.

1.3. Kurul Kararlarının Yerine Getirilmemesi

İnceleme neticesinde Kurul tarafından verilen talimatların (örn: Veri imhası, teknik açığın kapatılması) süresi içinde yerine getirilmemesi, bağımsız bir ihlal maddesi olarak en üst sınırdan cezalandırılmaktadır.

1.4. VERBİS Kayıt ve Bildirim Aykırılığı

çalışan sayısı veya mali bilanço kriterlerine göre Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt yükümlülüğü bulunan şirketlerin bu yükümlülüğü ihmal etmesi veya yanlış beyanda bulunması ağır yaptırım sebebidir.

2. Türk Ceza Kanunu (TCK) Kapsamında Cezai Sorumluluk

Kişisel veri ihlalleri, idari para cezalarının ötesinde hürriyeti bağlayıcı cezalara da konu olabilir. TCK m. 135-140 hükümleri, veri ihlallerini suç olarak tanımlar:

Kişisel Verilerin Kaydedilmesi (TCK 135): Hukuka aykırı olarak veri kaydı yapanlara 1 yıldan 3 yıla kadar hapis cezası öngörülür.
Verileri Yayma ve Ele Geçirme (TCK 136): Kişisel verileri rıza dışı bir başkasına veren veya yayan kişi, 2 yıldan 4 yıla kadar hapis ile cezalandırılır. Suçun mesleki kolaylıktan (doktor, avukat, İK yöneticisi vb.) faydalanarak işlenmesi halinde ceza yarı oranında artırılır.
Verileri Yok Etmeme (TCK 138): Kanuni saklama süreleri dolmasına rağmen verileri silmeyenler 1 yıldan 2 yıla kadar hapis cezası ile karşı karşıya kalabilirler.

3. Veri İhlal Bildirimi ve İtibar Yönetimi

KVKK m. 12/5 uyarınca, veri sorumlusu bir ihlal tespit ettiği andan itibaren en geç 72 saat içinde durumu Kurul'a ve etkilenen kişilere bildirmek zorundadır.

Kamuoyu Duyurusu: Kurul, ihlali kendi web sitesinde yayınlayarak kamuoyuna duyurma yetkisine sahiptir. Bu durum şirketler için telafisi güç ticari itibar kayıplarına, marka değerinin düşmesine ve müşteri kaybına neden olmaktadır.

4. İdari Para Cezalarına İtiraz Usulü

Kurul tarafından kesilen idari para cezaları kesin hüküm niteliğinde değildir.

Yargı Yolu: Veri sorumluları, kararın tebliğinden itibaren 15 gün içinde, kabahatin işlendiği yerdeki Sulh Ceza Hakimliği'ne başvurarak cezaya itiraz edebilirler. İtiraz sürecinde Kurul kararındaki usul hataları ve esasa ilişkin eksiklikler hukuki gerekçelerle sunulmalıdır.

Sıkça Sorulan Sorular

Cezayı şirket öderse, sorumlu çalışana yansıtabilir mi? Evet. İdari para cezası tüzel kişiliğe (şirkete) kesilir. Ancak şirket, zararın oluşmasında ağır kusuru olan çalışana veya yöneticiye ödenen cezayı iç hukuk kuralları ve iş sözleşmesi çerçevesinde rücu edebilir.

Şirketim 50 kişiden az çalışana sahip, risk altında mıyım? Evet. VERBİS kaydı istisnası bulunsa dahi; aydınlatma yapma, veri güvenliğini sağlama ve imha politikası oluşturma yükümlülükleri istisnasız her veri sorumlusu (esnaftan holdinge kadar) için geçerlidir.

Açık rıza aldığımda tüm riskler ortadan kalkar mı? Hayır. Açık rıza sadece veri işleme şartlarından biridir. Verinin güvenliğini sağlamamak veya amacı dışında kullanmak, rıza olsa dahi hukuka aykırılık teşkil eder.

Yasal Uyarı (Disclaimer): Bu içerik, KVKK kapsamındaki cezai ve idari yaptırımlar hakkında genel bilgilendirme amacıyla hazırlanmıştır. Kişisel Veriler Hukuku ve Bilişim Hukuku; dinamik Kurul kararları, sürekli güncellenen teknik standartlar ve karmaşık usul kuralları içeren teknik bir alandır. Yanlış bir teknik yapılandırma veya eksik bir aydınlatma süreci, telafisi güç maddi zararlara ve ceza davalarına yol açabilir. Bu nedenle, KVKK uyum projeleri ve itiraz süreçlerinde bir hukukçu rehberliğinde yürütülen süreçlerle hukuki destek alınması tavsiye edilir.

Yasal Uyarı: Bu içerik, teknolojik imkanlar desteğiyle hazırlanmış bir bilgilendirme metnidir. Sitede yer alan veriler genel bilgilendirme amaçlı olup, hukuki tavsiye veya mütalaa teşkil etmez. Mevzuat ve yargı kararları zamanla değişkenlik gösterebileceğinden, buradaki bilgilerin doğruluğu ve güncelliği noktasında kesinlik arz etmeyebilir. Olası hak kayıplarının önlenmesi adına, sürecin takibi için bir avukattan hukuki yardım alınması önem arz etmektedir. Sitedeki bilgilere dayanarak gerçekleştirilen işlemlerden doğabilecek sorumluluk kullanıcıya aittir.