Adım Adım KVKK'dan GDPR'a — Bölüm 2: İdari Para Cezaları

1. KVKK'da idari para cezaları: bugünkü sistem nasıl çalışıyor?

Kişisel verilerin korunması yalnızca aydınlatma metni hazırlamak veya birkaç teknik güvenlik tedbiri almak demek değildir. Bu alan, kişinin özel hayatını ve kişiliğini koruyan temel bir hak rejimidir. Bir hakkın uygulamada etkili olabilmesi için ihlale bağlanan sonuçların da etkili olması gerekir. İdari para cezaları bu sonuçlardan yalnızca biridir; fakat işletmeler açısından en görünür olanıdır.

Türkiye'deki temel çerçeve, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesinde yer alır. Madde, her Kanun ihlalini tek tek cezalandıran genel bir hüküm kurmak yerine belirli yükümlülüklere aykırılıkları kabahat olarak düzenler.

Hangi ihlaller idari para cezasına yol açabilir?

Kanunun güncel yapısında beş ana kabahat bulunur:

• Aydınlatma yükümlülüğünün yerine getirilmemesi,

• Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi,

• Kişisel Verileri Koruma Kurulu kararlarının yerine getirilmemesi,

• Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırılık,

• Yurt dışına veri aktarımında standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmemesi.

İlk dört kabahat bakımından para cezası veri sorumlusuna yönelir. Standart sözleşmeye ilişkin bildirim yükümlülüğünde ise veri sorumlusu yanında veri işleyen de cezanın muhatabı olabilir.

Bu ayrım önemlidir. Çünkü Kanundaki her hukuka aykırılık doğrudan 18. maddede ayrı bir para cezası başlığına dönüşmez. Buna rağmen bir işleme faaliyetinin Kanuna aykırı olması; Kurulun faaliyetin durdurulmasına, eksikliğin giderilmesine veya verilerin silinmesine yönelik karar vermesine yol açabilir. Bu kararın yerine getirilmemesi de ayrıca para cezası doğurabilir. Türk Ceza Kanunu kapsamındaki suçlar ile ilgili kişinin tazminat talebi de idari para cezasından ayrı hukuki yollardır.

2026 yılında uygulanan ceza aralıkları

Kanunda yazan başlangıç tutarları her yıl yeniden değerleme oranına göre artırılır. Kişisel Verileri Koruma Kurumunun 31 Aralık 2025'te yayımladığı resmî tabloya göre 2026 aralıkları şöyledir:

Bu rakamlar “her ihlalde otomatik uygulanacak tarife” değildir. Kanun bir alt ve üst sınır verir; somut ceza bu aralıkta belirlenir. Tutarların dayanağı ve yeniden değerleme oranı için 2026 yılı KVKK idari para cezaları yazımıza bakabilirsiniz.

2026 KVKK idari para cezası aralıkları

Kurul ceza miktarını neye göre belirliyor?

Kabahatler Kanunu uyarınca yaptırım belirlenirken kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumu dikkate alınır. İncelenen uzmanlık çalışması, Kurulun değerlendirmesini üç aşamalı bir yapı içinde açıklar:

1. İhlalin ağırlığı, kapsamı ve doğurduğu zarar değerlendirilir.

2. Veri sorumlusunun kusuru ile ağırlaştırıcı veya hafifletici davranışları incelenir.

3. Veri sorumlusunun ekonomik durumu hesaba katılır.

İşlenen verinin niteliği, çocuklar gibi kırılgan grupların etkilenmesi, ihlalin kaç kişiye yayıldığı, ne kadar sürdüğü, tekrar edip etmediği ve ilgili kişiler üzerinde maddi ya da manevi zarar doğurması cezanın ağırlığını etkileyebilir. Yapay zekâ gibi ileri tekniklerin kullanılması, hukuka aykırı faaliyetin bir hizmetten yararlanmanın ön şartına dönüştürülmesi veya ihlal sayesinde önemli menfaat sağlanması da değerlendirmede önem kazanabilir.

Kusur tarafında ise ihlalin kasıtlı mı, ihmalle mi gerçekleştiği; geçmişte benzer aykırılık bulunup bulunmadığı; inceleme sırasında doğru bilgi verilip verilmediği ve Kurumla iş birliği yapılıp yapılmadığı önemlidir. İhlali erken tespit etmek, etkisini azaltmak ve yasal zorunluluğun ötesinde düzeltici önlem almak işletmenin lehine değerlendirilebilir. Kurul kararlarında öne çıkan ihlal türleri için KVKK cezaları hangi ihlallerde geliyor? yazımıza göz atabilirsiniz.

Mevcut sistemin güçlü ve tartışmalı tarafı

Türk sistemi, her ihlal kategorisi için kanunda öngörülen ve yıllık olarak güncellenen sabit bir para aralığına dayanır. Bu yöntem öngörülebilir bir yasal çerçeve sağlar. Bununla birlikte aynı üst sınırın küçük bir işletme ile çok yüksek ciroya sahip küresel bir şirket üzerinde aynı caydırıcılığı yaratıp yaratmadığı tartışmaya açıktır.

Tam bu noktada GDPR modeli farklılaşır. Orada işletmenin büyüklüğü ve cirosu yalnızca tali bir unsur değil, cezanın yasal tavanını ve hesaplamanın başlangıç noktasını etkileyen temel bileşenlerden biridir.

2. GDPR cezaları neden ciro üzerinden konuşuluyor?

Avrupa Birliği ülkeleri genelinde uygulanan kişisel veri koruma mevzuatı “GDPR cezaları” denildiğinde çoğu kişinin aklına “20 milyon avro veya cironun yüzde 4'ü” gelir. Bu ifade doğru olmakla birlikte tek başına eksiktir. Çünkü GDPR, her ihlalde doğrudan bu tutarın uygulandığı bir tarife kurmaz. Bunlar cezanın üst sınırlarıdır; gerçek ceza somut olayın özelliklerine göre belirlenir.

Dahası, GDPR'da para cezası tek yaptırım aracı değildir. Denetim otoritesi uyarı veya kınama verebilir, veri işleme faaliyetinin mevzuata uygun hale getirilmesini emredebilir, işleme faaliyetini sınırlayabilir, veri akışını durdurabilir veya sertifikayı geri çekebilir. Para cezası bu önlemlere ek olarak ya da onların yerine uygulanabilir.

İki kademeli üst sınır

GDPR'ın 83. maddesi iki ana ceza kademesi kurar:

• Bazı yükümlülük ihlallerinde üst sınır 10 milyon avro veya bir önceki mali yılın dünya çapındaki yıllık cirosunun yüzde 2'sidir. Hangisi yüksekse o sınır esas alınır.

• Temel ilkeler, hukuka uygunluk şartları, ilgili kişi hakları ve belirli aktarım kuralları gibi daha ağır ihlallerde üst sınır 20 milyon avro veya dünya çapındaki yıllık cironun yüzde 4'üdür. Yine yüksek olan sınır uygulanır.

Buradaki “yüzde 4” cezanın otomatik olarak cironun yüzde 4'ü olacağı anlamına gelmez. Olayda uygulanabilecek azami sınırı gösterir.

Üç temel ilke: etkili, orantılı ve caydırıcı

Her ceza, olayın koşulları içinde etkili, orantılı ve caydırıcı olmalıdır. Bu üçlü denge iki zıt riski önlemeye çalışır. Ceza, ihlali sıradan bir işletme maliyetine dönüştürecek kadar düşük olmamalı; buna karşılık ihlalin ağırlığıyla bağını koparacak kadar aşırı da olmamalıdır.

Bu nedenle denetim otoritesi; ihlalin niteliğini, ağırlığını, süresini, etkilenen kişi sayısını, zararın derecesini, kasıt veya ihmali, etkilenen veri kategorilerini, önceki ihlalleri, otoriteyle iş birliğini ve ihlalin nasıl öğrenildiğini birlikte değerlendirir.

EDPB'nin beş adımlı hesaplama yöntemi

Avrupa Veri Koruma Kurulu (EDPB), üye ülkelerde daha uyumlu bir uygulama sağlamak için 2023'te kesinleşen rehberinde beş adımlı bir yöntem ortaya koydu:

EDPB'nin beş adımı

GDPR'ın asıl farkı rakam değil, yöntem

GDPR modelinin ayırt edici tarafı 20 milyon avroluk manşet tutarından çok, ihlalin niteliğini işletmenin ekonomik ölçeğiyle aynı hesap içinde buluşturmasıdır. Böylece aynı ihlal, küçük bir işletme ve küresel bir grup açısından farklı başlangıç noktaları üretebilir.

Bu yaklaşım tam matematiksel kesinlik sağlamaz. Denetim otoritelerinin somut olaya ilişkin takdir alanı devam eder. Ancak hangi unsurların hangi sırayla ele alınacağını görünür hale getirir.

3. KVKK ve GDPR ceza sistemleri arasındaki temel farklar

KVKK ile GDPR'ın ortak amacı kişisel verilerin etkili biçimde korunmasıdır. İki taraf da ihlalin ağırlığını, kusuru ve olayın sonuçlarını önemser. Bununla birlikte cezanın kime yöneldiği, yasal tavanın nasıl belirlendiği ve ekonomik büyüklüğün hesaba nasıl katıldığı noktasında önemli farklar vardır.

KVKK ve GDPR ceza sistemlerinin karşılaştırması

Sabit üst sınır ile ciro bağlantılı üst sınır

En görünür fark budur. KVKK'da 2026 için veri güvenliği ihlalinin üst sınırı 17.092.242 TL'dir. Bu tutar, veri sorumlusunun yıllık cirosuna göre kendiliğinden yükselmez. GDPR'da ise ağır bir ihlalin üst sınırı, işletmenin küresel yıllık cirosunun yüzde 4'üne kadar çıkabilir.

Bu fark, büyük şirketlerde caydırıcılık tartışmasını doğurur. Sabit bir ceza küçük işletme için çok ağır, küresel bir şirket için ise sınırlı bir maliyet olabilir. Ciro bağlantısı bu eşitsizliği azaltmayı amaçlar; fakat cironun yüksek olması tek başına ihlalin ağır olduğu anlamına gelmediğinden orantılılık kontrolü yine gereklidir.

Ekonomik durumun sistem içindeki yeri

KVKK uygulamasında ekonomik durum, cezanın kanuni aralık içinde belirlenmesinde kullanılan unsurlardan biridir. GDPR yönteminde ise ekonomik ölçek daha erken devreye girer: hem azami tutarı hem de EDPB hesabındaki başlangıç noktasını etkiler.

Başka bir ifadeyle KVKK'da ekonomik durum “aralık içinde nereye yerleşileceğini”, GDPR'da ise bunun yanında “aralığın tavanının nerede oluşacağını” da etkileyebilir.

Veri işleyenin doğrudan sorumluluğu

GDPR, veri işleyenlere doğrudan yükümlülükler getirir ve bunların ihlalinde idari para cezasına imkân tanır. KVKK'nın 18. maddesinde para cezalarının ana muhatabı veri sorumlusudur. 2024'te yürürlüğe giren yurt dışı aktarım değişikliğiyle, standart sözleşmenin süresinde bildirilmemesi bakımından veri işleyen de açıkça yaptırım kapsamına alınmıştır.

Bu gelişme, Türkiye'de veri işleyen sorumluluğunun gelecekte daha görünür hale gelebileceğine ilişkin bir işaret olarak okunabilir; ancak tek başına bütün kabahatlerin veri işleyenlere genişletileceği sonucunu vermez.

Aynı olay iki sistemde nasıl ele alınabilir?

Bir çevrim içi hizmetin, müşterilerin konum ve ödeme verilerini uzun süre yetersiz güvenlik tedbirleriyle tuttuğunu ve bir ihlal sonucunda çok sayıda kişinin etkilendiğini düşünelim.

KVKK bakımından veri güvenliği yükümlülüğüne aykırılık gündeme gelir. Kurul; verinin hassasiyetini, etkilenen kişi sayısını, ihlalin süresini, zararı, şirketin kusurunu, önceki davranışlarını ve ekonomik durumunu değerlendirerek 2026 kanuni aralığı içinde bir tutar belirleyebilir. İhlal bildiriminin geç yapılması veya Kurul kararının uygulanmaması, olayın özelliklerine göre ayrıca sonuç doğurabilir.

GDPR bakımından önce yaptırıma konu davranışların sayısı ve ilgili ceza kademesi tespit edilir. Ardından ihlalin ciddiyeti ile işletmenin cirosuna göre başlangıç noktası oluşturulur; ağırlaştırıcı-hafifletici unsurlar eklenir ve ciro bağlantılı yasal tavan kontrol edilir. Son aşamada cezanın etkili, caydırıcı ve orantılı olup olmadığı değerlendirilir.

Bu örneğin amacı bir ceza miktarı hesaplamak değildir. Aynı vakada iki sistemin hangi soruları hangi sırayla sorduğunu göstermektir.

Uyum programları için ortak ders

İki rejim arasındaki farklara rağmen şirketler açısından ortak mesaj nettir: ihlalden sonra gösterilen çaba önemlidir, fakat ihlalden önce kurulmuş ve belgelenmiş bir uyum sistemi daha değerlidir.

Veri envanterinin güncel tutulması, rol ve sorumlulukların belirlenmesi, risk temelli güvenlik tedbirleri, tedarikçi kontrolleri, çalışan eğitimleri, ihlal müdahale planı ve kararların kayıt altına alınması yalnızca ihlali önlemeye yardımcı olmaz. Bir inceleme halinde şirketin kusuru, özeni ve düzeltici kapasitesi hakkında da somut delil oluşturur.

4. KVKK'nın geleceğinde nasıl bir ceza mekanizması olabilir?

Türkiye'de veri koruma ceza sisteminin geleceğini tartışırken iki uçtan kaçınmak gerekir. Birincisi, GDPR'daki yüzde 4 kuralının kısa sürede aynen alınacağını varsaymaktır. İkincisi ise bugünkü sabit aralıklı sistemin değişmeden kalacağını kesin kabul etmektir. Mevcut resmî metinler, ilan edilmiş bir ciro esaslı KVKK reformunu göstermiyor. Buna karşılık karşılaştırmalı hukuk, olası gelişim yönlerini değerlendirmek için güçlü işaretler sunuyor.

Bu nedenle aşağıdaki değerlendirmeler bir mevzuat haberi veya kesin öngörü değil, incelenen uzmanlık çalışmasından ve farklı ülke modellerinden türetilen senaryolardır.

Dünya tek bir model kullanmıyor

Almanya, GDPR'ın ortak çerçevesi içinde şirket büyüklüğü ve günlük ciroyu hesaba katan aşamalı bir yöntem geliştirdi. Birleşik Krallık, Brexit sonrasında da ihlalin ciddiyeti ve ciro üzerinden başlangıç tutarı oluşturulan bir hesaplama yaklaşımını sürdürdü. Brezilya, belirli ihlallerde şirketin Brezilya'daki gelirinin yüzde 2'sine kadar, ihlal başına 50 milyon real ile sınırlı bir para cezası öngördü. Çin'in Kişisel Bilgilerin Korunması Kanunu ise ağır ihlallerde 50 milyon yuana ya da önceki yıl cirosunun yüzde 5'ine kadar ceza öngören güçlü yaptırımların yanında, sorumlu yöneticilere yönelik kişisel sonuçlar da düzenledi.

Bu örnekler üç ortak eğilimi gösteriyor:

1. İşletmenin ekonomik büyüklüğü daha görünür hale geliyor.

2. İhlalin ciddiyeti ile ceza arasında açıklanabilir bir bağ kurulmaya çalışılıyor.

3. Para cezası, talimat, faaliyet sınırlaması ve kimi sistemlerde yönetici sorumluluğuyla birlikte düşünülüyor.

Senaryo 1: Mevcut sistemin şeffaflaştırılması

En sınırlı değişim senaryosunda kanundaki sabit alt ve üst sınırlar korunur; fakat ceza hesabında kullanılan kriterler daha ayrıntılı bir rehberle kamuya açıklanır.

Böyle bir modelde ihlalin ciddiyet seviyeleri, etkilenen kişi sayısı, veri kategorisi, ihlalin süresi, kusur, iş birliği ve ekonomik durum için daha görünür basamaklar oluşturulabilir. Bu yaklaşım, kanun değişikliği gerektirmeden veya sınırlı değişiklikle öngörülebilirliği artırabilir.

İncelenen uzmanlık çalışmasında aktarılan haksızlık-kusur-ekonomik durum yaklaşımı, böyle bir rehberin kavramsal zeminini sağlayabilir.

Senaryo 2: Hibrit model

İkinci senaryoda mevcut sabit tutarlar korunurken büyük ölçekli işletmeler için ciro bağlantılı alternatif bir üst sınır eklenebilir. Örneğin kanun, sabit üst sınır ile cironun belirli bir oranından yüksek olanın uygulanmasına izin verebilir.

Bu modelin avantajı, küçük işletmeler için ölçülülüğü korurken çok büyük şirketlerde caydırıcılığı artırabilmesidir. Buna karşılık “ciro”nun şirket, ekonomik bütünlük veya grup düzeyinde mi hesaplanacağı; Türkiye cirosunun mu, küresel cironun mu esas alınacağı ve kamu kurumları bakımından nasıl uygulanacağı açıkça düzenlenmelidir.

Senaryo 3: GDPR'a yakın, kademeli ve ciro esaslı model

En kapsamlı senaryoda ihlaller ağırlıklarına göre kademelere ayrılır; para cezasının başlangıç noktası ciddiyet ve ciroyla bağlantılı olarak hesaplanır; ağırlaştırıcı ve hafifletici unsurların ardından yasal tavan ve orantılılık kontrolü yapılır.

Bu model, yüksek ekonomik güce sahip veri sorumluları bakımından daha caydırıcı olabilir ve Avrupa Birliği ile düzenleyici yakınlaşmayı destekleyebilir. Ancak yalnızca yüksek tavanlar getirmek yeterli olmaz. Hesaplama metodunun yayımlanması, karar gerekçelerinin tutarlı olması, benzer olayların benzer biçimde ele alınması ve etkili yargısal denetim gerekir.

Hangi başlıklar reform tartışmasının merkezinde olabilir?

Olası bir değişiklikte yalnızca “ceza kaç lira olacak?” sorusuna odaklanmak eksik kalır. Asıl tasarım soruları şunlardır:

• İhlaller hafif ve ağır biçimde kademelendirilecek mi?

• Ciro, yalnızca ekonomik durum göstergesi mi olacak, yoksa yasal üst sınırı mı belirleyecek?

• Veri işleyenlerin doğrudan sorumluluğu genişleyecek mi?

• Birbiriyle bağlantılı birden fazla ihlalde cezaların birleşmesi nasıl düzenlenecek?

• İhlali kendiliğinden bildirme ve zararı hızla azaltma ne ölçüde indirim sağlayacak?

• Tekrarlanan ihlaller ve incelemeyi engelleme nasıl ağırlaştırılacak?

• Para cezası dışındaki düzeltici araçlarla ceza arasındaki ilişki nasıl kurulacak?

• Hesaplama yöntemi kamuya açık ve denetlenebilir olacak mı?

Şirketler bugünden ne yapmalı?

Gelecekteki mevzuatın tam biçimi bilinmese de hazırlık yönü bellidir. Uyum programlarını yalnızca mevcut ceza üst sınırına göre bütçelemek yerine, işlenen verinin riski ve faaliyetin ölçeği üzerinden kurmak gerekir.

Özellikle büyük veri hacmi işleyen, çocuklara hizmet sunan, sağlık-finans-konum verisi kullanan, davranışsal reklam veya yapay zekâ uygulamalarına başvuran şirketler; “Bir ihlal olursa en fazla ne öderiz?” sorusundan önce “Bu faaliyet kişilere ne ölçüde zarar verebilir ve aldığımız önlemleri nasıl kanıtlarız?” sorusunu sormalıdır.

GDPR'ın ve diğer ülke modellerinin ortak mesajı budur: Geleceğin ceza mekanizması yalnızca ihlalin varlığına değil; ihlalin ölçeğine, şirketin ekonomik gücüne, kusuruna ve ihlal sonrasındaki davranışına daha yakından bakacaktır. Türkiye'de reformun hangi hız ve biçimde gerçekleşeceği belirsizdir; ancak risk temelli, belgelenebilir ve yönetim seviyesinde sahiplenilen bir veri koruma programı her senaryoda en güvenli yatırımdır.

Hem Türkiye hem AB'de faaliyet gösteren şirketler için global şirketlere yönelik KVKK çözümlerimize, risk temelli bir uyum programı kurmak için KVKK danışmanlığı hizmetimize göz atabilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır; hukuki danışmanlık değildir. Yazıda belirtilen tutarlar 2026 yılı için geçerlidir.

Sık Sorulan Sorular