KOBİ'ler İçin KVKK Uyum Maliyeti: İdari Para Cezasıyla Karşılaştırmalı Hesap

Uyum bütçesi, riskin fiyatıyla birlikte düşünülmelidir

Küçük işletme sahipleri KVKK'yı genellikle bir maliyet kalemi olarak görür: danışman ücreti, yazılım, eğitim ve personelin zamanı. Bu bakış eksik değildir, ancak yalnızca bir tarafı gösterir. KVKK uyum maliyeti, uyumsuzluğun yaratabileceği maliyetlerle birlikte değerlendirildiğinde anlam kazanır.

Bu rehberde KOBİ'lerde en sık görülen ihlalleri, idari para cezalarının nasıl yapılandığını, uyumun doğrudan ve dolaylı maliyet kalemlerini ve 20 çalışanlı örnek bir işletme için adım adım bir hesap yöntemini ele alıyoruz. KOBİ'lerin KVKK kapsamında olup olmadığına ilişkin yaygın yanlışları kobiler için KVKK yazımızda ayrıca anlattık.

KOBİ'lerde en sık görülen ihlaller

Kişisel Verileri Koruma Kurulu'nun (Kurul) yayımladığı karar özetlerinde küçük işletmeleri ilgilendiren dosyalar belirli başlıklarda yoğunlaşır. Maliyet hesabına başlamadan önce, işletmenizde bu başlıklardan hangilerinin gerçekten söz konusu olduğunu belirlemek gerekir; çünkü bütçe en olası riske göre ayrılmalıdır.

Kamera ve biyometrik sistemler: Tuvalet veya dinlenme alanına bakan kameralar, ses kaydı yapan kameralar ve parmak iziyle giriş. Kurul, 2019/81 ve 2019/165 sayılı kararlarında spor salonlarında girişin yalnızca biyometrik yöntemle yapılmasını ölçüsüz bulmuştur.

Çalışan verisinin aydınlatma yapılmadan işlenmesi: 20.05.2020 tarihli ve 2020/404 sayılı kararda bir işverenin tek bir “muvafakatname” ile hem aydınlatma yapmaya hem rıza almaya çalışması aykırı bulunmuştur.

Yanlış kişiye gönderim ve mesajlaşma gruplarında paylaşım: 2020/78 ve 2021/78 sayılı kararlarda çalışan hatası sonucu verilerin üçüncü kişilere ulaşmasından veri sorumlusu sorumlu tutulmuştur.

İzinsiz ticari ileti: 2022/861 ve 2022/1072 sayılı kararlarda izin alınmadan gönderilen reklam e-postaları incelenmiştir.

Yanıtsız başvurular: Bir müşterinin veya eski çalışanın 30 gün içinde yanıtlanmayan başvurusu, çoğu Kurul incelemesinin başlangıç noktasıdır.

Bu senaryoların her birini karar tarihleri ve sayılarıyla KVKK cezası alan şirketler yazımızda ayrıntılı ele aldık.

2026 idari para cezası aralıkları nasıl okunur?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 18. maddesi, idari para cezasını beş yükümlülüğün ihlaline bağlar ve her biri için alt ve üst sınır belirler:

Aydınlatma yükümlülüğü (md. 10): İlgili kişiyi bilgilendirmemek veya eksik bilgilendirmek.

Veri güvenliği yükümlülükleri (md. 12): Gerekli teknik ve idari tedbirleri almamak; ihlal bildirimini yapmamak da çoğu kararda bu kapsamda değerlendirilir.

Kurul kararlarına uymamak (md. 15): Kurul'un verdiği talimatları yerine getirmemek.

Sicile kayıt ve bildirim yükümlülüğü (md. 16): VERBİS kaydı gereken durumda kaydı yapmamak veya güncellememek.

Yurt dışına aktarımda bildirim yükümlülüğü (md. 9): 2024 değişikliğiyle eklenen, standart sözleşmenin Kurum'a bildirilmemesi.

Kanun'daki tutarlar sabit değildir; idari para cezaları her takvim yılı başında yeniden değerleme oranında artırılarak uygulanır. Bu nedenle bir yıl önce okunan rakamlar bugün geçerli olmayabilir. 2026 yılı için güncel alt ve üst sınırları 2026 idari para cezaları yazımızda tablo halinde derledik; maliyet hesabında bu tabloyu kullanmanızı öneririz.

Ceza, alt ve üst sınır arasında Kurul tarafından belirlenir. Kurul kararlarında ihlalin ağırlığı, etkilenen kişi sayısı, verinin niteliği ve veri sorumlusunun kusuru gibi unsurların dikkate alındığı görülür. Aynı olayda birden fazla yükümlülük ihlal edilmişse, örneğin hem veri güvenliği hem bildirim eksikliği varsa, her biri için ayrı ceza verilebilir.

Uyumun doğrudan ve dolaylı maliyetleri

Uyum maliyetini doğru hesaplamak için kalemleri iki gruba ayırmak yararlıdır.

Doğrudan maliyetler: Dış destek: Veri envanteri, boşluk analizi ve metinlerin hazırlanması için danışmanlık veya paket hizmet bedeli. Çoğunlukla tek seferliktir; yıllık gözden geçirme ayrıca planlanır.

Eğitim: Çalışanlar için farkındalık eğitimi ve varsa yenileme eğitimleri.

Temel teknik ve fiziksel önlemler: Kilitli dosya dolabı, evrak kırpma makinesi, yedekleme ve şifreleme, parola yöneticisi, iki faktörlü doğrulama. Küçük işletmelerde bu kalemlerin çoğu mevcut altyapının doğru yapılandırılmasıyla karşılanabilir.

VERBİS: Kayıt yükümlüsü olan işletmeler için kayıt ve güncelleme işlemi; kaydın kendisi için Kurum ücret talep etmez.

Dolaylı maliyetler: Çalışan zamanı: Süreç görüşmeleri, belge onayları ve eğitimlere ayrılan saatler.

Süreç değişikliği: Formların, müşteri kayıt ekranlarının veya kamera yerleşiminin değiştirilmesi.

Sürekli yönetim: Başvuruların yanıtlanması, yeni tedarikçilerin değerlendirilmesi ve yıllık gözden geçirme için ayrılan süre.

Örnek hesap: 20 çalışanlı bir işletme

Tek lokasyonda faaliyet gösteren, 20 çalışanı olan, müşterileriyle telefon ve e-posta üzerinden çalışan, iş yerinde kamera sistemi bulunan ve bordrosunu bir mali müşavirlik bürosuna yaptıran bir ticaret işletmesi düşünelim. İşletme VERBİS kayıt eşiklerinin altında kalıyor; yani kayıt yükümlüsü değil, ancak KVKK'nın diğer yükümlülüklerine tabi.

Hesabı dört adımda yapabilirsiniz:

Riskleri listeleyin: Bu işletme için en olası ihlaller: kamera aydınlatmasının olmaması, çalışan ve müşteri aydınlatma metinlerinin eksikliği, ortak kullanılan şifreler ve müşteri listesinin kişisel cihazlarda tutulması.

Her risk için en ucuz etkili önlemi yazın: Kamera levhası ve kamera aydınlatma metni, iki aydınlatma metni, ortak şifrelerin kaldırılması ve iki faktörlü doğrulama, müşteri listesinin tek bir kurumsal ortamda tutulması.

Önlemlerin iç eforunu ve dış maliyetini tahmin edin: Aşağıdaki tablo bir örnek sunar.

Ceza tarafını ekleyin: Riskli bulduğunuz her yükümlülük için 2026 yılı alt ve üst sınırlarını ilgili yazımızdan alın ve olasılığını düşük, orta veya yüksek olarak işaretleyin.

Bu örnekte iç eforun büyük bölümü tek seferliktir ve birkaç haftaya yayılabilir. Karşılaştırma tablosunun diğer sütununa ise kamera aydınlatması eksikliği için aydınlatma yükümlülüğünün, ortak şifreler ve kişisel cihazlar için veri güvenliği yükümlülüğünün ceza aralıkları yazılır. Bu karşılaştırma, önlemlerin maliyetini en olası risklerin yaptırım aralıklarıyla yan yana görmenizi sağlar; sonuç her işletme için farklıdır ve işletmeye özgü yapılmalıdır.

20 çalışanlı işletme için örnek uyum efor tablosu

Süreler kvkkrehberi.com tarafından planlama amacıyla verilmiş tahminlerdir; işletmenin süreçlerine göre değişir. Tabloya kendi saatlik iç maliyetinizi ve aldığınız tekliflerdeki dış destek bedellerini ekleyerek toplam maliyeti hesaplayabilirsiniz.

Ceza dışındaki riskler: itibar, müşteri kaybı, tazminat

İdari para cezası, uyumsuzluğun tek ve çoğu zaman en büyük maliyeti değildir. Maliyet hesabına şu kalemleri de eklemek gerekir:

İtibar ve müşteri güveni: Küçük işletmelerin müşteri ilişkisi kişiseldir. Müşteri bilgilerinin bir mesajlaşma grubunda dolaştığını öğrenen bir müşteri, şikâyetten önce alışverişi bırakabilir. İhlallerin itibar etkisini veri sızıntısı yazımızda ele aldık.

Kurumsal müşteri kaybı: Büyük şirketler tedarikçi seçerken KVKK uyumunu sorgular, veri işleme sözleşmesi ve güvenlik kanıtı ister. Uyum belgesi sunamayan bir KOBİ, ihaleden veya tedarikçi listesinden çıkabilir.

Tazminat: KVKK'nın 14. maddesi, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat haklarının saklı olduğunu belirtir. İdari para cezasından bağımsız olarak ilgili kişi, uğradığı zarar için dava açabilir.

Cezai sorumluluk: Kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi veya ele geçirilmesi gibi fiiller Türk Ceza Kanunu kapsamında suç oluşturabilir. Kurul bazı kararlarında dosyayı Cumhuriyet başsavcılığına iletmiştir.

Operasyonel kesinti: Bir veri ihlali veya Kurul incelemesi, yöneticinin haftalarca zamanını alabilir; bu süre de bir maliyettir.

Bütçe dostu uyum yol haritası

Bütçesi sınırlı bir KOBİ için en verimli yaklaşım, uyumu üç aya yayılan üç adımda tamamlamaktır. Her adımın sonunda somut bir çıktı olmalıdır.

1. ay — Görünürlük: Veri haritasını çıkarın, en olası üç riski belirleyin ve ücretsiz ya da düşük maliyetli önlemleri hemen alın: ortak şifreleri kaldırın, kamera levhasını asın, işten ayrılanların hesaplarını kapatın.

2. ay — Belgeler: Çalışan, müşteri ve kamera aydınlatma metinlerini hazırlayın, açık rızayı yalnızca gerektiği yerde isteyin, mali müşavir ve yazılım sağlayıcısıyla sözleşme eklerini imzalayın.

3. ay — Süreklilik: Çalışanlara kısa bir farkındalık eğitimi verin, başvuru ve ihlal prosedürünü yazın, yıllık gözden geçirme tarihini takvime ekleyin.

Bu sıralama, bütçenin önce en olası ve en yüksek etkili risklere gitmesini sağlar. Daha büyük ve çok şubeli yapılarda proje fazlarının nasıl planlandığını KVKK uyum süreci yazımızda, çalışan eğitiminin departmanlara göre nasıl kurgulandığını ise rol bazlı KVKK eğitimi yazımızda anlattık.

Bu yazıdaki hesap yöntemi farkındalık ve planlama amaçlıdır; bir işletmenin somut risk düzeyi ve olası yaptırımlar için somut olay özelinde hukuki değerlendirme alınmalıdır.

Sonuç ve sonraki adım

KVKK uyum maliyeti, bir KOBİ için çoğunlukla tek seferlik dış destek ve birkaç haftalık iç eforla sınırlıdır; buna karşılık uyumsuzluğun maliyeti idari para cezası, tazminat, müşteri kaybı ve itibar zararı olarak birden fazla kalemde ortaya çıkabilir. Doğru hesap, işletmenize özgü en olası riskleri listeleyip her biri için en ucuz etkili önlemi yazmak ve bunu güncel ceza aralıklarıyla karşılaştırmaktır. Üç aylık bir yol haritası, bütçeyi zorlamadan bu önlemleri hayata geçirmenin gerçekçi yoludur.

Sık sorulan sorular