KVKK İdari Para Cezaları 2026: Güncel Tutarlar, Hesaplama ve İtiraz Yolları

KVKK idari para cezaları 2026 yılı için yeniden değerleme oranı uyarınca güncellendi. Ancak şirketler açısından tutarların kendisi kadar önemli iki soru daha var: Kurul bu aralığın neresinden ceza kesiyor ve ceza tebliğ edildiğinde nereye başvuruluyor? Bu ikinci soru 2024'te sessizce değişti; piyasadaki pek çok kaynak hâlâ eski usulü anlatıyor. Bu yazı, 2026 tutarlarını tablo hâlinde verdikten sonra cezanın belirlenme mantığını, ödeme seçeneklerini ve güncel yargı yolunu ele alıyor.

2026 yılı KVKK ceza tutarları

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi beş ayrı kabahat tanımlar ve her biri için bir alt–üst sınır belirler. Kişisel Verileri Koruma Kurumu'nun 31 Aralık 2025 tarihli duyurusuyla açıklanan 2026 tutarları şöyledir:

Tablodaki en yüksek rakam olan 17.092.242 lira, tek bir ihlalin üst sınırıdır. Bir denetimde birden fazla kabahatin birlikte tespit edilmesi mümkündür; bu durumda her kabahat için ayrı ceza gündeme gelir. Uygulamada bir veri ihlali dosyasında aynı anda hem veri güvenliği hem aydınlatma hem de VERBİS yükümlülüğünün ihlal edildiğinin tespit edilmesi sık görülen bir tablodur.

Tutarlar nasıl belirleniyor? Yeniden değerleme mekanizması

Bu tutarlar Kanun metninde yazılı değildir. Kanun'un ilk hâlindeki rakamlar 5.000 lira ile 1.000.000 lira arasındaydı. Aradaki fark, 5326 sayılı Kabahatler Kanunu'nun idari para cezalarının her takvim yılı başında yeniden değerleme oranında artırılmasını öngören düzenlemesinden kaynaklanır.

Yeniden değerleme oranı, 213 sayılı Vergi Usul Kanunu'nun mükerrer 298. maddesi uyarınca Hazine ve Maliye Bakanlığı tarafından belirlenir ve her yıl kasım ayında Resmî Gazete'de yayımlanır. 2026 yılı için uygulanan oran %25,49'dur.

Bunun pratik sonucu şudur: KVKK ceza tutarları her ocak ayında, ayrıca bir kanun değişikliği yapılmasına gerek olmaksızın artar. 2025'te yapılan bir uyum bütçesi hesabı 2026'da geçerliliğini yitirir. Uyum maliyetini ceza riskiyle karşılaştıran şirketlerin bu karşılaştırmayı yıllık olarak yenilemesi gerekir.

Hangi ihlal hangi maddeye dayanıyor?

Tablodaki beş satır, Kanun'un beş ayrı yükümlülüğüne karşılık gelir. Bunları pratik karşılıklarıyla açmak, riskin nerede yoğunlaştığını görmeyi kolaylaştırır.

Aydınlatma yükümlülüğü (m.10). Kişisel veri, ilgili kişiden alınırken; veri sorumlusunun kimliği, işleme amacı, aktarılacağı taraflar, toplama yöntemi ve hukuki sebebi hakkında bilgi verilmesi gerekir. Uygulamada ceza çoğu zaman aydınlatma metninin hiç bulunmamasından değil, metnin genel geçer ifadelerle yazılmasından, açık rıza metniyle birleştirilmesinden veya veri işleme faaliyetinin gerçeğiyle örtüşmemesinden doğar.

Veri güvenliği (m.12). Tablodaki en yüksek üst sınırlardan biri buradadır ve Kurul'un en sık ceza verdiği başlıktır. Yükümlülük, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak üzere uygun teknik ve idari tedbirlerin alınmasını kapsar. "Uygun" ölçütü mutlak değildir; işlenen verinin niteliği, hacmi ve teknolojinin geldiği nokta birlikte değerlendirilir. Bir yazılım açığının şirket dışından kaynaklanması sorumluluğu tek başına ortadan kaldırmaz; kritik olan, ihlal anında hangi tedbirlerin alınmış olduğudur.

Kurul kararlarının yerine getirilmemesi (m.15). Kurul bir şikâyet üzerine veya resen inceleme yapar ve ihlal tespit ederse giderilmesine karar verir. Bu kararın gereği yerine getirilmezse, ilk ihlalden bağımsız ikinci bir ceza gündeme gelir. Alt sınırın 427.263 lira ile tablodaki en yüksek alt sınır olması tesadüf değildir.

VERBİS kayıt ve bildirim (m.16). Kayıt yükümlülüğü, yıllık çalışan sayısı ve mali bilanço büyüklüğü gibi ölçütlere göre belirlenen veri sorumluları için geçerlidir; ana faaliyeti özel nitelikli kişisel veri işlemek olanlar bakımından bu eşikler aranmaz. Yükümlülük yalnızca ilk kayıtla sınırlı değildir — envanterde değişiklik olduğunda bildirimin güncellenmesi de gerekir.

Standart sözleşme bildirimi (m.9). 2024'te yeniden düzenlenen yurt dışına aktarım rejiminin bir parçasıdır. Kurul tarafından ilan edilen standart sözleşme imzalandığında, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Bildirim yapılmaması başlı başına bir kabahattir. Yurt dışında sunucu kullanan şirketler için bu yükümlülük, en kolay gözden kaçan kalemlerden biridir; konuyu SaaS sözleşmelerinde veri sorumlusu – veri işleyen ayrımı başlıklı yazımızda ayrıntılı ele aldık.

Ceza nasıl gündeme gelir? Şikâyetten karara süreç

İdari para cezası, çoğu zaman ilk temas noktası değildir. Süreç genellikle üç yoldan birinden başlar: bir ilgili kişinin veri sorumlusuna başvurup yanıt alamaması ya da yanıtı yetersiz bulup Kurula şikâyette bulunması; veri sorumlusunun kendi yaptığı veri ihlali bildirimi; ya da Kurulun resen inceleme başlatması.

Bunu, Kurumun veri sorumlusundan bilgi ve belge talep ettiği aşama izler. Bu talebe verilen yanıt, dosyanın seyri bakımından belirleyicidir: veri işleme envanteri, aydınlatma metni, saklama ve imha politikası, veri işleyen sözleşmeleri, teknik tedbirlere ilişkin kayıtlar ve yetki matrisi bu aşamada istenebilecek belgelerdendir. Bu belgelerin talep anında hazır bulunmaması, çoğu zaman uyum çalışmasının hiç yapılmadığı yönünde bir değerlendirmeye zemin hazırlar.

İnceleme sonucunda Kurul ihlal tespit ederse, aynı kararda hem giderim yönünde talimat verebilir hem de idari para cezasına hükmedebilir. Talimatın gereğinin yerine getirilmemesi, başlangıçtaki ihlalden bağımsız ikinci bir kabahat oluşturur.

Ceza kime kesilir: veri sorumlusuna mı, veri işleyene mi?

Bu soru 2024'te netleşti ve pratikte önemli bir sonuç doğurdu.

12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile KVKK'nın 18. maddesine eklenen fıkra uyarınca, maddede öngörülen idari para cezaları veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Düzenleme 1 Haziran 2024'te yürürlüğe girmiştir.

Bunun anlamı şudur: bir bulut hizmeti sağlayıcısı, çağrı merkezi, bordro firması veya yazılım tedarikçisi, "biz yalnızca müşterimizin talimatıyla işliyoruz" gerekçesiyle ceza riskinin tamamını müşterisine devredemez. Kendi sorumluluk alanına giren bir yükümlülüğü ihlal ettiğinde doğrudan muhatap olabilir.

Tedarikçi tarafında yer alan şirketler için bu, sözleşmelerdeki sorumluluk sınırlaması hükümlerini yeniden okumayı gerektiren bir değişikliktir: sözleşmeyle üstlenilmeyen bir risk, idari para cezası söz konusu olduğunda sözleşmeyle bertaraf edilemez.

Kurul cezayı alt sınırdan mı, üst sınırdan mı belirliyor?

Kanun her kabahat için geniş bir aralık verir; bu aralığın neresinde durulacağını Kurul takdir eder. Takdir sınırsız değildir. Kabahatler Kanunu, idari para cezasının miktarının belirlenmesinde işlenen kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumunun birlikte göz önünde bulundurulmasını öngörür.

Kurul kararlarının gerekçeleri incelendiğinde, aşağıdaki unsurların tutarı yukarı çektiği görülmektedir:

1. Etkilenen ilgili kişi sayısının yüksekliği
2. İşlenen verinin özel nitelikli olması (sağlık, biyometrik, ceza mahkûmiyeti gibi)
3. İhlalin uzun süre fark edilmemiş olması
4. Veri sorumlusunun ölçeği ve ekonomik büyüklüğü
5. Aynı veri sorumlusu hakkında daha önce verilmiş kararların bulunması
6. İhlalin öğrenilmesinden sonra bildirimin gecikmesi

Buna karşılık, ihlalin kendiliğinden tespit edilip Kuruma bildirilmesi, etkilenen kişilere bilgi verilmesi ve tespit sonrasında somut teknik önlemlerin hızla hayata geçirilmiş olması, gerekçelerde hafifletici yönde değerlendirilen unsurlardır. Bu nedenle bir ihlal yaşandığında ilk saatlerde alınan kayıt altına alma ve bildirim kararları, yalnızca yükümlülüğün yerine getirilmesi bakımından değil, cezanın miktarı bakımından da sonuç doğurur.

Cezaya itiraz: 1 Haziran 2024'te değişen yargı yolu

Burası, bu yazının en çok dikkat edilmesi gereken bölümüdür.

KVKK idari para cezalarına karşı uzun süre, Kabahatler Kanunu'nun genel düzenlemesi çerçevesinde sulh ceza hâkimliğine on beş gün içinde itiraz edilmekteydi. 7499 sayılı Kanun ile 18. maddeye eklenen fıkra bu tabloyu değiştirmiştir: Kurul tarafından verilen idari para cezalarına karşı idare mahkemesinde dava açılır. Düzenleme 1 Haziran 2024'te yürürlüğe girmiştir.

İdari yargıda dava açma süresi, 2577 sayılı İdari Yargılama Usulü Kanunu'nun 7. maddesi uyarınca kural olarak altmış gündür ve süre kararın tebliğ edildiği günü izleyen günden itibaren işlemeye başlar.

Uygulamada iki nokta önem taşır. Birincisi, hangi rejimin geçerli olduğu kararın tarihine göre belirlenir; eski tarihli bir karara yeni usulle, yeni tarihli bir karara eski usulle başvurmak süre kaybına yol açar. İkincisi, internette bulunan pek çok kaynak hâlâ "on beş gün içinde sulh ceza hâkimliği" bilgisini vermektedir. Altmış günlük süre hak düşürücü niteliktedir; kaçırılması hâlinde cezanın esasına ilişkin denetim imkânı ortadan kalkar.

Dava dilekçesinde, cezanın iptali talebinin yanında yürütmenin durdurulması talebine yer verilip verilmeyeceği somut olayın koşullarına göre değerlendirilir.

Yargı yolundaki bu değişiklik yalnızca merci ve süreyle sınırlı değildir. İtiraz usulünde inceleme dosya üzerinden ve dar kapsamlı yürürken, idari yargıda uyuşmazlık iptal davası olarak ele alınır: idari işlemin yetki, şekil, sebep, konu ve maksat yönlerinden hukuka uygunluğu denetlenir. Bu, veri sorumlusu bakımından yalnızca miktarın değil, cezaya esas alınan tespitlerin ve gerekçenin de tartışılabileceği anlamına gelir. Buna karşılık idari yargılama usulünün dilekçe düzenine ilişkin biçimsel gerekleri daha katıdır ve eksikliklerin sonuçları ağırdır.

Ödeme, indirim ve dava açmanın etkisi

Kabahatler Kanunu, idari para cezasının kanun yoluna başvurulmadan önce ödenmesi hâlinde dörtte bir oranında indirim uygulanmasını öngörür. Aynı düzenleme, peşin ödemenin ilgilinin karara karşı kanun yoluna başvurma hakkını etkilemediğini de belirtir.

Bu hükmün KVKK cezalarına uygulanıp uygulanmayacağı tartışmalıdır. Cezanın denetiminin idari yargıya geçmiş olması, Kabahatler Kanunu'nun genel hükümlerinin uygulanmasına engel oluşturmaz görüşü savunulabilirse de, konuya ilişkin yerleşik bir uygulama birliğinden söz etmek güçtür. İndirimden yararlanmayı düşünen bir veri sorumlusunun, ödeme yapmadan önce somut olay bakımından değerlendirme alması yerinde olur.

Ödeme ile dava açma arasındaki ilişki bakımından dikkat edilmesi gereken husus, sürelerin birbirinden bağımsız işlediğidir: ödeme süresinin dolması dava açma süresini durdurmaz.

Ceza kararlarında en sık karşılaşılan altı eksik

Kurul kararlarında tekrar eden tablolar, uyum çalışmasında öncelik sırasını belirlemeye yardımcı olur:

1. Aydınlatma metninin fiilî işleme faaliyetiyle örtüşmemesi. Metnin varlığı değil, doğruluğu denetlenir.
2. Erişim yetkilerinin gözden geçirilmemesi. Ayrılan çalışanların hesaplarının kapatılmaması ve yetki matrisinin bulunmaması sık rastlanan tespitlerdendir.
3. Log kayıtlarının tutulmaması veya yetersiz süreyle saklanması. İhlalin kapsamı gösterilemediğinde değerlendirme veri sorumlusunun aleyhine yapılır.
4. Veri işleyenle yazılı sözleşme bulunmaması. Tedarikçiyle ilişki hizmet sözleşmesiyle kurulmuş, ancak veri işleme boyutu hiç düzenlenmemiş olur.
5. İhlal bildiriminin gecikmesi. Bildirim yükümlülüğünün süresi ve muhatabı çoğu zaman ihlal yaşandıktan sonra araştırılmaya başlanır.
6. Yurt dışı aktarımının hukuki dayanağının kurulmamış olması. Yurt dışında barındırılan bir sistem kullanılıyorsa aktarım rejimi ayrıca ele alınmalıdır.

Bu başlıkların birçoğu, kurum içinde yetkisiz veya habersiz kullanılan araçlarla da yakından ilgilidir; konuyu gölge yapay zekâ riski ve yönetim stratejileri yazımızda ayrıca değerlendirdik. Tedarikçi kaynaklı hataların sorumluluk boyutu için yazılım hatalarında hukuki sorumluluk yazımıza bakılabilir.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu — mevzuat.gov.tr
• 6698 sayılı Kanun'un yayımlandığı Resmî Gazete, 7 Nisan 2016
• Kanun kapsamında idari para cezası tutarları — Kişisel Verileri Koruma Kurumu
• Yurt dışına aktarım — Kişisel Verileri Koruma Kurumu

Sık sorulan sorular