KVKK Cezaları: Güncel Tutarlar ve Teknik Nedenleri

KVKK cezası denince çoğu işletme sahibinin aklına hukuk departmanı gelir. Oysa Kişisel Verileri Koruma Kurulu'nun kestiği cezaların önemli bir kısmının arkasında bir sözleşme maddesi değil, kapatılmamış bir teknik açık vardır: şifrelenmemiş bir yedek, herkese açık bırakılmış bir paylaşım klasörü, güncellenmemiş bir sunucu ya da hiç tutulmayan erişim kayıtları.

Bu tespit sahadan geliyor. Yürüttüğümüz KVKK teknik hazırlık projelerinde uyum, çoğu işletmede hukuki bir metin olarak başlıyor ve orada kalıyor; oysa denetimde sorulan soru tekniktir: veri nerede duruyor, kim erişiyor, erişimler kayıt altında mı, veri şifreli mi? Bu projelerin kapsamını referans çalışmalarımızda paylaşıyoruz.

Bu yazıda 2026 yılı için geçerli ceza tutarlarını resmî rakamlarla veriyor, ardından her ceza türünü tetikleyen teknik durumu ve bu durumu önleyen BT önlemini eşleştiriyoruz.

Buradaki tutarlar 2026 takvim yılı için geçerlidir ve 13 Eylül 2026 itibarıyla doğrulanmıştır. Yazı hukuki görüş değil, bir BT ekibinin bakışıdır; somut bir ceza durumunda mutlaka bir avukata danışın.

2026 KVKK idari para cezası tutarları

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi beş ayrı ihlal türü için idari para cezası öngörür. 2026 yılında uygulanan alt ve üst sınırlar şöyledir:

Kanun maddesi	İhlal türü	Alt sınır	Üst sınır
18/1-a	Aydınlatma yükümlülüğünü yerine getirmemek	85.437 TL	1.709.200 TL
18/1-b	Veri güvenliğine ilişkin yükümlülükleri yerine getirmemek	256.357 TL	17.092.242 TL
18/1-c	Kurul kararlarını yerine getirmemek	427.263 TL	17.092.242 TL
18/1-ç	Veri Sorumluları Siciline (VERBİS) kayıt ve bildirim yükümlülüğüne aykırılık	341.809 TL	17.092.242 TL
18/1-d	Yurt dışı aktarımda standart sözleşmeyi Kuruma bildirmemek	90.308 TL	1.806.177 TL

Tabloya bakınca en dikkat çekici nokta, veri güvenliği satırındaki 17 milyon liralık tavan. Aydınlatma yükümlülüğünün tavanının on katı. Yani kanun, "insanlara verilerini nasıl işlediğini söylememeyi" değil, verileri korumamayı çok daha ağır bir ihlal olarak görüyor.

Tutarlar neden her yıl değişiyor?

Kanun metnindeki ilk tutarlar 2016'dan kalma ve bugünün rakamlarının çok altında: örneğin aydınlatma yükümlülüğü için kanunda hâlâ 5.000–100.000 TL yazıyor. Fark, yeniden değerleme mekanizmasından geliyor.

5326 sayılı Kabahatler Kanunu'nun 17. maddesinin 7. fıkrası, idari para cezalarının her takvim yılının başından itibaren, Vergi Usul Kanunu'na göre ilan edilen yeniden değerleme oranında artırılarak uygulanmasını öngörür. Hesaplamada bir Türk lirasının küsuratı dikkate alınmaz.

2026 için yeniden değerleme oranı %25,49 olarak belirlendi ve 27 Kasım 2025 tarihli, 33090 sayılı Resmî Gazete'de yayımlandı.

Tutarlar birikimli işler: her yılın rakamı bir önceki yılın rakamı üzerine hesaplanır. Bu yüzden internette gördüğünüz bir tablonun hangi yıla ait olduğunu kontrol etmeden kullanmayın. 2024 tablosuyla hazırlanmış bir risk değerlendirmesi, bugünkü tavanı neredeyse yarı yarıya eksik gösterir: veri güvenliği tavanı 2024'te 9.463.213 TL'ydi.

Yurt dışı aktarım bildirim cezası (18/1-d) diğerlerinden farklıdır. 12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun'la eklendi, 50.000–1.000.000 TL tabanla başladı ve bugüne kadar yalnızca iki kez değerlendi.

Cezaların çoğu teknik bir açıktan doğar

Aşağıda her ceza türünü, sahada o cezaya en sık yol açan teknik durumla birlikte ele alıyoruz.

Veri güvenliği yükümlülüğü (18/1-b)

En yüksek tavanın olduğu satır, en çok da BT'yi ilgilendirir. Kanunun 12. maddesi veri sorumlusundan verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayan her türlü teknik ve idari tedbiri almasını ister.

Sahada bu yükümlülüğü ihlal eden durumlar genellikle çok sıradandır:

• Müşteri listesinin şifresiz bir USB belleğe ya da kişisel bulut hesabına kopyalanması
• Muhasebe klasörünün ağda "herkes" yetkisiyle paylaşılması
• İşten ayrılan çalışanın hesabının günlerce, bazen aylarca açık kalması
• Güncellenmemiş bir sunucu üzerinden fidye yazılımının içeri girmesi
• Yedeklerin şifrelenmeden ve tek bir yerde tutulması
• Kimin hangi veriye eriştiğinin hiç kayıt altına alınmaması

Bu yükümlülüğün önemli bir parçası da veri ihlali bildirimidir. Kanunun 12. maddesinin 5. fıkrası, işlenen verilerin kanuna aykırı şekilde başkaları tarafından ele geçirilmesi halinde durumun ilgili kişiye ve Kurula en kısa sürede bildirilmesini ister. Kurul, 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla bu sürenin en geç 72 saat olduğunu belirledi.

Kurul, 25 Aralık 2025 tarihli ve 2025/2451 sayılı kararıyla bu sürece yeni bir ayrıntı ekledi: Kurum internet sitesinde yayımlanan veri ihlali duyuruları artık en fazla 60 gün yayında kalıyor ve ilgili kişilere bu süreden önce bildirim yapılırsa duyuru daha erken kaldırılıyor. 72 saatlik bildirim süresi değişmedi. Değişiklik, etkilenen kişileri hızlı bilgilendirmeyi doğrudan ödüllendiriyor.

Pratikte bu, bir fidye yazılımı saldırısını fark ettiğiniz andan itibaren saatin işlemeye başladığı anlamına gelir. Olayın kapsamını üç gün içinde tespit edebilmek için kayıtların olaydan önce tutuluyor olması gerekir. Kayıt tutmayan bir sistemde "ne sızdı" sorusunun cevabı hiçbir zaman verilemez.

BT tarafındaki karşılığı: erişim yetkilerinin rol bazlı ve düzenli gözden geçirilen bir yapıya oturtulması, taşınabilir cihazların ve yedeklerin şifrelenmesi, işten ayrılma sürecinde hesapların aynı gün kapatılması, yama yönetimi ve merkezi erişim kaydı. Bunların tamamını somut maddeler halinde KVKK uyumluluğu için BT kontrol listesi yazımızda topladık.

Aydınlatma yükümlülüğü (18/1-a)

Kişisel veri toplanırken ilgili kişiye verilerin kim tarafından, hangi amaçla ve hangi hukuki sebeple işlendiğinin anlatılması gerekir. Bu genellikle hukuki bir metin işi gibi görünse de ihlalin nerede oluştuğu çoğu zaman tekniktir:

• Web sitesindeki iletişim formunun aydınlatma metnine bağlantı vermemesi
• Çerez bildiriminin gerçekte hiçbir çerezi engellemeden yalnızca görsel olarak çıkması
• Ofis girişindeki güvenlik kamerası için bilgilendirme yapılmaması
• Misafir Wi-Fi giriş ekranında veri işleme bilgisinin bulunmaması

BT tarafındaki karşılığı: formların, çerez yönetiminin ve misafir ağ giriş ekranlarının aydınlatma metnine bağlanması; çerez bildiriminin kullanıcı onay vermeden ilgili çerezleri gerçekten çalıştırmaması.

VERBİS kayıt ve bildirim yükümlülüğü (18/1-ç)

Kayıt yükümlülüğü olan veri sorumlularının Veri Sorumluları Sicili'ne kaydolması ve bilgilerini güncel tutması gerekir. Kimin kayıt olmak zorunda olduğu, çalışan sayısı ve yıllık bilanço gibi eşiklere bağlıdır ve bu eşikler Kurul kararlarıyla zaman içinde değişmiştir.

Kayıt yükümlülüğünüz olup olmadığını ve eşiklerin güncel halini VERBİS'e kimler kayıt olmak zorunda yazımızda ayrıntılı olarak ele alıyoruz.

BT açısından VERBİS'in en çok gözden kaçan yanı, kayıttaki bilgilerin gerçek sistemle uyuşması gereğidir. Kayıtta "veriler Türkiye'deki sunucularda tutulur" yazarken e-postanın yurt dışındaki bir bulut hizmetinde çalışması, iki kayıt arasındaki tutarsızlığı görünür kılar.

Yurt dışına aktarım bildirimi (18/1-d)

Bu ceza, 2024'teki kanun değişikliğiyle hayatımıza girdi ve bugün en çok hazırlıksız yakalanılan başlık. Kişisel veriler standart sözleşmeye dayanılarak yurt dışına aktarılıyorsa, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Bildirim fiziki olarak, KEP ile ya da Kurumun Standart Sözleşme Bildirim Modülü üzerinden yapılabilir.

Burada kritik nokta şu: bu yükümlülük yalnızca veri sorumlusunu değil, veri işleyeni de kapsar. Kanunun diğer ceza maddelerinde yalnızca veri sorumlusu muhatap alınırken, bu maddede her iki taraf da sorumludur.

Birçok KOBİ yurt dışına veri aktardığının farkında değildir. Oysa yurt dışında barındırılan e-posta, dosya paylaşımı, müşteri ilişkileri yönetimi ya da muhasebe yazılımı kullanmak çoğu durumda bir aktarımdır. Bu durumun hangi hizmetlerde nasıl ortaya çıktığını bulut kullanan KOBİ'nin yurt dışı veri aktarımı gerçeği yazımızda anlattık.

BT tarafındaki karşılığı: kullanılan bulut hizmetlerinin ve verinin fiilen hangi ülkede tutulduğunun envanterinin çıkarılması. Hangi hizmetin yurt dışında çalıştığını bilmeyen bir işletme, hangi sözleşmeyi bildirmesi gerektiğini de bilemez.

Kurul kararlarına uymamak (18/1-c)

Kurul, bir şikâyet ya da inceleme sonrasında veri sorumlusuna belirli tedbirleri almasını veya bir ihlali gidermesini emredebilir. Bu kararın yerine getirilmemesi ayrı bir ihlaldir ve alt sınırı tablodaki en yüksek alt sınırdır.

BT açısından anlamı şudur: Kurulun "şu sistemdeki erişim yetkilerini düzeltin" ya da "şu verileri silin" gibi bir kararı, belirlenen sürede teknik olarak uygulanabilir olmalıdır. Kimin neye eriştiğini gösteremeyen ya da verinin hangi yedeklerde durduğunu bilmeyen bir yapı, bu tür bir karara zamanında uyamaz.

Ceza tutarını ne belirler?

Tablodaki aralıklar geniş: veri güvenliği ihlali için alt sınır 256.357 TL, üst sınır 17.092.242 TL. Her ihlale tavan ceza kesilmez.

Kabahatler Kanunu'nun 17. maddesinin 2. fıkrasına göre idari para cezasının miktarı belirlenirken işlenen kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumu birlikte göz önünde bulundurulur.

Pratik karşılığı şu: etkilenen kişi sayısı, sızan verinin niteliği, ihlalin fark edilip bildirilme hızı ve önceden alınmış tedbirler cezanın aralığın neresine düşeceğini etkiler. Olaydan önce belgelenmiş güvenlik önlemleri, bu değerlendirmede işletmenin elindeki en somut kanıttır.

Hapis cezaları: KVKK değil, Türk Ceza Kanunu

KVKK'nın 18. maddesi yalnızca idari para cezası öngörür. Kişisel verilere ilişkin suçlar ise 5237 sayılı Türk Ceza Kanunu'nda düzenlenir:

TCK maddesi	Suç	Ceza
135/1	Kişisel verileri hukuka aykırı olarak kaydetmek	1 yıldan 3 yıla kadar hapis
135/2	Aynı suçun özel nitelikli veriler (sağlık, din, siyasi görüş, sendika üyeliği vb.) hakkında işlenmesi	Ceza yarı oranında artırılır
136/1	Kişisel verileri hukuka aykırı olarak başkasına vermek, yaymak veya ele geçirmek	2 yıldan 4 yıla kadar hapis
137	Bu suçların kamu görevlisi tarafından yetkinin kötüye kullanılmasıyla ya da belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi	Ceza yarı oranında artırılır
138/1	Kanuni süreler geçmesine rağmen verileri sistem içinde yok etme görevini yerine getirmemek	1 yıldan 2 yıla kadar hapis

İdari para cezasıyla hapis cezası arasındaki en önemli fark muhataptır. TCK'nın 20. maddesinin 2. fıkrası uyarınca tüzel kişilere ceza yaptırımı uygulanamaz. Yani şirkete idari para cezası kesilirken, hapis cezası riski suçu işleyen kişiye aittir.

BT açısından bunun en somut örneği, müşteri veritabanını işten ayrılırken yanında götüren çalışandır. Şirket veri güvenliği yükümlülüğü nedeniyle idari para cezasıyla karşılaşabilirken, veriyi alan kişi TCK 136 kapsamında kişisel olarak sorumlu olur. İki yaptırım birbirinin alternatifi değildir; aynı olaydan ikisi birden doğabilir.

1. madde de ayrıca dikkat ister: saklama süresi dolan verileri silmek bir tercih değil, yükümlülüktür. Hiçbir zaman silinmeyen eski yedekler ve arşivler bu açıdan doğrudan bir risk alanıdır.

Ceza gelirse: itiraz süresi kısadır

KVKK kapsamındaki idari para cezaları Kabahatler Kanunu çerçevesinde değerlendirilir. Kanunun 27. maddesine göre idari para cezasına karşı, kararın tebliğinden itibaren 15 gün içinde sulh ceza hakimliğine başvurulabilir.

On beş gün, olayın teknik ayrıntılarını toplamak için kısa bir süredir. Hangi tedbirlerin olaydan önce alındığını gösteren kayıtlar, erişim listeleri ve yedekleme belgeleri bu süre içinde hazır olmalıdır; olaydan sonra üretilen belgenin ikna gücü sınırlıdır.

SSS