Kişisel verilerin korunması, dijital çağın en kritik hukuki meselelerinden biri haline gelmiştir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye’de kişisel verilerin işlenmesine ilişkin temel kuralları belirlemekte ve ihlallere karşı ciddi yaptırımlar öngörmektedir. Bilişim Hukuku alanında giderek artan önemine rağmen, birçok veri sorumlusu KVKK yükümlülüklerini yeterince bilmemekte ve ağır idari para cezalarıyla karşılaşmaktadır.
Bu makalede KVKK kapsamında veri ihlali kavramını, 2026 yılı güncel idari para cezalarını, ihlal bildirim yükümlülüğünü, Kişisel Verileri Koruma Kuruluna şikayet sürecini ve veri sorumlularının alması gereken önlemleri detaylı olarak inceleyeceğiz.
KVKK Kapsamında Veri İhlali Nedir?
Veri ihlali, kişisel verilerin hukuka aykırı olarak işlenmesi, erişilmesi, ifşa edilmesi, değiştirilmesi, silinmesi veya kaybolması durumlarını kapsar. KVKK m.12 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır.
Veri İhlalinin Türleri
Veri ihlalleri farklı biçimlerde ortaya çıkabilir. Gizlilik ihlali, yetkisiz kişilerin kişisel verilere erişim sağlamasıdır. Bütünlük ihlali, kişisel verilerin yetkisiz olarak değiştirilmesi veya manipüle edilmesidir. Erişilebilirlik ihlali ise kişisel verilerin kaybedilmesi veya imha edilmesi sonucu erişimin kalıcı olarak engellenmesidir.
Uygulamada en sık karşılaşılan veri ihlali örnekleri arasında siber saldırılar sonucu müşteri verilerinin sızdırılması, çalışan hatası nedeniyle kişisel verilerin yanlış alıcıya gönderilmesi, fiziksel belgelerin kaybolması veya çalınması, bulut hizmetlerindeki güvenlik açıkları ve eski çalışanların yetki kaldırılmadan sisteme erişim sağlaması sayılabilir.
Kişisel Veri ve Özel Nitelikli Kişisel Veri Ayrımı
KVKK, kişisel verileri ikiye ayırmaktadır. Genel kişisel veriler (ad-soyad, telefon, e-posta, adres vb.) KVKK m.5’te düzenlenen işleme şartlarına tabidir. Özel nitelikli kişisel veriler (sağlık bilgileri, biyometrik veriler, dini inanç, siyasi düşünce, ceza mahkumiyeti, ırk ve etnik köken gibi) ise KVKK m.6’da düzenlenen çok daha sıkı koruma rejimine tabi tutulmuştur.
Özel nitelikli kişisel verilerin ihlali, Kişisel Verileri Koruma Kurulu tarafından daha ağır yaptırımlarla karşılanmaktadır.
KVKK m.18 İdari Para Cezaları
KVKK m.18, kanun hükümlerini ihlal eden veri sorumluları için idari para cezaları öngörmektedir. Bu cezalar her yıl yeniden değerleme oranında güncellenmektedir.
2026 Yılı Güncel Ceza Miktarları
KVKK m.18 kapsamında 2026 yılı itibarıyla uygulanan idari para cezaları şu şekildedir:
- Aydınlatma yükümlülüğünü yerine getirmeme (m.10): 100.000 TL ile 1.000.000 TL arası
- Veri güvenliğine ilişkin yükümlülükleri yerine getirmeme (m.12): 150.000 TL ile 5.000.000 TL arası
- Kurul kararlarını yerine getirmeme (m.15): 250.000 TL ile 5.000.000 TL arası
- Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırılık (m.16): 100.000 TL ile 2.000.000 TL arası
Bu cezalar, ihlalin niteliği, kapsamı, etkilenen kişi sayısı ve veri sorumlusunun kusur derecesi gibi kriterler gözetilerek Kurul tarafından belirlenir.
Cezanın Belirlenmesinde Dikkate Alınan Kriterler
Kurul, idari para cezası miktarını belirlerken birden fazla faktörü göz önünde bulundurur. İhlalin kasıtlı mı yoksa taksirli mi işlendiği, ihlalin süresi ve kapsamı, etkilenen ilgili kişi sayısı, veri sorumlusunun daha önce benzer bir ihlal gerçekleştirip gerçekleştirmediği, alınan düzeltici önlemler ve ihlalin Kurula kendiliğinden bildirilip bildirilmediği bu kriterlerin başında gelmektedir.
Veri İhlali Bildirim Yükümlülüğü
KVKK m.12/5 uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür.
Kurula Bildirim
Kurul tarafından yayımlanan kararlara göre, veri ihlalinin öğrenilmesinden itibaren 72 saat içinde Kurula bildirimde bulunulması gerekmektedir. Bu bildirimde ihlalin ne zaman gerçekleştiği, hangi kişisel veri kategorilerinin etkilendiği, tahmini etkilenen kişi sayısı, ihlalin olası sonuçları ve alınan veya alınması önerilen tedbirler yer almalıdır.
Bildirim, Kurul tarafından oluşturulan Veri İhlali Bildirim Formu aracılığıyla yapılır. Formun eksiksiz ve doğru doldurulması, soruşturma sürecinin sağlıklı yürütülmesi açısından büyük önem taşır.
İlgili Kişilere Bildirim
Veri sorumlusu, ihlalin ilgili kişiler üzerinde olumsuz sonuçlar doğurma ihtimalinin yüksek olması halinde, ilgili kişileri de en kısa sürede bilgilendirmelidir. Bu bilgilendirmede kullanılacak yöntem, Kurulun talimatlarına göre belirlenir. E-posta, SMS, yazılı bildirim veya internet sitesi duyurusu gibi yöntemler kullanılabilir.
Kişisel Verileri Koruma Kuruluna Şikayet Süreci
İlgili kişiler, kişisel verilerinin KVKK’ya aykırı olarak işlendiğini düşündüklerinde Kurula şikayette bulunabilirler.
Veri Sorumlusuna Başvuru (Ön Şart)
KVKK m.13 uyarınca, ilgili kişi öncelikle veri sorumlusuna başvurmalıdır. Başvuruda, hangi hakkın kullanılmak istendiği açıkça belirtilmelidir. Veri sorumlusu, başvuruyu en geç 30 gün içinde sonuçlandırmak zorundadır. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya 30 gün içinde cevap verilmemesi halinde ilgili kişi Kurula şikayette bulunabilir.
Kurula Şikayet
Kurula şikayet, veri sorumlusunun cevabının öğrenilmesinden itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde yapılmalıdır. Şikayet, Kurulun resmi internet sitesindeki form aracılığıyla veya yazılı olarak yapılabilir.
Kurul, şikayeti inceleyerek gerekli gördüğü hallerde veri sorumlusundan açıklama talep eder. İnceleme sonucunda ihlal tespit edilmesi halinde idari para cezası uygulanabilir, veri sorumlusuna talimat verilebilir veya verilerin silinmesi, yok edilmesi ya da anonim hale getirilmesi emredilebilir.
Veri Sorumlularının Alması Gereken Teknik ve İdari Tedbirler
KVKK m.12, veri sorumlularının uygun güvenlik düzeyini sağlamak amacıyla teknik ve idari tedbirler almasını zorunlu kılmaktadır.
Teknik Tedbirler
Veri sorumlularının alması gereken başlıca teknik tedbirler şunlardır: verilerin şifrelenmesi, güvenlik duvarı ve saldırı tespit sistemlerinin kullanılması, düzenli yedekleme yapılması, erişim kontrollerinin uygulanması, güncel anti-virüs ve anti-malware yazılımlarının kullanılması, ağ güvenliğinin sağlanması ve düzenli sızma testlerinin gerçekleştirilmesidir.
İdari Tedbirler
İdari tedbirler arasında kişisel veri işleme envanterinin hazırlanması, çalışanlara KVKK eğitimi verilmesi, veri işleme politikalarının oluşturulması, gizlilik sözleşmelerinin imzalatılması, veri saklama ve imha politikasının belirlenmesi, veri sorumlusu temsilcisinin atanması ve düzenli iç denetim yapılması sayılabilir.
KVKK Uyum Sürecinde Sık Yapılan Hatalar
Uygulamada veri sorumlularının en sık düştüğü hatalar arasında aydınlatma metninin eksik veya hatalı hazırlanması, açık rızanın usulüne uygun alınmaması, Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğünün yerine getirilmemesi, veri işleme şartlarının doğru değerlendirilmemesi ve veri ihlallerinin zamanında bildirilmemesi yer almaktadır.
Bu hatalar, Kurul tarafından yüz binlerce hatta milyonlarca liraya varan idari para cezalarıyla sonuçlanabilmektedir. Nitekim Kurul’un yayımladığı kararlarda birçok büyük şirkete milyonlarca lira ceza verildiği görülmektedir.
Sonuç
KVKK veri ihlali cezaları, 2026 yılında yeniden değerleme oranıyla artırılmış olup, veri sorumluları için ciddi mali yaptırımlar içermektedir. Veri ihlallerinin 72 saat içinde Kurula bildirilmesi zorunluluğu, teknik ve idari tedbirlerin alınması yükümlülüğü ve ilgili kişilerin şikayet hakları, KVKK uyum sürecinin ciddiyetle ele alınmasını gerektirmektedir. Veri sorumlusu olan gerçek ve tüzel kişilerin, olası cezalardan korunmak ve hukuki güvence sağlamak için mutlaka bilişim hukuku alanında uzman bir avukattan destek alması büyük önem taşır. Kazdal Hukuk Bürosu olarak, KVKK uyum süreçleri, veri ihlali yönetimi ve Kurul önündeki şikayet süreçlerinde müvekkillerimize kapsamlı hukuki danışmanlık sunmaktayız.
Bu Makalede Geçen Hukuki Terimler
Av. Kazım İsmail Kazdal
Kurucu Avukat
İstanbul Barosu Sicil No: 75389
İlk ve orta öğrenimini Rize'de tamamlamış, 2009 yılında lise eğitiminden mezun olmuştur. Aynı yıl Marmara Üniversitesi Tarih Öğretmenliği Bölümünü kazanmış, 2015 yılında bu bölümden mezun olmuştur. İkinci üniversite eğitimi kapsamında Maltepe Üniversitesi Hukuk Fakültesinde öğrenim görmüş ve 2019 yılında hukuk fakültesinden mezun olmuştur. Anadolu Üniversitesi İktisat Fakültesi diplomasını da almıştır. Avukatlık stajını tamamladıktan sonra kendi hukuk bürosunu kurarak serbest avukatlık faaliyetlerine başlamıştır. Başta özel hukuk alanları olmak üzere, mesleki çalışmalarını titizlik ve çözüm odaklılık ilkesiyle sürdürmektedir.