Kamu tarafında ceza yerine disiplin: m.18/4 ne anlama geliyor?

"Bize ceza kesilmiyor" cümlesi, kamu tarafındaki uyum çalışmalarını en çok geciktiren cümledir. Doğruluk payı vardır: Kanun'un idari para cezalarını düzenleyen hükmü, kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları için farklı bir yol izler. Ancak bu, sonuçsuzluk değil; sonucun kurumdan kişiye kayması anlamına gelir.

Kişisel Verileri Koruma Kurumu, Mart 2026'da bu kitleye özel bir rehber yayımladı: Kamu Kurum ve Kuruluşları ile Kamu Kurumu Niteliğindeki Meslek Kuruluşları İçin Kişisel Verilerin Korunması Kanununa Uyum Rehberi (KVKK Yayınları No: 114). Aşağıdaki değerlendirmeler, rehberin bu başlıktaki açıklamalarına dayanmaktadır.

Ceza değil, disiplin

Kanun'un 18. maddesinin dördüncü fıkrası, kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenen fiiller bakımından şu düzeni kurar: Kurul'un bildirimi üzerine, görev yapan memurlar ve diğer kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılır ve sonuç Kurul'a bildirilir.

Yani kuruluşun kasasından para çıkmaz; ama kuruluş içindeki kişiler hakkında disiplin süreci işler ve bu sürecin sonucunu Kurul'a raporlamak zorunludur.

Bu düzen yalnızca bakanlıkları ve belediyeleri değil; barolar, tabip odaları, ticaret ve sanayi odaları, esnaf ve sanatkârlar odaları, serbest muhasebeci mali müşavir odaları, mimar ve mühendis odaları, noter odaları ile bunların üst kuruluşlarını (TBB, TOBB, TÜRMOB, TMMOB, TESK gibi) da kapsar.

Bir numaralandırma ayrıntısı: bu hüküm güncel metinde m.18/4'tür. 2022 ve öncesine ait Kurul kararlarında aynı hüküm m.18/3 olarak anılır; 2024 değişikliği maddeye yeni bir fıkra ekleyerek numaraları kaydırmıştır. Eski kararları okurken bu fark gözetilmelidir.

Ayrıca dikkat: idari para cezasının uygulanmaması, cezai sorumluluğu ortadan kaldırmaz. Türk Ceza Kanunu'ndaki kişisel verilere ilişkin suçlar ve ilgili kişinin genel hükümlere göre tazminat talep etme hakkı ayrıca gündeme gelir. Özel sektör tarafındaki tutarlar için idari para cezaları yazımıza bakabilirsiniz.

Sorumluluk yalnız fiili yapanda değil

Rehberin bu başlıktaki en kritik uyarısı budur ve uygulamadaki alışkanlığı doğrudan hedef alır.

Disiplin işlemi tesis edilirken yalnızca ihlale konu fiili gerçekleştiren personel dikkate alınırsa, Kurul kararının gereği yerine getirilmiş sayılmaz. Değerlendirmeye, veri güvenliğine ilişkin teknik ve idari tedbirleri almaktan sorumlu kişi veya kişiler de dâhil edilmelidir.

Bunlar kimlerdir? Eğitim ve farkındalık faaliyetlerinin yürütülmesi, gizlilik taahhütnamelerinin hazırlanması, güvenlik politika ve prosedürlerinin oluşturulması gibi konularda görevli ve yetkili olan kişiler.

Sorumluların tespitinde kuruluş bünyesindeki sorumluluk yetki matrisi ile erişim yetki matrisi esas alınır; ihlalin teknik bir eksiklikten mi yoksa idari bir süreç hatasından mı kaynaklandığı ayrıca değerlendirilir.

Bunun yönetsel sonucu açıktır: bir veri ihlalinde "hatayı yapan memur" bulunup dosya kapatılamaz. Eğitim verilmemişse, yetki matrisi kurulmamışsa veya politika yazılmamışsa sorumluluk yukarı doğru genişler. Bu da uyum çalışmasını kurumsal bir öncelik hâline getirir — çalışan farkındalık eğitiminin neden idari tedbir sayıldığı burada somutlaşır.

Kurul süreci: 15 gün, 30 gün, 60 gün

Kamu tarafında süreç, ilgili kişinin şikâyetiyle başlar ve üç ayrı süre işler:

• 15 gün — Kurul bilgi ve belge istediğinde, veri sorumlusu bunları on beş gün içinde göndermek zorundadır. Devlet sırrı niteliğindekiler hariçtir; gerektiğinde yerinde inceleme imkânı sağlanmalıdır.
• 30 gün — Kurul bir ihlal tespit edip hukuka aykırılığın giderilmesine karar verirse, bu karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir. İmha talimatı verilen bir kararda log kaydı ve imha tutanağı gibi belgelerin de bu süre içinde Kurul'a iletilmesi beklenir.
• 60 gün — Kurul kararına karşı, yazılı bildirimin yapıldığı tarihi izleyen günden itibaren altmış gün içinde idare mahkemesinde dava açılabilir.

İlgili kişinin başvuru ve şikâyet süreleri ise ayrı işler; onları başvuru yazımızda ele almıştık.

İlke kararlarını atlamayın

Kurul, bir ihlalin yaygın olduğunu tespit ettiğinde ilke kararı alır ve yayımlar. Bu kararlar yalnızca somut bir dosyayı değil, Kurul'un sonraki inceleme ve şikâyetlerdeki tutumunu gösterir; bu nedenle tüm ilgililer açısından uyulması gereken hukuki metinler olarak kabul edilir.

Uygulamada bunun anlamı şudur: kendinizle ilgili bir şikâyet olmasa bile yayımlanan ilke kararlarını takip edip süreçlerinizi buna göre gözden geçirmeniz beklenir.

Güncel ve somut bir örnek: Kurul'un 01.07.2026 tarihli ve 2026/1301 sayılı ilke kararı, kamu tüzel kişiliğini haiz veri sorumlularının internet ortamındaki kişisel veri paylaşımlarını düzenler ve mevcut yayınların ivedilikle gözden geçirilmesini ister. Karar, uyulmaması hâlinde Kanun'un 18. maddesi uyarınca idari işlem tesis edileceğini de açıkça belirtir. Ayrıntısını ayrı bir yazıda ele aldık.

Sık yapılan yanılgılar

1. "Ceza yok, öncelik de yok." Disiplin süreci kişiselleşir; yöneticiler için sonuç idari para cezasından daha yakıcı olabilir.
2. Fiili yapan personelle yetinmek. Tedbir almakla görevli kişiler de değerlendirilmezse karar yerine getirilmiş sayılmaz.
3. Yetki matrislerini kurmamak. Sorumluluk tespiti bu matrislere dayandığından, matris yoksa süreç sağlıklı yürütülemez.
4. 15 günlük bilgi-belge süresini kaçırmak. Kurul kararlarının yerine getirilmemesi ayrı bir yaptırım başlığıdır.
5. İlke kararlarını "bizi ilgilendirmiyor" saymak.
6. Kararı uygulayıp belgelememek. Yapılan işlemin kanıtı üretilmezse, yapılmamış sayılma riski doğar.

Bütüncül gözden geçirme

Kurul'dan bir yazı geldiğinde hazırlıklı olmak, o anda değil öncesinde kurulan bir yapıya bağlıdır. Bu yapı şunlardan oluşur: kapsamı hızla tespit etmenizi sağlayan güncel bir kişisel veri envanteri; sorumluluğu gösterebilen sorumluluk ve erişim yetki matrisleri; belgelenmiş eğitim kayıtları; işletildiği kanıtlanabilir bir saklama ve imha politikası; tedarikçilerle kurulmuş veri işleyen sözleşmeleri; ve gecikmeden işleyecek bir ihlal müdahale planı. İstisna kapsamındaki faaliyetleriniz varsa bunların da ayrıca gerekçelendirilmiş olması gerekir.

Disiplin sürecinin kimleri kapsayacağı, kuruluşun kendi personel mevzuatı ile KVKK'nın kesiştiği yerde belirlenir; bu değerlendirmenin hukuki destek alınarak yapılmasını öneririz. Genç Partners bu kesişimde yol gösterir. KVKK farkındalık eğitimi ise hem tedbir yükümlülüğünü karşılar hem de disiplin değerlendirmesinde kuruluş lehine gösterilebilecek belgeyi üretir.

Özet

• Kamu kuruluşları ve meslek kuruluşlarında idari para cezası yerine disiplin işlemi uygulanır; sonuç Kurul'a bildirilir.
• Hüküm güncel metinde m.18/4'tür; eski kararlar m.18/3 der.
• Sorumluluk yalnız fiili yapanda değil, tedbir almakla görevli olanlarda da aranır; yetki matrisleri esas alınır.
• Süreler: bilgi-belge 15 gün, karar uygulama 30 gün, dava 60 gün.
• İlke kararları tüm ilgililer için bağlayıcı bir uygulama çerçevesi çizer.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kurul'dan tebliğ aldıysanız gecikmeden hukuki destek alınız.