KVKK idari para cezaları: 2026 tutarları

Uyum çalışmasının bütçesi tartışılırken ilk sorulan soru genellikle şudur: "Yapmazsak ne olur?" Cevabın rakamsal kısmı Kanun'un 18. maddesindedir ve tutarlar her yıl yeniden değerleme oranında artar. 2026 için geçerli tutarlar aşağıdadır.

Tutarlar neye göre belirlenir?

Kabahatler Kanunu'nun 17. maddesinin yedinci fıkrası uyarınca idari para cezaları, her takvim yılı başından geçerli olmak üzere, Vergi Usul Kanunu'nun mükerrer 298. maddesine göre tespit ve ilân edilen yeniden değerleme oranında artırılarak uygulanır. 2026 yılı için bu oran %25,49'dur.

Alt ve üst sınır arasındaki miktarın belirlenmesinde ise Kurul takdir yetkisini kullanır. Kabahatler Kanunu uyarınca bu takdir yapılırken fiilin haksızlık içeriği, failin kusuru ve ekonomik durumu birlikte gözetilir. Uygulamada etkilenen kişi sayısı, verinin niteliği (özel nitelikli olup olmadığı), ihlalin süresi ve veri sorumlusunun ihlal sonrası tutumu da tabloyu belirler.

2026 yılı ceza tutarları

Kaynak: Kişisel Verileri Koruma Kurumu, 6698 sayılı Kanun kapsamında idari para cezası tutarları tablosu. Tutarlar her yıl başında güncellendiği için, karar vermeden önce Kurumun güncel duyurusunun kontrol edilmesi gerekir.

Tablodaki son satır 2024 yılında eklenmiştir: yurtdışına aktarımda standart sözleşme kullanılması hâlinde Kuruma bildirim yapılması yükümlülüğü, Kanun'un 9. maddesinin 2024'te yeniden düzenlenmesiyle gelmiştir.

Hangi fiil hangi bende girer?

Uygulamada en çok karıştırılan nokta, tek bir olayın birden fazla bende girebilmesidir. Bir veri ihlali yaşandığında:

• Aydınlatma metinleri eksikse (a) bendi,
• Teknik ve idari tedbirler yetersizse (b) bendi,
• Sicil kaydı yoksa veya güncel değilse (ç) bendi

ayrı ayrı gündeme gelebilir. Bu nedenle "bir ceza yeriz" varsayımı yanıltıcıdır. En yüksek üst sınırların veri güvenliği, Kurul kararlarına uymama ve VERBİS başlıklarında toplanması da tesadüf değildir: bunlar yapısal yükümlülüklerdir ve ihlalleri tek bir kişiyi değil tüm veri havuzunu etkiler.

Kime uygulanır, kime uygulanmaz?

Kanun'un 18. maddesindeki idari para cezaları, veri sorumlusu olan gerçek kişiler ve özel hukuk tüzel kişileri hakkında uygulanır.

Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenen fiiller bakımından ise farklı bir yol izlenir: Kurul'un bildirimi üzerine ilgili kamu kurumunca disiplin hükümlerine göre işlem yapılır ve sonuç Kurul'a bildirilir.

Cezaya itiraz

Kurul tarafından verilen idari para cezalarına karşı başvurulacak yargı yolu, Kanun'da 2024 yılında yapılan değişiklikle idare mahkemesi olarak belirlenmiştir. Bu, önceki dönemde izlenen yoldan farklıdır; süre ve usul bakımından değişiklik yarattığı için tebligatın alındığı tarihten itibaren vakit kaybedilmemesi gerekir.

İdari para cezası tek risk değil

Rakamlara odaklanırken gözden kaçan üç sonuç daha vardır:

1. Cezai sorumluluk. Türk Ceza Kanunu, kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi, ele geçirilmesi ve yok edilmemesi fiillerini ayrıca suç olarak düzenler. İdari para cezası bu sorumluluğu ortadan kaldırmaz.
2. Tazminat. İhlalden zarar gören ilgili kişi, genel hükümlere göre tazminat talep edebilir.
3. İtibar ve ticari sonuç. Kurul kararları kamuya açıklanabilmektedir; kurumsal müşteriler tedarikçi seçiminde bu kayıtlara bakar.

Sık yapılan yanılgılar

1. "Küçüğüz, alt sınırdan kurtuluruz." Alt sınır bile çoğu KOBİ için uyum çalışmasının maliyetinin üzerindedir; üstelik ekonomik durum takdirde dikkate alınan tek ölçüt değildir.
2. "VERBİS'e kayıtlı değiliz, ceza da yok." Kayıt yükümlülüğü varken kaydolmamak, doğrudan (ç) bendi kapsamındadır — kimlerin kapsamda olduğunu ayrı bir yazıda ele aldık.
3. "İhlali bildirmezsek anlaşılmaz." İhlaller çoğu zaman ilgili kişinin şikâyetiyle öğrenilir; bildirmemek 72 saat kuralının ihlaline eklenerek tabloyu ağırlaştırır.
4. "Ceza yersek öderiz, iş biter." Kurul kararı çoğunlukla ceza ile sınırlı kalmaz; uyum için talimat da verir. Bu talimatın yerine getirilmemesi (c) bendi kapsamında ayrı ve daha yüksek bir cezaya yol açar.
5. "Tutarlar sabittir." Her yıl yeniden değerleme oranında artar; 2016'daki tutarlarla bugünküler arasında büyük fark vardır.

Bütüncül gözden geçirme

Ceza kalemlerinin dağılımı, aslında uyum çalışmasının haritasını verir: her bent, ayrı bir belge ve süreç grubuna karşılık gelir. (a) bendi aydınlatma metinlerinizi ve bunların ilgili kişilere ulaştırıldığının ispatını; (b) bendi teknik ve idari tedbirleriniz ile çalışan eğitimlerinizi; (ç) bendi kişisel veri envanterinizi ve sicil kaydınızı; (d) bendi yurtdışına aktarım dayanaklarınızı işaret eder.

Bu başlıklar birbirinden bağımsız değildir — birinde yapılan bir değişiklik diğerlerinde karşılık bulmadığında ortaya çelişki çıkar ve çelişki, denetimde en kolay tespit edilen uyumsuzluktur. Bu nedenle risk azaltma çalışmasının tek tek başlıklar yerine bütün üzerinden, hukuki destek alınarak yürütülmesini öneririz. Genç Partners, 2016'dan bu yana yürüttüğü uyum projelerindeki deneyimiyle önceliklendirmeyi yapmayı kolaylaştırır; kisiselverilerim.com ise eğitim, belge yayını, aydınlatma gönderimi ve açık rıza yönetimini ispatlanabilir kayıtlarla üstlenerek denetimde elinizde belge olmasını sağlar — hizmetleri inceleyebilirsiniz.

Özet

• Tutarlar her yıl yeniden değerleme oranında artar; 2026 oranı %25,49.
• En yüksek üst sınır (17.092.242 ₺) veri güvenliği, Kurul kararlarına uymama ve VERBİS başlıklarındadır.
• Tek bir olay birden fazla bende girebilir; cezalar ayrı ayrı uygulanabilir.
• Cezalar gerçek kişiler ve özel hukuk tüzel kişilerine uygulanır; kamu kurumları için disiplin yolu işler.
• İdari para cezası tek risk değildir: cezai sorumluluk, tazminat ve itibar kaybı ayrıca gündeme gelir.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Tutarlar için Kurumun güncel duyurusunu esas alınız; somut bir işlemle karşılaştıysanız gecikmeden hukuki destek alınız.