KVKK İhlalinin 2026’da Cezası Ne Kadar? Güncel Tutarlar

KVKK ihlal cezası, yerine getirilmeyen yükümlülüğe ve sorumlu kişinin sıfatına göre belirlenir. İdari para cezasını Kişisel Verileri Koruma Kurulu verir; hukuka aykırı kaydetme, paylaşma veya ele geçirme gibi fiiller ayrıca suç oluşturabilir. Her veri ihlali için aynı tutar uygulanmaz ve her KVKK aykırılığı hapis cezası doğurmaz (6698 sayılı Kişisel Verilerin Korunması Kanunu m.17-18; Türk Ceza Kanunu m.135-138).

Yaptırımların dayandığı KVKK kapsamındaki hak ve yükümlülükler, ana rehberde birlikte açıklanmıştır.

Ceza tebliğ edilen kişinin önce kararın hangi yükümlülüğe dayandığını, cezanın kime yöneltildiğini ve tebliğ tarihini kontrol etmesi gerekir. Verisi ihlal edilen kişinin başvurusu ise farklı bir yoldur. Aşağıdaki tablo cari para cezalarını; sonraki bölümler ödeme, dava ve kişisel ceza sorumluluğu arasındaki ayrımı açıklar.

1. KVKK İhlal Cezası 2026 Yılında Ne Kadar?

KVKK idari para cezalarının 2026 alt ve üst sınırları, ihlal edilen yükümlülüğe göre aşağıdaki gibidir. Tablodaki tutarlar tek bir ihlal için kesin kesilecek ceza değildir; ilgili bentte uygulanabilecek aralığı gösterir. Miktarın belirlenmesinde kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumu birlikte dikkate alınır (KVKK m.18; Kabahatler Kanunu m.17/2).

İhlal edilen yüküm­lü­lük	Ceza daya­nağı	2026 alt sınır	2026 üst sınır
Aydın­latma yüküm­lü­lü­ğü­nün yerine geti­ril­me­mesi	KVKK m.10, m.18/1-a	85.437 TL	1.709.200 TL
Veri güven­li­ğine ilişkin yüküm­lü­lük­le­rin yerine geti­ril­me­mesi	KVKK m.12, m.18/1-b	256.357 TL	17.092.242 TL
Kurul karar­la­rı­nın yerine geti­ril­me­mesi	KVKK m.15, m.18/1-c	427.263 TL	17.092.242 TL
Veri Sorum­lu­ları Sici­line kayıt ve bil­di­rim yüküm­lü­lü­ğüne aykı­rı­lık	KVKK m.16, m.18/1-ç	341.809 TL	17.092.242 TL
Stan­dart söz­leş­meye ilişkin bil­di­rim yüküm­lü­lü­ğü­nün yerine geti­ril­me­mesi	KVKK m.9/5, m.18/1-d	90.308 TL	1.806.177 TL

Tutar kaynağı: Kişisel Verileri Koruma Kurumunun idari para cezası tutarları yayımına bağlı resmî tablonun 2026 sütunu. Rakamlar aynen aktarılmıştır. Bu tablo Kurumun idari yayımıdır; mevzuat değildir, Resmî Gazete’de yayımlanmaz. Cezanın hukuki dayanağı KVKK m.18, yıllık artışın dayanağı Kabahatler Kanunu m.17/7’dir. Yayımda güncelleme tarihi belirtilmemiştir; 2026 sütunu 17 Ekim 2026 tarihinde kontrol edilmiştir.

Bu tabloyu önceki yıllarda işlenmiş fiillere doğrudan uygulamayın. Kabahatler bakımından zaman yönünden uygulama kuralları ayrıca değerlendirilir; yalnız kararın bu yıl verilmiş olması hangi yılın tutarının uygulanacağını tek başına belirlemez (Kabahatler Kanunu m.5).

2. KVKK Para Cezası Hangi Yükümlülüklere Bağlıdır?

KVKK para cezası, kararın hangi yükümlülük ihlaline dayandığı belirlenerek değerlendirilir. Aydınlatma, veri güvenliği, Kurul kararına uyma, Sicile kayıt ve standart sözleşme bildirimi ayrı bentlerde düzenlenmiştir. Bir veri işleme faaliyetinde sorun bulunması, bu bentlerin tamamının kendiliğinden uygulanacağı anlamına gelmez (KVKK m.18/1).

Aydınlatma yükümlülüğü, veri sorumlusunun kimliği, işleme amacı, aktarım, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları hakkında bilgi verilmesini kapsar. Metnin varlığı kadar bu bilgileri içerip içermediği de değerlendirilir. İçeriğin kapsamı KVKK aydınlatma yükümlülüğü yazısında açıklanmıştır (KVKK m.10).

Veri güvenliği yükümlülüğü, hukuka aykırı işlemeyi ve erişimi önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri gerektirir. Veriler kanuni olmayan yollarla başkalarınca elde edilmişse ilgili kişiye ve Kurula en kısa sürede bildirim yükümlülüğü de vardır. Ceza incelemesinde hangi tedbirin veya yükümlülüğün yerine getirilmediği somutlaştırılmalıdır (KVKK m.12).

Sicile kayıt ve bildirim yükümlülüğü, kayıtla yükümlü veri sorumlusunun durumuna göre incelenir. Kanun, Kurulun kayıt zorunluluğuna istisna getirebilmesine de imkân verir; her işletmenin aynı nedenle kayıt zorunluluğu bulunduğu varsayılamaz. Kapsamın belirlenmesi için VERBİS kayıt yükümlülüğü ayrıca değerlendirilmelidir (KVKK m.16).

3. KVKK Standart Sözleşme Bildirimi Cezası Neyi Kapsar?

KVKK standart sözleşme bildirimi cezası, yurt dışına aktarımla ilgili bütün aykırılıkların ortak adı değildir. İlgili bent, Kanunun 9. maddesinin beşinci fıkrasındaki bildirim yükümlülüğüne bağlanmıştır. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir (KVKK m.9/5, m.18/1-d).

Bu nedenle bir yurt dışına aktarım dosyasında önce hangi aktarım şartına dayanıldığı, standart sözleşme kullanılıp kullanılmadığı, imza ve bildirim tarihleri belirlenmelidir. Yalnız “yurt dışına veri gönderildi” tespitiyle standart sözleşme bildirimine ilişkin ceza bendine geçilemez. Bu bentteki ceza muhatabının veri sorumlusu yanında veri işleyen de olabilmesi ayrıca önemlidir (KVKK m.9, m.18/2).

4. KVKK Cezasını Şirket mi, Çalışan veya Yönetici mi Öder?

KVKK cezasının muhatabı, ilk dört bentte veri sorumlusudur. Veri sorumlusu bir şirketse, cezanın şirket yöneticisine veya işlemi yapan çalışana sırf bu unvan nedeniyle yöneltilmesi doğru bir muhatap tespiti olmaz. Standart sözleşme bildirimine ilişkin bentte ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri muhatap olabilir (KVKK m.18/2).

Veri sorumlusu, işleme amaçlarını ve araçlarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişidir. Veri işleyen ise onun verdiği yetkiye dayanarak onun adına işlem yapar. Hizmet sözleşmesinde kullanılan unvanı okumakla yetinmeyin; somut işleme faaliyetindeki rolü inceleyin. Ayrımın kapsamı veri sorumlusu ile veri işleyen farkı yazısındadır (KVKK m.3/1-ğ, m.3/1-ı).

Varsayımsal olarak bir şirket çalışanının müşteri listesini izinsiz paylaşması hâlinde, çalışanın paylaşma fiili ile şirketin güvenlik tedbirleri ayrı incelenir. Çalışan bakımından suç unsurlarının bulunup bulunmadığı; şirket bakımından hangi veri güvenliği yükümlülüğünün yerine getirilmediği araştırılır. Tek olayın bulunması bu iki kişinin aynı fiilden ve aynı sıfatla sorumlu olduğunu göstermez (KVKK m.12, m.18/2; TCK m.20, m.136).

5. KVKK İhlalinde Kamu Kurumları İçin Hangi Yol İzlenir?

KVKK m.18 kapsamındaki fiillerin kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi için disiplin yolu düzenlenmiştir. Kurulun bildirimi üzerine ilgili görevliler hakkında disiplin hükümlerine göre işlem yapılır ve sonuç Kurula bildirilir. Bu kurumlar bakımından yukarıdaki para cezası tablosunu doğrudan uygulamak doğru olmaz (KVKK m.18/4).

Bu ayrım, kamu kurumunun hukuka aykırı veri işlemeyi sürdürebileceği anlamına gelmez. Kurul, tespit ettiği hukuka aykırılığın veri sorumlusu tarafından giderilmesine karar verebilir. Kamu görevlisinin fiili ayrıca bir suç oluşturuyorsa şahsi ceza sorumluluğu değerlendirilir; görevin verdiği yetkinin kötüye kullanılması, ilgili suçlarda artırıma neden olabilir (KVKK m.15/5; TCK m.20, m.137).

6. KVKK Açık Rıza Alınmaması Her Durumda Ceza Doğurur mu?

KVKK bakımından açık rıza alınmaması, her durumda hukuka aykırı veri işleme bulunduğunu göstermez. Kanunda açık rıza dışında işleme şartları da vardır. Önce verinin türü ve faaliyete uygulanabilecek işleme şartı belirlenir; ardından varsa aykırılığın hangi yaptırım hükmüne bağlandığı incelenir (KVKK m.5-6, m.18).

Aydınlatma ile açık rıza da aynı işlem değildir. Kişinin bir formu imzalaması, aydınlatmada bulunması gereken bilgilerin verildiğini tek başına göstermez; aydınlatma yükümlülüğü ayrıca değerlendirilir. Benzer biçimde açık rıza alınmış olması veri güvenliği tedbirlerinin yerine geçmez (KVKK m.10, m.12).

Özel nitelikli kişisel verilerde işleme şartları ayrı düzenlenir. Bu veriler için genel veri işleme şartlarını aynı biçimde uygulamayın. Ayrıca KVKK’daki özel nitelikli veri düzenlemesiyle ceza kanunundaki artırım nedenlerini birbirinin yerine kullanmayın; özel nitelikli kişisel veri değerlendirmesi ile TCK m.135/2’nin kapsamı kendi hükümlerinden okunmalıdır (KVKK m.6; TCK m.135/2).

7. KVKK Para Cezasının Miktarı Nasıl Belirlenir?

KVKK para cezaları, her bentte alt ve üst sınırı bulunan yaptırımlardır. Somut miktar belirlenirken kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumu birlikte göz önünde bulundurulur. Bu nedenle tabloda üst sınırın bulunması, her ihlalde o tutarın kesileceği anlamına gelmez (KVKK m.18/1; Kabahatler Kanunu m.17/2).

Ceza kararını okurken yalnız son tutara bakmayın. İsnat edilen davranışın ne olduğu, hangi yükümlülüğe bağlandığı, kimin sorumluluğunda bulunduğu ve miktar belirlenirken hangi olguların esas alındığı birlikte incelenmelidir. Savunma ve dava hazırlığında bu başlıkları ayrı göstermek, yükümlülük itirazıyla tutar itirazının birbirine karışmasını önler (KVKK m.18; Kabahatler Kanunu m.17/2).

Kanun metninde görülen başlangıç tutarları ile cari tablodaki tutarlar aynı değildir. Kabahatler Kanunu, idari para cezalarının her takvim yılı başından geçerli olmak üzere yeniden değerleme oranında artırılmasını düzenler; nispi nitelikteki cezaları bu kuralın dışında bırakır. Yukarıdaki tablo, Kurumun yayımladığı cari sınırları gösterir; eski kanun rakamlarıyla güncel tutarları aynı tabloda toplamaz (Kabahatler Kanunu m.17/7).

8. KVKK Cezasına İtiraz Nereye, Kaç Gün İçinde Yapılır?

KVKK idari para cezasına karşı idare mahkemesinde dava açılabilir. Özel kanunda ayrı süre gösterilmeyen hâllerde idare mahkemesindeki genel dava açma süresi altmış gündür; süre yazılı bildirimin yapıldığı tarihi izleyen günden başlar. Para cezasına karşı yargı yolu ile ilgili kişinin Kurula şikâyet süresini birbirine karıştırmayın (KVKK m.18/3; İdari Yargılama Usulü Kanunu m.7).

Ceza tebliğ edilmişse hazırlığı şu sırayla yapın:

1. Tebliğ kaydını koruyun. Kararın tamamını ve yazılı bildirimin tarihini gösteren belgeyi birlikte saklayın; dava süresini bu kayıt üzerinden değerlendirin (İYUK m.7).
2. Ceza bendini ve muhatabı belirleyin. Hangi yükümlülüğe dayanıldığını, cezalandırılan kişinin veri sorumlusu veya veri işleyen sıfatını taşıyıp taşımadığını kontrol edin (KVKK m.18/1-2).
3. İhlal ve miktar itirazını ayırın. Davranışın yükümlülüğe aykırılığına ilişkin belgeler ile kusur, ekonomik durum ve yaptırım miktarına ilişkin belgeleri ayrı düzenleyin (KVKK m.18; Kabahatler Kanunu m.17/2).
4. Dava ve ödeme takvimlerini ayrı izleyin. Ödeme yapmak kanun yoluna başvurma hakkını etkilemez; ödeme için geçerli süre dava açma süresinin yerine geçmez (Kabahatler Kanunu m.17/6; İYUK m.7).

Buradaki yol cezanın muhatabının başvuracağı yargı yoludur. Kendi verilerinin işlenmesine itiraz eden kişi için önce veri sorumlusuna KVKK başvurusu, ardından şartları varsa KVKK Kuruluna şikâyet söz konusudur. Başvurunun reddi, yetersiz cevap veya süresinde cevap verilmemesi hâllerinde şikâyet yolu; veri sorumlusuna başvuru tüketildikten sonra kullanılabilir (KVKK m.13, m.14).

9. KVKK Cezasında İndirimli Ödeme Hakkı Var mı?

KVKK idari para cezasında ödeme süresi içindeki ödemeye ilişkin genel indirim kuralı dikkate alınır. Ödeme süresi içinde ödenen cezadan yüzde yirmi beş indirim yapılır. Özel kanunda ödeme süresi düzenlenmemişse ödeme, tebliğden itibaren bir ay içinde yapılır. Ödeme, karara karşı kanun yoluna başvurma hakkını etkilemez (Kabahatler Kanunu m.17/6).

İndirim oranı ile cezanın hukuka uygunluğu ayrı konulardır. Ödemeyi tercih eden kişi de süresi içinde yargı yoluna başvurabilir. Tebliğ belgesi, ödeme kaydı ve dava hazırlığına ilişkin belgelerin birlikte tutulması bu iki işlemin tarihlerini ayırt etmeyi sağlar (Kabahatler Kanunu m.17/6; İYUK m.7).

10. KVKK İhlalinde Hapis Cezası Hangi Fiiller İçin Söz Konusu Olur?

KVKK ihlalinde hapis cezası, fiilin Türk Ceza Kanunundaki suç tanımını karşılamasına bağlıdır. Kanunun ceza hükümleri kişisel veri suçları bakımından TCK m.135-140’a gönderme yapar. Bu maddelerin hepsi ayrı suç tanımı değildir; temel fiillerin yanında artırım, şikâyet ve tüzel kişilere ilişkin hükümler de bulunur (KVKK m.17; TCK m.135-140).

Fiil	Kanundaki temel hapis cezası	Dayanak
Kişisel verileri hukuka aykırı kaydetme	Bir yıldan üç yıla kadar	TCK m.135/1
Kişisel verileri hukuka aykırı olarak başkasına verme, yayma veya ele geçirme	İki yıldan dört yıla kadar	TCK m.136/1
Kanunların belirlediği süreler geçtiği hâlde verileri sistem içinde yok etmekle yükümlü kişinin görevini yerine getirmemesi	Bir yıldan iki yıla kadar	TCK m.138/1

KVKK, Kanunun 7. maddesine aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenler için de TCK m.138 uyarınca cezalandırma öngörür. Bu gönderme, saklama nedenleri ortadan kalktığında uygulanacak yükümlülüklerle birlikte değerlendirilmelidir (KVKK m.7, m.17/2).

Bunlar temel cezalardır. Kaydedilen verinin TCK m.135/2’de sayılan nitelikte olması hâlinde ceza yarı oranında artırılır. Kamu görevlisinin görevin verdiği yetkiyi kötüye kullanması veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılması da kapsamına giren suçlarda yarı oranında artırım nedenidir (TCK m.135/2, m.137).

Kanun, ayrıca belirli beyan ve görüntü kayıtlarının suçun konusu olması ile Ceza Muhakemesi Kanununa göre ortadan kaldırılması gereken verilerin yok edilmemesi için özel artırım hükümleri içerir. Bu nedenle temel ceza aralığı üzerinden her olayda kesin sonuç çıkarılamaz. Verme, yayma ve ele geçirme fiillerinin ayrımı TCK 136 kişisel verileri ele geçirme ve yayma yazısında açıklanmıştır (TCK m.136/2, m.138/2).

Ceza sorumluluğu şahsidir; tüzel kişiler hakkında ceza yaptırımı uygulanmaz. Kanunda öngörülen güvenlik tedbirleri saklıdır ve kişisel veri suçlarının işlenmesi dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirleri düzenlenmiştir. Şirketin idari para cezası ile bir kişinin hapis cezasını bu nedenle aynı sorumluluk olarak değerlendirmeyin (TCK m.20, m.140).

Kişisel verilerin kaydedilmesi, verileri hukuka aykırı verme veya ele geçirme ve verileri yok etmeme suçları şikâyete bağlı değildir. İhbar veya şikâyet Cumhuriyet başsavcılığına veya kolluğa yapılabilir; suç işlendiği izlenimini veren hâli öğrenen savcı gerçeği araştırmaya başlar. Mağdurun şikâyetten vazgeçmesi, bu suçlarda şikâyet şartı ortadan kalktığı gerekçesiyle dosyayı sona erdirmez (TCK m.139; Ceza Muhakemesi Kanunu m.158, m.160).

11. KVKK İhlalinde Aynı Fiile Hem İdari Hem Adli Yaptırım Uygulanır mı?

KVKK ihlalinde idari ve adli sorumluluk farklı hükümlere dayanır; ancak buradan her durumda iki yaptırımın birlikte uygulanabileceği sonucu çıkmaz. Bir fiil hem kabahat hem suç olarak tanımlanmışsa yalnız suçtan dolayı yaptırım uygulanır. Suçtan dolayı yaptırım uygulanamayan hâllerde kabahat dolayısıyla yaptırım uygulanabilir (Kabahatler Kanunu m.15/3).

Burada belirleyici ayrım, aynı olay ile aynı fiilin birbirine eşit sayılmamasıdır. Bir çalışanın veriyi hukuka aykırı paylaşması ve veri sorumlusu şirketin güvenlik yükümlülüğünü yerine getirmemesi aynı olayda gündeme gelebilir. Buna karşılık aynı kişinin aynı fiili için iki yaptırım tartışılıyorsa Kabahatler Kanunundaki sınır ayrıca incelenmelidir (KVKK m.12, m.18/2; Kabahatler Kanunu m.15/3; TCK m.20, m.136).

Ceza dosyasındaki sonuca bakarak idari cezanın kendiliğinden kalktığı veya mutlaka geçerli kaldığı da söylenemez. Fiil, kişi ve yükümlülükler karşılaştırılmalı; suçtan yaptırım uygulanamamasının kabahat bakımından sonucu değerlendirilmelidir. Bu inceleme, idari para cezasına karşı dava açma süresini takip etmenin yerine geçmez (Kabahatler Kanunu m.15/3; KVKK m.18/3; İYUK m.7).