KVKK İhlalinde Ceza: İdari Para Cezası ile Suç Arasındaki Fark

Kısa Cevap

Kişisel verilere ilişkin bir aykırılık, birbirinden tümüyle ayrı iki yaptırım rejimini harekete geçirebilir.

Birincisi idaridir. Kişisel Verileri Koruma Kurulu, Kanunda sayılan dört yükümlülüğe aykırılık hâlinde idari para cezası verir. Bu bir kabahat yaptırımıdır, sabıka kaydı doğurmaz ve muhatabı kural olarak veri sorumlusudur, yani şirketin kendisi.

İkincisi adlidir. Kanun, kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanununun 135 ila 140. maddelerine yollama yapar. Burada yaptırım hapis cezasıdır ve muhatabı fiili işleyen gerçek kişidir.

İki süreç birbirini beklemez ve biri diğerini engellemez. Aynı olayda şirkete idari para cezası verilirken, veriyi fiilen sızdıran çalışan hakkında ayrıca ceza soruşturması yürütülebilir.

İki Ayrı Rejim: Kabahat ve Suç

Ayrımın kaynağı Kanunun kendi yapısındadır. Kanun, ceza hükümlerini iki maddeye böler: “Suçlar” başlıklı madde adli yola, “Kabahatler” başlıklı madde idari yola bakar.

Suçlar maddesi bağımsız bir suç tipi ihdas etmez; yollama yapar:

MADDE 17- (1) Kişisel verilere ilişkin suçlar bakımından 26/9/2004 tarihli ve 5237 sayılı Türk Ceza Kanununun 135 ila 140 ıncı madde hükümleri uygulanır. (2) Bu Kanunun 7 nci maddesi hükmüne aykırı olarak; kişisel verileri silmeyen veya anonim hâle getirmeyenler 5237 sayılı Kanunun 138 inci maddesine göre cezalandırılır.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.17)

Bu yapının pratik sonucu şudur: bir fiil “KVKKya aykırı” olduğu için suç olmaz. Suç, ancak Türk Ceza Kanununun 135-140. maddelerindeki tiplerden birine uyuyorsa vardır. Buna karşılık idari para cezası, o tiplere uymayan aykırılıklarda da verilebilir; örneğin aydınlatma metni hiç düzenlenmemişse ortada bir suç yoktur ama kabahat vardır.

Farkın tablo hâlinde özeti şöyledir. Kabahat yolunda yaptırımı Kurul verir, karara karşı idare mahkemesinde dava açılır, yaptırım idari para cezasıdır, muhatap kural olarak tüzel kişi olabilir ve sabıka kaydı doğmaz. Suç yolunda soruşturmayı Cumhuriyet başsavcılığı yürütür, yargılamayı ceza mahkemesi yapar, yaptırım hapis cezasıdır, muhatap yalnızca gerçek kişi olabilir ve mahkûmiyet adli sicile işlenir.

İdari Para Cezası: Hangi Yükümlülük, Hangi Kademe

Kanun idari para cezasını sınırsız bir yaptırım olarak kurmaz; sayılı yükümlülüklere bağlar. Kabahatler maddesi beş bent hâlinde şu aykırılıkları cezalandırır: aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi, Kurul kararlarının yerine getirilmemesi, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırılık ve yurt dışına aktarımda öngörülen bildirim yükümlülüğünün yerine getirilmemesi.

Bu son bent yenidir; 2 Mart 2024 tarihli ve 7499 sayılı Kanunla eklenmiştir ve yurt dışına veri aktarımı rejiminin yeniden yazılmasıyla birlikte gelmiştir.

Listenin sınırlı olması, uygulamada sık atlanan bir sonuç doğurur: Kanunun her hükmüne aykırılık idari para cezasıyla yaptırıma bağlanmış değildir. Örneğin açık rıza alınmadan veri işlenmesi tek başına bu listede yer almaz; böyle bir dosyada ceza genellikle veri güvenliğine ilişkin yükümlülükler üzerinden ya da Kurulun verdiği giderim kararının yerine getirilmemesi üzerinden kurulur. Kararın hangi bende dayandığı, hem savunmanın hem de açılacak davanın çerçevesini belirler.

Kurulun kararına karşı izlenecek yol ve süreler için KVKK Kuruluna şikâyet yazımızın dava yolu bölümüne bakabilirsiniz.

Cezayı Kim Öder? Şirket mi, Yönetici mi?

Bu, savunmanın en çok işe yaradığı noktalardan biridir. Kanun cezanın muhatabını açıkça belirler ve 2024 değişikliğiyle bu belirlemeyi ayrıntılandırır:

(2) (Değişik:2/3/2024-7499/35 md.) Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.18)

Kural şudur: aydınlatma, veri güvenliği, Kurul kararına uyma ve Sicile kayıt yükümlülüklerine ilişkin cezaların muhatabı veri sorumlusudur. Şirket bünyesinde çalışan bir kişi, kendisi veri sorumlusu olmadıkça bu cezaların muhatabı değildir. Bu nedenle bir çalışana ya da yöneticiye kişisel olarak yöneltilen idari para cezası, muhatap yönünden tartışmaya açıktır.

Yeni eklenen (d) bendi ise bu kuralın istisnasıdır: yurt dışına aktarımda bildirim yükümlülüğü bakımından ceza, veri sorumlusunun yanı sıra veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında da uygulanabilir. Yani veri işleyenin doğrudan idari para cezası muhatabı olduğu tek hâl budur. Veri sorumlusu ile veri işleyen ayrımını ayrı bir yazıda ele aldık; bu ayrım burada doğrudan sonuç doğurur.

Kamu Kurumlarında Ceza Değil Disiplin

Kanun, aynı fiillerin kamu bünyesinde işlenmesi hâline ayrı bir sonuç bağlar:

(4) Birinci fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.18)

Bu hüküm, kamu kurumlarına idari para cezası verilmediği anlamına gelir; yol disiplin yoludur. Kurul ihlali tespit ettiğinde kuruma bildirim yapar, kurum kendi disiplin mevzuatına göre işlem yürütür ve sonucu Kurula bildirir.

Bunun ilgili kişi bakımından sonucu şudur: bir kamu kurumu hakkındaki şikâyette idari para cezası beklentisi yerinde değildir. Ancak Kurulun giderim kararı verme yetkisi kamu kurumları için de geçerlidir; yani verinin silinmesi ya da aykırılığın giderilmesi kararı kamu kurumuna da yöneltilebilir. Ayrıca kamu görevlisinin fiili suç tipine uyuyorsa, adli yol disiplin yolundan bağımsız olarak işler ve görevin verdiği yetkinin kötüye kullanılması ceza hukukunda artırım sebebidir.

Kanundaki Rakam ile Ödenen Rakam Neden Farklı?

Kanun, her bent için bir alt ve bir üst sınır gösterir. Ancak bu rakamlar maktu idari para cezalarıdır ve her takvim yılı başından geçerli olmak üzere yeniden değerleme oranında artırılarak uygulanır. Bu nedenle kanun metnindeki rakam ile bir Kurul kararında karşılaşılan rakam birbirini tutmaz; uygulanacak tutar, fiilin işlendiği yıl için Kurumun ilan ettiği tutardır.

Bu, iki yönlü bir uyarıdır. İnternette görülen tutar listeleri hızla bayatlar; bir yazıda okuduğunuz rakam, bugünkü rakam olmayabilir. Tutarı öğrenmek için Kurumun ilgili yıla ait ilanına bakılmalıdır.

Tutarın alt ve üst sınır arasında nasıl belirlendiği ise ayrı bir savunma alanıdır. İdari para cezasının miktarı kanunda alt ve üst sınır gösterilerek belirlenmişse, miktar takdir edilirken kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumu birlikte göz önünde bulundurulur. Bu nedenle üst sınıra yakın verilmiş bir cezada, fiil ile yaptırım arasındaki dengenin kurulup kurulmadığı, yani ölçülülük denetimi, açılacak davanın esaslı iddiası olabilir. Kurulun neden alt sınırdan ayrıldığını gerekçelendirmemiş olması bu iddiayı güçlendirir.

AYM Kararları: Ceza Dayanağı ve Etkili İtirazlar Gerekçelendirilmelidir

İdari para cezasında yalnız ihlalin varlığı değil, hangi kanun hükmünün hangi fiile nasıl uygulandığı da açık olmalıdır. Anayasa Mahkemesi Genel Kurulu, kamuya açık bir internet sitesinde yer alan ad ve telefon bilgisinin yayımlanma amacı dışında kullanılması nedeniyle verilen idari para cezasını incelediği kararda; alenileştirme amacının ve veri sorumluluğunun kanuni temelinin somutlaştırılmamasını öngörülemez genişletici yorum olarak değerlendirmiştir:

Bu itibarla şikâyet konusu olan verilerin 6698 sayılı Kanun’un 5. maddesi kapsamında yorumlanıp değerlendirilerek idari para cezası uygulanması nedeniyle Anayasa’nın 38. maddesinin birinci fıkrasında düzenlenen suçta ve cezada kanunilik ilkesinin ihlal edildiğine karar verilmesi gerekir.

(Anayasa Mahkemesi Genel Kurulu, Viennalife Emeklilik ve Hayat A.Ş. Başvurusu, B. No: 2020/32193, T. 27.01.2026, § 45 — ihlal)

Bu karar, alenileştirilmiş kişisel verilerin her amaçla kullanılabileceği anlamına gelmez. AYM’nin tespiti somut cezalandırma işlemine ilişkindir: yaptırımın dayanağı rehber veya geniş yorumla oluşturulmamalı; verinin hangi amaçla alenileştiği, cezalandırılan kişinin neden veri sorumlusu olduğu ve ihlal edilen kanuni yükümlülük kararda tartışılmalıdır.

Bir başka dosyada AYM, idari para cezasına yapılan itirazda sunulan açık rıza belgesi ile diğer sonuca etkili savunmaların karşılanmamasını gerekçeli karar hakkının ihlali saymıştır:

Ayrıca başvurucu, itiraz aşamasında da belirtilen iddialarını ileri sürmesine rağmen itiraz mercii de başvurucunun itirazları hususunda hiçbir değerlendirme yapmaksızın soyut ve yetersiz gerekçelerle itirazın reddine karar vermiştir. Sonuç olarak yargılamaya bir bütün olarak bakıldığında Hâkimlik ve itiraz merciinin davanın sonucuna etkili hususlar hakkında yeterli bir yanıt vermediği anlaşılmıştır. Bu nedenle başvurucunun gerekçeli karar hakkının ihlal edildiği sonucuna varılmıştır.

(Anayasa Mahkemesi İkinci Bölüm, B. No: 2022/5840, T. 30.04.2025, § 33 — ihlal)

AYM bu ikinci kararda idari para cezasının esastan hukuka aykırı olduğuna karar vermemiştir; ihlal, sonuca etkili savunmaların yargı mercilerince cevaplanmamasından doğmuştur. Bu ayrım önemlidir: dava dilekçesinde yalnız “ceza fazla” demek yerine açık rıza veya başka işleme şartı, veri sorumlusu sıfatı, fiil tarihi, ceza hesabı ve ölçülülük itirazlarının belgeyle ve ayrı başlıklarla ortaya konulması gerekir.

Adli Yol: TCK 135-140 Kapsamındaki Suçlar

Adli yolda dört ayrı suç tipi vardır. Kişisel verilerin kaydedilmesi suçu, hukuka aykırı olarak kişisel veri kaydedilmesini cezalandırır:

Madde 135- (1) Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir. [60] (2) Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır. [61]

(5237 sayılı Türk Ceza Kanunu m.135)

İkinci fıkra, özel nitelikli veri kategorilerine yakın bir liste üzerinden artırım getirir. Kanundaki özel nitelikli veri listesi ile bu ceza artırımı listesi birebir aynı değildir; bu nedenle bir verinin özel nitelikli sayılması, otomatik olarak ceza artırımı doğurmaz. Özel nitelikli veri listesinin kendisini ve 2024te değişen işleme şartlarını özel nitelikli kişisel veri yazımızda ele aldık.

Verileri hukuka aykırı olarak verme veya ele geçirme suçunun cezası daha ağırdır: iki yıldan dört yıla kadar hapis. Bu suçun unsurları, nitelikli hâlleri ve Yargıtay uygulaması için TCK 136 yazımıza bakabilirsiniz.

Verileri yok etmeme suçu, idari rejimle en çok kesişen tiptir:

Madde 138- (1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir. [63] (2) (Ek: 21/2/2014-6526/5 md.) Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.

(5237 sayılı Türk Ceza Kanunu m.138)

Kişisel Verilerin Korunması Kanunu bu maddeye açıkça bağlanır: silme yükümlülüğüne aykırı davrananların bu maddeye göre cezalandırılacağını söyler. Yani bir silme talebinin haksız reddi, yalnızca idari bir aykırılık değil, koşulları varsa suç tartışması da doğurabilir.

Nitelikli hâller ise tüm bu suçlar için ortak bir artırım getirir: fiil kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle ya da belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmişse verilecek ceza yarı oranında artırılır. Sağlık çalışanı, banka personeli ya da avukat gibi mesleğinin sağladığı erişimle veriye ulaşan kişiler bu hükmün kapsamındadır.

Bu Suçlar Şikâyete Bağlı mı?

Bu soru sıklıkla yanlış cevaplanır. Kanun, bölümdeki suçların soruşturulmasını kural olarak şikâyete bağlar, ancak üç suçu bu kuralın dışında bırakır:

Madde 139- (1) Kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme hariç, bu bölümde yer alan suçların soruşturulması ve kovuşturulması şikayete bağlıdır.

(5237 sayılı Türk Ceza Kanunu m.139)

Bu üç tip (kaydetme, verme veya ele geçirme ve yok etmeme) şikâyete bağlı değildir; savcılık öğrendiği anda resen soruşturur. Bunun iki pratik sonucu vardır. Mağdur bakımından: şikâyet süresi kaygısı bu suçlar için gündeme gelmez, ihbar yeterlidir. Şüpheli bakımından: mağdurla anlaşıp şikâyetten vazgeçilmesi soruşturmayı sona erdirmez.

İki Süreç Paralel Yürür

İdari süreç ile ceza süreci arasında bekleme ilişkisi yoktur. Kurula yapılan bildirim ceza soruşturmasını başlatmaz, ceza soruşturması da Kurul incelemesini durdurmaz.

Bunun uygulamadaki üç sonucu vardır. Birincisi, aynı olayda şirket hakkında idari para cezası ile fiili işleyen çalışan hakkında hapis cezası birlikte gündeme gelebilir; muhataplar farklı olduğu için burada mükerrer cezalandırma tartışması doğmaz. İkincisi, Kurulun ihlal tespiti ceza mahkemesini bağlamaz; ceza yargılamasında hukuka aykırılık bağımsız olarak değerlendirilir. Üçüncüsü, ceza dosyasında verilen beraat kararı Kurulun idari para cezasını kendiliğinden ortadan kaldırmaz; kabahat ile suçun unsurları farklıdır.

Üçüncü bir yol da açıktır: zarara uğrayan kişinin genel hükümlere göre tazminat davası. Kanun bu hakkı ayrıca saklı tutar; yani idari ve adli süreçlerin yanında özel hukuk yolu da bağımsız işler.

Tüzel Kişiler Hakkında Güvenlik Tedbiri

Tüzel kişiler hapis cezasının muhatabı olamaz, ancak ceza hukuku onları tümüyle dışarıda bırakmaz:

Madde 140- (1) Yukarıdaki maddelerde tanımlanan suçların işlenmesi dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunur.

(5237 sayılı Türk Ceza Kanunu m.140)

Bu, veri suçlarının bir şirketin faaliyeti çerçevesinde işlenmesi hâlinde, şirket hakkında ceza mahkemesince güvenlik tedbiri uygulanabileceği anlamına gelir. Böylece bir şirket için üç ayrı risk aynı anda doğabilir: Kurulun idari para cezası, çalışanı hakkında hapis cezası ve kendisi hakkında güvenlik tedbiri.

Sık Yapılan Hatalar

• “KVKK ihlali suçtur” demek. Suç, ancak Türk Ceza Kanununun 135-140. maddelerindeki tiplerden birine uyan fiillerde vardır; her aykırılık suç değildir.
• “Suç değilse ceza da yok” demek. Suç oluşmasa bile idari para cezası gündeme gelebilir; iki rejim ayrıdır.
• Cezayı çalışana ya da yöneticiye yöneltmek. Aydınlatma, veri güvenliği, Kurul kararına uyma ve Sicile kayıt cezalarının muhatabı veri sorumlusudur.
• Veri işleyenin hiç ceza almayacağını varsaymak. Yurt dışına aktarımda bildirim yükümlülüğü bakımından veri işleyen de muhatap olabilir.
• Kamu kurumundan idari para cezası beklemek. Kamu bünyesinde işlenen fiillerde yol disiplin yoludur; Kurulun giderim kararı yetkisi ise devam eder.
• İnternetteki tutar listelerine güvenmek. Tutarlar her yıl yeniden değerleme oranında artar; esas olan fiilin işlendiği yıl için ilan edilen tutardır.
• Ölçülülük iddiasını hiç kurmamak. Alt ve üst sınır arasında takdir yapılırken kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumu birlikte gözetilmelidir.
• Şikâyetten vazgeçmenin soruşturmayı bitireceğini sanmak. Kaydetme, verme veya ele geçirme ve yok etmeme suçları şikâyete bağlı değildir.

Özet

• Bir aykırılık iki ayrı rejimi harekete geçirir: idari (kabahat) ve adli (suç). İkisi paralel yürür, biri diğerini engellemez.
• Suç, ancak Türk Ceza Kanununun 135-140. maddelerindeki tiplerden birine uyan fiillerde vardır; her KVKK aykırılığı suç değildir.
• İdari para cezası sayılı dört yükümlülüğe bağlıdır; 2024te yurt dışına aktarım bildirimi beşinci bent olarak eklendi.
• Cezanın muhatabı kural olarak veri sorumlusudur; çalışan ya da yönetici değildir.
• Veri işleyen, yalnızca yurt dışına aktarım bildirimi bendinde doğrudan ceza muhatabıdır.
• Kamu kurumlarında idari para cezası verilmez; yol disiplin yoludur, Kurulun giderim kararı yetkisi ise sürer.
• Tutarlar maktudur ve her takvim yılı yeniden değerleme oranında artar; esas olan fiilin işlendiği yıl için ilan edilen tutardır.
• Miktar takdirinde kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumu birlikte gözetilir → ölçülülük iddiası mümkündür.
• Kaydetme, verme veya ele geçirme ve yok etmeme suçları şikâyete bağlı değildir; savcılık resen soruşturur.
• Tüzel kişiler hakkında ceza mahkemesince güvenlik tedbirine hükmolunabilir.

İlgili yazılar: KVKK Kuruluna Şikâyet: Süre, Usul ve Kurul Kararına İtiraz · TCK 136 Kişisel Verileri Hukuka Aykırı Ele Geçirme ve Yayma Suçu ve Cezası · VERBİS Kaydı: Kimler Zorunlu, Süresi ve Kaydetmemenin Yaptırımı