KVKK Nedir? Açılımı, Kapsamı ve Kişisel Veri Hakları

KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun kısaltmasıdır. Kanun, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere temel hak ve özgürlükleri korur; verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenler (6698 sayılı Kişisel Verilerin Korunması Kanunu m.1).

Kişisel verisinin nasıl kullanıldığını öğrenmek isteyen kişi ile müşteri, çalışan veya ziyaretçi verisi işleyen işletme için ilk sorular farklıdır. Kişinin hangi hakkını kime yönelteceği, işletmenin ise hangi faaliyeti hangi şartla yürüttüğü belirlenmelidir. Aşağıdaki rehber bu iki ihtiyacı ayırır; belge hazırlama, başvuru ve uyum işlemlerinin ayrıntıları ilgili yazılarda açıklanır.

1. KVKK Kanunu, Kurum ve Kurul Arasındaki Fark Nedir?

6698 sayılı Kanun hukuki kuralları, Kişisel Verileri Koruma Kurumu kamu tüzel kişisini, Kişisel Verileri Koruma Kurulu ise bu Kurumun karar organını ifade eder. Kanunda Kurum ve Kurul ayrı tanımlanmıştır; Kurum, Kurul ve Başkanlıktan oluşur (KVKK m.3/1-f, m.3/1-g, m.19).

Adlandırma	Ne anlama gelir?	Okuyucunun kar­şı­laş­tığı işlev
Kişisel Verilerin Korunması Kanunu	Kişisel veri işleme kurallarını düzenleyen 6698 sayılı Kanundur.	Hak ve yüküm­lü­lük­le­rin dayanağıdır (m.1).
Kişisel Verileri Koruma Kurumu	İdari ve mali özerkliğe sahip kamu tüzel kişisidir.	Kanunla verilen görevleri yerine getirir (m.19).
Kişisel Verileri Koruma Kurulu	Kurumun karar organıdır.	Şikâyetleri inceler, Kanundaki görev ve yetkileri kullanır (m.19/4, m.22).

Resmî duyurulara ve işlem sistemlerine Kişisel Verileri Koruma Kurumunun internet sitesinden ulaşılır. Kanunun resmî metnine Kurumun sitesindeki Mevzuat bölümünden ulaşılabilir.

1.1. 6698 sayılı Kanun ne zaman yürürlüğe girdi?

Kanun, 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete’de yayımlandı. Yürürlük tek tarihte gerçekleşmedi: m.8, m.9, m.11 ve m.13 ila m.18 yayımı tarihinden altı ay sonra; diğer maddeler ise yayımı tarihinde yürürlüğe girdi. Bu nedenle yayım tarihi ile bütün maddelerin uygulanmaya başlandığı tarih aynı kabul edilmemelidir (KVKK m.32).

2. Kanun Kimleri ve Hangi Veri İşlemlerini Kapsar?

Kanun, kişisel verileri işlenen gerçek kişileri ve bu verileri belirli yöntemlerle işleyen gerçek veya tüzel kişileri kapsar. Yöntem bakımından tamamen ya da kısmen otomatik işleme ile bir veri kayıt sisteminin parçası olan otomatik olmayan işleme birlikte düzenlenmiştir. Bu nedenle kapsam yalnız internette toplanan verilerle sınırlı değildir (KVKK m.2).

Bir veri kayıt sistemi, kişisel verilerin belirli ölçütlere göre yapılandırılarak işlendiği sistemdir. Varsayımsal bir işletmede çalışanlara göre düzenlenmiş kâğıt dosyalar bakımından da bu ölçüt incelenir. Bilginin bilgisayarda bulunmaması, tek başına Kanunun uygulanmayacağı anlamına gelmez (KVKK m.3/1-h, m.2).

Kanun her faaliyete aynı kapsamda uygulanmaz. Örneğin gerçek kişinin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyeti; üçüncü kişilere veri verilmemesi ve veri güvenliği yükümlülüklerine uyulması koşuluyla istisna kapsamındadır. Diğer bazı durumlarda ise yalnız belirli maddeler uygulanmaz. Faaliyetin istisnanın bütün koşullarını karşılayıp karşılamadığı ayrıca incelenmelidir (KVKK m.28/1-a, m.28/2).

3. Kişisel Veri Nedir, Hangi Bilgiler Korunur?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bir bilginin bu kapsama girmesi için gerçek kişiyle ilişkisinin ve kişinin belirlenebilirliğinin birlikte incelenmesi gerekir. Yalnız şirketin tüzel kişiliğine ilişkin bir bilgi ile belirli bir çalışana ilişkin bilgi aynı şekilde değerlendirilmez (KVKK m.3/1-d).

Varsayımsal bir müşteri kaydındaki ad soyad, kişiye ait telefon numarası veya kişiye bağlanabilen sipariş bilgisi bu tanım üzerinden incelenebilir. Bilginin tek başına kişinin adını göstermemesi, başka kayıtlarla kişi belirlenebiliyorsa kapsam dışında kaldığı anlamına gelmez. Örnekler ve kişisel veri sayılmayan bilgiler kişisel veri nedir rehberinde açıklanmıştır (KVKK m.3/1-d).

3.1. Özel nitelikli kişisel veriler neden ayrıca değerlendirilir?

Sağlık, cinsel hayat, biyometrik ve genetik veriler ile Kanunda sayılan diğer kategoriler özel nitelikli kişisel veridir. Bunların işlenmesi, olağan kişisel veriler için düzenlenen genel şartlardan ayrı olarak m.6’daki koşullara ve yeterli önlemlere tabidir. Veriyle ilgili bir işleme şartı bulunması kadar, doğru veri kategorisinin seçilmesi de gerekir (KVKK m.6/1, m.6/3, m.6/4).

Özel nitelikli verilere ilişkin işleme şartları 2024’te yeniden düzenlenmiştir; eski ikinci fıkra yürürlükten kaldırılmıştır. Bu nedenle yalnız açık rıza veya eski sağlık verisi ayrımına dayanan açıklamalarla yetinilmemelidir. Kategoriler, sınır örnekleri ve güncel şartlar özel nitelikli kişisel veri rehberinde yer alır (KVKK m.6).

4. Kişisel Verilerin İşlenmesi Ne Demektir?

İşleme, kişisel verinin elde edilmesinden kaydedilmesine, saklanmasından aktarılmasına ve kullanımının engellenmesine kadar veriler üzerinde gerçekleştirilen işlemleri kapsar. Dolayısıyla veriyi başkasına göndermeyen bir işletme de onu kaydediyor veya muhafaza ediyorsa işleme faaliyeti yürütür (KVKK m.3/1-e).

İşleme sırasında hukuka ve dürüstlük kurallarına uygunluk; doğruluk ve gerektiğinde güncellik; belirli, açık ve meşru amaç; amaçla bağlantılı, sınırlı ve ölçülü kullanım; gerekli süre kadar saklama ilkelerine uyulmalıdır. Bir formda yer bulunması veya sistemin bir bilgiyi toplamaya izin vermesi, o verinin işlemeyle bağlantısını ve gerekliliğini tek başına açıklamaz (KVKK m.4).

5. Veri Sorumlusu ve Veri İşleyen Kimdir?

Veri sorumlusu, kişisel verinin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına işleme yapar. Ayrım, hangi işletmenin hangi işlem için amaç ve araç belirlediği üzerinden kurulur (KVKK m.3/1-ğ, m.3/1-ı).

Varsayımsal bir hizmet ilişkisinde, müşteri kayıtlarını hangi amaçla kullanacağını belirleyen işletme ile yalnız onun yetkisiyle bu kayıtlar üzerinde işlem yapan sağlayıcının görevleri farklı olabilir. Sözleşmenin başlığı tek başına rolü açıklamaz; gerçek faaliyet de incelenir. Rolün hangi işleme ilişkin olduğu ve güvenlik yükümlülükleri veri sorumlusu ve veri işleyen rehberinde ayrıntılandırılmıştır (KVKK m.3, m.12/2).

6. KVKK Onayı ve Açık Rıza Her İşlem İçin Gerekir mi?

Kişisel veri işlemek için her durumda açık rıza alınması gerekmez. Olağan kişisel veriler bakımından m.5/2’deki şartlardan biri gerçekleşiyorsa açık rıza aranmadan işleme mümkündür. Açık rızaya dayanılan işlemde ise rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olmalıdır (KVKK m.3/1-a, m.5).

Örneğin sözleşmenin kurulması veya ifası gerekçesi, ancak sözleşmeyle doğrudan ilgili olmak kaydıyla taraflara ait verilerin işlenmesinin gerekli olduğu durumda kullanılabilir. Bir sözleşmenin varlığı bütün veri kullanımlarını aynı şartla hukuka uygun hâle getirmez. Kanunda açıkça öngörülme, hukuki yükümlülük ve meşru menfaat gibi diğer şartlar da kendi koşullarıyla değerlendirilir (KVKK m.5/2).

“KVKK izni” veya “KVKK onayı” adı verilen bir formun hangi işlem için neyi onaylattığına bakılmalıdır. Formun adı, belirsiz bir izni geçerli açık rızaya dönüştürmez. İşleme açık rızaya dayanıyorsa bunun kapsamı, özgür iradeyle açıklanması ve bilgilendirmesi birlikte ele alınır; ayrıntı açık rıza nasıl alınır rehberindedir (KVKK m.3/1-a).

Ticari mesajlarda izin ve ret işlemleri, İYS ile KVKK arasındaki farkı açıklayan rehberde ayrıca ele alınmıştır.

İnternet sitesinin veri uygulamalarını açıklayan metni hazırlamak için gizlilik politikası rehberindeki belge ayrımları ve hazırlama adımları kullanılabilir.

6.1. KVKK onayı vermezsem veya metni imzalamazsam ne olur?

Onay vermemenin sonucu, istenen iznin konusuna ve işlemenin hukuki sebebine bağlıdır. Yalnız bilgilendirme sunan bir metin ile belirli bir işleme rıza isteyen açıklama farklıdır. İmzalamamak bütün veri işlemlerini durdurmaz; rıza dışındaki işleme şartlarından biri varsa o şartın sınırları içinde işleme yapılabilir (KVKK m.3/1-a, m.5, m.10).

Hizmet için veri gerekmesi ile o verinin mutlaka açık rızayla işlenmesi aynı şey değildir. Sözleşmenin ifası şartında doğrudan ilişki ve gereklilik aranır. Hizmetle ilgisiz başka bir kullanım için istenen iznin reddedilmesi ise özgür irade bakımından incelenir. Bu nedenle “imzalamazsanız hiçbir hizmet alamazsınız” gibi genel bir sonuç kurulamaz; açık rızanın hizmet şartı yapılması bölümünde bu ayrım açıklanmıştır (KVKK m.3/1-a, m.5/2-c).

6.2. KVKK onayını geri almak verileri sildirmek midir?

Rızanın geri alınması, bütün kayıtların silinmesiyle aynı işlem değildir. Kurumun Kişisel Verilerin Korunması Kanunu Hakkında Sıkça Sorulan Sorular rehberi, geri alma bildirimi veri sorumlusuna ulaştığında rızaya dayalı faaliyetin ileriye yönelik durdurulacağını açıklar. Mart 2025 tarihli bu rehber, kanun veya bağlayıcı düzenleme değildir; açıklama rıza tanımına ilişkin kurum yorumudur (KVKK m.3/1-a).

Silme yönünden, verileri işlemeyi gerektiren sebeplerin ortadan kalkıp kalkmadığı ve diğer kanun hükümleri ayrıca incelenir. Talebinizde hangi işleme verilen izni geri aldığınızı, hangi kayıtların silinmesini istediğinizi ayrı belirtin. Muhatap ve iletim adımları açık rızanın geri alınması rehberinde; silme, yok etme ve anonimleştirme ayrımı kişisel verilerin imhası yazısında yer alır (KVKK m.7, m.11, m.13).

7. Aydınlatma Metni, Açık Rıza ve Sözleşme Nasıl Ayrılır?

Aydınlatma, kişisel verinin elde edilmesi sırasında ilgili kişiye gerekli bilgilerin verilmesidir. Açık rıza ise koşulları varsa işleme için dayanılan irade açıklamasıdır. Sözleşmenin kurulması veya ifasıyla ilgili gerekli işleme de açık rızadan ayrı bir hukuki şart olabilir. Bu işlemler aynı belge adı altında birbirinin yerine geçirilmemelidir (KVKK m.10, m.3/1-a, m.5/2-c).

İşlem veya belge	Hangi soruya cevap verir?	Kapsamı
Aydınlatma	Veriyi kim, hangi amaçla, hangi hukuki sebeple işliyor; kimlere aktarıyor; kişinin hakları neler?	Kişiye verilecek bilgileri açıklar (m.10).
Açık rıza	Kişi belirli işleme, bil­gi­len­dir­meye dayanarak ve özgür iradesiyle rıza veriyor mu?	Tanımdaki koşulları taşıyan irade açık­la­ma­sı­dır (m.3/1-a).
Sözleşmenin kurulması veya ifası için gerekli işleme	İşleme, sözleşmeyle doğrudan ilgili ve taraflara ait veriler bakımından gerekli mi?	Koşulları varsa açık rıza aranmadan işleme imkânıdır (m.5/2-c).

Aydınlatmada veri sorumlusunun ve varsa temsilcisinin kimliği, işleme amaçları, kimlere ve hangi amaçla aktarım yapılabileceği, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları açıklanır. Bir metnin başka işletmeden alınması yerine gerçek faaliyeti karşılayıp karşılamadığı incelenir. Hazırlama adımları KVKK aydınlatma metni rehberinde yer alır (KVKK m.10).

Çalışan verileriyle ilgili hazırlıkta işlenen veriler ve amaçlar o ilişkiye göre belirlenir. İşverenin bilgilendirmesi ile çalışanın gizlilik taahhüdü aynı işlem değildir; yalnız bir taahhüt imzalanması işverenin bilgi verme yükümlülüğünü yerine getirmez. Bu konu için çalışan aydınlatma metni rehberi kullanılabilir (KVKK m.10, m.12/4).

7.1. KVKK sözleşmesi veya KVKK belgesi denilen evrak nedir?

“KVKK sözleşmesi” ya da “KVKK belgesi” başlığı, evrakın hangi işlevi yerine getirdiğini tek başına göstermez. Belge bilgi vermeyi amaçlıyorsa aydınlatma içeriğine; izin istiyorsa açık rızanın koşullarına bakılır. Aydınlatma metni hazırlama rehberi, bilgi verme yükümlülüğünün içeriğini açıklar (KVKK m.3/1-a, m.10).

Veri sorumlusuyla onun adına işlem yapan sağlayıcı arasındaki sözleşme de ilgili kişinin açık rızasıyla karıştırılmamalıdır. Amaç ve araçları kimin belirlediği ile kimin kimin adına işlem yaptığı incelenir; güvenlik tedbirleri bakımından birlikte sorumluluk ayrıca düzenlenmiştir. Ayrıntı veri sorumlusu ve veri işleyen ayrımında bulunur (KVKK m.3/1-ğ, m.3/1-ı, m.12/2).

Belgeyi değerlendirirken hangi faaliyeti anlattığını, kimin yükümlülüğünü karşıladığını ve uygulamayla uyuşup uyuşmadığını kontrol edin. İmzalı bir evrakın bulunması, gerekli güvenlik tedbirlerinin ve diğer yükümlülüklerin yerine getirilmesinin yerine geçmez. Belgelerle uygulamanın birlikte ele alınması KVKK uyum süreci rehberinde açıklanmıştır (KVKK m.10, m.12).

8. Kişisel Verileri İşlenen Kişinin Hakları Nelerdir?

Kişisel verisi işlenen gerçek kişi, veri sorumlusuna başvurarak kendisiyle ilgili bilgiyi ve Kanunda tanımlanan işlemleri talep edebilir. Hakkın içeriği talebe göre değişir; örneğin silme talebi, işlemeyi gerektiren sebeplerin ortadan kalkmasına ilişkin koşullarla birlikte değerlendirilir (KVKK m.3/1-ç, m.11, m.7).

Kanun, ilgili kişiye şu hakları tanır (KVKK m.11):

• Kişisel veri işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme hakkı vardır.
• İşleme amacını ve verilerin bu amaca uygun kullanılıp kullanılmadığını öğrenebilir.
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri öğrenebilir.
• Eksik veya yanlış işlenen verilerin düzeltilmesini, m.7’nin koşulları varsa silinmesini veya yok edilmesini isteyebilir.
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteyebilir.
• Verilerin yalnız otomatik sistemlerle analiz edilmesi nedeniyle kendisi aleyhine ortaya çıkan sonuca itiraz edebilir.
• Verilerin kanuna aykırı işlenmesi sebebiyle zarara uğramışsa zararın giderilmesini talep edebilir.

Başvuruda hangi kayıt veya kullanımın sorulduğunu ve istenen işlemi açıklamak, talebin kapsamını belirlemeye yardımcı olur. Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder; kabul edilen talebin gereğini yerine getirir (KVKK m.13/3).

9. KVKK Başvurusu ve Şikâyeti Nasıl Yapılır?

Kanundaki şikâyet yolu için önce veri sorumlusuna başvuru yolu tüketilir. Veri sorumlusu talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kurula şikâyet edilebilir (KVKK m.13, m.14).

1. Veri sorumlusunu ve talebi belirleyin. Hangi işleme ilişkin bilgi, düzeltme veya başka bir hakkın kullanıldığı açıklanır. Talep, yazılı olarak veya belirlenen diğer yöntemlerle veri sorumlusuna iletilir. Gönderim yöntemi ve dilekçe içeriği veri sorumlusuna başvuru rehberinde açıklanmıştır (KVKK m.11, m.13/1).
2. Cevabı ve başvuru tarihini birlikte izleyin. Talebin ne zaman iletildiği ve cevabın ne zaman öğrenildiği sonraki şikâyet süresinin değerlendirilmesinde ayrı ayrı önem taşır. Başvuru kural olarak ücretsizdir; işlemin ayrıca maliyet gerektirmesi hâlinde belirlenen tarife uygulanabilir (KVKK m.13/2, m.14/1).
3. Şikâyet şartları oluşmuşsa Kurula yönelin. Süre, veri sorumlusunun cevabını öğrenme tarihinden itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gündür. Süre hesabı ve eklenecek belgeler KVKK Kuruluna şikâyet rehberinde ayrıntılıdır (KVKK m.14).

Şikâyet incelemesi ile zararın giderilmesine yönelik talep de ayrıdır. Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır; Kurula şikâyet edilmesi, kişiye kendiliğinden tazminat ödenmesi anlamına gelmez (KVKK m.14/3).

10. İşletmeler KVKK İçin Hangi Çalışmaları Yapmalıdır?

İşletmenin yükümlülükleri, hangi kişisel veriyi hangi faaliyet kapsamında işlediği ve uygulanabilecek istisnalar üzerinden belirlenir. İşleme şartları, aydınlatma, veri güvenliği, saklama, aktarım ve ilgili kişi talepleri birlikte ele alınır. İşlerin sıralanması ve görevlerin dağıtılması için KVKK uyum süreci rehberi kullanılabilir (KVKK m.2, m.4, m.5, m.6, m.7, m.8, m.9, m.10, m.12, m.13, m.28).

Hazırlıkta şu işler birbirine bağlanır:

• Faaliyet ve veri listesi: Hangi verinin kimden, hangi amaçla alındığı ve nasıl kullanıldığı belirlenir. Sicile kayıtla yükümlü veri sorumlularının hazırladığı envanter ve örnek alanlar kişisel veri envanteri rehberinde açıklanmıştır (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-ç).
• Bilgilendirme ve işleme şartları: Gerçek faaliyeti karşılayan aydınlatma sunulur; açık rıza veya diğer işleme şartlarının koşulları incelenir. Web sitesindeki çerezler için hazırlık ve tercih düzeni ayrıca çerez politikası hazırlama rehberinde ele alınır (KVKK m.5, m.6, m.10).
• Güvenlik ve erişim: Hukuka aykırı işleme ve erişimi önlemek, verileri muhafaza etmek için gerekli teknik ve idari tedbirler alınır. Veri sorumlusu kendi kurumunda gerekli denetimleri yapar veya yaptırır (KVKK m.12/1, m.12/3).
• Saklama ve imha: Verilerin hangi gerekçeyle saklandığı belirlenir. İşlemeyi gerektiren sebepler ortadan kalktığında diğer kanun hükümleri de gözetilerek silme, yok etme veya anonimleştirme uygulanır; yöntemler kişisel verilerin imhası rehberindedir (KVKK m.4/2-d, m.7).
• Aktarım: Yurt içi ve yurt dışı aktarımlar, kendi koşullarıyla değerlendirilir. Yurt dışı aktarım rejimi 2024’te yeniden düzenlenmiştir; eski açık rıza merkezli açıklamalar güncel şartların yerine kullanılmamalıdır. Veri akışı ve hukuki yollar yurt dışına veri aktarımı rehberinde açıklanır (KVKK m.8, m.9).

Varsayımsal bir işyerindeki kamera uygulaması da işleme amacı, ölçülülük, işleme şartı, aydınlatma ve güvenlik yönünden incelenir. Her kamera kullanımına tek cevap vermek yerine kullanımın kapsamı belirlenir; görüntü ve ses kaydı ayrımı için işyerinde kamera kaydı rehberine bakılabilir (KVKK m.4, m.5, m.10, m.12).

10.1. VERBİS kaydı yapılınca bütün yükümlülükler tamamlanır mı?

VERBİS, Sicile ilişkin işlemlerin yürütüldüğü sistemdir. Sicile kaydolmak diğer KVKK yükümlülüklerini ortadan kaldırmaz. Kayıt zorunluluğundan istisna tutulmak da Kanunun kapsam istisnaları saklı kalmak üzere diğer yükümlülüklerden muafiyet sağlamaz (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-e, m.5/1-f, m.5/1-g).

Bu nedenle kayıt durumu ile aydınlatma, güvenlik ve ilgili kişi başvuruları ayrı ayrı kontrol edilir. Kimin kayıt yaptıracağı ve bildirilecek bilgiler VERBİS kayıt yükümlülüğü rehberinde açıklanmıştır (KVKK m.10, m.12, m.13, m.16).

11. Veri İhlali Olduğunda Hangi İşlem Yapılır?

İşlenen kişisel veriler kanuni olmayan yollarla başkalarınca elde edilmişse, veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurula bildirir. Bu bildirim yükümlülüğü, kişinin veri sorumlusuna yaptığı hak başvurusundan ve Kurula yönelttiği şikâyetten farklıdır. Olayın kapsamının belirlenmesi ve bildirim hazırlığı veri ihlali bildirimi rehberinde açıklanmıştır (KVKK m.12/5, m.13, m.14).

Her KVKK aykırılığı aynı olay türü değildir. Aydınlatmanın yapılmaması, gerekli güvenlik tedbirlerinin alınmaması veya sicil yükümlülüğüne aykırılık farklı yükümlülüklerle ilgilidir. Hangi fiilin hangi hüküm kapsamında olduğu belirlenmeden bütün aykırılıklar tek bir ihlal ve ceza biçiminde ele alınamaz (KVKK m.10, m.12, m.16, m.18).

12. KVKK İhlalinin Cezası Nedir?

KVKK yükümlülüklerine aykırılıkta idari yaptırımlar ile kişisel verilere ilişkin suçlar ayrılmalıdır. Kanun, belirli yükümlülüklere aykırılıklar için idari para cezası düzenler; kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanununun ilgili hükümlerine gönderme yapar. Her aykırılığın doğrudan hapis cezası oluşturduğu veya bütün fiillere aynı cezanın uygulandığı söylenemez (KVKK m.17, m.18).

Para cezasının muhatabı ve kamu kurumlarındaki disiplin düzeni de farklıdır. Kanundaki parasal tabanlar ile cari yılda uygulanan tutarlar aynı kabul edilmemelidir. Güncel tutarlar, yaptırımın muhatabı ve idari para cezasına karşı dava yolu KVKK ihlal cezası rehberinde ayrı ayrı açıklanmıştır (KVKK m.18).