Kısa cevap: KVKK cezası için herkese uygulanan tek bir tutar yoktur. 6698 sayılı Kanun; aydınlatma yükümlülüğü, veri güvenliği, Kurul kararlarına uyum ve VERBİS kaydı gibi ihlaller için ayrı ayrı alt ve üst sınırı olan idari para cezaları öngörür. Bu sınırlar her yıl yeniden değerleme oranıyla güncellenir. Güncel tutarları Kurum’un duyurularından ve mali müşavirinizle ya da avukatınızla teyit etmeniz gerekir.
Neden bu yazıda rakam vermiyoruz?
İnternette KVKK cezalarına ilişkin pek çok tutar dolaşıyor; ancak bunların bir kısmı eski yıllara ait, bir kısmı ise yanlış. İdari para cezalarının sınırları her yıl yeniden değerlendirildiği ve kanunda zaman zaman değişiklik yapıldığı için, sabit bir rakam yazmak okuru yanıltabilir. Bunun yerine hangi ihlallerin cezaya konu olduğunu, Kurul’un neleri dikkate aldığını ve riski nasıl azaltabileceğinizi anlatıyoruz. Kanunun genel çerçevesi için KVKK nedir yazımıza bakabilirsiniz.
KVKK’da üç tür sorumluluk
1. İdari para cezaları
Kişisel Verileri Koruma Kurulu tarafından verilir. Kanunda idari para cezası öngörülen başlıca ihlaller şunlardır:
- Aydınlatma yükümlülüğünü yerine getirmemek: Veri toplarken kişiyi kim olduğunuz, amaç, aktarım ve hakları konusunda bilgilendirmemek.
- Veri güvenliğine ilişkin yükümlülükleri yerine getirmemek: Yetkisiz erişimi önleyecek teknik ve idari tedbirleri almamak. Uygulamada en sık ve en ağır yaptırımlar bu başlıkta görülür.
- Kurul kararlarını yerine getirmemek: Kurul’un verdiği talimat ve kararlara uymamak.
- VERBİS’e kayıt ve bildirim yükümlülüğüne aykırı davranmak: Kayıt zorunluluğu olduğu halde kaydolmamak veya bilgileri güncel tutmamak.
- Yurt dışına aktarımda bildirim yükümlülükleri: Son değişikliklerle, standart sözleşme gibi araçlarla yapılan aktarımlarda Kurum’a bildirim yapılmaması da yaptırım kapsamına alınmıştır.
2. Cezai sorumluluk
Kişisel verilerin hukuka aykırı olarak kaydedilmesi, başkasına verilmesi, yayılması veya ele geçirilmesi ve verileri yok etme yükümlülüğünün yerine getirilmemesi gibi fiiller Türk Ceza Kanunu’nda suç olarak düzenlenmiştir. Bu suçlarda yaptırım hapis cezasıdır ve sorumluluk kişiseldir; yani fiili işleyen çalışan veya yönetici doğrudan muhatap olabilir. Tüzel kişiler için ise ceza hukukuna özgü güvenlik tedbirleri gündeme gelebilir.
3. Hukuki sorumluluk (tazminat)
Verileri hukuka aykırı işlendiği için zarar gören kişi, genel hükümlere göre maddi ve manevi tazminat talep edebilir. Bir veri ihlalinde etkilenen kişi sayısı fazlaysa, bu risk idari para cezasından daha büyük bir etki yaratabilir.
Kurul cezayı belirlerken neleri dikkate alır?
Kanundaki alt ve üst sınırlar arasında somut cezayı Kurul belirler. Kurul kararlarında ve idari yaptırım hukukunun genel ilkelerinde öne çıkan etkenler şunlardır:
- İhlalin niteliği ve ağırlığı; özel nitelikli veri içerip içermediği,
- Etkilenen kişi sayısı ve olası zararın boyutu,
- Veri sorumlusunun kusuru; alınmış tedbirlerin yeterliliği,
- İhlalin fark edilme ve bildirilme hızı, Kurul’la iş birliği,
- İhlalin tekrarlanıp tekrarlanmadığı,
- Veri sorumlusunun ekonomik durumu.
Kurul ayrıca idari para cezasının yanında, ihlalin giderilmesi için talimat da verebilir; örneğin belirli bir veri işleme faaliyetinin durdurulması veya teknik tedbirlerin tamamlanması gibi.
Kurul kararları neden yol göstericidir?
Kurul, verdiği kararların bir kısmının özetlerini kamuoyuyla paylaşır. Bu özetler, hangi tür ihlallerin yaptırıma konu olduğunu anlamak için değerli bir kaynaktır. Öne çıkan örnek konular arasında; yanlış kişiye gönderilen e-postalar, yetkisiz çalışan erişimi, yeterli güvenlik önlemi alınmamış sistemlerden sızan müşteri verileri, açık rızanın hizmet şartına bağlanması ve çalışanlara ait kamera kayıtlarının ölçüsüz kullanımı sayılabilir. Kendi sektörünüzdeki örnekleri incelemek, riskli alanları önceden görmenizi sağlar.
Cezaya itiraz nasıl yapılır?
İdari para cezalarına karşı yargı yolu kanunda belirlenmiştir. Son yıllarda yapılan değişikliklerle bu yol idari yargıya taşınmıştır. Başvuru süreleri kısa olduğundan, bir karar tebliğ edildiğinde vakit kaybetmeden avukatınızla görüşmeniz önemlidir.
Ceza riskini azaltmak için yapılacaklar
- Kişisel veri envanterini çıkarın. Hangi veriyi nerede tuttuğunuzu bilmeden tedbir alamazsınız.
- Aydınlatma metinlerini gözden geçirin. Her ilgili kişi grubu (müşteri, çalışan, aday, ziyaretçi) için doğru ve güncel metin olmalı. Rehber: KVKK aydınlatma metni nasıl hazırlanır.
- Teknik güvenlik önlemlerini belgeleyin. Yetki matrisi, MFA, şifreleme, log kayıtları, yedekleme ve sızma testi raporları, “uygun tedbir” aldığınızın kanıtıdır.
- VERBİS durumunuzu netleştirin. Muaf mısınız, kayıt yükümlüsü müsünüz? Kayıtlıysanız bilgiler güncel mi?
- İhlal müdahale prosedürü hazırlayın. Bir sızıntıda kimin karar vereceği ve bildirimin nasıl yapılacağı önceden yazılı olsun.
- Çalışanları eğitin. Ceza riskinin önemli bir kısmı, verileri yanlış kişiye gönderen ya da kişisel cihazda saklayan çalışan davranışlarından doğar.
Sık yapılan hatalar
- Ceza riskini yalnızca VERBİS kaydıyla sınırlı sanmak; veri güvenliği ihlalleri genellikle daha ağır sonuçlanır.
- Bir sızıntıyı “küçük” diye bildirmemek; geç ya da hiç yapılmayan bildirim ayrı bir sorun yaratır.
- İnternetten bulunan eski ceza tutarlarına göre risk hesaplamak.
- Hizmet aldığınız veri işleyenlerin (bulut, bordro, yazılım) güvenlik seviyesini hiç sorgulamamak.
Önemli not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş değildir. Güncel ceza sınırlarını ve şirketinize özgü riskleri avukatınıza ve mali müşavirinize teyit ettirin.
Racoun nasıl yardımcı olur?
Uygulamada en ağır yaptırımlar çoğunlukla veri güvenliği eksikliklerinden doğduğu için, Racurity olarak uyumun teknik tarafına odaklanıyoruz. KVKK uyum danışmanlığı kapsamında veri envanterini sistemlerle eşleştirir; veri sızıntısı önleme (DLP), kimlik ve erişim yönetimi ve log izleme gibi tedbirleri uzman çözüm ortaklarımızın altyapısıyla kurarız. Hukuki değerlendirmeyi ise sizin hukuk danışmanınızla birlikte yürütürüz.
Sık sorulan sorular
KVKK cezaları her yıl değişir mi?
İdari para cezalarının alt ve üst sınırları, her yıl yeniden değerleme oranında güncellenir. Bu yüzden önceki yıllara ait tutarlar güncel değildir; Kurum duyurularını ve hukuk danışmanınızı takip edin.
Küçük işletmelere de KVKK cezası verilir mi?
Evet. VERBİS’ten muaf olmak cezadan muaf olmak demek değildir. Aydınlatma ve veri güvenliği yükümlülüklerini ihlal eden küçük işletmelere de yaptırım uygulanabilir.
KVKK cezasını şirket mi öder, çalışan mı?
İdari para cezası veri sorumlusu olan şirkete verilir. Ancak ceza kanunundaki kişisel veri suçlarında sorumluluk kişiseldir ve fiili işleyen kişi ayrıca yargılanabilir.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
