KVKK İdari Yaptırımlar, Suçlar ve Cezai Yaptırımlar

1. KVKK’da İdari Yaptırımlar (Madde 18)

KVKK’ya aykırı davranışlara uygulanacak idari yaptırımlar, Kanun’un 18. maddesinde düzenlenmiştir. Bu madde uyarınca; belirli yükümlülüklerin ihlal edilmesi hâlinde veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında idari para cezaları uygulanabilmektedir.

İdari yaptırımlara konu olabilecek başlıca uyumsuzluk alanları özetle şunlardır:

• Aydınlatma yükümlülüğüne aykırılık,
• Veri güvenliğine ilişkin yükümlülüklere uyulmaması,
• Kurul tarafından verilen kararların yerine getirilmemesi,
• Veri Sorumluları Siciline (VERBİS) kayıt ve bildirim yükümlülüklerinin ihlal edilmesi.

Bu fiiller, Kanun çerçevesinde “uygun olmayan davranış” olarak değerlendirilmekte; Kurul’un takdir yetkisi çerçevesinde değişen tutarlarda idari para cezasına konu olabilmektedir.

Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarında işlenen fiiller bakımından ise, Kurul’un bildirimine istinaden ilgili kurum kendi personeli hakkında disiplin hükümlerini işletmekte ve sonucu Kurul’a bildirmektedir.

2. Kanunun Kapsamı ve Amaçları

KVKK, 7 Nisan 2016 tarihinde yürürlüğe giren ve Türkiye’de kişisel verilerin işlenmesine ilişkin genel çerçeveyi belirleyen temel kanundur. Kanunun ana hedefi; kişisel verilerin işlenmesinde ilgili kişilerin temel hak ve özgürlüklerini korumak ve veri işleme süreçlerine şeffaf, öngörülebilir ve denetlenebilir bir yapı kazandırmaktır.

Daha geniş çerçevede, kanunların kapsam ve amaçlarına ilişkin tipik başlıklar KVKK özelinde de geçerlidir:

• Düzen ve güvenlik sağlama: Veri işleme faaliyetlerinin belirli kurallar dahilinde yürütülmesi, keyfî ve ölçüsüz işleme pratiklerinin engellenmesi.
• Hak ve özgürlüklerin korunması: Özel hayatın gizliliği, kişisel veriler üzerinde kontrol hakkı, başvuru ve itiraz mekanizmalarının işletilmesi.
• Toplumsal adalet ve eşitlik: Kişisel verilerin kötüye kullanılmasının önlenmesi, belirli kişi gruplarına karşı ayrımcılığın engellenmesi.
• Ekonomik düzenleme: Veri ekonomisinin güvenilir bir zeminde, rekabet ve tüketici hakları gözetilerek gelişmesi.
• Toplumsal refah: Dijitalleşen iş modellerinde hem kamu hem özel sektör için öngörülebilir bir mevzuat çerçevesi yaratılması.

3. Kişisel Verilerin İşlenmesine İlişkin Hukuka Uygunluk İlkesi

KVKK’nın temel taşlarından biri, hukuka ve dürüstlük kurallarına uygun işleme ilkesidir. Bu ilke, veri işleme faaliyetlerinin mutlaka bir hukuki sebebe (legal ground) dayanmasını ve ilgili mevzuatla uyumlu yürütülmesini zorunlu kılar.

Hukuka uygun veri işleme, sadece “rıza almak”tan ibaret olmayıp, KVKK’da sayılan hukuki sebeplerden en az birinin bulunmasını gerektirir:

• İlgili kişinin açık rızası,
• Kanunlarda açıkça öngörülmesi,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi,
• İlgili kişinin hayati çıkarlarının korunması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• Veri sorumlusunun meşru menfaati için zorunlu olması (ilgili kişinin temel hak ve özgürlüklerine zarar vermemesi kaydıyla).

Buna paralel olarak ilke; adil ve şeffaf işleme, belirli-açık-meşru amaç, veri minimizasyonu, doğruluk/güncellik, sınırlı saklama süresi gibi alt prensipleri de içermektedir.

4. Veri Sorumlusunun Aydınlatma Yükümlülüğü

Aydınlatma yükümlülüğü, veri sorumlusunun kişisel verilerin işlenmesi sırasında ilgili kişilere; kim olduğunu, hangi veriyi, hangi amaçla, hangi hukuki sebebe dayanarak işlediğini açıklama zorunluluğudur. Bu yükümlülük, KVKK’nın şeffaflık ve hesap verebilirlik ilkelerinin pratik karşılığıdır.

Aydınlatma metinlerinde asgari olarak aşağıdaki unsurlara yer verilmesi beklenir:

• Veri sorumlusunun ve varsa temsilcisinin kimlik ve iletişim bilgileri,
• İşlenen kişisel veri kategorileri,
• Veri işleme amaçları,
• Veri işleme faaliyetinin hukuki dayanakları,
• Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
• Veri saklama süreleri veya belirleme kriterleri,
• İlgili kişinin KVKK kapsamındaki hakları ve bu hakların nasıl kullanılacağı.

Aydınlatma yükümlülüğünün yerine getirilmemesi; hem idari para cezası riski doğurur, hem de hukuka uygunluk ve şeffaflık ilkelerinin ihlali nedeniyle olası ceza soruşturmalarında aleyhe delil teşkil edebilir.

5. Veri İhlali Bildirim Yükümlülüğü

Veri ihlali; kişisel verilere yetkisiz erişilmesi, açıklanması, değiştirilmesi, silinmesi veya kaybolması gibi olayları kapsar ve çoğu durumda hem teknik hem hukuki kriz yönetimi gerektirir.

KVKK ve ikincil düzenlemeler çerçevesinde veri sorumlusu;

• Veri ihlalini fark ettiğinde gecikmeksizin Kurul’a bildirim yapmakla,
• İhlalden etkilenen ilgili kişileri uygun yöntemlerle bilgilendirmekle,
• İhlalin niteliği, etkilenen veri türleri, muhtemel sonuçlar ve alınan/ alınacak önlemleri açıklamakla

yükümlüdür.

Bildirim içeriğinde genellikle şu başlıklar beklenir:

• İhlalin ne olduğu ve nasıl gerçekleştiğine ilişkin özet,
• Etkilenen veri kategorileri ve kişi grupları,
• İhlalin olası sonuçları ve riskler,
• Alınan ilk tedbirler ve planlanan ilave önlemler,
• İlgili kişilerin başvuru/iletişim kanalları.

Zamanında ve şeffaf bildirim; hem hukuki uyum hem de kurum itibarı açısından kritik bir yönetim aracıdır. Aksi hâlde ihlalin kendisinden bağımsız olarak bildirim yükümlülüğüne aykırılık nedeniyle ayrıca idari ve cezai sorumluluk gündeme gelebilir.

6. KVKK Kapsamında Suçlar ve TCK 135–140 İlişkisi

KVKK, kişisel verilerle ilgili ceza hukuku yaptırımlarını doğrudan kendi içinde detaylandırmak yerine, 5237 sayılı Türk Ceza Kanunu’nun 135–140. maddelerine atıf yapmaktadır. Bu maddeler; kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi, yayılması, ele geçirilmesi ve yok edilmemesi gibi fiilleri suç olarak tanımlar.

KVKK çerçevesinde sık karşılaşılan başlıca suç başlıkları özetle şunlardır:

6.1 İzinsiz Kişisel Veri İşleme / Hukuka Aykırı Kayıt

İlgili kişinin açık rızası veya kanundaki diğer hukuki sebepler olmadan kişisel verilerin kaydedilmesi, işlenmesi veya sistematik olarak tutulması; TCK’daki kişisel verilerin hukuka aykırı kaydedilmesi suçuna zemin oluşturabilir. Örneğin:

• Herhangi bir hukuki sebep olmaksızın profil oluşturulması,
• Rıza alınmaksızın pazarlama amacıyla veri tabanı kurulması,
• Amaçla bağlantısız ve ölçüsüz veri işlenmesi

ceza soruşturmasına konu olabilecek tipik senaryolardır.

6.2 Kişisel Veri Güvenliğini Tehlikeye Atma

Kişisel verilerin; kasıtlı bir eylem veya ağır ihmal sonucu ciddi şekilde riske atılması, yetkisiz kişilerce erişilebilir hâle getirilmesi veya yeterli teknik/idari tedbir alınmaması, kişisel veri güvenliğini tehlikeye atan fiiller olarak değerlendirilebilir.

Bu kapsamda; zayıf parola politikaları, yamalanmamış sistemler, log kayıtlarının tutulmaması, yetki matrisi kurgulanmaması gibi zaafiyetler, somut olay bazında cezai sorumluluk tartışmasını beraberinde getirebilir.

6.3 Kişisel Veri Sahibinin Haklarının İhlali

İlgili kişinin erişim, düzeltme, silme, işlemeyi kısıtlama, itiraz gibi haklarının sistematik biçimde görmezden gelinmesi veya başvurulara hiç yanıt verilmemesi, hem KVKK anlamında idari ihlal, hem de belirli şartlar altında hak ihlali boyutuna taşınarak ceza hukuku tartışmasına konu olabilir.

6.4 Kişisel Verileri Yok Etmeme (TCK m.138)

Kanuni saklama süresi sona ermesine rağmen kişisel verilerin silinmemesi, yok edilmemesi veya anonim hale getirilmemesi; TCK m.138 çerçevesinde kişisel verileri yok etmeme suçu kapsamında değerlendirilebilir. Bu nedenle Kişisel Veri Saklama ve İmha Politikası fiilen işletilmediğinde, salt idari risk değil, doğrudan cezai risk de söz konusu olur.

7. Cezai Yaptırımlar: Para ve Hapis Cezaları

KVKK kapsamında veri sorumlularının karşılaşabileceği yaptırımlar iki eksende ele alınmalıdır:

• İdari yaptırımlar: Kurul tarafından uygulanan idari para cezaları (KVKK m.18).
• Cezai yaptırımlar: TCK 135–140 kapsamındaki suçlara karşı öngörülen hapis ve adli para cezaları.

7.1 İdari ve Cezai Yaptırımlar – Karşılaştırma Tablosu

Cezai yaptırımların kapsamı ve miktarı zaman içinde mevzuat değişiklikleri ve yargı içtihatlarıyla şekillenebileceği için, somut olay bazında güncel hukuki görüş alınması önemlidir. Kurumsal tarafta ise; KVKK uyum programlarının ceza hukuku perspektifiyle de gözden geçirilmesi, yönetim kuruluna düzenli risk raporları sunulması iyi uygulama olarak öne çıkmaktadır.

8. Sık Sorulan Sorular