Madde 18

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 18. maddesi, kişisel verilere ilişkin her hukuka aykırı davranış için genel bir para cezası öngörmez. Birinci fıkrada aydınlatma, veri güvenliği, Kurul kararının yerine getirilmesi, Sicile kayıt ve bildirim ile standart sözleşmenin bildirimi beş ayrı bentte yaptırıma bağlanmıştır.1 Kurulun başka bir hükme aykırılık saptaması ceza vermek için yeterli olmaz. Aykırılığın bu bentlerden birindeki yükümlülükle bağlantısı kurulmalıdır.2

2008 tarihli Kanun Tasarısı, belirli madde kümelerine aykırılıkları 5.000 ve 10.000 TL tutarında iki ceza grubunda toplamıştı.3 2014 tarihli Kanun Tasarısında ise aydınlatma, veri güvenliği, Kurul kararına uyma ve Sicil yükümlülüğü için farklı alt ve üst sınırlar öngören dört bentli bir yapı kurulmuştu.4 2016 yılında kabul edilen ilk metin bu dört bentli yapıyı korumuş, cezanın veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanmasını öngörmüştür.5

7499 sayılı Kanunla standart sözleşmenin bildirilmemesi beşinci bent olarak maddeye eklenmiş, bu bent bakımından veri işleyen de yaptırım muhatapları arasına alınmış ve Kurulun idari para cezalarına karşı idare mahkemesinde dava açılması düzenlenmiştir.6 Bu hükümler 1 Haziran 2024 tarihinde yürürlüğe girmiştir.7

108 sayılı Sözleşmenin 10. maddesi, Sözleşmenin ikinci bölümündeki temel ilkeleri iç hukuka aktaran hükümlerin ihlali için uygun yaptırım ve başvuru yolları kurulmasını gerektirir.8 Kabahat oluşturan davranış kanunda tanımlanabilir veya kanunun çizdiği çerçevede düzenleyici işlemle somutlaştırılabilir. Yaptırımın türü, süresi ve miktarı ise ancak kanunla belirlenebilir.9 Bu genel yükümlülük, KVKK m.18'de sayılmayan yeni bir kabahat yaratmaz.10

Bir yaptırım kararının yalnız KVKK m.18'e dayanması yeterli değildir. KVKK'de özel hüküm bulunmayan sorumluluk ve yaptırım sorunlarında Kabahatler Kanununun genel hükümleri uygulanır.1 İhmali bir davranışın kabahat sayılabilmesi için de yerine getirilmemiş belirli bir hukuki yükümlülük bulunmalıdır.2

Birinci fıkradaki bentler, yaptırıma bağladıkları yükümlülükleri KVKK'nin başka maddelerinden alır. (a) bendi KVKK m.10'a, (b) bendi m.12'ye, (c) bendi m.15'e, (ç) bendi m.16'ya, (d) bendi ise m.9/5'e bağlıdır.3 Bu bağlantı nedeniyle yaptırım kararında önce hangi asli yükümlülüğün hangi davranışla ihlal edildiği gösterilmelidir.4

İkincil düzenlemeler, kanunda yer alan yükümlülüğün nasıl yerine getirileceğini somutlaştırabilir. Ancak kanunda karşılığı bulunmayan ayrı bir kabahat veya yeni bir yaptırım oluşturamaz.5 Aydınlatma yükümlülüğüne, yurt dışına aktarıma ve Sicile ilişkin ikincil düzenlemeler, bu yükümlülüklerin yerine getirilme biçimini ayrıntılandırmaktadır.6

İdari yaptırım kararı verme yetkisi Kurula KVKK m.22/1-ğ ile verilmiştir.7 Kararda yaptırıma konu fiilin, fiilin işlendiği yer ile zamanın, delillerin, yaptırım muhatabının ve uygulanan bendin gösterilmesi gerekir.8 Tarafların sonuca etkili iddia ve savunmaları ile ulaşılan sonucun hukuki gerekçesi de karardan anlaşılabilmelidir.9

Viennalife başvurusunda Kurul, daha önce alenileştirilmiş kişisel verilerin alenileştirme amacı dışında kullanılmasını veri güvenliği kabahati kapsamında cezalandırmıştı. Anayasa Mahkemesi, kanunda tanımlanmayan bu amaç ölçütüyle KVKK m.5'e ilişkin işleme şartı sorununun m.12/1-a ve m.18/1-b üzerinden yaptırıma bağlanmasını öngörülemez bir genişletme olarak değerlendirmiştir.10 Karardan, (b) bendinin veri güvenliği tedbirlerindeki somut eksikliklere uygulanamayacağı sonucu çıkarılamaz. Kararın ortaya koyduğu sınır, işleme şartına ilişkin her aykırılığın genel veri güvenliği kabahatine dönüştürülememesidir.11

Yaptırım kararı kurulurken önce ihlal edildiği ileri sürülen asli yükümlülük ve bu yükümlülüğe karşılık gelen bent belirlenmelidir. Ardından davranışın yaptırım muhatabına isnat edilip edilemeyeceği ile kusur incelenir. Ancak bu aşamalardan sonra ceza tutarı belirlenebilir ve seçilen tutarın gerekçesi açıklanabilir.12 İşleme şartına aykırılık ilk aşamada uygun bir m.18 bendiyle ilişkilendirilemiyorsa, sonraki aşamalardaki kusur veya ceza miktarı değerlendirmesi eksik kanuni dayanağı tamamlayamaz.

Aydınlatma kabahatinde yaptırıma bağlanan davranış, KVKK m.10'daki yükümlülüğün yerine getirilmemesidir.1 Aydınlatma kişisel veriler elde edilirken ve işlemenin dayandığı hukuki sebepten bağımsız olarak yapılmalıdır.2 Bu yükümlülüğü yerine getirdiğini ispat edecek olan veri sorumlusudur.3

KVKK m.28'deki tam veya kısmi istisnalardan birinin koşulları gerçekleştiğinde aydınlatma yükümlülüğü uygulanmayabilir. Böyle bir durumda uygulanmayan yükümlülük, (a) bendi uyarınca cezanın dayanağı olamaz.4 İstisnanın varlığı ise yalnız faaliyet veya kurum adıyla değil, maddede aranan koşullar somut olayda gösterilerek belirlenmelidir.5

Birinci fıkranın (b) bendi, KVKK m.12'de düzenlenen veri güvenliği yükümlülüklerine gönderme yapar. Bu kapsamda uygun teknik ve idari tedbirlerin alınması, gerekli denetimlerin yapılması, veri sorumlusu ile veri işleyenin öğrendikleri kişisel verileri KVKK'ye aykırı olarak açıklamaması veya amaç dışında kullanmaması ve verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde bildirim yapılması ayrı yükümlülüklerdir.6 Kurul, ceza verirken hangi yükümlülüğün hangi davranışla ihlal edildiğini ve bu yükümlülüğün muhatabını ayrıca göstermelidir.7

Veri sorumlusu, kendi adına kişisel veri işleyenlerle birlikte KVKK m.12/1'deki tedbirlerin alınmasından sorumludur.8 Ancak veri işleyenin tedbirlerindeki eksiklik, onu sırf veri işleyen sıfatıyla ilk dört bendin doğrudan yaptırım muhatabı yapmaz.9 Veri sorumlusunun Kurul karşısındaki sorumluluğu ile taraflar arasındaki sözleşmesel tazmin veya rücu ilişkisi birbirinden ayrılmalıdır.10

Veri ihlalinin gerçekleşmiş olması, tek başına KVKK m.12/1'deki tedbir yükümlülüğünün ihlal edildiği sonucuna ulaşmak için yeterli değildir. Kararda alınması gereken tedbir ile somut eksiklik gösterilmelidir.11 İhlal sonucundan hareketle kusur da kendiliğinden kabul edilemez. En az taksir düzeyindeki kusurun hangi olgulara dayandığı ayrıca açıklanmalıdır.12 Kurulun 2020/213 sayılı kararında değişikliğin test yerine canlı ortamda yapılması, test süreçlerinin yetersizliği, arayüzde maskelemenin işlememesi ve güvenlik politikasının ihlalden sonra yürürlüğe girmesi birlikte değerlendirilmiştir.13 Kurulun 2024/1385 sayılı kararında ise bot engelleme aracının aşılması, aynı IP adresinden iki günde dört yüzden fazla farklı kullanıcı girişi yapılmasına rağmen anomaliye zamanında müdahale edilmemesi ve ek kimlik doğrulama tedbirlerinin ihlalden sonra alınması cezanın dayanakları arasında gösterilmiştir.14 Bu kararlar, veri ihlalinin tek başına yeterli sayıldığını değil, cezanın kararlarda açıklanan somut tedbir eksikliklerine dayandırıldığını göstermektedir.

Veri ihlalini bildirme yükümlülüğünün doğması ile bu yükümlülüğün ihlali nedeniyle ceza verilmesi aynı sorun değildir. Bildirim yükümlülüğünün hangi olayda ve ne zaman doğduğu KVKK m.12/5'e göre belirlenecektir.15 Birinci fıkranın (b) bendi uyarınca idari para cezası verilebilmesi için ise en az taksir düzeyindeki kusur ayrıca incelenmelidir.16

Kurulun 2023/1461 sayılı kararında ses kaydının hukuka aykırı işlenmesi (b) bendi, hukuka uygun görüntü kaydı sırasında aydınlatmanın yapılmaması ise (a) bendi kapsamında ayrı ayrı cezalandırılmıştır.17 Yayımlanan tam metinde Kabahatler Kanunu m.15 yönünden ayrıca bir içtima incelemesi bulunmamaktadır.18 Ses kaydına ilişkin işleme şartı sorununun (b) bendine taşınması, Viennalife kararında açıklanan kanunilik sınırı gözetilerek değerlendirilmelidir.19

2020/213 ve 2024/1385 sayılı kararların ortak noktası, güvenlik açığının varlığından doğrudan kabahat sonucu çıkarılması değildir. İlk olayda canlı ortama alınan değişikliğin test ve maskeleme eksiklikleri, ikinci olayda ise tekrarlanan olağan dışı girişlerin fark edilmemesi ile ek kimlik doğrulamanın zamanında kurulmaması yaptırıma dayanak yapılmıştır.20 Aynı tür saldırının iki veri sorumlusunu etkilemesi bu nedenle her ikisinin de aynı ölçüde kusurlu olduğu sonucunu doğurmaz. Alınması beklenen tedbirler ile bu tedbirlerin olaydan önceki durumu her veri sorumlusu bakımından ayrı gösterilmelidir.

Kurul kararına uymama kabahatinde belirleyici olan belgenin Kuruldan gelmesi değil, KVKK m.15 uyarınca karar organınca alınmış olmasıdır.1 Yaptırıma esas kararın muhatabı ve yerine getirilmesi gereken davranış da belirli olmalıdır. Bu nitelikleri taşımayan bir yazışma (c) bendindeki kararın yerini tutamaz.2

KVKK m.15/5 uyarınca Kurul, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar verebilir. Bu karar gecikmeksizin ve en geç tebliğden itibaren otuz gün içinde yerine getirilmelidir.3 Sürenin başlangıcı ve yerine getirilmesi gereken davranış, kararın tebliğ tarihi ile hüküm bölümüne göre belirlenecektir.4

KVKK'nin 15. maddesinin altıncı fıkrasındaki ilke kararları ile yedinci fıkrasındaki veri işlemenin veya yurt dışına aktarımın durdurulmasına ilişkin kararlar, yalnız kanun metnine bakılarak (c) bendinin kapsamı dışında bırakılamaz.5 Bununla birlikte muhatabın kararı bilebilmesi, yükümlülüğün belirli ve yerine getirilebilir olması ile kararın kapsam ve bildirimi somut olayda ayrıca incelenmelidir.6

KVKK m.15/3 uyarınca yapılan bilgi ve belge istemi ile savunma talebi, yalnız Kuruldan gelmiş olması nedeniyle (c) bendinde aranan karar sayılmaz.7 Belgenin hangi organ tarafından, hangi yetkiye dayanılarak ve hangi hukuki sonucu doğurmak üzere düzenlendiği belirlenmeden para cezası verilemez.8

Kurulun 2020/765 sayılı kararına konu olayda, daha önce verilen 2020/100 sayılı karar veri sorumlusuna genel aydınlatma metnini her işleme faaliyetine özgü hale getirme ve her faaliyetin dayandığı işleme şartını ayrıntılı biçimde gösterme talimatı içeriyordu. Karar tebliğ edildiği halde farklı bankacılık ürünleri için aynı genel metnin kullanılmaya devam edilmesi üzerine (c) bendi uyarınca 120.000 TL idari para cezası uygulanmıştır.9 Bu kararın dayanağı, sıradan bir yazışma veya geç cevap değil, içeriği belirli ve önceden tebliğ edilmiş bir giderim kararının yerine getirilmemesidir.

İlk yükümlülük ihlali ile giderim kararına uymama, fiil ve zaman bakımından ayrı ayrı incelenmelidir.10 Bu inceleme, her olayda kendiliğinden iki ayrı ceza verilmesini gerektirmez. Fiillerin birliği veya çokluğu ile uygulanacak içtima kuralı Kabahatler Kanunu m.15 uyarınca ayrıca belirlenecektir.11

Sicil kabahatinin sınırı, KVKK m.16'daki kayıt ve bildirim yükümlülüğüdür. Birinci fıkranın (ç) bendi, KVKK'nin 16. maddesine dayanmayan başka bir uyum eksikliğine uygulanamaz.1

Kayıt yükümlülüğünün başlangıcı, bildirimin içeriği, kaydın güncellenmesi ve Sicilden silinme işlemleri Veri Sorumluları Sicili Hakkında Yönetmelikte ayrıntılı olarak düzenlenmiştir.2 Sicile sunulan bilgiler, veri sorumlusunun kişisel veri işleme envanteriyle uyumlu ve güncel olmalıdır.3

Kurul, KVKK m.16/2 uyarınca Sicile kayıt yükümlülüğüne istisna getirebilir. Geçerli bir istisnanın kapsamındaki veri sorumlusu, Sicile kayıtlı olmadığı gerekçesiyle (ç) bendi uyarınca cezalandırılamaz.4 Ancak istisnanın kişi, faaliyet ve süre yönünden koşullarının somut olayda gerçekleşip gerçekleşmediği ayrıca incelenecektir.

Doktrinde, Sicile bildirilen saklama süresi gibi bir bilginin gerçeğe aykırı olmasının da (ç) bendi kapsamında değerlendirilebileceği görüşü bulunmaktadır.5 Bent kayıt ve bildirim yükümlülüğüne aykırılığı yaptırıma bağlamakla birlikte, bildirimdeki her yanlışlığın ayrı bir kabahat oluşturduğunu açıkça düzenlememektedir. Bu nedenle bu davranışların ayrı kabahatler oluşturup oluşturmadığı kanunilik ve içtima hükümleri gözetilerek belirlenecektir.6

Standart sözleşme kabahati, yurt dışına aktarımın bütün şartlarını değil, imzalanan sözleşmenin beş iş günü içinde Kuruma bildirilmesini konu alır. Aktarımın başka bir nedenle hukuka aykırı olması, tek başına (d) bendindeki bildirim kabahatini oluşturmaz.1

Standart sözleşmenin tarafları, bildirimi kimin yapacağını sözleşmede belirleyebilir. Böyle bir belirleme yoksa bildirim veri aktaran tarafından yapılacaktır.2 Bu yükümlülük veri sorumlusu veya veri işleyen tarafından üstlenilebildiği için, (d) bendindeki para cezası bakımından her ikisi de kanunda açıkça yaptırım muhatabı olarak gösterilmiştir.3

Yurt Dışına Aktarım Yönetmeliği, standart sözleşmenin taraflarında veya sözleşmede taraflarca yer verilen bilgi ve açıklamalarda değişiklik yapılmasını ve sözleşmenin sona ermesini ayrıca bildirime bağlamıştır.4 KVKK'deki kabahat tanımı ise imzalanan standart sözleşmenin beş iş günü içinde bildirilmemesini açıkça düzenlemektedir.5 Sonraki bildirimlere aykırılığın (d) bendi kapsamında cezalandırılıp cezalandırılamayacağı, Kabahatler Kanunu m.4 uyarınca kanunilik bakımından açık bir sorundur.6

Standart sözleşme bildirimi kabahati ile veri işleyeni de kapsayan yeni muhatap düzeni 1 Haziran 2024 tarihinde yürürlüğe girmiştir.7 Eski aktarım yollarının 1 Eylül 2024 tarihine kadar kullanılabilmesine ilişkin geçiş süresi, bu kabahatin yürürlük tarihini değiştirmez.8

Anayasa Mahkemesi, E.2024/98, K.2025/149 sayılı kararında (d) bendindeki 50.000 TL ile 1.000.000 TL arasındaki nominal ceza aralığını incelemiştir. Mahkeme, fiilin ve ceza sınırlarının kanunda gösterildiğini, Kabahatler Kanunu m.17/2'deki ölçütlerin cezanın bireyselleştirilmesine imkan verdiğini ve alt sınırın aşılması halinde somut gerekçe aranacağını belirterek iptal istemini reddetmiştir.9 İnceleme standart sözleşme rejiminin tamamına, Yönetmelikteki sonraki bildirimlere veya güncel yargı yoluna ilişkin değildir.

Yaptırımın muhatabı, ihlal edilen bende ve kişinin somut işleme faaliyetindeki rolüne göre değişir. İlk dört bentte para cezası veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişilerine uygulanabilir. Standart sözleşme bildirimine ilişkin (d) bendinde veri işleyen de yaptırım muhatabı olabilir. Bir faaliyette veri işleyen olarak hareket eden kişi, başka bir faaliyette veri sorumlusu sıfatıyla üstlendiği yükümlülüklerden kurtulmaz.1

Veri sorumlusu sıfatı, sözleşmede kullanılan ada göre değil, kişisel verilerin hangi amaçla ve hangi temel araçlarla işleneceğine kimin karar verdiğine göre belirlenecektir. Teknik ayrıntılar hakkında sınırlı karar yetkisi kullanılması, veri işleyeni kendiliğinden veri sorumlusu yapmaz.2 Kurulun 2020/71 sayılı kararında bu ölçütler açıklanmış, ancak herhangi bir idari para cezası verilmemiştir.3

Anayasa Mahkemesi, Viennalife başvurusunda Kurul kararında şirketin neden veri sorumlusu sayıldığının ve verinin ilk yayımlandığı sitenin sorumluluğunun tartışılmadığını belirtmiştir. Yaptırım muhatabının hangi işleme faaliyeti nedeniyle veri sorumlusu sayıldığı, karar gerekçesinden denetlenebilir biçimde anlaşılmalıdır.4 Bu açıklamanın ayrı bir başlık altında yapılması gerekmez.

Kurulun 2021/1303 sayılı kararında ortak amaç ve temel araçların birlikte belirlenmesi ortak veri sorumluluğunun dayanakları arasında sayılmıştır. Kurul ayrıca ortak veri sorumlularının sorumluluk ve kusurlarının belirlenmesinde dikkate alınabilecek olguları somut işleme faaliyeti üzerinden sıralamıştır.5 Kararda para cezası verilmediği için bu değerlendirmeden cezanın ortak veri sorumluları arasında nasıl paylaştırılacağına ilişkin bir hesap kuralı çıkarılamaz.

Kabahatler Kanunu m.8, KVKK m.18/2'deki özel yaptırım muhatabı sınırını genişletmez. İlk dört bent bakımından özel hukuk tüzel kişisi hakkında yaptırım uygulanabilmesi için, kabahati işleyen gerçek kişi ile bu kişinin tüzel kişinin faaliyeti kapsamında üstlendiği görev arasındaki bağ somutlaştırılmalıdır.6

KVKK'nin 18. maddesinde kusursuz sorumluluk öngören bir hüküm bulunmamaktadır. Kabahatler Kanunu m.9 uyarınca, aksine özel hüküm olmadıkça kabahatin kasten veya taksirle işlenmesi gerekir.7 İhlalin veya zararın gerçekleşmiş olması, en az taksir düzeyindeki kusurun bulunduğunu kendiliğinden gösteremez.

Veri işleyenin davranışı nedeniyle veri sorumlusuna idari para cezası verilmiş olması, taraflar arasındaki tazmin ve rücu sorununu çözmez. Veri sorumlusunun ödediği tutarı veri işleyenden isteyip isteyemeyeceği, sözleşme hükümleri ile zarara ve kusura ilişkin genel kurallara göre ayrıca belirlenecektir.8

GDPR m.83 ile Avrupa Birliği Adalet Divanının Deutsche Wohnen kararı, tüzel kişi sorumluluğunu Avrupa Birliği hukukundaki kurallara göre ele almaktadır.9 Bu kurallar, KVKK m.18 bakımından kanunda bulunmayan bir isnat şartı veya ceza ölçütü olarak doğrudan uygulanamaz. Karşılaştırma, yalnız Türk hukukundaki muhatap ve kusur kurallarının açıklanmasına yardımcı olabilir.10

Aynı olayda veriyi fiilen işleyen ile KVKK m.18 uyarınca para cezasının yöneltilebileceği kişi aynı olmayabilir. Sözleşmeye göre zararı üstlenecek taraf da bunlardan farklı olabilir.11 Kurulun yaptırım kararı kanuni muhatap ve isnat kurallarına göre verilir. Tarafların kendi aralarındaki sorumluluk paylaşımı ise bu kararı değiştirmeden, sözleşme ve genel hükümler çerçevesinde ayrıca çözülecektir.

Ceza tutarı, kanuni aralık içinde serbestçe seçilemez. Kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumu birlikte değerlendirilmelidir.1 Veri türü, ihlalden etkilenen kişi sayısı ve zararın ağırlığı ancak haksızlık içeriğini somutlaştırdıkları ölçüde dikkate alınabilir.2 İhlalden sonra alınan tedbirler ise özel bir etkin pişmanlık hükmü bulunmadıkça bağımsız indirim nedeni sayılamaz.3

Yaptırım kararında kabahat fiili, deliller, yaptırım muhatabı ve uygulanan idari para cezası gösterilmelidir. Kararın hukuki dayanak ile sonuç arasındaki bağlantıyı açıklaması da yargısal denetimin yapılabilmesi için gereklidir.4 Anayasa Mahkemesi, E.2024/98, K.2025/149 sayılı kararında yalnız (d) bendindeki nominal ceza aralığını incelerken alt sınırın üzerine çıkılmasının somut olayın özelliklerine dayanan bir gerekçeyle açıklanmasını aramıştır.5 Bu karar, her ölçütün ceza tutarına etkisinin ayrı bir sayısal hesapla gösterilmesini zorunlu kılmamaktadır.

Kişisel Verileri Koruma Kurumunun resmi tablosunda 2026 yılı için (a) bendinde 85.437 TL ile 1.709.200 TL, (b) bendinde 256.357 TL ile 17.092.242 TL, (c) bendinde 427.263 TL ile 17.092.242 TL, (ç) bendinde 341.809 TL ile 17.092.242 TL ve (d) bendinde 90.308 TL ile 1.806.177 TL arasında ceza tutarları gösterilmiştir.6

Bu tutarlar yalnız 2026 yılına ilişkindir.7 Somut kabahate uygulanacak tutar, fiil tarihi ile Kabahatler Kanunu m.5'in gönderme yaptığı zaman bakımından uygulama ve lehe kanun kuralları gözetilerek belirlenecektir.8

Kurulun 2024/1385 sayılı kararında haksızlık içeriği, veri sorumlusunun kusuru ve ekonomik durumu anılmış ve (b) bendi uyarınca 3.250.000 TL idari para cezası verilmiştir. Kararda çok sayıdaki hesap girişine zamanında müdahale edilmemesi ve ihlalden önce alınmayan kimlik doğrulama tedbirleri ayrıntılı biçimde gösterilmiş, ancak bu olguların üç kanuni ölçütü ve seçilen tutarı nasıl etkilediği ayrı ayrı açıklanmamıştır.9 Karardan bütün veri ihlalleri için geçerli bir hesap formülü çıkarılamaz.

1/541 sayılı Kanun Tasarısına ilişkin Komisyon Raporunda geniş ceza aralığı, ihlallerin etkilediği kişi sayısı ile yaptırım muhataplarının ekonomik gücü arasındaki farkla açıklanmıştır.10 Doktrinde ise aralığın genişliği kanunilik, belirlilik ve ölçülülük bakımından eleştirilmiştir.11 Geniş aralık, Kurula somut olayın özelliklerini dikkate alma imkanı verir. Aynı aralık, benzer olaylarda farklı tutarların hangi gerekçeyle seçildiğinin açıkça gösterilmesini de gerekli kılar.

GDPR m.83, ciroya bağlı üst sınırlar ve cezanın belirlenmesinde dikkate alınacak ayrıntılı ölçütler öngörmektedir.12 Bu düzenleme, KVKK kapsamında bağlayıcı bir ceza tarifesi değildir. GDPR ölçütleri karşılaştırma amacıyla kullanılabilir, ancak Kabahatler Kanunu m.17/2'de bulunmayan ek bir kanuni ölçüt gibi uygulanamaz.13

Aynı olayda birden fazla m.18 bendinin uygulanması, her bent için ayrı ceza verileceğini kendiliğinden göstermez. Önce hukuki anlamda tek fiil mi, birden fazla fiil mi bulunduğu belirlenmelidir. Olayın zaman, yer veya veri işleme süreci bakımından bağlantılı olması, bütün davranışların tek fiil sayılması için tek başına yeterli değildir.1

Tek fiille birden fazla kabahat işlenmiş ve bu kabahatler için yalnız idari para cezası öngörülmüşse en ağır idari para cezası verilir.2 Aynı kabahat farklı fiillerle birden fazla işlenmişse her kabahat için ayrı ceza verilir. Kesintisiz fiille işlenebilen kabahatlerde ise idari yaptırım kararı verilinceye kadar fiil tek sayılır.3

Bir fiil hem suç hem de kabahat olarak tanımlanmışsa kural olarak yalnız suçtan dolayı yaptırım uygulanabilir. Suçtan dolayı yaptırım uygulanamayan halde kabahat nedeniyle yaptırım uygulanacaktır.4 Aynı olay içinde suç ve kabahatin bulunması bu kural için yeterli değildir. Suç ile kabahatin aynı fiile dayanıp dayanmadığı ve yaptırım muhataplarının ilişkisi ayrıca incelenecektir.5

İlgili kişi, veri kaydı veya veri kategorisi sayısı, kaç kabahat işlendiğini tek başına belirleyemez.6 Bu sayıların ayrı fiilleri mi, kesintisiz bir davranışı mı yoksa tek işleme faaliyetinin sonuçlarını mı gösterdiği somut olayda açıklanmalıdır. Doktrinde her ihlal için ayrı ceza verilmesi gerektiği de savunulmuştur.7 Bu görüş, fiil birliği ile aynı kabahatin tekrarı incelenmeden genel bir hesap yöntemine dönüştürülemez.

Kurulun 2023/1461 sayılı kararında ses ve görüntü işleme faaliyetleri ayrılmış, (b) ve (a) bentleri uyarınca iki idari para cezası verilmiştir.8 Kararda Kabahatler Kanunu m.15 yönünden açık bir inceleme yapılmadığından, karar aynı fiile iki ceza verilebileceğine ilişkin genel bir emsal oluşturmaz.9

Soruşturma zamanaşımı, Kabahatler Kanunu m.20'de ceza miktarına göre belirlenen süreler uyarınca incelenecektir.10 Süre, kabahati oluşturan fiilin işlendiği veya neticenin gerçekleştiği tarihte işlemeye başlar. Fiil aynı zamanda suç oluşturuyorsa suça ilişkin dava zamanaşımı uygulanır.11 Alt ve üst sınırın farklı süre dilimlerine girdiği kabahatlerde üst sınırın esas alınması gerektiği doktrinde savunulmuştur.12 Bu çözüm, Kabahatler Kanunu m.20'de açıkça gösterilmiş bir ölçüt değildir.13

Kamu kurumlarında aynı ihlal para cezası yerine farklı bir sorumluluk yoluna bağlanmıştır. KVKK m.18/2, ilk dört bentteki idari para cezalarını veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileriyle sınırlar. Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarında Kurul bildirimi üzerine disiplin hükümleri uygulanır.1 Bu nedenle inceleme kamu tüzel kişisine ceza verilmesine değil, kurumda görev yapan sorumlular hakkında disiplin sürecinin işletilmesine yönelir.

Kurulun bildirimi disiplin cezasının kendisi değildir. Sorumlu kişi, isnat edilen fiil ve uygulanacak disiplin hükmü ilgili personel rejimine göre belirlenmelidir.2 Kurum, yürüttüğü disiplin işleminin sonucunu Kurula bildirmekle yükümlüdür.3

Kurulun 2023/928 sayılı kararında bir devlet üniversitesinin e-posta ekinde çalışanlara ait iletişim, HES, aşı ve risk verilerinin paylaşılması incelenmiştir. Kurul, olayın veri ihlali niteliğinde olduğunu ve Kurula bildirim yapılmadığını belirterek üniversitede görev yapan sorumlular hakkında disiplin hükümlerine göre işlem yapılmasına ve sonucun Kurula bildirilmesine karar vermiştir.4 Kararda belirli bir sorumlu gösterilmemiş ve hangi disiplin cezasının uygulanacağı belirlenmemiştir.

2023/928 sayılı kararın verildiği tarihte kamu kurumlarına ilişkin hüküm m.18/3'teydi. 7499 sayılı Kanunla idari yargı yolu üçüncü fıkra olarak eklenince disiplin düzenlemesi güncel metinde dördüncü fıkraya taşınmıştır.5 Eski karar ve kaynaklardaki üçüncü fıkra göndermesi, bugünkü hüküm bakımından m.18/4 olarak okunmalıdır.

Doktrinde, disiplin sürecinin Kurulun doğrudan belirleyeceği bir yaptırıma bağlanmaması ve farklı personel rejimlerine bırakılması caydırıcılık ile belirlilik bakımından eleştirilmiştir.6 Bu eleştiri yürürlükteki görev ayrımını değiştirmez. Kurul ihlali ve bildirim gereğini, ilgili kurum ise disiplin sorumluluğunu kendi yetkisi içinde değerlendirecektir.

Kurulun para cezalarına karşı görevli yargı kolu 2024'te değişmiştir. KVKK'nin 2016 tarihli ilk metninde özel bir kanun yolu bulunmadığı için Kabahatler Kanunu m.27 uyarınca sulh ceza hakimliğine başvuruluyordu.1 1/541 sayılı Kanun Tasarısının Hükümetçe teklif edilen metni idari yargı yolunu öngörmüş, Adalet Komisyonu ise Kabahatler Kanununun genel hükümlerinin uygulanması amacıyla bu fıkrayı çıkarmıştır.2 Tasarı gerekçesindeki idari yargı açıklaması bu nedenle 2016 yılında kabul edilen hükmün kanun yolunu göstermez.

7499 sayılı Kanunla eklenen KVKK m.18/3 uyarınca Kurulun idari para cezalarına karşı idare mahkemesinde dava açılır. Yeni görev kuralı 1 Haziran 2024 tarihinde yürürlüğe girmiştir.3 Bu tarihte sulh ceza hakimliğinde derdest olan başvurular ise aynı hakimlikte görülmeye devam edecektir. Geçişte yalnız cezanın verildiği tarih değil, başvurunun 1 Haziran 2024 tarihinde derdest bulunup bulunmadığı belirleyicidir.4

İdare mahkemesi, yaptırım kararını yetki, şekil, sebep, konu ve maksat yönlerinden denetleyecektir.5 KVKK'de özel bir dava süresi öngörülmediğinden dava, kural olarak yazılı bildirimi izleyen günden itibaren altmış gün içinde açılmalıdır.6 Yetkili mahkeme İYUK m.32 ile varsa özel yetki kuralları uyarınca belirlenecektir.7 Dava açılması yaptırım kararının yürütmesini kendiliğinden durdurmaz. Yürütmenin durdurulması için İYUK m.27'deki koşulların gerçekleşmesi gerekir.8 İlk derece kararına karşı istinaf yoluna, bölge idare mahkemesi kararına karşı ise koşulları oluştuğunda temyiz yoluna başvurulabilir. Kanun yolu bakımından parasal sınır, İYUK Ek m.1/2 uyarınca davanın açıldığı tarihe göre belirlenecektir.9

Ahmet Yuntar başvurusunda veri sorumlusu, Kuruma süresinde sunamadığını belirttiği yazılı rıza belgesini sulh ceza hakimliğine vermişti. Anayasa Mahkemesi, özellikle bu belgenin uyuşmazlığın sonucunu değiştirebilecek nitelikte olduğu halde hakimlik ve itiraz mercii tarafından karşılanmamasını gerekçeli karar hakkının ihlali saymıştır.10 Mahkeme rızanın geçerli olduğunu, hangi yılın ceza tutarının uygulanacağını veya doğru ceza miktarını belirlememiştir.

32 Yayıncılık başvurusunda Anayasa Mahkemesi, haber içeriğinde kişisel veri kullanılmasına dayanan 30.000 TL'lik cezayı kişisel verilerin korunması hakkı ile ifade ve basın özgürlükleri arasındaki denge bakımından incelemiştir. Mahkeme somut haberin güncelliğini, kamu yararını ve başvurucuya yüklenen külfeti dikkate alarak ihlal bulunmadığına karar vermiştir.11 Bu sonuç, basın faaliyetiyle bağlantılı bütün (b) bendi cezalarının ölçülü olduğu veya aynı tutarın başka olaylarda da uygulanacağı anlamına gelmez.