Madde 18

KVKK'deki her aykırılık idari para cezasını gerektirmez. Kanunun 18. maddesinde aydınlatma, veri güvenliği, Kurul kararına uyma, Sicile kayıt ve bildirim ile standart sözleşmenin bildirimi ayrı bentlerde yaptırıma bağlanmıştır.1 Bu nedenle Kurul, genel bir uyumsuzluk tespitiyle yetinemez. İlgili bentte karşılığı bulunan belirli bir yükümlülüğün hangi davranışla ihlal edildiğini göstermelidir.2

Bu kapalı yapı, hazırlık sürecinde giderek belirginleşmiştir. 2008 Tasarısı belirli madde kümelerini iki ceza grubunda toplamış ve ihlaller arasındaki farkı ceza tutarı üzerinden kurmuştu.3 2014 Tasarısı ise aydınlatma, veri güvenliği, Kurul kararına uyma ve Sicil yükümlülüğünü dört ayrı bentte düzenledi.4 2016'da kabul edilen metin bu ayrımı korudu ve ilk dört bendin yaptırım muhatabını veri sorumlusu gerçek kişiler ile özel hukuk tüzel kişileriyle sınırladı.5

7499 sayılı Kanun, sistemin temel yöntemini değiştirmeden yeni bir ihlal alanı ekledi. Standart sözleşmenin bildirilmemesi beşinci bent olarak düzenlendi, yalnız bu bent bakımından veri işleyen de yaptırım muhatabı oldu ve para cezalarına karşı idari yargı yolu kabul edildi.6 Değişiklikler 1 Haziran 2024 tarihinde yürürlüğe girdi.7 Böylece maddenin kapsamı genişledi, fakat yaptırımın bentte tanımlanan davranışa dayanması gereği ortadan kalkmadı.

108 sayılı Sözleşme, veri koruma ilkelerinin ihlali için uygun yaptırım ve başvuru yolları kurulmasını ister.8 Bu yükümlülük yaptırım düzeninin gerekliliğini açıklar, kabahatin unsurlarını ise belirlemez. Kabahat oluşturan davranış kanunda tanımlanabilir veya kanunun çizdiği çerçevede düzenleyici işlemle somutlaştırılabilir. Yaptırımın türü, süresi ve miktarı ancak kanunla belirlenebilecektir.9 Dolayısıyla uluslararası yükümlülük veya genel koruma amacı, m.18'de sayılmayan yeni bir kabahat yaratamaz.10

Yaptırım incelemesinde önce özel kabahatin kanuni dayanağı belirlenir. KVKK m.18, yaptırıma bağlanan kabahatleri gösterir. Kusur, isnat, içtima ve usule ilişkin, Kanunda özel olarak düzenlenmemiş sorunlarda Kabahatler Kanununun genel hükümleri uygulanır.1 İhmali davranış bakımından ise yerine getirilmemiş belirli bir icrai yükümlülük bulunmalıdır.2

Bu yükümlülük m.18'in içinde bütünüyle tekrar edilmez. Birinci fıkranın (a) bendi KVKK m.10'a, (b) bendi m.12'ye, (c) bendi m.15'e, (ç) bendi m.16'ya ve (d) bendi m.9/5'e bağlanır.3 Yaptırım incelemesinin ilk adımı bu nedenle hangi asli yükümlülüğün hangi davranışla ihlal edildiğini göstermektir.4

İkincil düzenlemeler bu ilk adımda önem taşır, çünkü kanundaki yükümlülüğün nasıl yerine getirileceğini ayrıntılandırabilir.5 Ancak ayrıntılandırma yetkisi, kanunda karşılığı bulunmayan ayrı bir kabahat veya yeni bir yaptırım kurma yetkisine dönüşemez.6 Yönetmelik veya tebliğdeki her usul eksikliği, kanuni bentle bağı kurulmadan cezalandırılamaz.

Kurulun yaptırım yetkisi KVKK m.22/1-ğ'ye dayanır.7 Kararda fiil, yer ve zaman, deliller, yaptırım muhatabı ve uygulanan bent gösterilmelidir.8 Bu unsurlar yalnız şekli bir liste değildir. Tarafların sonuca etkili iddia ve savunmalarıyla hukuki sonuç arasındaki bağ, yargısal denetime elverişli bir gerekçede kurulmalıdır.9

Viennalife başvurusu, kanuni bentle kurulması gereken bağın sınırını gösterir. Kurul, daha önce alenileştirilmiş verilerin alenileştirme amacı dışında kullanılmasını veri güvenliği kabahati olarak cezalandırmıştı. Anayasa Mahkemesi, KVKK m.5'e ilişkin işleme şartı sorununu kanunda bulunmayan bir amaç ölçütü üzerinden m.12/1-a ve m.18/1-b kapsamına taşıyan bu yaklaşımı öngörülemez bulmuştur.10 Karar, somut güvenlik tedbiri eksikliğinin (b) bendiyle cezalandırılmasını engellemez. Engellediği şey, her işleme şartı ihlalinin veri güvenliği kabahatine dönüştürülmesidir.11

Bu çerçevede yaptırım kararı belirli bir sırayla kurulacaktır. Önce asli yükümlülük ve ilgili bent, sonra fiilin muhataba isnadı ile kusur incelenecektir. Ceza tutarı ancak bu aşamalardan sonra belirlenip gerekçelendirilebilir.12 İlk aşamada kanuni bent bulunmuyorsa fiilin haksızlık içeriğine ilişkin değerlendirme bu eksikliği gideremez.

Aynı işleme faaliyeti aydınlatma ile veri güvenliği sorunlarını birlikte doğurabilir. Bununla birlikte (a) ve (b) bentleri farklı yükümlülüklere bağlanmıştır. Aydınlatma kabahatinin konusu, KVKK m.10'da öngörülen bilginin verilmemesidir.1 Bu bilgi, kişisel veriler elde edilirken ve işleme hangi hukuki sebebe dayanırsa dayansın sunulmalıdır.2 Yükümlülüğün yerine getirildiğini ispat yükü veri sorumlusundadır.3

Aydınlatmanın hiç uygulanmadığı haller ise ayrıca ayrılmalıdır. KVKK m.28'deki tam veya kısmi istisnanın şartları gerçekleşmişse uygulanmayan bir yükümlülük (a) bendi cezasına dayanak olamaz.4 Ancak istisna, yalnız kurumun veya faaliyetin adına bakılarak kabul edilemez. İlgili fıkradaki amaç, gereklilik ve orantılılık şartları somut olayda gösterilecektir.5

Veri güvenliği kabahatinde gönderme KVKK m.12'ye yapılır. Teknik ve idari tedbirlerin alınması, denetim yapılması, verinin hukuka aykırı açıklanmaması veya amaç dışında kullanılmaması ve veri ihlalinin bildirilmesi aynı başlık altında yer alsa da ayrı yükümlülüklerdir.6 Bu yüzden Kurul, hangi yükümlülüğün hangi davranışla ihlal edildiğini ve o yükümlülüğün muhatabını belirlemelidir.7

Veri sorumlusu, kendi adına veri işleyen kişiyle birlikte m.12/1'deki tedbirlerin alınmasından sorumludur.8 Ne var ki veri işleyenin tedbir eksikliği, onu yalnız bu sıfatı nedeniyle ilk dört bendin doğrudan yaptırım muhatabı haline getirmez.9 Kurulun uyguladığı idari para cezası ile veri sorumlusu ve veri işleyen arasındaki sözleşmesel tazmin veya rücu ilişkisi farklı sorunlardır.10

Bir veri ihlalinin meydana gelmesi, uygun tedbirlerin alınmadığını kendiliğinden kanıtlamaz. Önce beklenen tedbir, sonra olaydan önceki somut eksiklik gösterilmelidir.11 Kusur incelemesi de ihlal sonucundan türetilemez. En az taksir düzeyindeki kusurun dayandığı olgular ayrıca açıklanacaktır.12

Kurulun iki kararı bu yöntemi farklı teknik olaylarda somutlaştırır. 2020/213 sayılı kararda değişikliklerin canlı ortamda yapılması, testlerin yetersizliği, maskelemenin çalışmaması ve güvenlik politikasının olaydan sonra yürürlüğe girmesi birlikte değerlendirilmiştir.13 2024/1385 sayılı kararda ise bot engellemenin aşılması, aynı IP adresinden yüzlerce kullanıcı hesabına giriş yapılmasına rağmen anomalinin zamanında fark edilmemesi ve ek kimlik doğrulamanın olaydan sonra kurulması öne çıkmıştır.14 Her iki kararda yaptırımın açıklanan dayanağı saldırının gerçekleşmesi değil, saldırıdan önce bulunması gereken somut tedbirlerin eksikliğidir.

Bildirim yükümlülüğünde de aynı iki aşama korunmalıdır. Önce ihlalin hangi anda öğrenildiği ve bildirim yükümlülüğünün ne zaman doğduğu m.12/5'e göre belirlenecektir.15 Gecikme saptandıktan sonra (b) bendi uyarınca ceza verilebilmesi için kusur ayrıca incelenecektir.16

Aydınlatma ile veri güvenliğinin sınırı, Kurulun 2023/1461 sayılı kararında aynı olay içinde görünür hale gelmiştir. Ses kaydı (b), görüntü kaydı sırasında aydınlatma yapılmaması ise (a) bendi kapsamında ayrı ayrı cezalandırılmıştır.17 Ancak yayımlanan kararda Kabahatler Kanunu m.15 yönünden açık bir içtima incelemesi yoktur.18 Ayrıca ses kaydındaki işleme şartı sorununun (b) bendine taşınması, Viennalife kararındaki kanunilik sınırı ışığında değerlendirilmelidir.19 Karar bu nedenle iki bent arasındaki her sınır sorununu çözen genel bir emsal sayılamaz.

Benzer saldırıların farklı veri sorumlularında aynı cezayı gerektirmemesi de bu açıklamaların sonucudur. 2020/213 ve 2024/1385 sayılı kararlar, olaydan önceki test, maskeleme, anomali takibi ve kimlik doğrulama durumlarına dayanmıştır.20 Beklenen tedbir ile kusur her veri sorumlusu bakımından ayrı kurulmadan yalnız ihlal sonucuna bakılarak yaptırım uygulanamaz.

Kurulun yeni veri ihlali kararlarında tedbir eksikliği ile bildirim yükümlülüğü aynı olayda ayrı yaptırım kalemleri olarak ele alınmıştır. Sanayi ve meslek kuruluşları hakkındaki kararlarda güvenlik tedbiri eksikliği ile Kurula geç bildirim ayrı tutarlara bağlanmıştır. Yazılım ve restoran olaylarında ise güvenlik tedbiri eksikliği ile ilgili kişilere bildirim yapılmaması ayrı ayrı yaptırıma konu olmuştur.21

Kuruldan gelen her belgeye uyulmaması, (c) bendindeki kabahati oluşturmaz.1 Yaptırıma esas alınacak belgenin KVKK m.15 uyarınca karar organınca alınmış olması, belirli bir muhataba yönelmesi ve yerine getirilecek davranışı açıkça göstermesi gerekir.2 Bu nitelikleri taşımayan yazışma veya genel bilgi talebi, yaptırıma dayanak kararın yerini alamaz.

Giderim kararında yükümlülüğün zamanı tebliğle bağlantılıdır. Kurul, tespit ettiği hukuka aykırılığın giderilmesine karar verdiğinde veri sorumlusu kararı gecikmeksizin ve en geç tebliğden itibaren otuz gün içinde yerine getirecektir.3 Sürenin başlangıcı tebliğ tarihi, yapılması gereken işlem ise kararın hüküm bölümü üzerinden belirlenecektir.4

İlke kararları ile veri işlemenin veya yurt dışına aktarımın durdurulmasına ilişkin kararlar, yalnız farklı fıkralarda düzenlendikleri için (c) bendinin dışında sayılamaz.5 Buna karşılık yaptırım için kararın muhatap tarafından bilinebilir, içeriğinin belirli ve yerine getirilebilir olması gerekir. Yayım veya bildirim biçimiyle kararın kapsamı bu nedenle somut olayda ayrıca incelenecektir.6

Bilgi ve belge istemi ile savunma talebi ise farklı bir işlev görür. Bu belgeler incelemeyi yürütmeye yarar, hukuka aykırılığın giderilmesine ilişkin nihai bir emir içermez.7 Dolayısıyla belgenin Kuruldan gelmesi yeterli değildir. Hangi organ tarafından, hangi yetkiye dayanılarak ve hangi hukuki sonucu doğurmak üzere düzenlendiği gösterilmeden (c) bendi uygulanamaz.8

Kurulun 2020/765 sayılı kararı, bu unsurların birlikte bulunduğu bir örnektir. Daha önce tebliğ edilen 2020/100 sayılı karar, genel aydınlatma metninin her işleme faaliyetine özgü hale getirilmesini ve her faaliyetin dayandığı işleme şartının gösterilmesini emretmişti. Farklı bankacılık ürünlerinde aynı genel metnin kullanılmaya devam edilmesi üzerine 120.000 TL ceza verilmiştir.9 Yaptırımın dayanağı geç cevap veya sıradan yazışma değil, içeriği belirli bir giderim kararının yerine getirilmemesidir.

Bu sonuç, ilk yükümlülük ihlali ile giderim kararına uymama arasındaki ilişkiyi de ortaya çıkarır. İki davranış fiil ve zaman bakımından ayrılabilir.10 Ancak ayrılmaları her olayda iki ceza verileceği anlamına gelmez. Fiil sayısı ve içtima sonucu Kabahatler Kanunu m.15 uyarınca ayrıca belirlenecektir.11

(ç) bendindeki kabahatin sınırı, KVKK m.16'da düzenlenen Sicile kayıt ve bildirim yükümlülüğüdür.1 Bu nedenle Sicille bağlantısı kurulmamış başka bir uyum eksikliği, bu bent uyarınca cezalandırılamaz.

Yükümlülüğün yalnız ilk kayıt anından ibaret olmadığı Yönetmelikteki düzenlemeden anlaşılır. Kayıt başlangıcı, bildirilecek bilgiler, güncelleme ve Sicilden silinme ayrı aşamalardır.2 Sicil bilgilerinin kişisel veri işleme envanteriyle uyumlu ve güncel tutulması da bu yapının parçasıdır.3

Bununla birlikte her veri sorumlusu kayıt yükümlüsü değildir. Kurulun KVKK m.16/2 uyarınca tanıdığı geçerli bir istisnanın kapsamındaki kişi, yalnız Sicile kayıtlı olmadığı için cezalandırılamaz.4 İstisnanın kişi, faaliyet ve süre bakımından gerçekten uygulanıp uygulanmadığı somut olayda belirlenecektir.

Asıl sınır sorunu, kayıt yapılmış fakat bildirilen bilginin yanlış olduğu durumda ortaya çıkar. Doktrindeki bir görüş, örneğin gerçeğe aykırı saklama süresini de (ç) bendi kapsamında değerlendirir.5 Ne var ki bent, bildirimdeki her yanlışlığın ayrı bir kabahat oluşturacağını açıkça söylemez. Yanlışlığın kayıt ve bildirim yükümlülüğünü ihlal edip etmediği ile tek veya birden çok kabahat doğurup doğurmadığı kanunilik ve içtima kuralları çerçevesinde belirlenecektir.6

Standart sözleşme kabahati, yurt dışına aktarımın bütün hukuka uygunluk şartlarını kapsamaz. Yaptırıma bağlanan davranış, imzalanan sözleşmenin beş iş günü içinde Kuruma bildirilmemesidir.1 Aktarımın başka bir sebeple hukuka aykırı olması, bildirim yapılmışsa tek başına (d) bendi kabahatini oluşturmaz.

Bildirim yükümlüsünün kim olduğu sözleşmeye göre değişebilir. Taraflar bildirimi yapacak kişiyi belirleyebilir, belirleme yoksa görev veri aktarana düşer.2 Bu görev veri sorumlusu veya veri işleyen tarafından üstlenilebildiği için kanun yalnız bu bentte her iki sıfatı da yaptırım muhatabı olarak saymıştır.3

İlk bildirim ile sonraki değişiklik bildirimleri aynı açıklıkta yaptırıma bağlanmamıştır. Yönetmelik, taraflardaki veya sözleşmedeki bilgi ve açıklamalardaki değişikliklerle sözleşmenin sona ermesini de bildirime tabi tutar.4 Kanundaki kabahat tanımı ise imzalanan standart sözleşmenin beş iş günü içinde bildirilmemesini açıkça düzenler.5 Sonraki bildirimlerin yapılmamasının (d) bendi kapsamında cezalandırılıp cezalandırılamayacağı bu nedenle kanunilik bakımından açık bir sorundur.6

Yeni kabahat ve veri işleyeni kapsayan muhatap düzeni 1 Haziran 2024 tarihinde yürürlüğe girmiştir.7 Eski aktarım yollarının 1 Eylül 2024'e kadar kullanılabilmesi için tanınan süre başka bir geçiş hükmüdür ve kabahatin yürürlük tarihini ileri taşımaz.8

Anayasa Mahkemesi E.2024/98, K.2025/149 sayılı kararında bu yapının tamamını değil, (d) bendindeki nominal ceza aralığını incelemiştir. Fiil ile ceza sınırlarının kanunda gösterildiğini ve alt sınırın aşılması halinde somut gerekçe aranacağını belirterek iptal istemini reddetmiştir.9 Karardan Yönetmelikteki sonraki bildirimlerin de cezalandırılacağı veya standart sözleşme rejiminin bütün ayrıntılarının Anayasaya uygun bulunduğu sonucu çıkarılamaz.

Kabahati fiilen işleyen kişi ile idari para cezasının yöneltileceği kişi her zaman aynı olmaz. İlk dört bentte yaptırım, veri sorumlusu gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Veri işleyen, yalnız standart sözleşme bildirimine ilişkin (d) bendinde açıkça yaptırım muhatabı sayılmıştır.1 Bununla birlikte bir faaliyette veri işleyen olan kişi, başka bir faaliyette veri sorumlusu sıfatıyla üstlendiği yükümlülüklerden kurtulmaz.

İlk adım bu nedenle somut faaliyetteki sıfatı belirlemektir. Sözleşmedeki adlandırma değil, işleme amacı ve temel araçlar hakkında kimin karar verdiği esas alınacaktır. Teknik ayrıntılara ilişkin sınırlı karar yetkisi, veri işleyeni kendiliğinden veri sorumlusu yapmaz.2 Kurulun 2020/71 sayılı kararı bu ölçütleri açıklamış, fakat olayda idari para cezası vermemiştir.3

Sıfatın yalnız sonuç bölümünde yazılması yeterli değildir. Anayasa Mahkemesi Viennalife başvurusunda şirketin neden veri sorumlusu sayıldığının ve veriyi ilk yayımlayan sitenin rolünün tartışılmamasını eleştirmiştir.4 Yaptırım muhatabının hangi işleme faaliyeti üzerindeki karar yetkisi nedeniyle veri sorumlusu olduğu gerekçeden anlaşılabilmelidir.

Birden çok kişinin amaç ve temel araçları birlikte belirlemesi halinde ortak veri sorumluluğu gündeme gelebilir. Kurul 2021/1303 sayılı kararda sorumluluk ve kusur değerlendirmesinde kullanılabilecek olguları somut faaliyet üzerinden sıralamıştır.5 Ancak kararda ceza verilmediğinden bu açıklamalar ortak veri sorumluları arasında ceza paylaştıran bir hesap kuralı oluşturmaz.

Sıfat belirlendikten sonra fiilin tüzel kişiye isnadı ayrıca incelenecektir. Kabahatler Kanunu m.8, KVKK m.18/2'deki özel yaptırım muhatabı çevresini genişletmez.6 Bu nedenle kabahati işleyen gerçek kişi ile onun özel hukuk tüzel kişisinin faaliyeti kapsamında üstlendiği görev arasındaki bağ gösterilmelidir.

İsnat, kusur incelemesinin yerine geçmez. KVKK m.18 kusursuz sorumluluk öngörmediğinden kabahatin kasten veya en az taksirle işlenmesi gerekir.7 İhlalin ya da zararın gerçekleşmesi, gerekli dikkat ve özenin hangi nedenle gösterilmediğini tek başına açıklamaz.

Kurulun kime ceza vereceği ile taraflar arasındaki ekonomik yükün kimde kalacağı farklı hukuki sorunlardır. Veri işleyenin davranışı nedeniyle veri sorumlusuna ceza verilmişse, ödenen tutarın veri işleyenden istenip istenemeyeceği sözleşme ile zarara ve kusura ilişkin genel hükümlere göre belirlenecektir.8 Bu iç ilişki, Kurulun kanuni yaptırım muhatabını değiştirmez.

GDPR m.83 ve Avrupa Birliği Adalet Divanının Deutsche Wohnen kararı, tüzel kişi olan veri sorumlusuna uygulanacak idari para cezasının Avrupa Birliği hukukundaki koşullarını gösterir. Karar, belirli bir gerçek kişiye önceden isnat şartını dışlamakla birlikte ihlalin kasten veya ihmalle işlenmiş olmasını arar.9 Bu çözüm, KVKK m.18'e kanunda bulunmayan bir isnat şartı veya ceza ölçütü ekleyemez. Karşılaştırma ancak Türk hukukundaki muhatap ve kusur ayrımını görünür kıldığı ölçüde kullanılabilir.10

Veriyi fiilen işleyen kişi, m.18 uyarınca yaptırım muhatabı olan kişi ve sözleşmeye göre ekonomik kaybı sonunda taşıyacak taraf aynı olmayabilir.11 Kurul, ilk iki kişi arasındaki kanuni isnadı belirler. Tarafların tazmin ve rücu ilişkisi ise yaptırım kararını değiştirmeden özel hukuk hükümleri uyarınca çözülecektir.

Kabahatin oluştuğu saptanmadan ceza tutarı belirlenemez. Bentteki ihlal, yaptırım muhatabı ve kusur belirlendikten sonra tutar kanuni aralık içinde bireyselleştirilecektir. Bu aşamada kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumu birlikte değerlendirilir.1 Veri türü, etkilenen kişi sayısı veya zararın ağırlığı, ancak haksızlık içeriğini açıkladıkları ölçüde dikkate alınabilir.2 İhlalden sonra alınan tedbirler ise özel bir etkin pişmanlık hükmü yoksa bağımsız indirim sebebi değildir.3

Bu değerlendirme karar gerekçesinde izlenebilmelidir. Fiil, delil, muhatap ve ceza tutarı gösterilecek, hukuki dayanak ile sonuç arasındaki ilişki açıklanacaktır.4 Anayasa Mahkemesi E.2024/98, K.2025/149 sayılı kararda (d) bendindeki ceza aralığını incelerken alt sınırın aşılmasını somut olayın özelliklerine dayanan gerekçeye bağlamıştır.5 Mahkeme her ölçütün sayısal katsayıyla gösterilmesini istememiştir. Aradığı şey, seçilen tutarın neden alt sınırdan uzaklaştığının denetlenebilmesidir.

Uygulanacak aralık sabit değildir. Kurumun resmi tablosunda 2026 yılı için (a) bendinde 85.437 TL ile 1.709.200 TL, (b) bendinde 256.357 TL ile 17.092.242 TL, (c) bendinde 427.263 TL ile 17.092.242 TL, (ç) bendinde 341.809 TL ile 17.092.242 TL ve (d) bendinde 90.308 TL ile 1.806.177 TL gösterilmiştir.6 Bunlar yalnız 2026 yılı tutarlarıdır.7 Somut olayda fiil tarihi ile zaman bakımından uygulama ve lehe kanun kuralları ayrıca gözetilecektir.8

Kurulun 2024/1385 sayılı kararı, gerekçenin iki katmanını ayırmaya imkan verir. Kararda anomaliye zamanında müdahale edilmemesi ve olaydan önce ek kimlik doğrulama kurulmaması ayrıntılı biçimde açıklanmıştır. Buna karşılık bu olguların haksızlık içeriği, kusur ve ekonomik durum ölçütleri üzerinden 3.250.000 TL tutara nasıl dönüştüğü ayrı ayrı gösterilmemiştir.9 Karar güvenlik eksikliğini açıklar, bütün veri ihlalleri için ceza hesabı formülü vermez.

Geniş ceza aralığının yararı ile sakıncası aynı noktada birleşir. Komisyon Raporu aralığı, etkilenen kişi sayısı ve yaptırım muhataplarının ekonomik gücü arasındaki farklarla açıklamıştır.10 Doktrinde ise bu genişlik kanunilik, belirlilik ve ölçülülük bakımından eleştirilmiştir.11 Aralık somut olaylara uyarlama imkanı sağlar, fakat benzer olaylardaki farklı tutarların daha güçlü gerekçelendirilmesini de gerekli kılar.

GDPR m.83, ciroya bağlı üst sınırlar ve daha ayrıntılı ölçütler içerir.12 Bu model karşılaştırma bakımından yararlı olsa da KVKK için bağlayıcı bir tarife değildir. Kabahatler Kanunu m.17/2'de bulunmayan bir ölçüt, yalnız GDPR'da yer aldığı için Türk hukukundaki ceza hesabına eklenemez.13

Aynı işleme şartı sorunu farklı olaylarda tek bir ceza tarifesine dönüşmez. Kurul, canlı maç yayınını pazarlama rızasına bağlayan olayda 250.000 TL, marka elçiliği programında geçerli işleme şartı olmaksızın reklam mesajı ve arama yapılan olayda ise 1.000.000 TL idari para cezası uygulamıştır. Tutarın hukuka uygunluğu, yalnız ihlal başlığına değil, kararın haksızlık içeriği, kusur ve ekonomik durum bakımından kurduğu somut gerekçeye göre denetlenecektir.14

Aynı olayın birden çok m.18 bendiyle bağlantılı olması, ceza sayısını kendiliğinden belirlemez. Önce hukuki anlamda tek fiil mi, birden çok fiil mi bulunduğu saptanmalıdır. Davranışların aynı zaman, yer veya işleme süreci içinde gerçekleşmesi, bütün davranışların tek fiil sayılması için tek başına yeterli değildir.1 Bu ayrım, uygulanacak içtima kuralı belirlenmeden önce yapılacaktır.

Fiil tek, ihlal edilen kabahat hükümleri birden fazlaysa ve hepsi yalnız idari para cezası öngörüyorsa en ağır ceza uygulanır.2 Aynı kabahatin farklı fiillerle tekrarlanmasında her fiil ayrı cezaya konu olabilir. Kesintisiz işlenebilen kabahatlerde ise yaptırım kararı verilinceye kadar davranış tek fiil sayılır.3

Suç ile kabahat ilişkisi de olay değil fiil üzerinden kurulur. Aynı fiil hem suç hem kabahat olarak tanımlanmışsa kural olarak yalnız suçtan yaptırım uygulanır. Suçtan yaptırım uygulanamıyorsa kabahat yaptırımı gündeme gelir.4 Aynı olayda bir suç ile kabahatin yan yana bulunması yeterli değildir. Kanuni unsurların, davranışın ve yaptırım muhataplarının gerçekten örtüşüp örtüşmediği incelenecektir.5

Bu nedenle ilgili kişi, kayıt veya veri kategorisi sayısı doğrudan ceza sayısına çevrilemez.6 Sayısal çokluk ayrı fiilleri, kesintisiz bir davranışı veya tek işlemenin farklı sonuçlarını gösterebilir. Doktrinde her ihlal için ayrı ceza verilmesi gerektiği de savunulmaktadır.7 Ancak bu görüş, fiil birliği ve aynı kabahatin tekrarı incelenmeden otomatik hesap yöntemine dönüştürülemez.

Kurulun 2023/1461 sayılı kararında ses ve görüntü işleme faaliyetleri ayrılmış, (b) ve (a) bentleri uyarınca iki ceza verilmiştir.8 Fakat yayımlanan gerekçede Kabahatler Kanunu m.15 yönünden açık bir inceleme yoktur.9 Karar bu nedenle aynı fiile her durumda iki ceza verilebileceğini göstermez. En fazla, Kurulun olayda iki işleme faaliyetini ayrı değerlendirdiğini ortaya koyar.

Zamanaşımı incelemesi ise cezanın sayısından sonra gelir. Süreler Kabahatler Kanunu m.20'de ceza miktarına göre belirlenmiştir.10 Zamanaşımı fiilin işlendiği veya neticenin gerçekleştiği tarihte başlar, fiil aynı zamanda suç oluşturuyorsa suça ilişkin dava zamanaşımı uygulanır.11 Alt ve üst sınır farklı süre dilimlerine giriyorsa üst sınırın esas alınması gerektiği doktrinde savunulmaktadır.12 Kanunda açıkça yazmayan bu çözüm, görüş ayrılığı belirtilmeden kesin kural olarak sunulamaz.13

Kamu kurumlarındaki ihlal, özel hukuk kişileri için öngörülen para cezası yoluna doğrudan bağlanmamıştır. KVKK m.18/2, ilk dört bentteki para cezalarını veri sorumlusu gerçek kişiler ile özel hukuk tüzel kişileriyle sınırlar. Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarında ise Kurulun bildirimi üzerine disiplin süreci işletilir.1 Bu süreçte sorumluluk, kamu tüzel kişisine para cezası verilerek değil, kurum içindeki görevli bakımından ilgili personel rejimine göre belirlenecektir.

Kurul bildirimi bu nedenle disiplin cezası niteliği taşımaz. Kurul ihlali ve disiplin süreci gereğini ortaya koyar. Sorumlu kişi, isnat edilen fiil ve uygulanacak disiplin hükmü ilgili personel rejimine göre kurum tarafından belirlenecektir.2 Sürecin sonucu da Kurula bildirilecektir.3

Kurulun 2023/928 sayılı kararı görev ayrımını somutlaştırır. Bir devlet üniversitesinde çalışanların iletişim, HES, aşı ve risk verileri e-posta ekiyle paylaşılmış, olay Kurula bildirilmemiştir. Kurul sorumlular hakkında disiplin işlemi yapılmasını ve sonucun kendisine bildirilmesini istemiştir.4 Bununla birlikte belirli bir sorumlu göstermemiş ve uygulanacak disiplin cezasını tayin etmemiştir.

Karardaki fıkra numarası bugün okunduğunda yanıltıcı olabilir. 2023'te disiplin hükmü üçüncü fıkradaydı. 7499 sayılı Kanunla idari yargı yolu üçüncü fıkra olarak eklenince disiplin düzeni dördüncü fıkraya taşındı.5 Eski kaynakların m.18/3 göndermesi bu nedenle güncel metinde m.18/4'e karşılık gelir.

Bu görev paylaşımı doktrinde caydırıcılık ve belirlilik yönünden eleştirilmiştir. Kurulun doğrudan yaptırım belirlememesi ve sonucun farklı personel rejimlerine bırakılması, benzer ihlallerin farklı sonuçlar doğurmasına yol açabilir.6 Eleştiri mevcut düzeni ortadan kaldırmaz. Yürürlükteki sistemde Kurul ihlali ve bildirim gereğini, kurum ise disiplin sorumluluğunu kendi yetkisi içinde değerlendirecektir.

Üniversitede parmak iziyle yoklama kararında da bu yol işletilmiştir. Kurul, kamu üniversitesinde teknik ve idari tedbirlerden sorumlu kişiler hakkında karar tarihindeki KVKK m.18/3 uyarınca disiplin hükümlerinin uygulanmasını ve sonucun Kurula bildirilmesini istemiştir. Bu gönderme, 7499 sayılı Kanundan sonra güncel metinde m.18/4'e karşılık gelmektedir.7

Kurulun para cezalarına karşı görevli yargı kolu 2024'te değişmiştir. Bununla birlikte idari yargı fikri ilk kez bu tarihte ortaya çıkmamıştır. 1/541 sayılı Kanun Tasarısının Hükümet metni idari yargıyı öngörüyordu. Adalet Komisyonu bu fıkrayı çıkararak Kabahatler Kanununun genel hükümlerine dönmüştür.1 Bu nedenle 2016'da kabul edilen metinde özel kanun yolu bulunmamış ve cezalara karşı sulh ceza hakimliğine başvurulmuştur.2 Tasarı gerekçesindeki idari yargı açıklaması, kabul edilmeyen bir tercihin tarihini gösterir.

7499 sayılı Kanun bu tercihi yeniden değiştirdi. Güncel KVKK m.18/3 uyarınca Kurulun idari para cezalarına karşı idare mahkemesinde dava açılır ve görev kuralı 1 Haziran 2024'te yürürlüğe girmiştir.3 Ancak o tarihte sulh ceza hakimliğinde derdest bulunan başvurular aynı hakimlikte görülmeye devam eder.4 Geçişte cezanın verildiği tarihten çok, başvurunun 1 Haziran 2024'te derdest olup olmadığı önem taşır.

Mahkeme yaptırım kararını yetki, şekil, sebep, konu ve maksat yönlerinden inceleyecektir.5 KVKK özel bir süre öngörmediğinden dava kural olarak yazılı bildirimi izleyen günden başlayarak altmış gün içinde açılır.6 Yetkili mahkeme İYUK m.32 ve varsa özel yetki kurallarına göre belirlenir.7

Davanın açılması cezanın yürütmesini kendiliğinden durdurmaz. Bunun için İYUK m.27'deki koşulların gerçekleşmesi gerekir.8 İlk derece kararına karşı istinaf, koşulları varsa bölge idare mahkemesi kararına karşı temyiz yolu açıktır. Parasal sınır davanın açıldığı tarihe göre belirlenecektir.9

Yargısal denetimin etkili olması, sonuca etkili savunmaların karşılanmasını gerektirir. Ahmet Yuntar başvurusunda veri sorumlusu, Kuruma süresinde sunamadığı yazılı rıza belgesini sulh ceza hakimliğine vermiştir. Anayasa Mahkemesi, uyuşmazlığın sonucunu değiştirebilecek bu belgenin hakimlik ve itiraz mercii tarafından değerlendirilmemesini gerekçeli karar hakkının ihlali saymıştır.10 Mahkeme rızanın geçerliliği veya doğru ceza tutarı hakkında karar vermemiştir.

Denetim yalnız usule ilişkin de değildir. 32 Yayıncılık başvurusunda Anayasa Mahkemesi, haber içeriğinde kişisel veri kullanılmasına dayanan cezayı veri koruma hakkı ile ifade ve basın özgürlükleri arasındaki denge bakımından incelemiştir. Haberlerin güncelliği, kamu yararı ve başvurucuya yüklenen külfet birlikte değerlendirilerek ihlal bulunmamıştır.11 Bu sonuç bütün basın faaliyetlerine ilişkin cezaları ölçülü hale getirmez. Her uyuşmazlıkta haberin niteliği, güncelliği ve yaptırımın ağırlığı yeniden tartılacaktır.