6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, kişisel veri işleme faaliyetlerine ilişkin yükümlülüklere aykırı davranan veri sorumluları ve ilgili kişiler için çeşitli yaptırımlar öngörülmektedir. Bu yazıda, KVKK cezaları, idari para cezalarının tutarları ve genel uygulama çerçevesi hakkında bilgilendirici bir genel bakış sunulmaktadır.
KVKK Kapsamında Yaptırım Türleri
KVKK'nın 18. maddesi uyarınca, Kanunun belirli hükümlerine aykırılık durumunda idari para cezası uygulanmaktadır. Ayrıca Türk Ceza Kanunu'nda kişisel verilerin hukuka aykırı olarak kaydedilmesi, aktarılması veya ifşa edilmesi suçları için cezai yaptırımlar da söz konusu olabilir. Bu rehber genel çerçevede idari yaptırımlara odaklanmaktadır.
İdari Para Cezaları ve Tutarlar
Kanunun 18. maddesinde sayılan ihlal türlerine göre uygulanacak idari para cezaları, 2024 yılı itibarıyla yürürlükte olan para cezalarına ilişkin genel usul ve esaslar çerçevesinde belirlenmektedir. Cezalar, ihlalin niteliğine göre farklı tutarlarda uygulanabilir. Aşağıda genel çerçevede sayılabilecek ihlal türleri ve bunlara karşılık gelen ceza kategorileri özetlenmektedir:
- Aydınlatma yükümlülüğünün ihlali: Veri sorumlusunun ilgili kişiyi bilgilendirme yükümlülüğünü yerine getirmemesi durumunda idari para cezası uygulanabilir.
- Veri güvenliği yükümlülüğünün ihlali: Teknik ve idari tedbirlerin alınmaması veya yetersiz kalması halinde ceza gündeme gelebilir.
- Veri Sorumluları Siciline kayıt yükümlülüğünün ihlali: VERBİS kaydı zorunlu olan veri sorumlularının kayıt yaptırmaması durumunda idari para cezası söz konusu olabilir.
- Kurul kararlarının yerine getirilmemesi: Kişisel Verileri Koruma Kurulu kararlarına uyulmaması halinde ceza uygulanabilir.
Cezaların Uygulanma Süreci
İdari para cezaları, Kişisel Verileri Koruma Kurulu tarafından verilmektedir. Şikâyet veya ihbar üzerine veya Kurulun re'sen incelemesiyle ihlal tespiti yapılabilir. Veri sorumlusuna savunma hakkı tanınır; gerekçeli karar sonrası ceza tebliğ edilir. Cezaya karşı idari yargı yoluna başvurulabilir. Cezaların kesinleşmesi, itiraz süresinin dolması veya yargı kararının kesinleşmesiyle gerçekleşir.
Cezai Sorumluluk
KVKK'nın idari yaptırımlarına ek olarak, Türk Ceza Kanunu'nun 135-140. maddeleri kapsamında kişisel verilerin hukuka aykırı olarak kaydedilmesi, ele geçirilmesi, aktarılması veya ifşa edilmesi suçları için hapis ve adli para cezası öngörülmektedir. Özel nitelikli kişisel verilerin ihlali durumunda cezalar artırılmış olarak uygulanabilir. Somut durumunuzda hangi yaptırımların gündeme gelebileceği hukuk danışmanınızla değerlendirilebilir.
Uyum İçin Önerilen Adımlar
KVKK cezalarından kaçınmak veya riski azaltmak için genel çerçevede şu adımların atılması önerilir: Aydınlatma metninin hazırlanması ve ilgili kişilere sunulması; veri güvenliği tedbirlerinin alınması (erişim kısıtlaması, şifreleme, güvenli silme vb.); VERBİS kayıt zorunluluğunun değerlendirilmesi; Kurul kararlarının takibi ve gerekli uyum sağlanması. Bu konularda detaylı değerlendirme için hukuk danışmanına başvurulması tavsiye edilir.
Küçük işletmeler ve bireysel web sitesi sahipleri de kişisel veri işledikleri sürece Kanun kapsamına girebilir. İletişim formu, çerez veya analytics kullanan sitelerin bile temel aydınlatma yükümlülüğünü yerine getirmesi önerilir. Kurul, şikâyet veya re'sen inceleme sonucu ihlal tespit ettiğinde idari para cezası uygulayabilir. Cezaya itiraz edilmesi halinde idari yargı yoluna gidilebilir; ancak süreç maliyetli ve zaman alıcı olabileceğinden önleyici uyum çalışmalarına öncelik verilmesi genel olarak tavsiye edilir.
Kanun ve ilgili mevzuat zaman içinde değişebilir. Cezai tutarlar ve kategoriler güncellenebilir. Güncel mevzuat için resmi kaynaklara ve hukuk danışmanınıza başvurmanız önerilir.
Cezaların Güncelliği
İdari para cezası tutarları, 213 sayılı Vergi Usul Kanununun mükerrer 22. maddesi kapsamında her yıl yeniden değerleme oranında artırılabilir. Dolayısıyla ceza tutarlarının güncel hali resmi Gazete ve Kişisel Verileri Koruma Kurulu duyurularından takip edilmelidir. Kanun ve ilgili yönetmeliklerde yapılan değişiklikler de yaptırım rejimini etkileyebilir.
Sonuç
KVKK cezaları ve yaptırımları, kişisel verilerin korunması mevzuatına uyum sağlamayan veri sorumluları için ciddi idari ve cezai sonuçlar doğurabilir. İdari para cezalarının yanı sıra TCK kapsamındaki cezai sorumluluk da değerlendirilebilir. Mevzuata uyum sürecinde erken harekete geçmek ve profesyonel danışmanlık almak, risk azaltma açısından faydalı olabilir.