KVKK İhlalleri ve Kişisel Verilerin Korunması

Kişisel Verilerin Korunmasının Hukuki Temeli

Kişisel verilerin korunması, Türkiye Cumhuriyeti Anayasası'nın 20. maddesinde anayasal bir hak olarak güvence altına alınmıştır; herkes kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hakkın çerçevesi 6698 sayılı Kişisel Verilerin Korunması Kanunu ile ayrıntılı biçimde düzenlenmiştir.

6698 sayılı Kanun'un 3. maddesi temel kavramları tanımlar. Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi; veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak veri işleyen kişidir.

Veri İşlemenin Genel İlkeleri

6698 sayılı Kanun'un 4. maddesi, her türlü kişisel veri işleme faaliyetinde uyulması gereken genel ilkeleri sıralar. Veriler hukuka ve dürüstlük kurallarına uygun işlenmeli; doğru ve gerektiğinde güncel olmalı; belirli, açık ve meşru amaçlar için işlenmelidir.

Aynı madde, işlemenin amaçla bağlantılı, sınırlı ve ölçülü olmasını; verilerin ise ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini zorunlu kılar. Bu ilkeler, ihlal değerlendirmesinde temel ölçüt olarak kullanılır.

İşleme Şartları ve Açık Rıza

6698 sayılı Kanun'un 5. maddesi uyarınca kişisel veriler, kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Bununla birlikte madde, açık rıza aranmayan istisnaları da sayar: kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin veriyi alenileştirmiş olması, bir hakkın tesisi veya korunması için zorunluluk ve veri sorumlusunun meşru menfaati.

Kanun'un 6. maddesi, sağlık, din, ırk, cinsel hayat, biyometrik veri ve ceza mahkûmiyeti gibi özel nitelikli kişisel verilere daha sıkı bir koruma getirir. Bu madde, 7499 sayılı Kanun ile yeniden düzenlenmiş ve değişiklik 1 Haziran 2024 tarihinde yürürlüğe girerek özel nitelikli verilerin işlenebileceği hukuki sebepleri yeni bir çerçeveye bağlamıştır.

Aydınlatma Yükümlülüğü ve İlgili Kişinin Hakları

6698 sayılı Kanun'un 10. maddesi, veri sorumlusuna aydınlatma yükümlülüğü getirir. Kişisel verilerin elde edilmesi sırasında veri sorumlusu; kendi kimliği, verilerin hangi amaçla işleneceği, kimlere hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin haklarını açıklamak zorundadır.

Kanun'un 11. maddesi ilgili kişiye geniş haklar tanır. Herkes veri sorumlusuna başvurarak verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlemenin amacına uygun kullanılıp kullanılmadığını öğrenme, eksik veya yanlış işlenmiş verilerin düzeltilmesini, işleme sebeplerinin ortadan kalkması hâlinde verilerin silinmesini veya yok edilmesini isteme ve ihlal nedeniyle uğradığı zararın giderilmesini talep etme haklarına sahiptir.

Veri Sorumlusuna Başvuru ve Kurula Şikâyet

6698 sayılı Kanun, hak arama sürecinde kademeli bir yol öngörür. Kanun'un 13. maddesi uyarınca ilgili kişi taleplerini öncelikle veri sorumlusuna iletir; veri sorumlusu, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır.

Kanun'un 14. maddesine göre başvurunun reddedilmesi, verilen yanıtın yetersiz bulunması veya süresinde yanıt verilmemesi hâlinde ilgili kişi, yanıtı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir. Kurul, 15. madde uyarınca şikâyet üzerine veya ihlal iddiasını öğrenmesi hâlinde resen inceleme yapar.

İhlal Bildirimi ve 2026 İdari Para Cezaları

6698 sayılı Kanun'un 12. maddesi, veri sorumlusuna verilerin hukuka aykırı erişime karşı korunması için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. İşlenen verilerin başkalarınca hukuka aykırı yollarla ele geçirilmesi hâlinde veri sorumlusu, bu durumu en kısa sürede Kurula ve ilgili kişiye bildirmekle yükümlüdür.

Kanun'un 18. maddesinde düzenlenen idari para cezaları her yıl yeniden değerleme oranına göre güncellenir. 2026 yılı için bu cezalar; aydınlatma yükümlülüğünün ihlalinde 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlalinde 256.357 TL ile 17.092.242 TL, Kurul kararlarının yerine getirilmemesinde ise 427.263 TL ile 17.092.242 TL arasında uygulanmaktadır.

İdari Para Cezasına İtiraz ve Tazminat

İdari para cezalarına karşı başvuru yolu, 7499 sayılı Kanun ile değiştirilmiştir. 1 Haziran 2024 tarihinden itibaren, 6698 sayılı Kanun kapsamında verilen idari para cezalarına karşı idare mahkemelerinde dava açılmaktadır; bu tarihten önce uygulanan sulh ceza hâkimliğine itiraz yolu yerini idari yargıya bırakmıştır.

Kişisel verilerinin hukuka aykırı işlenmesi nedeniyle zarara uğrayan ilgili kişi, idari süreçten bağımsız olarak genel hükümlere göre maddi ve manevi tazminat davası da açabilir. Veri sorumluları açısından aydınlatma metinlerinin hazırlanması, açık rıza süreçlerinin yönetilmesi, saklama ve imha politikalarının oluşturulması ve ihlal müdahale planının bulunması, ceza ve tazminat riskini önemli ölçüde azaltır.

Sık Sorulan Sorular

Kişisel verisi izinsiz işlenen kişi önce nereye başvurur?

İlgili kişi taleplerini öncelikle veri sorumlusuna iletir. Veri sorumlusu en geç otuz gün içinde yanıt vermezse veya yanıt yetersizse, ilgili kişi Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir.

2026 yılında KVKK idari para cezaları ne kadardır?

2026 yılı için cezalar ihlalin türüne göre yaklaşık 85.437 TL ile 17.092.242 TL arasında değişmektedir. Bu tutarlar her yıl yeniden değerleme oranıyla güncellenir.

KVKK idari para cezasına nereye itiraz edilir?

1 Haziran 2024'ten itibaren KVKK idari para cezalarına karşı idare mahkemelerinde dava açılmaktadır.

Sonuç

Kişisel verilerin korunması, hem ilgili kişiye güçlü haklar tanıyan hem de veri sorumlularına ciddi yükümlülükler getiren bir alandır. Aydınlatma, açık rıza ve veri güvenliği süreçlerinin mevzuata uygun yürütülmesi, idari para cezası ve tazminat riskini azaltmanın temel yoludur.

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Somut uyuşmazlıklar farklı hukuki değerlendirme gerektirebilir.