KVKK İdari Para Cezaları 2026: Güncel Tutarlar

2026 yılı KVKK idari para cezaları, 2025 tutarlarına %25,49 yeniden değerleme oranı uygulanarak belirlendi. En düşük taban 85.437 TL, en yüksek tavan 17.092.242 TL'dir. Tutarlar Kabahatler Kanunu m. 17(7) uyarınca her takvim yılı başında kendiliğinden artar; ayrı bir düzenleme gerekmez.

2026 yılı ceza tutarları

Aydınlatma yükümlülüğünün yerine getirilmemesi (m. 10, ceza m. 18/1-a): 85.437 TL ile 1.709.200 TL arası.

Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi (m. 12, ceza m. 18/1-b): 256.357 TL ile 17.092.242 TL arası.

Kurul kararlarının yerine getirilmemesi (m. 15, ceza m. 18/1-c): 427.263 TL ile 17.092.242 TL arası.

Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırılık (m. 16, ceza m. 18/1-ç): 341.809 TL ile 17.092.242 TL arası.

Yurt dışına aktarımda standart sözleşme bildiriminin yapılmaması (m. 9(5), ceza m. 18/1-d): 90.308 TL ile 1.806.177 TL arası.

Neden farklı rakamlarla karşılaşıyorsunuz?

Aynı yükümlülük için beş farklı tutar görmeniz olağan. Üç ayrı hata kaynağı var.

Birincisi, kanun metnindeki tutarların okunması. 6698 sayılı Kanun'un 18. maddesinde yazan tutarlar 2016 yılına aittir: aydınlatma için 5.000-100.000 TL, veri güvenliği için 15.000-1.000.000 TL, VERBİS için 20.000-1.000.000 TL. Bu rakamlar bugün uygulanmıyor. Kanun metnini açıp oradaki sayıyı aktaran bir kaynak, on yıllık yeniden değerlemeyi atlamış olur.

İkincisi, bir önceki yılın tutarlarının tekrarlanması. 2025 yılında VERBİS cezası 272.380-13.620.402 TL idi. Bu rakamlar hâlâ birçok yerde 2026 başlığıyla dolaşıyor.

Üçüncüsü, ara yılların atlanması. Yeniden değerleme oranı her yıl değişiyor ve bileşik etki yaratıyor: 2023'te %122,93, 2024'te %58,46, 2025'te %43,93, 2026'da %25,49. Tek bir yılı atlayan hesap, sonraki tüm yılları yanlış verir.

Doğru tutar için tek güvenilir kaynak Kurum'un yayımladığı güncel ceza tablosudur. Ocak ayında güncellenir.

Ceza nasıl hesaplanır?

Artış otomatiktir. Kabahatler Kanunu m. 17(7), idari para cezalarının her takvim yılı başından geçerli olmak üzere Vergi Usul Kanunu'nun mükerrer 298. maddesi uyarınca ilan edilen yeniden değerleme oranında artırılarak uygulanmasını öngörür. Aynı fıkra, hesapta bir Türk lirasının küsurunun dikkate alınmayacağını da belirtir.

Kurul, taban ile tavan arasında takdir yetkisi kullanır. Uygulamada dikkate alınan ölçütler arasında ihlalin süresi ve kapsamı, etkilenen kişi sayısı, verinin niteliği (özel nitelikli veri ağırlaştırıcıdır), veri sorumlusunun ticari büyüklüğü, tekerrür ve inceleme sürecindeki iş birliği tutumu bulunur.

Tek bir olayda kaç ceza kesilebilir?

Birden fazla. Bu, uygulamada en çok yanlış hesaplanan nokta.

Bir veri ihlali olayında Kurul, hem veri güvenliği tedbirlerinin alınmamasını (m. 12) hem de ihlal bildiriminin süresinde yapılmamasını ayrı ayrı değerlendirebilir. VERBİS kaydı da eksikse üçüncü bir kalem doğar. Her kalem kendi tavanına kadar ayrı hesaplanır.

Bunun pratik sonucu, tek bir olayda toplam yaptırımın 17 milyon TL tavanını aşabilmesidir.

Az bilinen bir kalem: standart sözleşme bildirimi

m. 18/1-d, Kanun'a 2024 değişikliğiyle eklendi ve Kurum tablosunda ilk kez 2024 yılı sütununda görünüyor.

Yurt dışına veri aktarımında Kurul'un ilan ettiği standart sözleşmeyi kullanan veri sorumlusu ve veri işleyenler, sözleşmeyi imzaladıktan itibaren beş iş günü içinde Kuruma bildirmek zorundadır. Bildirim yapılmaması 2026 yılında 90.308 TL ile 1.806.177 TL arası cezaya tabidir.

Bu kalem bir yönüyle benzersizdir: Kanun'daki idari para cezaları kural olarak veri sorumlusuna uygulanırken, m. 18(2) uyarınca veri işleyene de uygulanabilen tek ceza budur. Türkiye'de hizmet veren bir veri işleyen açısından bu, doğrudan ve kişisel bir risk anlamına gelir.

Yeni bir risk: aydınlatma ve açık rıza metinlerinin birleştirilmesi

Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı İlke Kararı, açık rıza metni ile aydınlatma metninin ayrı ayrı düzenlenmesi gerektiğini hükme bağladı ve karar 24 Mart 2026 tarihli Resmî Gazete'de yayımlandı.

Kararın ceza boyutu gözden kaçıyor. Kurul, bu gerekliliklere uygun hareket edilmesini Kanun'un 12. maddesinin birinci fıkrası kapsamında alınması gereken idari ve teknik tedbirlerden saymakta ve aykırılık hâlinde m. 18 uyarınca işlem tesis edileceğini belirtmektedir.

Bunun anlamı şudur: iki metnin birleştirilmesi, aydınlatma yükümlülüğü kaleminden (taban 85.437 TL) değil, veri güvenliği kaleminden (taban 256.357 TL, tavan 17.092.242 TL) değerlendirilebilir. Taban arasındaki fark üç kat, tavan arasındaki fark on kattır.

Kararda ayrıca aydınlatma metinlerinin sözleşme niteliği taşımadığı, bu nedenle metin sonunda "okudum ve kabul ediyorum" veya "okudum ve açık rıza veriyorum" yerine "okudum ve anladım" beyanının kullanılması gerektiği belirtilmektedir. Kendi sitenizde bu ifadeyi kontrol etmek, kararın uygulanmasında ilk adımdır.

GDPR ile KVKK arasındaki fark

Ceza yapısı temelden farklıdır. KVKK sabit taban ve tavan tutarlar öngörür ve bunları yeniden değerlemeyle her yıl artırır. GDPR ise m. 83'te iki kademe kurar: alt kademede 10 milyon avro veya küresel yıllık cironun %2'si, üst kademede 20 milyon avro veya cironun %4'ü; iki tutardan yüksek olanı uygulanır. Ciroya bağlı hesap KVKK'da yoktur.

Muhatap farklıdır. GDPR m. 83, veri işleyeni doğrudan ceza muhatabı olarak kabul eder. KVKK m. 18(2) ise cezaları kural olarak veri sorumlusuna yöneltir; veri işleyene uygulanabilen tek istisna m. 9(5) bildirim yükümlülüğüdür.

Tavan farkı görünenden az. 17 milyon TL tavanı, GDPR'ın 20 milyon avroluk üst kademesiyle karşılaştırıldığında düşük görünür. Ancak KVKK'da her ihlal kalemi ayrı ayrı cezalandırılabildiği için, tek bir olayın toplam maliyeti tavanın üzerine çıkabilir.

İtiraz yolu ayrışır. GDPR'da karar denetim otoritesinin bulunduğu üye devletin yargı düzenine tabidir. KVKK'da ise 7499 sayılı Kanun değişikliğiyle Kurul kararlarına karşı idare mahkemelerinde dava açılması öngörülmüştür. (Güven seviyesi: Yüksek. Görevli ve yetkili mahkeme ile dava açma süresi bakımından somut olayda ayrıca değerlendirme yapılmalıdır.)

Sıkça Sorulan Sorular

1. KVKK cezaları her yıl otomatik olarak mı artıyor? Evet. Kabahatler Kanunu m. 17(7) uyarınca idari para cezaları her takvim yılı başından geçerli olmak üzere, o yıl için ilan edilen yeniden değerleme oranında artırılarak uygulanır. Ayrı bir kanun değişikliği veya Kurul kararı gerekmez. 2026 için uygulanan oran %25,49'dur.

2. Kanun metnindeki tutarlar neden farklı? 6698 sayılı Kanun'un 18. maddesinde yazan tutarlar 2016 yılına aittir ve güncellenmemiştir. Kanun metni değişmediği hâlde uygulanan tutarlar her yıl artar. Bu nedenle mevzuat metnindeki rakamlara değil, Kurum'un yayımladığı güncel ceza tablosuna bakılmalıdır.

3. Tek bir veri ihlalinde birden fazla ceza kesilir mi? Kesilebilir. Kurul, aynı olayda birden fazla yükümlülüğün ihlal edildiğini tespit ederse her biri için ayrı ceza uygulayabilir. Veri güvenliği tedbirlerinin alınmaması ile ihlal bildiriminin yapılmaması, aynı olay kapsamında iki ayrı kaleme konu olabilir.

4. Veri işleyen de ceza alabilir mi? Kural olarak hayır. KVKK m. 18(2) uyarınca cezalar veri sorumlusuna uygulanır. Tek istisna m. 9(5)'teki standart sözleşme bildirim yükümlülüğüdür; bu ceza veri işleyene de uygulanabilir. GDPR'da ise veri işleyen doğrudan ceza muhatabı olabilir.

5. Aydınlatma ve açık rıza metnini birleştirmenin cezası nedir? Kurul'un 2026/347 sayılı İlke Kararı, bu gerekliliği m. 12(1) kapsamındaki idari ve teknik tedbirlerden saymaktadır. Aykırılık hâlinde m. 18/1-b kalemi gündeme gelebilir; bu kalem 2026 yılında 256.357 TL ile 17.092.242 TL arasındadır.

KVK ve GDPR Uyum Serisi

Bu yazı serisi ile Avrupa’da faaliyet göstermek isteyen Türkiye’de kurulu firmalara GDPR ve uyum hakkında bilgi vermek amaçlanmıştır.

1) Veri Sorumlusu mu Veri İşleyen mi?
2) Yurt Dışına Veri Aktarımı Nasıl Yapılır?
3) Veri İşleme Sözleşmesi (DPA) Nedir, Ne Zaman Yapılır?
4) Standart Sözleşme Hükümleri (SCC) Nedir?
5) KVKK İdari Para Cezaları 2026?

Sorularınız mı var?

Kaynaklar

[1] 6698 sayılı Kişisel Verilerin Korunması Kanunu, resmî metin: https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5

[2] Kişisel Verileri Koruma Kurumu, 6698 sayılı Kanundaki idari para cezaları tablosu (2016-2026)

[3] Kişisel Verileri Koruma Kurulu, 18/02/2026 tarihli ve 2026/347 sayılı İlke Kararı, Resmî Gazete 24 Mart 2026, Sayı 33203