KVKK Cezaları Ne Kadar? İdari Para Cezaları ve Nasıl Kaçınılır (2026)

Kısa cevap: 2026'da en düşük KVKK cezası 85.437 TL, en yükseği 17.092.242 TL. Hangi aralığa düştüğünüz ihlalin türüne bağlı; tam tablo aşağıda.

Ama bu sayfaya muhtemelen bir endişeyle geldiniz: "Ceza yerim mi?" Dürüst cevap: ceza riski gerçek, ama panik gereksiz. Rakamı bilmek işin kolay kısmı; asıl işe yarayan, cezaların hangi durumlarda geldiğini ve neyi düzeltince riskin düştüğünü bilmek.

Önemli: Bu içerik genel bilgilendirmedir, hukuki danışmanlık değildir. Güncel tutarlar ve somut durumunuz için Kişisel Verileri Koruma Kurumu'nun yayınlarına ve bir hukukçuya başvurun.

Kısa cevap

KVKK'da idari para cezaları Kanun'un 18. maddesinde düzenlenir ve dört ana ihlal grubuna uygulanır:

2026 yılı ceza tutarları

Aşağıdaki tutarlar, 27 Kasım 2025 tarihli ve 33090 sayılı Resmî Gazete'de yayımlanan 585 Sıra No'lu Vergi Usul Kanunu Genel Tebliği ile belirlenen %25,49 yeniden değerleme oranı uygulanarak 2026 yılı için geçerlidir.

Bunlara ek olarak, yurt dışına veri aktarımında standart sözleşme bildirim yükümlülüğünün yerine getirilmemesi için ayrı bir aralık (90.308 – 1.806.377 TL) uygulanmaktadır.

Bu tablodaki hangi satır sizi ilgilendiriyor? Ceza riski hesaplayıcı on soruyla hangi kalemin size uygulanabileceğini, o kalemin açık mı kapalı mı olduğunu ve kapatan adımı gösteriyor. Cevaplar tarayıcınızdan çıkmıyor, e-posta istemiyoruz.

Bu rakamlar neden her yıl değişiyor?

Kanun'un 18. maddesindeki tutarlar sabit değildir. 5326 sayılı Kabahatler Kanunu'nun 17. maddesi ve Vergi Usul Kanunu'nun mükerrer 298. maddesi gereği, her takvim yılı başından geçerli olmak üzere yeniden değerleme oranı kadar artırılır. Yani 2027 tutarları bugünkünden yüksek olacaktır. Bir yazıda gördüğünüz rakamın hangi yıla ait olduğunu mutlaka kontrol edin.

Alt sınır mı, üst sınır mı uygulanır?

Pratikte ceza neredeyse hiçbir zaman üst sınırdan kesilmez. Kurul, aralığın neresinde duracağını ihlalin ağırlığına, etkilenen kişi sayısına, verinin niteliğine ve şirketin kusur derecesine göre belirler. Küçük ölçekli bir işletmenin tek bir aydınlatma eksikliği için milyonluk ceza görmesi beklenen bir sonuç değildir; ancak alt sınır bile 85.437 TL'dir — yani en hafif ihlalin bedeli, eksik belgeleri baştan hazırlamanın maliyetinin çok üzerindedir. Cezaların ekonomik mantığı buradadır.

Pratikte ceza neye göre şekilleniyor?

Aralıkları görmek tek başına yetmez; asıl soru "benim durumumda ne olur". Kurul kararlarında tekrar eden birkaç kalıp var:

• Tek bir eksik belge, şikâyet üzerine tespit edildiyse genellikle aydınlatma yükümlülüğü kaleminden ve alt sınıra yakın bir ceza gündeme gelir. Burada belirleyici olan, eksiğin tespitten sonra ne kadar hızlı kapatıldığıdır.
• Veri sızıntısı yaşandıysa kalem değişir: veri güvenliği yükümlülüğü. Alt sınır 256.357 TL'dir ve etkilenen kişi sayısı arttıkça hızla yukarı çıkar. Sızıntıyı Kurul'a ve ilgili kişilere 72 saat içinde bildirmemek durumu ayrıca ağırlaştırır.
• Yükümlü olduğu hâlde VERBİS'e hiç kaydolmamış bir şirket için 341.809 TL'lik alt sınır devreye girer. Bu kalem özellikle can yakıcıdır, çünkü ihlal "bir şey yapmamış olmak"tır — savunacak bir uygulama yoktur.
• Kurul bir karar verip gereği yapılmadıysa en yüksek alt sınır burada: 427.263 TL. Bu noktaya gelen dosyalar genellikle zaten bir ihlalin devamıdır.

Bu tablodan çıkan pratik sonuç şu: cezaların çoğu, olmayan bir belgeden değil, olmayan bir süreçten doğuyor. Aydınlatma metniniz olabilir ama hiç gösterilmiyorsa, envanteriniz olabilir ama gerçeği yansıtmıyorsa belge sizi korumaz.

Cezanın büyüklüğünü belirleyen faktörler

• Kaç kişi etkilendi? 20 kişilik bir liste ile 200 bin kişilik veri tabanı aynı değildir.
• Veri hassas mı? Sağlık, biyometri, din gibi özel nitelikli veriler riski büyütür.
• Tedbir alınmış mıydı? Hiç önlem almamış olmak ile önlem alıp yine de saldırıya uğramak farklı değerlendirilir.
• İhlal bildirimi yapıldı mı? Veri ihlalini Kurul'a ve ilgili kişilere bildirme yükümlülüğü vardır; bildirmemek durumu ağırlaştırır.
• İşbirliği ve düzeltme: İhlalden sonra hızla düzeltme yapmak lehe değerlendirilebilir.

VERBİS geç kayıt: en sık düşülen tuzak

Çok sayıda işletme, kayıt yükümlüsü olduğunu fark etmediği için 341.809 TL'den başlayan bir cezaya muhatap olur. Ölçütler şunlardır:

Ölçütler kümülatiftir: çalışan sayınız 50'nin altında olsa bile bilanço toplamınız 100 milyon TL'yi aşıyorsa kayıt zorunludur. Bilanço eşiğinin daha önce 25 milyon TL olduğunu ve yukarı çekildiğini not edin — eski tarihli yazılarda hâlâ 25 milyon rakamını görebilirsiniz.

Kayıt sonrası da bitmez: bilgilerinizde değişiklik olursa 30 gün içinde güncelleme yapılmalıdır. Ayrıntı: VERBİS kaydı nasıl yapılır · Kimler zorunlu.

Ceza genelde nasıl başlar?

Kurul çoğu zaman kendiliğinden denetime gelmez. Süreç genellikle şöyle başlar:

1. Bir kişi şikâyet eder — genelde eski çalışan, memnuniyetsiz müşteri ya da izinsiz reklam mesajı alan biri.
2. Veri ihlali duyulur — sızıntı basına veya forumlara düşer.
3. Kurum resen inceler — yaygın bir uygulamayı sektör genelinde inceler.

Yani en yaygın tetikleyici, rızasız gönderilen ticari elektronik ileti ve eski çalışan şikâyetleridir. Bu ikisini düzeltmek riskin büyük kısmını düşürür.

Ceza riskini düşüren 7 adım

1. Envanterinizi çıkarın — neyi işlediğinizi bilmeden savunma yapamazsınız (nasıl)
2. Aydınlatma metnini tüm kanallarda gösterin (nasıl)
3. Pazarlama iletileri için ayrı açık rıza alın ve kaydını saklayın (nasıl)
4. Erişim yetkilerini daraltın, parola politikası ve yedekleme kurun
5. Saklama sürelerini belirleyip süresi dolanı imha edin
6. VERBİS yükümlülüğünüzü kontrol edin, kaydınızı güncel tutun
7. İhlal olursa hızlı hareket edin: Kurul'a ve ilgili kişilere bildirim yükümlülüğü vardır

Sık sorulan sorular

KVKK cezası şirkete mi, kişiye mi kesilir?

İdari para cezaları kural olarak veri sorumlusu tüzel kişiye uygulanır. Ayrıca kişisel verilerin hukuka aykırı kaydedilmesi/yayılması gibi fiiller Türk Ceza Kanunu kapsamında ayrı bir sorumluluk doğurabilir.

Küçük şirketlere de ceza kesilir mi?

Evet. Ölçek, cezanın miktarında dikkate alınabilir ancak muafiyet sağlamaz.

Cezaya itiraz edilebilir mi?

İdari para cezalarına karşı kanun yollarına başvurulabilir. Süreler kısadır; tebliğ aldığınızda vakit kaybetmeden bir hukukçuya danışın.

VERBİS'e geç kaydolursam ceza ne kadar?

2026 için VERBİS kayıt ve bildirim yükümlülüğünün ihlali 341.809 TL ile 17.092.242 TL arasında cezalandırılır. Geç kayıt ile hiç kaydolmamak aynı kalem altında değerlendirilir; gecikmenin süresi ve kendiliğinden düzeltme yapılıp yapılmadığı miktarı etkileyebilir.

Aydınlatma metnim yoksa ne kadar ceza yerim?

Aydınlatma yükümlülüğünün yerine getirilmemesi 2026'da 85.437 TL'den başlar, 1.709.200 TL'ye kadar çıkar. Bu, dört kalem içinde alt sınırı en düşük olanıdır — ancak yine de belgeleri baştan hazırlamanın maliyetinin çok üzerindedir.

Ceza almamak için "uyum belgesi" almam gerekir mi?

KVKK'da devlet tarafından verilen bir "uyum sertifikası" yoktur. Uyum, belgelerinizin ve uygulamalarınızın gerçekliğiyle ölçülür.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
• Kişisel Verileri Koruma Kurumu
• 585 Sıra No'lu Vergi Usul Kanunu Genel Tebliği — Resmî Gazete, 27.11.2025, sayı 33090
• 5326 sayılı Kabahatler Kanunu m. 17 (tutarların güncellenmesi)

Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.

Riski azaltmanın en hızlı yolu: eksik belgeleri tamamlamak. KVKK Otomat envanterinizden aydınlatma metninize kadar tüm seti üretir; bir hukukçu gözden geçirmesiyle birlikte kullanmanız tavsiye edilir. Başlangıç noktası: KVKK Uyum Rehberi · Cezaya götüren durumlar: KVKK ihlali nedir. Belgeleri kendiniz üretmeye vaktiniz yoksa dosyayı sizin adınıza hazırlıyoruz.