KVKK Avukatı: Kurul Cezası, Veri İhlali, VERBİS ve Tazminat Davaları

KVKK avukatı, 6698 sayılı Kişisel Verilerin Korunması Kanunu’ndan doğan iki tür uyuşmazlıkta çalışır: şirketin (veri sorumlusunun) uyum, VERBİS, veri ihlali bildirimi, Kurum incelemesi ve idari para cezasına karşı dava süreçlerinde; verisi izinsiz işlenen, sızdırılan veya ifşa edilen kişinin ise başvuru, Kurula şikâyet, tazminat davası ve suç duyurusu süreçlerinde. 2026 yılında KVKK idari para cezalarının üst sınırı 17.092.242 TL’ye ulaşmıştır. 7499 sayılı Kanunla 01.06.2024’ten itibaren bu cezalara karşı yol artık sulh ceza hâkimliği değil, idare mahkemesidir. Bu sayfada büromuzun KVKK alanında üstlendiği işleri, uygulanan süreleri, 2026 ceza tutarlarını ve yargı yolunu, Kurul ve yüksek mahkeme kararlarıyla birlikte anlatıyoruz.

KVKK Avukatı Ne İş Yapar?

Kişisel verilerin korunması hukuku, aynı olayın iki ayrı taraftan yaşandığı bir alandır. Bir hastanede hasta kayıtlarına yetkisiz erişim olduğunda hastane veri sorumlusu olarak Kurul incelemesiyle ve idari para cezasıyla karşılaşır. Kaydı görüntülenen hasta ise başvuru, şikâyet, tazminat ve ceza yollarını kullanır. Bir KVKK avukatı bu iki tarafın hangisini temsil ettiğine göre farklı bir yol haritası kurar. Büromuz her iki tarafta da dosya yürütür. Ancak aynı uyuşmazlıkta karşı tarafı temsil etmeyiz.

Şirketler ve kurumlar için KVKK avukatı

• Mevcut veri işleme faaliyetlerinin envanterinin çıkarılması ve hukuki dayanaklarının (m.5 ve m.6) tek tek belirlenmesi
• Aydınlatma metinleri, açık rıza metinleri, saklama ve imha politikası, veri işleyen sözleşmeleri ve çalışan taahhütnamelerinin hazırlanması
• VERBİS kaydı, güncellemesi ve kayıt yükümlülüğünden istisna değerlendirmesi
• Veri ihlali anında 72 saatlik bildirim sürecinin yönetimi ve ilgili kişilere yapılacak bildirimin hazırlanması
• Yurt dışına veri aktarımında yeterlilik kararı, standart sözleşme ve bildirim yükümlülüğünün kurulması
• Kurulun bilgi ve belge taleplerine 15 gün içinde cevap, savunma yazısı ve yerinde inceleme hazırlığı
• Kurul kararlarına karşı idare mahkemesinde iptal davası ve yürütmenin durdurulması talebi
• Çalışanı veya yöneticisi hakkında KVKK suçlarından soruşturma açılan şirketlerde müdafilik

Verisi ihlal edilen kişiler için KVKK avukatı

• Veri sorumlusuna m.13 uyarınca yazılı başvuru ve 30 günlük cevap süresinin takibi
• Başvuru sonuçsuz kalırsa Kurula şikâyet ve sürecin takibi
• Kişilik hakkı ihlali nedeniyle maddi ve manevi tazminat davası
• TCK 135-138 kapsamındaki suçlar için suç duyurusu ve katılan vekilliği
• İşveren, banka, hastane, okul, site yönetimi veya sosyal medya kaynaklı ihlallerde delil tespiti

KVKK Avukatı Açısından Temel Kavramlar ve 7499 Sayılı Kanun Değişiklikleri

Kanun kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar (m.3/1-d). Tüzel kişilere ait bilgiler bu kapsamda değildir. Ancak şirket yetkilisinin adı, telefonu ve imzası kişisel veridir. Verilerin elde edilmesi, kaydedilmesi, saklanması, aktarılması, sınıflandırılması ve hatta kullanılmasının engellenmesi gibi her işlem “işleme” sayılır (m.3/1-e).

Kanunda iki ana muhatap vardır. Veri sorumlusu, işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sistemini kuran ve yöneten gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiyle onun adına veri işleyen kişidir (m.3/1-ğ ve ı). Bu ayrım cezanın muhatabını doğrudan belirler. Kurul, hastanenin veri sorumlusu olarak mesul müdürü gösterdiği bir dosyada tüzel kişilerin bizzat veri sorumlusu olduğunu ve hukuki sorumluluğun tüzel kişinin şahsında doğduğunu hatırlatmıştır (KVKK Kurulu, 20.05.2020, 2020/407).

Kişisel verilerin işlenmesinde beş genel ilkeye uyulması zorunludur (m.4/2):

• Hukuka ve dürüstlük kurallarına uygun olma
• Doğru ve gerektiğinde güncel olma
• Belirli, açık ve meşru amaçlar için işlenme
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
• İlgili mevzuatta öngörülen veya amaç için gerekli süre kadar muhafaza edilme

Açık rıza, kural olarak her işlemenin şartıdır (m.5/1). Ancak m.5/2’de sayılan yedi hâlde açık rıza aranmaz:

• Kanunlarda açıkça öngörülmesi
• Fiili imkânsızlık nedeniyle rızasını açıklayamayan kişinin hayatı veya beden bütünlüğünün korunması
• Sözleşmenin kurulması veya ifası için gerekli olması
• Veri sorumlusunun hukuki yükümlülüğü
• İlgili kişinin veriyi kendisinin alenileştirmesi
• Bir hakkın tesisi, kullanılması veya korunması
• Veri sorumlusunun meşru menfaati

Kanunun uygulanmayacağı hâller m.28/1’de sayılmıştır. Bunlardan biri, kişinin kendisi veya aynı konutta yaşayan aile fertleri için yaptığı ev içi işlemelerdir. Bu istisna, verilerin üçüncü kişilere verilmemesi ve veri güvenliği yükümlülüklerine uyulması şartına bağlıdır. Diğer istisnalar anonim istatistik, ifade özgürlüğü, istihbari faaliyetler ve yargı makamlarının işlemleridir. m.28/2’deki hâllerde ise aydınlatma, ilgili kişi hakları ve VERBİS hükümleri uygulanmaz. Ancak zararın giderilmesini isteme hakkı bu durumda da saklıdır.

KVKK Avukatının Uyum Sürecinde Hazırladığı Belgeler

KVKK uyumu bir metin paketi satın almak değildir. Veri sorumlusunun gerçek veri akışı çıkarılmadan hazırlanan şablon metinler, Kurul incelemesinde “aydınlatma yapılmış” sayılmamaktadır. Uyum süreci, işletmenin hangi veriyi hangi amaçla, hangi hukuki sebebe dayanarak, kimden toplayıp kime aktardığının tespitiyle başlar. Büro avukatlarımızın yürüttüğü uyum çalışmasında aşağıdaki belgeler hazırlanır.

Açık Rıza ve Aydınlatmada KVKK Avukatının Gördüğü Sık Hatalar

Kurul kararlarında en sık rastlanan aykırılık, aydınlatma ile açık rızanın karıştırılmasıdır. Kurul, bir e-ticaret sitesinin gizlilik bildirimine “siteyi ziyaret ederek bu uygulamaları kabul etmiş sayılırsınız” ifadesini koymasını değerlendirmiştir. Kurul’a göre bu ifade açık rıza alındığı izlenimi yaratsa da geçerli bir açık rıza değildir. Aydınlatma ile açık rıza aynı metinde birlikte alınamaz. Ayrıca başka bir işleme şartı varken açık rıza istenmesi dürüstlük kuralına aykırıdır (KVKK Kurulu, 27.02.2020, 2020/173).

İkinci yaygın hata, hizmetin açık rızaya bağlanmasıdır. Bir sağlık kuruluşunun randevu almayı, kuruluşun tanıtım faaliyetlerine açık rıza verilmesi şartına bağladığı dosyada Kurul, rızanın özgür iradeyle verilme niteliğini kaybettiğine karar vermiştir. Bu uygulama m.4’teki dürüstlük kuralına aykırı bulunmuştur (KVKK Kurulu, 02.05.2023, 2023/692). Açık rıza belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. “Her türlü veri işleme faaliyetine onay veriyorum” gibi açık uçlu beyanlar geçersizdir (KVKK Kurulu, 20.04.2021, 2021/389).

Üçüncü hata, gizlilik politikasının aydınlatma metni yerine kullanılmasıdır. Kurul, global bir sosyal medya platformunun gizlilik politikasında m.5’teki işleme şartlarının tümünün sayıldığını tespit etmiştir. Ancak hangi verinin hangi amaçla ve hangi şarta dayanılarak işlendiği gösterilmemişti. Kurul bu metni geçerli bir aydınlatma saymamış ve metnin Kanuna uygun hâle getirilmesi talimatını vermiştir (KVKK Kurulu, 01.03.2023, 2023/134).

VERBİS Kaydı: KVKK Avukatı Hangi Şirketlere Kayıt Önerir?

Kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolmak zorundadır (m.16/2). Kurul, bu zorunluluğa objektif kriterlere dayanarak istisna getirebilir. Kurulun 2018/87 sayılı kararı, 2023/1154 sayılı kararla güncellenmiştir. Buna göre bugün geçerli kural şudur: yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan, ana faaliyet konusu özel nitelikli veri işleme olmayan veri sorumluları kayıttan istisnadır (KVKK Kurulu, 06.07.2023, 2023/1154).

Bu iki ölçütün “ve” bağlacıyla birleştiğine dikkat edilmelidir. Çalışan sayısı 50’nin altında olsa da bilançosu 100 milyon TL’yi aşan şirket kayıt yaptırmak zorundadır. Bilanço küçük olsa da çalışan sayısı 50’yi aşan şirket için de aynı durum geçerlidir. Ana faaliyeti özel nitelikli veri işleme olanlar ölçütlerin altında kalsa bile kayıt yükümlüsüdür. Özel poliklinik, laboratuvar, diyetisyen ve psikolojik danışmanlık merkezi bu gruba örnektir.

Kurulun ayrı kararlarıyla istisna tanınan meslek ve kuruluşlar şunlardır:

• Otomatik olmayan yollarla veri işleyenler
• Noterler ve avukatlar
• Siyasi partiler, dernekler, vakıflar ve sendikalar
• Serbest muhasebeci mali müşavirler ve yeminli mali müşavirler
• Gümrük müşavirleri ve arabulucular

Danıştay, bu istisnanın yalnızca VERBİS kaydından muafiyet sağladığını vurgulamıştır. Kanunun diğer tüm yükümlülükleri istisna kapsamındaki veri sorumluları için de geçerlidir (Danıştay 10. D., E.2020/3289, K.2024/2505, T.11.06.2024).

VERBİS yükümlülüğüne aykırılığın yaptırımı ağırdır. Uyuşmazlık Mahkemesi, bir şirkete VERBİS’e kayıt ve bildirim yükümlülüğüne aykırılık nedeniyle verilen 850.000 TL idari para cezasında hukuka aykırılık bulunmadığını kabul etmiştir. Şirket, yükümlülüğünü yerine getirme çabası içinde olduğunu ileri sürmüştü. Mahkeme buna rağmen davanın reddine ilişkin kararı benimsemiştir (Uyuşmazlık Mahkemesi, E.2025/228, K.2026/82, T.16.02.2026).

Veri İhlali Yaşandığında KVKK Avukatı ile 72 Saatlik Müdahale

İşlenen kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edilirse, veri sorumlusu bu durumu “en kısa sürede” ilgilisine ve Kurula bildirir (m.12/5). Kurul bu süreyi 24.01.2019 tarihli ve 2019/10 sayılı kararıyla somutlaştırmıştır. Buna göre Kurula bildirim, ihlalin öğrenilmesinden itibaren 72 saat içinde yapılır. İlgili kişilere de ihlalden etkilenen kişiler belirlendikten sonra en kısa sürede bildirim yapılır.

Kurul kararlarında iki ayrı ceza kalemi sıklıkla birlikte görülür. Birincisi ihlalden önce yeterli tedbir alınmamasıdır (m.12/1). İkincisi bildirimin geç yapılmasıdır (m.12/5). Her ikisi de m.18/1-b kapsamında cezalandırılır. Bazı örnekler:

• Bir oyun şirketinin bulut veri tabanına yetkisiz erişim nedeniyle Türkiye’de 39.995 kullanıcının verisi etkilenmiştir. Kurul tedbir eksikliği için 1.000.000 TL, 72 saati aşan bildirim için 100.000 TL idari para cezası uygulamıştır (KVKK Kurulu, 16.04.2020, 2020/286).
• Bildirimi 72 saati aşan başka bir veri sorumlusuna yalnızca geç bildirim nedeniyle 200.000 TL ceza verilmiştir (KVKK Kurulu, 27.04.2021, 2021/427).
• Bir banka çalışanı, şubesiyle ilgisi olmayan 346 müşterinin bilgilerini e-postayla bir yatırım şirketindeki tanıdığına göndermiştir. Kurul, çalışanın daha önce KVKK eğitimi almış olmasına rağmen ihlali gerçekleştirmesini eğitimin etkinliği yönünden şüphe sebebi saymıştır. Veri sızıntısı önleme sisteminin e-postayı durduramamasını da tedbirlerin yetersizliğinin göstergesi kabul etmiştir (KVKK Kurulu, 29.09.2020, 2020/744).
• İhlalin 17.12.2019’da tespit edilip 20.12.2019’da bildirildiği dosyada 72 saatlik sürenin karşılandığı kabul edilmiştir. Ancak aynı IP adresinden başarısız giriş denemelerinin ihlalden sonra sınırlandırılması, tedbirin geç alındığının göstergesi sayılmış ve 165.000 TL ceza uygulanmıştır (KVKK Kurulu, 17.09.2020, 2020/715).

Uygulamadaki ders şudur: Süreyi kaçırmamak ihlalin cezasını ortadan kaldırmaz, sadece ikinci bir ceza kalemini önler. Bir KVKK avukatı ihlal anında üç işi aynı anda yürütür. Bunlar ihlalin kapsamının tespiti, bildirim formunun eksiksiz ve tutarlı doldurulması ve ihlalden önce alınmış tedbirlerin belgelendirilmesidir. Bildirimde verilen bilgiler, sonradan yapılacak savunmanın sınırını çizer.

Kişisel Verilerin Yurt Dışına Aktarılmasında KVKK Avukatının Rolü

7499 sayılı Kanunla yeniden yazılan m.9, yurt dışına aktarımı üç basamaklı bir sisteme bağlamıştır. Eski sistemde uygulamada çoğunlukla açık rızaya dayanılıyordu. Geçici m.3/1 bu eski hükmün 01.09.2024’e kadar yeni hükümle birlikte uygulanmasına izin vermişti. Bu süre dolduğu için bugün yalnızca yeni sistem geçerlidir.

1. Yeterlilik kararı: Kurul, bir ülke, ülke içindeki bir sektör veya uluslararası kuruluş hakkında yeterlilik kararı verebilir. Bu karar Resmî Gazete’de yayımlanır. Karar varsa ve m.5 veya m.6’daki bir işleme şartı bulunuyorsa aktarım yapılabilir (m.9/1-2).
2. Uygun güvenceler: Yeterlilik kararı yoksa, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yoluna başvurma imkânı bulunmalıdır. Bu şartla şu güvencelerden biri sağlanırsa aktarım yapılabilir (m.9/4):
   • Kamu kurumları arasında yapılan ve Kurulca izin verilen anlaşma
   • Kurulca onaylanan bağlayıcı şirket kuralları
   • Kurulun ilan ettiği standart sözleşme
   • Kurul izniyle yazılı taahhütname
3. Arızi aktarım: Yeterlilik kararı ve uygun güvence yoksa, yalnızca arızi olmak kaydıyla m.9/6’daki hâllerde aktarım yapılabilir. Açık rıza, sözleşmenin ifası ve hakkın tesisi bu hâllerdendir.

En çok gözden kaçan yükümlülük, standart sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kuruma bildirilmesidir (m.9/5). Bu bildirimin yapılmaması m.18/1-d uyarınca ayrı bir idari para cezası sebebidir. Bu cezanın muhatabı yalnızca veri sorumlusu değil, aktarımı yapan veri işleyen de olabilir (m.18/2). Yurt dışında sunucu kullanan e-posta, bulut, CRM ve muhasebe yazılımları bu kapsamdadır.

Kurum İncelemesi ve Savunma Sürecinde KVKK Avukatı

Kurul, şikâyet üzerine ya da ihlal iddiasını başka yoldan öğrenirse re’sen inceleme başlatır (m.15/1). Re’sen incelemeyi başlatan kaynak bir ihbar, basında çıkan bir haber veya veri sorumlusunun kendi ihlal bildirimi olabilir. Süreç şu adımlarla ilerler:

1. Bilgi ve belge talebi: Veri sorumlusu, Kurulun istediği bilgi ve belgeleri 15 gün içinde göndermek ve gerektiğinde yerinde incelemeye imkân sağlamak zorundadır (m.15/3). Bu cevap fiilen savunmadır. Envanter, aydınlatma metni, yetki matrisi, log kayıtları ve eğitim belgeleri bu aşamada sunulur.
2. Geçici önlem: Telafisi güç veya imkânsız zarar doğacaksa ve açık bir hukuka aykırılık varsa, Kurul veri işlenmesinin veya yurt dışına aktarımın durdurulmasına karar verebilir (m.15/7).
3. Karar: İhlal tespit edilirse Kurul, hukuka aykırılıkların giderilmesine karar verir. Bu karar tebliğden itibaren en geç 30 gün içinde yerine getirilir (m.15/5). Kurul ayrıca idari para cezası uygulayabilir.
4. İlke kararı: İhlal yaygınsa Kurul ilke kararı alır ve yayımlar (m.15/6).

Kurulun “talimatlandırma” kararlarını yerine getirmemek ayrı bir kabahattir (m.18/1-c). 2026 yılında bu kabahatin alt sınırı 427.263 TL’dir. Bu nedenle talimat içeren kararlarda 30 günlük süre içinde uygulamanın yapılması ve sonucun Kurula belgelenmesi, iptal davası açılıp açılmayacağından bağımsız olarak ele alınmalıdır.

KVKK İdari Para Cezaları 2026: KVKK Avukatı Gözüyle Tablo

Kanunun 18. maddesindeki tutarlar 2016 yılı tutarlarıdır. Kabahatler Kanunu m.17/7 uyarınca idari para cezaları her yıl yeniden değerleme oranında artırılarak uygulanır. 2026 yılı için yeniden değerleme oranı yüzde 25,49 olarak ilan edilmiştir (RG 27.11.2025, 33090). Bu orana göre 2026’da uygulanan sınırlar şunlardır:

Cezanın miktarı belirlenirken kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumu birlikte gözetilir (KK m.17/2). Kurul kararlarında ihlalden etkilenen kişi sayısı, ihlalin süresi, verinin niteliği ve bildirimin yapılıp yapılmadığı bu ölçütlerin somut karşılığı olarak tartılmaktadır. Savunmada asıl kazanım çoğu zaman cezanın tamamen kaldırılması değil, alt sınıra yaklaştırılmasıdır. Bunun için önceden alınmış tedbirlerin belgelenmesi gerekir.

Kanunlarında ayrı ödeme süresi bulunmayan idari para cezaları tebliğden itibaren bir ay içinde ödenir. Bu süre içinde ödenirse yüzde 25 indirim uygulanır. Ödeme yapılması dava açma hakkını ortadan kaldırmaz (KK m.17/6). Uygulamada indirimli ödeme yapıp aynı zamanda iptal davası açmak çoğu dosyada en rasyonel yoldur. Aykırılık kamu kurumları veya kamu kurumu niteliğindeki meslek kuruluşları bünyesinde gerçekleşirse para cezası verilmez. Bu durumda Kurulun bildirimi üzerine ilgili görevliler hakkında disiplin soruşturması yürütülür (m.18/4). İdari para cezasının genel rejimi için idari para cezasına itiraz ve iptal yolları yazımıza bakabilirsiniz.

KVKK Cezasına Karşı Dava: KVKK Avukatı İçin Görevli Mahkeme ve Süre

İnternette hâlâ yaygın olan “Kurul cezasına karşı sulh ceza hâkimliğine başvurulur” bilgisi 01.06.2024 öncesine aittir. 7499 sayılı Kanunla m.18’e eklenen üçüncü fıkra, Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabileceğini hükme bağlamıştır.

Danıştay 10. Dairesi, VERBİS yükümlülüğüne aykırılık nedeniyle verilen 1.000.000 TL’lik cezaya karşı açılan davayı incelemiştir. Bu davayı idare mahkemesi görev yönünden reddetmiş, bölge idare mahkemesi de istinaf başvurusunu reddetmişti. Danıştay bu kararı bozmuştur. Gerekçe şudur: Görev kuralları kamu düzenine ilişkindir. Davanın açıldığı tarihte görevsiz olan mahkeme, yeni kanunla görevli hâle gelmişse görevsizlik kararı veremez ve davaya bakmaya devam eder (Danıştay 10. D., E.2024/1104, K.2024/2968, T.16.09.2024).

Geçiş döneminin öbür yüzünü Uyuşmazlık Mahkemesi kararları göstermektedir. Bir şirket, 12.03.2024 tarihinde sulh ceza hâkimliğine başvurmuştu. Başvuru önce esastan reddedildi. İtiraz üzerine ikinci hâkimlik görevsizlik kararı verdi ve şirket idare mahkemesinde dava açtı. Uyuşmazlık Mahkemesi, başvuru 01.06.2024’ten önce sulh cezaya yapıldığı için geçici m.3/2 uyarınca uyuşmazlığın adli yargıda çözümlenmesi gerektiğine karar vermiştir (Uyuşmazlık Mahkemesi, E.2025/149, K.2025/344, T.05.05.2025; aynı yönde E.2024/573, K.2025/148, T.05.05.2025). Yargıtay 7. Ceza Dairesi de itirazın değerlendirildiği tarih itibarıyla idare mahkemelerinin görevli olduğunu gözetmeyen sulh ceza kararını bozmuştur (Yargıtay 7. CD, E.2025/6580, K.2026/4354, T.13.04.2026).

Dava açılması, idari işlemin yürütülmesini kendiliğinden durdurmaz. Silme, işlemeyi durdurma veya sistem değişikliği gibi talimat içeren kararlarda yürütmenin durdurulması talebi ayrıca ve gerekçeli olarak ileri sürülmelidir (İYUK m.27/2). Dava açma süresinin hesabı ve kaçırıldığında doğan sonuçlar idari yargıda dava açma süresi yazımızda anlatılmıştır.

Aynı Kurul kararı hem adli hem idari yargıya taşınırsa hüküm uyuşmazlığı doğabilir. Böyle bir dosyada bir spor salonu, girişte “el geometrisi” okuyan cihaz kullanmaktaydı. Kurul bu nedenle salona veri güvenliği yükümlülüğüne aykırılıktan 100.000 TL ceza vermiş, uygulamanın durdurulmasını ve verilerin silinmesini talimatlandırmıştı (KVKK Kurulu, 07.07.2022, 2022/662). İdare mahkemesi cezayı hukuka uygun bulmuş, sulh ceza hâkimliği ise cezayı 27.037 TL’ye indirmişti. Uyuşmazlık Mahkemesi idare mahkemesinin kararını benimsemiştir. Mahkemeye göre açık rıza olmaksızın veri işlenerek m.12/1’e aykırı davranıldığı için 100.000 TL’lik ceza hukuka uygundur (Uyuşmazlık Mahkemesi, E.2024/361, K.2025/579, T.22.09.2025). Kararın önemi şudur: El geometrisi özel nitelikli değil, genel nitelikli kişisel veri sayılmıştı. Buna rağmen geçerli bir işleme şartı olmadan işlenmesi ceza sebebi olmuştur.

Verileri İhlal Edilen Kişi İçin KVKK Avukatı: Başvuru, Şikâyet, Tazminat ve Suç Duyurusu

Kişisel verilerin korunmasını isteme hakkı Anayasa’nın 20. maddesinde, özel hayatın gizliliği hakkının bir parçası olarak güvence altındadır. Verisi izinsiz işlenen, sızdırılan veya internette yayılan kişinin önünde birbirini dışlamayan dört yol vardır. Bu yollar aynı anda da kullanılabilir.

1. Veri sorumlusuna başvuru (m.11 ve m.13)

İlgili kişi veri sorumlusundan şunları isteyebilir (m.11):

• Verisinin işlenip işlenmediğini, işleme amacını ve aktarıldığı üçüncü kişileri öğrenmek
• Eksik veya yanlış işlenen verilerin düzeltilmesini istemek
• Verilerin silinmesini veya yok edilmesini istemek
• Münhasıran otomatik sistemlerle analiz sonucu aleyhine çıkan sonuca itiraz etmek
• Kanuna aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etmek

Başvuru yazılı olarak veya Kurulun belirlediği yöntemlerle yapılır. Veri sorumlusu en geç 30 gün içinde ücretsiz olarak cevap verir (m.13/2). Bu başvuru, Kurula şikâyetin ön şartıdır.

2. Kurula şikâyet (m.14)

Başvuru reddedilirse, cevap yetersiz bulunursa veya süresinde cevap verilmezse, ilgili kişi cevabı öğrendiği tarihten itibaren 30 gün içinde Kurula şikâyette bulunabilir. Her hâlde bu süre başvuru tarihinden itibaren 60 gündür (m.14/1). Kurul bu süreleri şöyle yorumlamaktadır (KVKK Kurulu, 24.01.2019, 2019/9):

• Veri sorumlusu 30 gün içinde cevap verdiyse şikâyet süresi cevaptan itibaren 30 gündür.
• Hiç cevap verilmediyse şikâyet süresi başvurudan itibaren 60 gündür.
• Cevap 30 günden sonra geldiyse ilgili kişi geç cevabı beklemek zorunda değildir. Şikâyet süresi yine başvurudan itibaren işler.

Başvuruda dile getirilmeyen bir iddia şikâyete eklenirse, Kurul bu iddiayı usulden incelemeye almaz (KVKK Kurulu, 15.08.2024, 2024/1393). Bu nedenle başvuru dilekçesi, sonradan Kurula taşınacak tüm talepleri kapsayacak şekilde baştan doğru kurulmalıdır. Kurul şikâyete 60 gün içinde cevap vermezse talep reddedilmiş sayılır (m.15/4). Bu ret işlemine karşı idare mahkemesinde dava açılabilir.

3. Maddi ve manevi tazminat davası

Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır (m.14/3). Tazminat davası için Kurula şikâyet ön şart değildir. Yargıtay, Anayasa Mahkemesinin ihlal kararı üzerine yapılan yeniden yargılamada verilen kararı onamıştır. Olayda davalı, bir milletvekilinin ev adresini, eşinin şirket bilgilerini, yakınlarının kimlik numaralarını ve abonelik kayıtlarını sosyal medyada paylaşmıştı. Yargıtay, kişisel verilerin korunmasını isteme hakkının ihlali nedeniyle manevi tazminata hükmedilmesini usul ve kanuna uygun bulmuştur (Yargıtay 4. HD, E.2022/9403, K.2025/1822, T.06.02.2025). Bu dosyada Anayasa Mahkemesi daha önce, ilk yargılamada kişisel verilerin korunmasına ilişkin anayasal güvencelerin gözetilmediğini tespit ederek ihlal kararı vermişti (AYM, B.No: 2018/24439, T.15.06.2021).

Aynı daire başka bir dosyada şu olayı değerlendirmiştir: Bir çalışan, hekimin muayenehanesindeki hasta kayıtlarının ve iletişim bilgilerinin kopyasını alıp daha sonra çalışmaya başladığı eczaneyle paylaşmıştı. Daire, bu eylemin haksız fiil niteliğinde olduğuna ve hekim lehine manevi tazminata hükmedilmesi gerektiğine karar vermiştir. Ceza yargılamasında eylemin farklı nitelendirilmesi bu sonucu değiştirmemiştir (Yargıtay 4. HD, E.2024/2192, K.2024/4092, T.02.05.2024). Tazminat davaları için tazminat davalarındaki çalışma alanımız sayfasına da göz atabilirsiniz.

4. Suç duyurusu

Verinin hukuka aykırı kaydedilmesi, başkasına verilmesi, yayılması veya ele geçirilmesi TCK 135 ve 136’da suçtur. Bu suçların soruşturması şikâyete bağlı değildir (TCK m.139). Savcılık suçu öğrendiği anda re’sen soruşturma başlatır. Şikâyetten vazgeçilmesi kovuşturmayı düşürmez. Mağdurun kamu davasına katılma hakkı ise saklıdır.

KVKK Suçları (TCK 135-140) ve KVKK Avukatının Müdafi ve Vekil Olarak Rolü

KVKK m.17, kişisel verilere ilişkin suçlarda TCK’nın 135 ila 140. maddelerine atıf yapar. Kanunun 7. maddesine aykırı olarak verileri silmeyen veya anonim hâle getirmeyenler TCK 138’e göre cezalandırılır (m.17/2).

Yargıtay 12. Ceza Dairesinin yerleşik içtihadı şöyledir: Bir kişinin fotoğrafları ve kişisel bilgileri kullanılarak adına sahte sosyal medya hesabı açılması ve fotoğraflarının bu hesapta yayımlanması TCK 136/1’deki suçu oluşturur (Yargıtay 12. CD, E.2019/13497, K.2022/3873, T.18.05.2022; E.2019/13250, K.2020/3989, T.29.06.2020). Bir kişinin yerleşim bilgilerinin sosyal medya hesabından rızası dışında yayımlanması da aynı suçu oluşturur (Yargıtay 12. CD, E.2020/2174, K.2025/830, T.22.01.2025).

Telefon numarası ve fotoğrafın aşağılayıcı bir ifadeyle paylaşıldığı olayda tek fiille hem TCK 136 hem hakaret suçu oluşmuştur. Bu durumda daha ağır cezayı gerektiren TCK 136’dan hüküm kurulması gerekir (Yargıtay 12. CD, E.2021/6282, K.2024/2676, T.27.05.2024; bkz. fikri içtima).

Bir devlet hastanesi doktoru, hastane otomasyon sisteminden bir kişinin telefon numarasını ele geçirmişti. Yargıtay bu eylemin TCK 136’yı oluşturduğunu kabul etmiştir. Ancak eylem görevin verdiği yetkinin kötüye kullanılması kapsamında görülmediği için TCK 137/1-a artırımının yapılamayacağına hükmetmiştir. Daire ayrıca, görevin gereklerine aykırı hareket iddiası bulunduğundan 4483 sayılı Kanun uyarınca soruşturma izni alınması gerektiğini vurgulamıştır (Yargıtay 12. CD, E.2018/1187, K.2018/6760, T.13.06.2018).

İdari para cezası ile ceza davasının ilişkisinde Kabahatler Kanunu m.15/3 belirleyicidir. Bir fiil hem kabahat hem suç olarak tanımlanmışsa yalnızca suçtan dolayı yaptırım uygulanabilir. Ancak KVKK dosyalarında iki yaptırımın muhatabı çoğunlukla farklıdır. İdari para cezası, tedbirsizliği nedeniyle veri sorumlusu şirkete verilir. Ceza davası ise veriyi sızdıran çalışan veya üçüncü kişi hakkında açılır. Bu nedenle aynı olayda hem Kurul cezası hem ceza yargılaması birlikte yürüyebilir. Savunma her iki dosyada çelişkisiz kurulmalıdır. Haberleşme içeriklerine yönelik eylemler ise ayrıca haberleşmenin gizliliğini ihlal suçu kapsamında değerlendirilir.

Sektörlere Göre KVKK Riskleri ve KVKK Avukatının Odaklandığı Noktalar

İşyerleri ve insan kaynakları

İşyerinde kamera kullanımı, iş sağlığı ve güvenliği, üretim süreçlerinin kontrolü, işyerinin korunması ve suç şüphesinin aydınlatılması gibi amaçlarla mümkündür. Kurul, görüntüler biyometrik işlemeye tabi tutulmuyorsa kamera kayıtlarının genel nitelikli kişisel veri olduğunu kabul etmiştir. Bu durumda değerlendirme m.5 çerçevesinde yapılır. Ancak kameraların konumu, görüş açısı, kayıt süresi ve saklama koşulları tek tek incelenir. Kurulun önüne gelen şikâyetlerden biri, tuvaleti gören bir kameraya ilişkindi (KVKK Kurulu, 04.08.2022, 2022/797).

Kurul, işverenin çalışanın kurumsal e-postasını incelemesini de değerlendirmiştir. Kurul’a göre bu müdahale ulaşılmak istenen amaçla ilgili ve bu amaca elverişli olmalıdır. Elde edilen veriler de yalnızca o amaç doğrultusunda kullanılmalıdır (KVKK Kurulu, 25.11.2021, 2021/1187).

Yargıtay da işçilerin mesai dışında kurdukları WhatsApp grubundaki yazışmaların kişisel veri olarak korunduğunu kabul etmiştir. Bir işçinin bu yazışmaları işverene iletmesi üzerine yapılan feshi geçersiz saymıştır (Yargıtay 9. HD, E.2016/14206, K.2017/9527, T.01.06.2017). İşverenler için uyum çalışmamız iş hukuku alanındaki hizmetlerimizle birlikte yürütülür. Yazışmaların delil değeri için WhatsApp mesajlarının delil niteliği yazımıza bakabilirsiniz.

Parmak izi ve yüz tanıma sistemleri

Parmak izi ve avuç izi kişiye özgü olduğu için biyometrik ve özel nitelikli kişisel veridir. Kurul, mesai kontrolü amacıyla parmak izi işlenmesini m.4’teki ölçülülük ilkesine aykırı bulmuştur. Aynı amaca daha az müdahaleci bir yöntemle, örneğin kartlı geçişle, ulaşılabilmektedir. Kurul ayrıca verilerin imha edilmesini talimatlandırmıştır (KVKK Kurulu, 01.12.2020, 2020/915). Spor salonlarında üye girişinin el-avuç okutmayla yapılması da Kurul kararlarına konu olmuştur (KVKK Kurulu, 25.03.2019 ve 31.05.2019, 2019/81 ve 2019/165). Özel nitelikli veri işlemede Kurulca belirlenen yeterli önlemlerin alınması ayrıca şarttır (m.6/4).

Hastaneler, muayenehaneler ve sağlık çalışanları

Sağlık verisi, sır saklama yükümlülüğü altındaki kişilerce tıbbi teşhis, tedavi ve sağlık hizmetlerinin yürütülmesi amacıyla açık rıza olmadan işlenebilir (m.6/3-e). Ancak erişim, verilecek hizmetin gereğiyle sınırlıdır. Kurul şu iki dosyada veri güvenliği yükümlülüğüne aykırılık tespit etmiştir:

• Hekimin e-Nabız şifresini yanındaki sekreterle paylaşması ve sekreterin hasta verisine erişmesi (KVKK Kurulu, 21.09.2021, 2021/962; 02.05.2023, 2023/695)
• Tahlil sonucunun hastayı yönlendirmemiş başka bir doktorun asistanına gönderilmesi (KVKK Kurulu, 20.05.2020, 2020/407)

Bir eğitim ve araştırma hastanesine ilişkin dosyada ise Kurul şu talimatları vermiştir: Erişim loglarının görüntüleme işlemleri dahil tutulması, yetki matrisinin yalnızca tedaviyle ilgili personele erişim verecek şekilde düzenlenmesi ve personelin eğitime alınması (KVKK Kurulu, 06.08.2021, 2021/761).

Bankalar, e-ticaret ve dijital platformlar

Finans kuruluşlarında risk çoğunlukla içeriden gelir. Çalışanın müşteri verisini dışarıya göndermesi, kurumun tedbir eksikliği olarak cezalandırılır (2020/744). E-ticaret ve dijital platformlarda ise asıl risk aydınlatma ve açık rıza metinlerinin kurgusundadır (2020/173, 2023/134).

Kamu kurumları

Kamu kurumlarına para cezası verilmez. Bunun yerine m.18/4 uyarınca görevliler hakkında disiplin işlemi yapılır. Kurul, bir kamu kurumunda mesai takibinde parmak izi kullanılmasını hukuka aykırı bulmuştur. Bu dosyada kurum bünyesindeki görevliler hakkında disiplin hükümlerinin işletilmesine karar vermiştir (2020/915).

KVKK Sertifikası ve Veri Koruma Görevlisi: Danıştay’ın İptal Kararı

Piyasada “KVKK uzmanı sertifikası” adıyla sunulan programların hukuki zemini tartışmalıdır. Danıştay 10. Dairesi, Kurulun çıkardığı Personel Sertifikasyon Mekanizmasına İlişkin Usul ve Esaslar Hakkında Tebliğ’i ve Kurul kararıyla yürürlüğe konulan Veri Koruma Görevlisi Belgelendirme Programı’nı hukuki dayanaktan yoksun bulmuştur. Daire, bu düzenlemelerin hukuki belirsizlik yarattığı gerekçesiyle iptaline karar vermiştir (Danıştay 10. D., E.2021/7587, K.2025/2025, T.15.04.2025). Bir şirketin KVKK uyumu, bir çalışanın sertifikasıyla değil, gerçek veri akışına uygun belgeler, tedbirler ve denetimlerle sağlanır. Kanun da veri sorumlusuna kendi kurumunda gerekli denetimleri yapma veya yaptırma yükümlülüğü yükler (m.12/3).

KVKK Avukatının Takip Ettiği Süreler Tablosu

KVKK Avukatı Ücreti 2026

KVKK avukatı ücreti, işin türüne göre Avukatlık Asgari Ücret Tarifesi’nin (AAÜT 2025-2026, RG 04.11.2025) altında belirlenemez. Danışma ücretlidir. Büroda sözlü danışmanın ilk saati için tarifedeki asgari tutar 4.000 TL, takip eden her saat için 1.800 TL’dir. Yazılı danışmanın ilk saati 7.000 TL’dir. Tarifedeki diğer ilgili asgari tutarlar şunlardır:

• İdare mahkemesinde duruşmasız takip edilen dava: 30.000 TL
• Asliye mahkemelerinde takip edilen dava (TCK 135-136 davaları dahil): 45.000 TL
• Kurumlara sürekli hukuk hizmeti veren sözleşmeli avukat için aylık asgari ücret: 33.000 TL

Uyum projelerinde ücret, işletmenin süreç sayısına, çalışan ve müşteri kitlesine, yurt dışı aktarım bulunup bulunmadığına ve özel nitelikli veri işlenip işlenmediğine göre belirlenir. Bir veri ihlali veya Kurul incelemesi sırasında başlayan dosyalarda süre baskısı ücretin değil, iş planının belirleyicisidir. Bu dosyalarda ilk görüşmede belge listesi çıkarılır ve 15 günlük veya 72 saatlik süreye göre çalışma takvimi kurulur.

KVKK Avukatı Hakkında Sıkça Sorulan Sorular

KVKK avukatına hangi durumlarda başvurmak gerekir?

Şirketler için en kritik anlar şunlardır: Kurulun bilgi ve belge talebi aldığınızda (15 gün süre), veri ihlali yaşandığında (72 saat süre), idari para cezası tebliğ edildiğinde (60 gün dava süresi) ve yurt dışına veri aktaran bir hizmet kullanmaya başladığınızda. Kişiler içinse verilerinin izinsiz paylaşıldığını, sızdırıldığını veya sosyal medyada yayıldığını öğrendikleri an doğru zamandır.

KVKK cezasına itiraz sulh ceza hâkimliğine mi yapılır?

Hayır. 01.06.2024’ten itibaren Kurulca verilen idari para cezalarına karşı idare mahkemesinde dava açılır (m.18/3). Dava, tebliğden itibaren 60 gün içinde Ankara idare mahkemelerinde açılır. Sulh ceza hâkimliği yolu yalnızca 01.06.2024 tarihinde zaten sulh cezada görülmekte olan başvurular için geçerliydi (geçici m.3/2).

2026 yılında KVKK cezası ne kadar?

2026 yılında aydınlatma yükümlülüğüne aykırılığın cezası 85.437 TL ile 1.709.200 TL arasındadır. Veri güvenliği yükümlülüğüne aykırılığın cezası 256.357 TL ile 17.092.242 TL arasındadır. Kurul kararını yerine getirmemenin cezası 427.263 TL ile 17.092.242 TL arasındadır. VERBİS yükümlülüğüne aykırılığın cezası 341.809 TL ile 17.092.242 TL arasındadır. Standart sözleşmenin bildirilmemesinin cezası ise 90.308 TL ile 1.806.377 TL arasındadır.

KVKK cezasını ödersem dava açma hakkımı kaybeder miyim?

Hayır. Ceza tebliğden itibaren bir ay içinde ödenirse yüzde 25 indirim uygulanır ve ödeme yapılması dava açma hakkını etkilemez (KK m.17/6). Dava kazanılırsa ödenen tutar iade edilir.

Hangi şirketler VERBİS’e kayıt olmak zorunda?

Yıllık çalışan sayısı 50 veya üzerinde olan ya da yıllık mali bilançosu 100 milyon TL veya üzerinde olan veri sorumluları VERBİS’e kayıt olmak zorundadır. Ana faaliyeti özel nitelikli kişisel veri işlemek olanlar ise çalışan sayısı ve bilançodan bağımsız olarak kayıt yükümlüsüdür. Avukatlar, noterler, mali müşavirler, dernekler ve vakıflar gibi Kurul kararıyla istisna tanınanlar kayıttan muaftır, ancak Kanunun diğer yükümlülükleri onlar için de geçerlidir.

Veri ihlalini 72 saatten sonra bildirirsem ne olur?

Geç bildirim, ihlalin kendisinden bağımsız bir aykırılık olarak m.18/1-b kapsamında cezalandırılır. Kurul bir dosyada yalnızca geç bildirim için 200.000 TL ceza uygulamıştır (2021/427). Süre ihlalin öğrenildiği andan başlar. İhlalin tüm boyutu henüz bilinmiyorsa bildirim yapılıp eksik bilgiler sonradan tamamlanmalıdır.

Açık rıza her veri işleme için şart mı?

Hayır. Sözleşmenin ifası, kanuni yükümlülük, hakkın tesisi veya meşru menfaat gibi m.5/2’deki bir şart varsa açık rıza alınmaz. Kurul, başka bir işleme şartı varken açık rıza alınmasını ilgili kişiyi yanıltan ve dürüstlük kuralına aykırı bir uygulama saymaktadır.

Kişisel verilerim izinsiz paylaşıldı, ilk ne yapmalıyım?

Önce paylaşımın ekran görüntüsünü, bağlantısını ve tarihini tespit edin. Ardından veri sorumlusuna yazılı başvuru yapın. Paylaşım bir kişi tarafından sosyal medyada yapıldıysa TCK 136 kapsamında suç duyurusunda bulunun. Bu suç şikâyete bağlı olmadığından savcılık re’sen soruşturur. Uğradığınız zarar için Kurula şikâyetten bağımsız olarak tazminat davası açabilirsiniz.

Kişisel verilerin ifşası nedeniyle manevi tazminat alınabilir mi?

Evet. Yargıtay, kimlik, adres ve aile bilgilerinin sosyal medyada paylaşılması nedeniyle kişisel verilerin korunmasını isteme hakkının ihlal edildiğini kabul etmiş ve manevi tazminat kararını onamıştır (4. HD, E.2022/9403). Tazminat davası asliye hukuk mahkemesinde açılır. Kurula şikâyet bu dava için ön şart değildir.

İşveren çalışanın e-postasını veya kamerasını izleyebilir mi?

İşveren meşru bir amaçla ve ölçülü olarak bunu yapabilir. Kurum e-postasının incelenmesi amaçla ilgili ve bu amaca elverişli olmalıdır. Kameralar ise mahremiyet alanlarını görmemelidir. Çalışanların bu konuda önceden aydınlatılması zorunludur. İşçilerin kendi aralarındaki özel WhatsApp yazışmaları, işveren tarafından fesih gerekçesi yapılamayacak şekilde korunmaktadır.

Parmak iziyle personel giriş-çıkış sistemi kullanılabilir mi?

Kurul, mesai takibi gibi kartlı geçişle de sağlanabilecek amaçlar için parmak izi kullanılmasını ölçüsüz bulmaktadır. Parmak izi özel nitelikli veri olduğundan m.6/3’teki bir işleme şartı ve Kurulun belirlediği yeterli önlemler birlikte bulunmalıdır. Uygulamada alternatif bir giriş yöntemi sunulmayan sistemler risklidir.

Yurt dışında sunucusu olan bir program kullanmak KVKK’ya aykırı mı?

Aykırı değildir, ancak bu bir yurt dışı aktarımdır ve m.9’daki rejime tabidir. Yeterlilik kararı yoksa standart sözleşme gibi uygun bir güvence sağlanmalıdır. Standart sözleşme imzadan itibaren 5 iş günü içinde Kuruma bildirilmelidir. Bildirim yapılmazsa 2026’da 90.308 TL’den başlayan idari para cezası uygulanır.

KVKK davaları ne kadar sürer?

Kurul şikâyeti 60 gün içinde cevaplanmazsa reddedilmiş sayılır. İdare mahkemesindeki iptal davaları dosyanın yoğunluğuna göre genellikle bir yılı aşabilir ve kararlar istinafa tabidir (bkz. idare mahkemesi kararlarına istinaf). Bu nedenle talimat içeren kararlarda yürütmenin durdurulması talebi zamanında ve gerekçeli ileri sürülmelidir.

KVKK avukatı İstanbul dışındaki dosyalara bakar mı?

Evet. Kurul kararlarına karşı davalar zaten Ankara idare mahkemelerinde görülmektedir. Büromuz Bakırköy’deki ofisinden Türkiye genelindeki veri sorumlusu ve ilgili kişi dosyalarını yürütmektedir.

Sonuç: KVKK Avukatı ile Doğru Zamanda Doğru Yol

KVKK uyuşmazlıklarında sonucu çoğunlukla sürelerin ilk günü belirler. Kurulun bilgi talebine verilen ilk cevap, ihlal bildiriminde yazılan ilk cümle ve ilgili kişinin veri sorumlusuna yaptığı ilk başvuru, sonraki bütün aşamaların sınırını çizer. 2026’da 17 milyon TL’yi aşan ceza üst sınırları ve 01.06.2024’te değişen yargı yolu karşısında, eski bilgiyle yapılan bir başvuru hak kaybına yol açabilir. Kurul kararlarına karşı iptal davaları büromuzun idare hukuku avukatı olarak yürüttüğü davalar arasında yer alır. TCK 135-138 kapsamındaki soruşturma ve kovuşturmalarda ise ceza davalarında müdafilik ve katılan vekilliği hizmeti veririz. Sarıoğlu & Sefer Hukuk olarak hem veri sorumlusu şirketlerin hem de verisi ihlal edilen kişilerin dosyalarını, Kurul ve yargı içtihadını takip eden bir ekiple yürütüyoruz. Görüşme talebi için iletişim sayfamızı kullanabilirsiniz.

Bu sayfa Av. Fatih Sefer tarafından hazırlanmıştır. Sayfadaki bilgiler 17.10.2026 tarihi itibarıyla 6698 sayılı Kanunun 7499 sayılı Kanunla değişik metni, 2026 yılı yeniden değerleme oranı ve 2025-2026 Avukatlık Asgari Ücret Tarifesi esas alınarak güncellenmiştir.

Sarıoğlu & Sefer Hukuk
Osmaniye Mah., İsmail Erez Bulvarı No: 9/2, 34146 Bakırköy/İstanbul
Telefon: 0507 551 87 38
E-posta: av.mehmetsarioglu1@gmail.com