KVKK İhlallerinde Veri Sorumlusunun Riskleri ve İdari Para Cezası Ölçütleri

KİŞİSEL VERİLERİN KORUNMASI KANUNU (KVKK), günlük hayatın her alanında önümüze çıkan bir mevzuat haline geldi. Ancak uygulamada, veri sorumlularının çoğu zaman bu yükümlülüklerin ciddiyetini idari para cezası kesilince fark ettikleri görülüyor. Bu yazıda, veri sorumlusunun KVKK kapsamındaki sorumluluklarına aykırı davranması halinde hangi risklerle karşı karşıya kalacağını ve Kurul tarafından uygulanan cezalarda dikkate alınan ölçütleri ele alacağız.

1. KVKK m.18 çerçevesinde Para Cezasını Gerektiren Fiiller

• Aydınlatma yükümlülüğüne aykırı davranılması,

• Veri güvenliği için teknik ve idari tedbirlerin alınmaması,

• Kurul kararlarına uyulmaması,

• Yurt dışına aktarımda şartların sağlanmaması,

• Veri Sorumluları Siciline (VERBİS) kayıt ve bildirim yükümlülüğüne aykırılık gibi durumlarda idari para cezası uygulanacağını hükme bağlamıştır.

Kanun, bu cezaların alt ve üst sınırlarını belirlemekle birlikte, hangi ölçütlere göre belirleneceğine dair ayrıntılı bir düzenleme yapmamıştır. Bu noktada devreye Kurul kararları giriyor.

2. Kurul Kararlarında Uygulanan Temel Kriterler

Kişisel Verileri Koruma Kurulu, verdiği kararlarda para cezasını belirlerken bazı kriterleri dikkate aldığını belirtmiştir. Bunlar arasında:

• Fiilin İhlal Yoğunluğu: Kapsamı, süresi, etki alanı ve kastedilen zarara göre değerlendirme yapılır. Örneğin bir üniversitenin yüz binlerce öğrenci verisini korumaması ile bir eczanenin unutkanlığı aynı düzeyde değerlendirilmez.

• Tekerrür ve Çağrıya Uyulmama: Daha önce uyarı alınması, Kurul tarafından verilen kararların yerine getirilmemesi cezanın artmasına yol açar.

• Kamuoyunda Yarattığı Etki: Hassas verilerin sızması halinde kamu güvenliği veya kişilik haklarına olan etkiler de cezada belirleyicidir.

• Veri Sorumlusunun İşbirliği ve Önlem Alma Durumu: Olaydan sonra veri sorumlusunun alındığı aksiyonlar, zarara müdahale becerisi, kurula bilgi verme konusundaki şeffaflığı da cezayı azaltabilir.

  
  

3. 2024-2025 Dönemine Ait Kurul Uygulamalarından Örnekler

• 2024 yılında bir lojistik firmasına, güvenlik kamerası görüntülerini aydınlatma metni olmaksızın kaydettiği ve çalışanlara bildirim yapmadığı gerekçesiyle 300.000 TL ceza kesildi.

• Bir okul, öğrenci listelerini veli gruplarında paylaştığı için 175.000 TL ceza aldı.

• Bir e-ticaret sitesi, üye verilerinin barındığı sunucunun hacklenmesi üzerine Kurul'a 72 saat içinde bildirim yapmadığı için 500.000 TL ceza ile karşılaştı.

4. Cezayı Önlemenin Yolu: Proaktif Uyumluluk

Kurul, cezalandırma odaklı bir yapıdan ziyade, veri sorumlusunu hukuka uygunluğa teşvik eden bir anlayış benimsemektedir. Bu nedenle şu tedbirleri almak sadece cezayı önlemek değil, itibar koruması sağlar:

• Aydınlatma metinlerinin her veri temas noktasında bulunması

• Personel için KVKK eğitimi

• Erişim yetkilerinin sınırlandığı sistemler

• VERBİS kaydının güncel tutulması

• Veri imha politikalarının yazılı hale getirilmesi

KVKK kapsamındaki cezalar, sadece rakamsal bir yüktün ötesinde, marka değerine ve kurumsal itibara yönelik çok daha büyük riskleri barındırır. Kurumlar, bu konuda ancak sürekli ve bilinçli bir uyum stratejisiyle hareket ederlerse hem cezai hem ahlaki sorumluluklarını yerine getirebilir. Bireylerin en temel hakkı olan "veri mahremiyeti"nin korunması, hukuk devleti olmanın gereğidir.

Bu yazı, hukuk bilimine katkı sağlamak maksadıyla kaleme alınmıştır.

Her somut olay, kendi özelinde ve koşulları çerçevesinde değerlendirilmelidir.

Bu yazı, herhangi bir kişi veya kuruma yönelik hukuki görüş teşkil etmemekte olup, sadece yüklendiği tarih itibarıyla yazarın mevzuata ve içtihata dair yorumunu göstermektedir. Yazar, okuyucuyla ilgili kendisine danışılmadığı sürece hiçbir sorumluluk kabul etmemektedir. Kanunlar, yönetmelikler ve uygulamalar zaman içerisinde değişir; çünkü hukuk ve muhakeme, insanlar yaşadıkça evrilmeye mahkumdur. Adil yargılanma ve kanunlara uygun bir muhakeme olduğu sürece, mevzuatın değişmesi sizleri endişelendirmesin.

Hukuki metinler, kanaatler ve yorumlar birer anlık fotoğraf gibidir; yalnızca çekildikleri zamanın gerçekliğini yansıtırlar. Bu nedenle, bu yazıda yer alan değerlendirmelerin ileride yürürlüğe girecek yeni düzenlemelerle geçerliliğini yitirmesi mümkündür.

Bu yazının içeriği, bir avukat-müvekkil ilişkisi doğurmaz ve yazıdan kaynaklı olarak doğabilecek herhangi bir zarardan dolayı sorumluluk kabul edilmez.

Mevzuat ve içtihat dışında, yazının tüm fikri hakları saklıdır. Kaynak gösterilmeden alıntılanamaz; izinsiz şekilde kopyalanamaz veya herhangi bir mecra ya da platformda yayınlanamaz. Türkiye Barolar Birliği ile Adana Barosu’nun hakları saklıdır.

Hukukun ışığıyla yürümek isteyen herkese açık, samimi ve dürüst bir tartışma zemini sunmak dileğiyle…

Tüm hakları saklıdır, www.oguzgurlek.com