KVKK idari para cezaları 2026'da yüzde 25,49 arttı: veri güvenliği ihlalinde üst sınır 17 milyon TL'yi aştı
6698 sayılı Kanun kapsamındaki idari para cezalarının alt ve üst sınırları, yeniden değerleme oranı doğrultusunda 1 Ocak 2026 itibarıyla güncellendi. Veri güvenliği yükümlülüğüne aykırılıkta üst sınır 17.092.242 TL oldu.
Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında uygulanan idari para cezaları, 1 Ocak 2026 itibarıyla yeni tutarlarla uygulanmaya başladı. Cezaların alt ve üst sınırları, Vergi Usul Kanunu uyarınca belirlenen ve 27 Kasım 2025 tarihli, 33090 sayılı Resmî Gazete'de ilan edilen yüzde 25,49'luk yeniden değerleme oranı kadar artırıldı.
Yeni ceza aralıkları
Kanunun 18. maddesinde sayılan aykırılıklar için 2026 yılında geçerli sınırlar şöyle:
Reklam
Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›
| Aykırılık | Alt sınır | Üst sınır |
|---|---|---|
| Aydınlatma yükümlülüğü | 85.437 TL | 1.709.200 TL |
| Veri güvenliği yükümlülüğü | 256.357 TL | 17.092.242 TL |
| Kurul kararlarının yerine getirilmemesi | 427.263 TL | 17.092.242 TL |
| VERBİS kayıt ve bildirim yükümlülüğü | 341.809 TL | 17.092.242 TL |
| Yurt dışı aktarımda standart sözleşmenin bildirilmemesi | 90.308 TL | 1.806.377 TL |
Tabloda en dikkat çekici kalem, siber güvenlik ekiplerini doğrudan ilgilendiren veri güvenliği yükümlülüğü. Kanunun 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri almasını şart koşuyor. Bir veri ihlalinin ardından Kurul'un yaptığı incelemede bu tedbirlerin eksik bulunması, artık 17 milyon TL'yi aşan bir üst sınırla cezalandırılabiliyor.
Uygulamada ne değişiyor?
Ceza aralıklarının her yıl yeniden değerleme oranıyla güncellenmesi, KVKK'nın 2016'dan bu yana süren uygulamasının bir parçası. Ancak ihlal bildirimlerinin artışı ve Kurul'un karar özetlerinde veri işleyen kaynaklı olayların sıkça yer alması, bu tutarların şirketler için somut bir risk kalemine dönüştüğünü gösteriyor. Tebliğden itibaren bir ay içinde ödenen cezalarda yüzde 25 indirim uygulanabiliyor; ödeme yapılması, cezaya karşı yargı yoluna başvurma hakkını ortadan kaldırmıyor.
Ne yapılmalı?
- Veri sorumluları, 2026 bütçe ve risk planlamasında güncel ceza aralıklarını esas almalı.
- Erişim yönetimi, kayıt (log) tutma, şifreleme ve yama süreçleri gibi teknik tedbirlerin belgelenmesi, olası bir Kurul incelemesinde belirleyici olur.
- Veri işleyenlerle yapılan sözleşmelerde güvenlik yükümlülükleri ve ihlal bildirim süreleri açıkça tanımlanmalı.
- VERBİS kayıtlarının ve aydınlatma metinlerinin güncel olup olmadığı yılbaşında yeniden kontrol edilmeli.
