KVKK 2026: Ceza Tavanları, Cirosal Reform ve Şirketler İçin Risk Haritası

KVKK idari para cezaları 1 Ocak 2026 itibarıyla %25,49 yeniden değerleme oranıyla güncellendi (Resmi Gazete, 27 Kasım 2025). Md.12, Md.15 ve Md.16 üst sınırı 17.092.242 TL'ye ulaştı. Asıl gündem maddesi, TBMM'de görüşülmekte olan ve fiks ceza tavanını yıllık cironun %2–4'ü ile değiştirmesi öngörülen reform teklifi. Aşağıda mevcut tabloyu, reform teklifinin olası etkilerini ve şirketlerin önümüzdeki 12 ayda almaları gereken aksiyonları ele alıyoruz.

1. 2026 Ceza Tavanları

Yeniden değerleme oranı her yıl Vergi Usul Kanunu uyarınca Hazine ve Maliye Bakanlığı'nca ilan ediliyor. 27 Kasım 2025 tarihli Resmi Gazete ile 2026 oranı %25,49 olarak belirlendi. KVKK m.18'de düzenlenen idari para cezaları bu orana göre güncellendi:

• Aydınlatma yükümlülüğü ihlali (Md.10): 85.437 – 1.709.200 TL
• Veri güvenliği yükümlülüğü ihlali (Md.12): 256.357 – 17.092.242 TL
• Kurul kararına uymama (Md.15): 427.263 – 17.092.242 TL
• VERBİS kayıt yükümlülüğü ihlali (Md.16): 341.809 – 17.092.242 TL
• Standart sözleşme bildirim yükümlülüğü (Md.9): 90.308 – 1.806.177 TL

İki yıllık dönemde ceza tavanı belirgin biçimde yükseldi. 2024'te Md.12, Md.15 ve Md.16 için üst sınır 9.463.213 TL idi (KVKK Kurumu duyurusu, 05.01.2024); 2026'da 17.092.242 TL'ye çıktı. Yaklaşık 1,8 katlık artış, kanun koyucunun caydırıcılık hedefinin yönünü gösteriyor.

2. Cezanın Tek Olay İçin Birden Fazla Verilebilmesi

Pratikte gözden kaçan bir nokta var: Kurul, tek bir veri ihlali olayında birden fazla yükümlülüğün ihlal edildiğini tespit ederse, her bir ihlal için ayrı ayrı ceza verme yetkisine sahip. Bir siber saldırı senaryosunda, veri güvenliği tedbirlerinin alınmamış olması (Md.12) ile Kurul kararına uymama (Md.15) ve VERBİS kayıt yükümlülüğü ihlali (Md.16) ayrı ayrı yaptırıma konu olabilir. Üç yükümlülük üst sınırlarının kümülatif uygulanması teorik olarak 51,2 milyon TL'yi aşan bir riske işaret ediyor.

3. Yargı Yolu: Ankara İdare Mahkemeleri

1 Haziran 2024'te yürürlüğe giren değişiklik, Kurul kararlarına itiraz mercini Sulh Ceza Hakimliklerinden Ankara İdare Mahkemelerine taşıdı. 2026 itibarıyla bu yapı tam yerleşik. Pratik sonuçlar:

• Dava açma süresi: kararın tebliğinden itibaren 60 gün
• Görevli mahkeme: Ankara İdare Mahkemeleri
• Yürütmenin durdurulması: dava açmak otomatik olarak tahsilatı durdurmuyor; ayrıca talep edilmesi gerekiyor
• Anayasa Mahkemesi'ne bireysel başvuru yolu, yargı yolları tüketildikten sonra açık

Bu değişikliğin görünmeyen sonucu: artık savunma stratejisinin, ceza kararı verilmeden çok önce — Kurul'a sunulan savunma dilekçesi aşamasında — kurgulanması gerekiyor. Kurul savunması ile idari yargı dilekçesi aynı argüman çatısını taşımak zorunda.

4. Cirosal Ceza Reformu: Hipotetik Hesaplama

TBMM gündemindeki reform teklifi, KVKK'nın yaptırım rejimini fiks tavandan ciro yüzdesine taşımayı öngörüyor. Tartışılan oran aralığı: yıllık cironun %2 ile %4'ü. Reform 2026 ortası itibarıyla henüz yasalaşmamıştır. Aşağıdaki örnekler hipotetik niteliktedir ve teklifin mevcut metni üzerinden yapılan aritmetik hesaplamaya dayanır.

Hipotetik Örnek 1 — Orta ölçekli e-ticaret şirketi

Yıllık ciro: 500 milyon TL. Mevcut rejimde tek bir veri güvenliği ihlalinde maksimum ceza: 17,09 milyon TL. Cirosal rejimde %3 oran üzerinden: 15 milyon TL. Birden fazla yükümlülük ihlali tespit edilirse cezalar üst üste binebilir.

Hipotetik Örnek 2 — Büyük perakende grubu

Yıllık ciro: 10 milyar TL. Mevcut rejimde maksimum: 17,09 milyon TL. Cirosal rejimde %3 oran üzerinden: 300 milyon TL. Aradaki katsayı yaklaşık 18.

Reform yasalaşırsa, KVKK uyumunun tartışıldığı yer hukuk departmanından yönetim kuruluna taşınır. Mevcut sigorta poliçelerinin teminat tavanları, içtihatlar ve uyum bütçeleri yeniden hesaplanmak zorunda kalır.

5. 2025–2026 Kurul Kararlarından Çıkan Eğilimler

KVKK Kurulu'nun yayınlanmış kamuoyu duyuruları (kvkk.gov.tr) üzerinden gözlemlenebilen üç ana eğilim var.

Tedarikçi zinciri sorumluluğu ve tespit gecikmesi

Kurul'un son dönem kamuoyu duyurularında yer alan vakalar, dış hizmet alımının veri sorumlusunun sorumluluğunu ortadan kaldırmadığını gösteriyor. Şikayetvar olayında (Kurul kamuoyu duyurusu, Mart 2026) API anahtarlarının üçüncü şahıslarca ele geçirilmesiyle Nisan 2025'te başlayan ihlal ancak Mart 2026'da tespit edildi. TurkNet ihlalinde (Kurul kamuoyu duyurusu, Mart 2025) saldırı Şubat 2025'te başlamasına rağmen ancak BTK şikâyet kaydıyla tespit edilebildi. Bu vakalar, tespit gecikmesinin tek başına ek bir risk faktörü oluşturduğunu söylüyor. Pratik sonuç: tedarikçi sözleşmelerinde KVKK uyum maddesi, denetim hakkı, bildirim yükümlülüğü ve geri-rücu hakkı standart hale gelmeli.

Yapay zekâ kullanımı

Kurul Mart 2026'da iki rehber yayınladı: "İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı" (5 Mart) ve "Etken Yapay Zekâ (Agentic AI)" (12 Mart). Çalışanların kurumsal politika olmadan ChatGPT benzeri araçlara müvekkil veya müşteri verisi yapıştırması — Gölge Yapay Zekâ (Shadow AI) — bu rehberlerde açıkça riskli kullanım olarak işaretlendi.

Aydınlatma–Açık Rıza ayrımı

18 Şubat 2026 tarihli ve 2026/347 sayılı İlke Karar, aydınlatma metni ile açık rıza metninin farklı hukuki niteliklere sahip olduğunu ve ayrı ayrı düzenlenmesi gerektiğini netleştirdi. Tek belgede iç içe geçmiş aydınlatma + rıza yapıları artık doğrudan ihlal niteliğinde.

Yurt dışı aktarım sorumluluğu — yeni emsal

Eurail B.V. olayında (Kurul kamuoyu duyurusu, Ocak 2026) Hollanda merkezli platforma yapılan saldırıda Türkiye'de mukim 8.823 kişinin verisi etkilendi. Vakanın önemi: Kurul, yurt dışı şirketin Türk kullanıcılara karşı KVKK sorumluluğunu açıkça ele aldı. Bu, KVKK'nın ülke dışı uygulaması açısından emsal bir yaklaşım.

6. Yapılması Gerekenler — 12 Aylık Yol Haritası

0–3 ay

• Aydınlatma ve açık rıza metinlerinin 2026/347 sayılı İlke Karar'a göre revizyonu
• VERBİS kayıt durumunun ve güncelliğinin kontrolü
• Veri ihlali müdahale planının 72 saat kuralına göre testi (tatbikat dahil)

3–6 ay

• Tedarikçi sözleşmelerinin KVKK eki revizyonu — özellikle bulut, çağrı merkezi, CRM, e-ticaret altyapı sağlayıcıları
• Üretken yapay zekâ kullanım politikasının yazılması; çalışan eğitimi
• Yurt dışı veri aktarım mekanizmalarının (SCC, BCR) gözden geçirilmesi

6–12 ay

• Cirosal ceza reformu yasalaşırsa: yönetim kuruluna sunulmak üzere risk maruziyet hesaplaması
• Siber sigorta poliçesinin teminat tavanının yeni rejime göre yeniden müzakeresi
• Yıllık iç denetim — bağımsız hukuk danışmanı tarafından

Sonuç

KVKK uyumu 2026'da bir dokümantasyon çalışması olmaktan çıkmış, finansal risk yönetimi disiplinine dönüşmüş durumda. Ceza tavanlarının iki yıllık dönemde yaklaşık iki katına çıkması ve cirosal reform teklifinin TBMM gündeminde olması, mevzuata sonradan yetişmenin maliyetini yükseltti. Şirketler için kritik soru artık "uyumlu muyuz?" değil, "uyumumuz, denetlendiğinde savunulabilir mi?"

Kaynaklar