KVKK 2026: Yeni İlke Kararları, Güncel Cezalar ve Uyum Rehberi

Bu, sitenin ilk yazılarından biri. Burada Kişisel Verileri Koruma Kurulu kararlarını, idare mahkemesi ve Anayasa Mahkemesi içtihadını okuyup ne anlama geldiğini sade bir dille yazacağım. KVKK ile başlamak için 2026 iyi bir yıl; çünkü Kurul bu yıl, hepimizin gündelik hayatına dokunan konularda üst üste ilke kararı yayımladı: işyerindeki parmak izi okuyucu, apartman girişindeki aidat borcu listesi, her sitede karşımıza çıkan "okudum, onaylıyorum" kutusu.

Aşağıda önce 2024 değişikliğinin bıraktığı zemini kısaca hatırlatıyorum, sonra 2026'nın ilke kararlarını tek tek ele alıyorum. Yazının sonunda 2026 idari para cezası tutarları, ilgili kişi başvurusu, veri ihlali bildirimi ve cezaya karşı dava yolu var.

2024 değişikliği: KVKK'da oyunun kuralları nasıl değişti?

2/3/2024 tarihinde kabul edilen 7499 sayılı Kanun, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda üç önemli değişiklik yaptı ve bunlar 1 Haziran 2024'ten itibaren uygulanıyor:

• Özel nitelikli veriler (md. 6): Sağlık, biyometrik, genetik veri gibi özel nitelikli verilerin işlenme şartları yeniden yazıldı. Açık rızanın yanında kanunlarda açıkça öngörülme, hukuki yükümlülük, bir hakkın tesisi, kullanılması veya korunması gibi şartlar eklendi.

• Yurt dışına aktarım (md. 9): Yeterlilik kararı, uygun güvenceler ve arızi aktarım şeklinde üç basamaklı bir sistem kuruldu. Standart sözleşmenin imzalanmasından sonra beş iş günü içinde Kuruma bildirim yapılması zorunlu hale geldi.

• Cezaya karşı yargı yolu (md. 18/3): Kurulun verdiği idari para cezalarına karşı artık sulh ceza hakimliğine değil, idare mahkemesine dava açılıyor. Bu, süreyi, dilekçeyi ve yargılama usulünü tamamen değiştiren bir ayrıntı.

2026'nın ilke kararlarını okurken bu çerçeveyi akılda tutmak gerekiyor. Özellikle biyometrik veriye ilişkin kararın dayanağı, 6'ncı maddenin yeni hali.

2026'da yayımlanan KVKK ilke kararları

İlke kararları, Kurulun belirli bir uygulamayı genel olarak değerlendirdiği ve Resmi Gazete'de yayımlanan kararlardır. Tek bir şikayetle sınırlı kalmaz; aynı durumdaki bütün veri sorumlularını bağlar. Kurulun 2026'da yayımladığı ilke kararları şunlar:

Bu kararlardan üçü, arama motorlarında en çok sorulan ve en geniş kesimi ilgilendiren konular. Onları ayrıntılı ele alıyorum.

Parmak izi ile mesai takibi: 2026/921 sayılı ilke kararı

Kurum, işyerlerinde parmak izi, yüz tanıma, iris veya retina okuyucuyla mesai takibinin, kendisine gelen ihbar ve şikayetlerde en sık karşılaşılan konulardan biri olduğunu belirtiyor. Kurulun vardığı sonuç açık:

• İş mevzuatı işverene çalışma süresini takip etme ve belgeleme yükümlülüğü yüklüyor; ama bu takibin biyometrik yöntemle yapılmasını öngören açık bir kanun hükmü yok. Bu nedenle "kanunlarda açıkça öngörülme" şartına dayanılamaz.

• Uygulamada işverenler çalışandan açık rıza alıyor. Kurul, işçi ile işveren arasındaki güç dengesizliği nedeniyle bu rızanın özgür iradeye dayandığından şüphe ediyor. Rıza geri alınabildiği için, sistemin sürekliliği de rızaya dayanarak sağlanamıyor.

• Asıl belirleyici olan ölçülülük: Kart, PIN, RFID/NFC kimlik kartı, imzalı devam çizelgesi gibi daha az müdahaleci yöntemler varken biyometrik veri işlemek, geçerli bir açık rıza bulunsa bile Kanun'un 4'üncü maddesindeki genel ilkelere aykırı sayılıyor.

Kurul, bu hususların Kanun'un 12'nci maddesi kapsamında veri sorumlusunun alması gereken tedbirlerden olduğunu ve aykırılık tespitinde 18'inci madde uyarınca işlem yapılacağını duyurdu. Yani sonuç, veri güvenliği yükümlülüğüne aykırılık için öngörülen ceza aralığı.

Kurulun bu yaklaşımı Danıştay içtihadıyla da örtüşüyor. Bir kamu iktisadi teşebbüsü, personelinin mesai takibi için avuç içi damar okuyucu sistemi kurmuş; sendikanın açtığı davada Danıştay 12. Dairesi işlemi iptal etmişti. Daire, biyometrik verinin çalışanın izniyle işlenmesi halinde bile "açık rıza verilmiş olması aşırı miktarda veri toplanmasını meşrulaştırmayacağından" söz ederek, mesai takibinde bu yönteme başvurulmasını bağlantılı, sınırlı ve ölçülü olma ilkesine aykırı buldu. İdarenin sistemin fiziksel güvenlik için de kullanıldığı savunması sonucu değiştirmedi; karar Danıştay İdari Dava Daireleri Kurulu tarafından onandı (Danıştay İDDK, 05.11.2024, E. 2024/225, K. 2024/2625; Danıştay 12. D., 16.05.2023, E. 2021/3870, K. 2023/2548).

İşveren ne yapmalı? Mesai takibinde kullanılan biyometrik sistem varsa kapatılmalı, toplanan biyometrik şablonlar imha edilmeli ve imha kayıt altına alınmalı; yerine kart veya PIN tabanlı bir sistem kurulmalı. Kurum, karardan sonra gelen görüş talepleri üzerine yaptığı açıklamada, belirleyici ölçütün biyometrik sistemin gerçekten "mesai takibi" için mi, yoksa mesai takibini aşan, kamu güvenliğinin sağlanması gibi başka bir amaçla mı kullanıldığı olduğunu vurguladı. İkinci durumda değerlendirme o amaca göre ayrıca yapılıyor.

Aidat borcu listesi asılabilir mi? 2026/348 sayılı ilke kararı

Asansör kapısına ya da bina girişine asılan "aidat borcu olan daireler" listesi, belki de KVKK'nın gündelik hayattaki en görünür ihlali. Kurul bu uygulamayı 2026/348 sayılı ilke kararıyla değerlendirdi:

• Ad, soyad, daire numarası, borç tutarı, gecikme süresi, kiracı veya malik bilgisi gibi bilgilerin asansör, bina girişi, koridor gibi ortak alanlara asılması hukuka aykırı.

• Gerekçe: Ortak alanlar yalnız sakinlerin değil, misafirin, kuryenin, kargo görevlisinin de gördüğü yerler. Liste, muhatabı belli olmayan bir kesime veri ifşası anlamına geliyor.

• İsim yazmadan yalnız daire numarası ve borç tutarının asılması da çözüm değil. Daire numarası, orada kimin oturduğunu belirlenebilir kılıyor; bu da kişisel veri.

• Borç konusunda kat maliklerinin bilgilendirilmesi tamamen yasak değil. Ama bu bilgilendirme ölçülü ve güvenli bir kanalla yapılmalı: kişiye özel bildirim, e-posta, SMS, yalnız sakinlerin erişebildiği şifreli bir uygulama veya kapalı bir grup gibi.

Kurul, mevcut listelerin ivedilikle kaldırılmasını istedi ve aykırılıkta 18'inci maddenin uygulanacağını belirtti. Apartman yönetimleri de veri sorumlusu olduğundan, küçük bir binanın yöneticisi için de bu karar doğrudan bağlayıcı.

"Okudum, onaylıyorum" kutusu: 2026/347 sayılı ilke kararı

Kurum'a gelen şikayetlerde en sık görülen hukuka aykırılıklardan biri, aydınlatma metni ile açık rıza metninin iç içe geçirilmesi. Kurul 2026/347 sayılı ilke kararıyla şu kuralları koydu:

1. Veri işleme açık rızaya dayanıyorsa, aydınlatma metni ve açık rıza metni ayrı başlıklar altında, ayrı metinler olarak düzenlenmeli.

2. İki metin aynı sayfada yer alıyorsa alt alta, farklı başlıklarla verilmeli ve her biri için ayrı beyan alınmalı.

3. Veri işleme sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi başka bir şarta dayanıyorsa yalnız aydınlatma yapılmalı; ayrıca açık rıza istenmemeli. Gereksiz rıza istemek de hukuka aykırılık.

4. Aydınlatma metni için yalnız "okudum, bilgi edindim" geri bildirimi alınmalı; aydınlatma metnindeki ifadeler için onay istenmemeli.

5. Başka bir veri sorumlusunun metni birebir kopyalanmamalı; metin kendi faaliyetinize göre, açık ve sade bir dille hazırlanmalı.

Uygulamada bu, internet sitelerindeki üyelik ve iletişim formlarının, mağazalardaki sadakat kartı başvurularının ve işe alım formlarının yeniden gözden geçirilmesi demek. Tek kutuda "KVKK metnini okudum ve onaylıyorum" yazan her form, bu karara göre sorunlu.

2026 KVKK idari para cezası tutarları

Kanun'un 18'inci maddesindeki tutarlar her yıl yeniden değerleme oranında artırılıyor. Kurumun 2026 yılı için ilan ettiği aralıklar şöyle:

Yukarıdaki üç ilke kararına aykırılık, Kurulun açıklamasına göre veri güvenliği yükümlülüğü kapsamında değerlendiriliyor. Dolayısıyla bir apartman yönetiminin veya küçük bir işletmenin karşılaşabileceği ceza aralığının alt sınırı bile 256 bin TL'nin üzerinde.

İlgili kişi olarak haklarınız ve süreler

Verisi işlenen kişi, Kanun'un 11'inci maddesi uyarınca verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme ve zararın giderilmesini isteme haklarına sahip. Bu hakları kullanmanın yolu ve süreleri şöyle:

• Önce veri sorumlusuna başvuru (md. 13): Başvuru yazılı veya Kurulun belirlediği yöntemlerle yapılır. Veri sorumlusu en geç otuz gün içinde ücretsiz olarak cevap vermek zorunda.

• Sonra Kurula şikayet (md. 14): Başvuru reddedilirse, cevap yetersizse veya süresinde cevap gelmezse, cevabın öğrenildiği tarihten itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde Kurula şikayette bulunulabilir.

Doğrudan Kurula gitmek, kural olarak mümkün değil; önce veri sorumlusuna başvurmak gerekiyor. Apartmandaki borç listesi veya işyerindeki parmak izi okuyucusu için yol da bu.

Veri ihlali olduğunda: 72 saat kuralı

Kanun'un 12'nci maddesinin beşinci fıkrası, işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun durumu "en kısa sürede" ilgilisine ve Kurula bildirmesini istiyor. Kurul, 2019/10 sayılı kararıyla bu süreyi ihlalin öğrenilmesinden itibaren 72 saat olarak yorumladı. Bildirimin gecikmesi, başlı başına bir aykırılık.

Bir siber saldırı sonucunda ortaya çıkan veri ihlalinde, KVKK bildirimi tek yükümlülük olmayabilir. 7545 sayılı Siber Güvenlik Kanunu da siber olayların Siber Güvenlik Başkanlığı'na bildirilmesini istiyor. İki bildirim yükümlülüğünün nasıl birlikte işlediğini Siber Güvenlik Kanunu rehberinde ayrıca anlattım.

KVKK cezasına karşı dava: idare mahkemesi

Kurulun verdiği idari para cezasına karşı, 18'inci maddenin üçüncü fıkrası gereği idare mahkemesinde dava açılır. Özel bir süre öngörülmediğinden İdari Yargılama Usulü Kanunu'ndaki genel süre uygulanır: tebliğden itibaren altmış gün. 2024 öncesi alışkanlıkla sulh ceza hakimliğine yapılan başvurular, süreyi tüketme riski taşıyor.

Dava açma süresi, yürütmenin durdurulması talebi ve 12. Yargı Paketi sonrası kanun yollarını İdari dava rehberinde ayrıntılı anlattım.

Ceza hukuku boyutu

KVKK'daki yaptırımlar idari para cezasıyla sınırlı değil. Türk Ceza Kanunu'nun 135'inci maddesi kişisel verilerin hukuka aykırı kaydedilmesini, 136'ncı maddesi ise verilerin hukuka aykırı olarak başkasına verilmesini, yayılmasını veya ele geçirilmesini suç olarak düzenliyor. 136'ncı maddedeki ceza iki yıldan dört yıla kadar hapis. Kurul, suç şüphesi gördüğü durumlarda dosyayı savcılığa bildiriyor.

Kısa kontrol listesi: 2026 kararlarına göre ne yapılmalı?

• Mesai takibinde parmak izi veya yüz tanıma kullanılıyorsa sistemi değiştirin, biyometrik verileri imha edin ve imha tutanağı düzenleyin.

• Apartman veya site yönetimindeyseniz ortak alanlardaki borç listelerini kaldırın; bildirimleri kişiye özel kanaldan yapın.

• İnternet sitesi ve basılı formlardaki aydınlatma ve açık rıza metinlerini ayırın; açık rıza gerekmeyen işlemlerde rıza istemeyin.

• Yurt dışındaki bir hizmet sağlayıcıyla standart sözleşme imzaladıysanız beş iş günlük bildirim süresini kontrol edin.

• Veri ihlali müdahale planınızda 72 saatlik KVKK bildirimi ile siber olay bildirimini birlikte düzenleyin.

• Kurul kararı tebliğ edildiğinde süreyi idare mahkemesi için altmış gün olarak hesaplayın.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu, güncel metin: mevzuat.gov.tr

• Kişisel Verileri Koruma Kurumu, ilke kararları listesi: kvkk.gov.tr

• 2026/921 sayılı ilke kararına ilişkin kamuoyu duyurusu, 02.06.2026: kvkk.gov.tr

• 2026/347 sayılı ilke kararına ilişkin kamuoyu duyurusu: kvkk.gov.tr

Bu yazı genel bilgilendirme amaçlıdır; somut bir olay için hukuki görüş yerine geçmez. Tutarlar ve kararlar 29 Eylül 2026 itibarıyla kontrol edilmiştir.