Kişisel Verileri Koruma Kurulu, 2022–2026 döneminde 47 ayrı şirket ve kurumu inceleyerek hazırladığı karar özetlerini 10 Ağustos 2026 tarihinde kamuoyuyla paylaştı. Bu yazı, söz konusu 47 kararın bütünsel bir değerlendirmesidir.
Her karar üç aşamada ele alınıyor: incelemeye konu olayın kısa özeti, Kurulun bu olaya ilişkin temel değerlendirmesi ve kararın şirketler açısından doğurduğu pratik sonuç. Metin boyunca “Şirketler için çıkarım” başlığıyla ayrıştırılan bölümler, kararın uygulamaya yansımasına ilişkin kendi değerlendirmemizi içerir; kararın kendi metninin bir parçası değildir.
Yönetici özeti
İncelenen 47 karardan çıkan yedi değerlendirme:
- Geçerli bir hukuki dayanak varken ayrıca onay istenmesi, tek başına ihlal nedeni sayılabiliyor. Kurul dört ayrı kararında aynı ilkeyi teyit etti: sözleşme veya yasal yükümlülük gibi bir işleme şartı zaten mevcutken ilave olarak açık rıza talep edilmesi, ilgili kişiyi yanıltıcı bulunarak cezalandırılıyor.
- Sessiz kalma veya ilgi gösterme, açık rıza beyanı sayılmıyor. İncelenen en güncel kararda Kurul, telefon görüşmesi sırasında sessiz kalmanın onay sayılamayacağını, kanunda öngörülen en üst tutardan ceza uygulayarak netleştirdi.
- En yüksek cezaların önemli bölümü, düşük maliyetli güvenlik tedbirlerinin eksikliğinden kaynaklanıyor. Şifrenin tarayıcıya kaydedilmiş olması veya yönetim panellerine sınırsız erişim gibi hususlar, büyük ölçekli şirketlerde dahi yüksek tutarlı cezalara konu oluyor.
- Hizmet sağlayıcı kaynaklı ihlallerde sorumluluk veri sorumlusu üzerinde kalıyor. Kurul, dış kaynaklı hizmet sağlayıcılardan (yazılım, barındırma, altyapı) kaynaklanan ihlallerde dahi, denetim yükümlülüğünün yerine getirilmediği gerekçesiyle veri sorumlusunu sorumlu tutuyor.
- Görüntü ve ses kaydı ayrı değerlendirmeye tabi. Güvenlik kamerası uygulamalarında görüntü kaydı meşru menfaate dayanılarak hukuka uygun bulunsa dahi, aynı sistemin ses kaydı özelliği için ayrı bir gereklilik değerlendirmesi aranıyor.
- Açık rızanın varlığı, ölçülülük denetimini ortadan kaldırmıyor. Bir kararda, öğrencilerden onay alınmış olmasına rağmen biyometrik veri kullanımı orantısız bulundu; idari para cezası yerine işlemin durdurulması ve sorumlu personel hakkında disiplin süreci talimatı verildi.
- Kanun’un yer bakımından uygulama alanı, ilgili kişinin Türkiye’de yerleşik olmasıyla sınırlı değil. Bir kararda, hizmetin Türkiye’de sunulmadığı gerekçesiyle yurt dışında yerleşik bir şirket bakımından Kanun’un uygulama alanına girilmediğine karar verildi.
Rakamlarla özet
İncelenen 47 kararın ceza tutarları tarafımızca derlenerek aşağıdaki tabloda özetlendi:
| Gösterge | Değer |
|---|---|
| İncelenen karar sayısı | 47 |
| İdari para cezası uygulanan karar sayısı | 27 |
| İdari para cezası uygulanmayan karar sayısı | 20 (talimat, disiplin işlemi veya işlem yapılmamıştır) |
| Toplam idari para cezası | 11.495.179 TL |
| En yüksek tekil ceza | 1.500.000 TL (2023/1017) |
| Kanunda öngörülen üst sınırdan (1.000.000 TL) tam ceza uygulanan karar sayısı | 4 (2022/1375, 2024/728, 2025/88, 2026/1183) |
| Cezalı kararlarda ortalama ceza tutarı | yaklaşık 425.747 TL |
Bu rakamlar, incelenen 47 karar özetinde açıklanan ceza tutarlarının tarafımızca derlenmesiyle oluşturulmuştur; Kişisel Verileri Koruma Kurulu’nun resmî istatistiklerini yansıtmamaktadır.
Sektörel risk haritası
İncelenen kararlar, ilgili veri sorumlusunun faaliyet gösterdiği sektöre göre aşağıdaki gibi dağılıyor. Tablo, sektörünüzde daha önce hangi tür ihlallerin cezalandırıldığını hızlıca görmeniz için hazırlandı.
| Sektör | Karar sayısı | Toplam ceza | Öne çıkan karar |
|---|---|---|---|
| Teknoloji ve Yazılım | 5 | 2.900.000 TL | 2023/1017 |
| Üretim ve Sanayi | 7 | 2.530.000 TL | 2022/1375 |
| Turizm, Eğlence ve Bahis | 6 | 2.090.000 TL | 2025/88 |
| Finans ve Sigorta | 7 | 2.015.000 TL | 2024/728 |
| Perakende ve E-ticaret | 5 | 700.000 TL | 2024/1718 |
| Telekomünikasyon | 3 | 450.000 TL | 2024/282 |
| Sağlık | 2 | 380.000 TL | 2024/1898 |
| Eğitim | 2 | 265.000 TL | 2024/1361 |
| Diğer / Sektöre özel olmayan | 4 | 125.000 TL | 2023/2007 |
| Medya ve Basın | 2 | 40.179 TL | 2024/275 |
| Kamu | 4 | 0 TL | — |
Sektör sınıflandırması, kararda yer alan veri sorumlusunun faaliyet alanına göre tarafımızca yapılmıştır; Kurul kararlarında resmî bir sektör sınıflandırması yer almamaktadır.
Bu yazının kapsamı ve yöntemi
İncelenen kararlar konularına göre gruplandırıldı; açık rıza, siber güvenlik, kamera kullanımı, biyometrik veri, çerezler, yurt dışı şirketler, ilgili kişi başvuruları ve çeşitli özel durumlar olmak üzere sekiz ana başlık altında ele alındı. Her başlık en öğretici kararlarla ayrıntılı olarak açılıyor; göreli olarak daha dar kapsamlı kararlar ise özet tablolar halinde sunuluyor. İncelenen 47 kararın tamamı bu yazının bir bölümünde yer alıyor.
Açık rızanın sınırları
İncelenen kararlar arasında en istikrarlı içtihat çizgisi açık rıza konusunda görülüyor. Kurul, altı ayrı kararında bu başlığa ilişkin değerlendirme yaptı: geçerli bir başka hukuki dayanak (sözleşme, yasal yükümlülük, hakkın tesisi) zaten mevcutken ilgili kişiden ayrıca açık rıza talep edilmesi, ilgili kişide hizmetin rızaya bağlı olduğu izlenimini yaratabileceği gerekçesiyle dürüstlük kuralına aykırı bulunuyor ve idari para cezasına konu oluyor.
Sessizlik onay beyanı olarak kabul edilmedi (2026/1183)
İncelemeye konu olayda, bir tasarruf finansman şirketinin “marka elçiliği” adı verilen tavsiye programı kapsamında, müşterilerin tanıdıklarının telefon numaralarını sisteme eklemesi yoluyla elde edilen üçüncü kişi verilerine SMS ve arama yoluyla pazarlama faaliyeti yürütüldüğü tespit edildi. Aranan kişilere önceden aydınlatma yapılmamış; arama sırasında sessiz kalınması veya kampanyaya ilgi gösterilmesi, açık rıza beyanı olarak yorumlanmaya çalışılmıştı.
Kurul, telefon görüşmesi sırasında sessiz kalmanın veya görüşmeye devam edilmesinin geçerli bir açık rıza beyanı teşkil etmediğini; aydınlatmanın veri işlenmesinden önce ve ayrı olarak yapılması gerektiğini vurgulayarak 1.000.000 TL idari para cezası uyguladı.
Şirketler için çıkarım. Referans veya tavsiye programı yürüten şirketlerin, tavsiye edilen kişiye ulaşmadan önce ayrı ve açık bir onay alması gerekir; aksi halde bu tür programlar ciddi bir idari yaptırım riski taşır.
Hizmetin onay şartına bağlanması hukuka aykırı bulundu (2023/1610)
Başvuruya konu olayda, çevrimiçi bir spor bahis platformunun “canlı maç yayını” hizmetinden yararlanmayı, kullanıcının ticari elektronik ileti onayı vermesi şartına bağladığı tespit edildi.
Kurul, kendi yerleşik içtihadına atıfla, açık rızanın özgür irade unsurunun bir ürün veya hizmetin ön şartı hâline getirilmesiyle zedelendiğini teyit etti; 250.000 TL idari para cezası uyguladı ve uygulamaya son verilmesini talimatlandırdı.
Şirketler için çıkarım. Bir hizmetin sunulması, ticari elektronik ileti onayı gibi ayrı bir onay şartına bağlanmamalı; hizmet ile pazarlama onayı birbirinden bağımsız tutulmalıdır.
Yasal dayanak, gönderim sıklığını meşrulaştırmadı (2024/1350)
İnceleme konusu olayda, bir elektronik haberleşme işletmecisinin, ret talebine rağmen sık aralıklarla ve aynı içerikte pazarlama SMS’i göndermeye devam ettiği; ayrıca açık rıza metninin sözleşme metni içine dağınık biçimde yerleştirildiği tespit edildi. Gönderimlerin dayanağı olan yasal yükümlülük hukuka uygun olsa dahi, gönderim sıklığı Kurul tarafından ayrıca değerlendirildi.
Kurul, hukuka uygun bir işleme dayanağının bulunmasının, bu dayanağın sınırsız biçimde kullanılabileceği anlamına gelmediğini belirtti; dürüstlük kuralına aykırılık gerekçesiyle 100.000 TL idari para cezası uyguladı.
Şirketler için çıkarım. Yasal bir dayanağa sahip olmak, toplu iletişim faaliyetlerinin sıklığını ve içeriğini denetim dışı bırakmaz; ret talebinde bulunan kişilere gönderim derhâl durdurulmalıdır.
Gerekli olmayan onay kutucuğu yanıltıcı bulundu (2024/1393)
Somut olayda, bir havayolu şirketi ile uçak içi internet servis sağlayıcısının wifi giriş ekranında, veri işlemenin zaten sözleşme ve yasal yükümlülük çerçevesinde hukuka uygun olmasına rağmen ayrıca bir açık rıza kutucuğu kullanıldığı tespit edildi.
Kurul, gereksiz yere eklenen bu onay talebinin ilgili kişiyi yanıltıcı nitelikte olduğuna ve dürüstlük kuralına aykırılık teşkil ettiğine karar verdi; internet servis sağlayıcısına 90.000 TL idari para cezası uyguladı.
Şirketler için çıkarım. Form ve sözleşmelerdeki her onay kutucuğunun, gerçekten ayrı bir hukuki dayanak gerektirip gerektirmediği gözden geçirilmelidir; gereksiz onay talepleri başlı başına bir risk unsurudur.
Sözleşmeye eklenen fazladan onay maddesi cezalandırıldı (2024/282)
Kurulun değerlendirmesine konu olayda, bir telekomünikasyon şirketinin abonelik değişikliği için kimlik belgesi talep etmesi ve belge ibraz edilmemesi üzerine hizmeti iptal etmesi hukuka uygun bulundu. Ancak aynı sözleşmede, gerekli olmayan bir açık rıza hükmüne de yer verildiği tespit edildi.
Kurul, bu tespiti aynı dönemde görülen dördüncü benzer örnek olarak değerlendirdi ve 350.000 TL idari para cezası uyguladı.
Şirketler için çıkarım. Aynı uygulama hatasının tekrar tekrar tespit edilmesi Kurul nezdinde ağırlaştırıcı bir unsur olarak değerlendirilebiliyor; sözleşme şablonlarının bir kez gözden geçirilmesi tekrarlayan bir riski ortadan kaldırır.
Doğru hukuki dayanağın seçilmesi yeterli görüldü (2023/1863)
İncelemeye konu olayda, bir belediye kütüphanesinin üyelik sistemi için açık rıza yerine sözleşme ilişkisine dayandığı; şikâyetçinin talebinin de açık rıza eksikliğine değil, verinin işlenmesine ilişkin olduğu görüldü.
Kurul, doğru hukuki dayanağın seçildiğini ve sözlü ile dijital ortamda yapılan aydınlatmanın yeterli olduğunu değerlendirerek işlem yapılmasına gerek görmedi.
Şirketler için çıkarım. Her veri işleme faaliyeti için açık rıza aranmıyor; uygun hukuki dayanağın doğru seçilmesi, gereksiz onay talebinden kaçınmak kadar önem taşıyor.
Siber saldırılar ve veri güvenliği ihlalleri
İncelenen 47 kararın 25’i, siber saldırı, teknik arıza veya insan hatası kaynaklı bir veri güvenliği ihlaliyle ilgili; bu, incelenen kararlar içinde en geniş ve toplam ceza tutarı en yüksek grubu oluşturuyor.
Temel güvenlik tedbirlerinin eksikliği
Kurulun cezalandırdığı eksikliklerin önemli bölümü, yüksek maliyet gerektirmeyen temel güvenlik uygulamalarına ilişkin: yama yönetimi, ağ segmentasyonu, çok faktörlü kimlik doğrulama ve sızma testi.
Sızma testi bulgularının kapatılmamış olması ağırlaştırıcı unsur sayıldı (2022/1375). İncelemeye konu olayda, bir sanayi şirketine yönelik fidye yazılımı saldırısı sonucunda 4.885 kişinin kimlik, adres, IBAN, telefon, fotoğraf, pasaport ve kan grubu bilgisi ele geçirildi. Kurul incelemesinde; zayıf parola politikası, ağ segmentasyonu eksikliği, güncellenmemiş sistemler ve daha önce yapılan bir sızma testinde tespit edilen açıkların kapatılmamış olması gibi çok sayıda eksiklik belirlendi. Şirketin ihlali yasal süreyi aşarak bildirmiş olması da ayrıca değerlendirildi. Güvenlik eksiklikleri nedeniyle 800.000 TL, geç bildirim nedeniyle ayrıca 200.000 TL olmak üzere toplam 1.000.000 TL idari para cezası uygulandı.
Şirketler için çıkarım. Sızma testi sonuçlarının belgelenmesi tek başına yeterli değil; tespit edilen açıkların fiilen kapatıldığının da gösterilmesi bekleniyor.
Sızma testinin hiç yapılmamış olması yüksek ceza gerekçesi oldu (2023/1017). Somut olayda, küresel ölçekte faaliyet gösteren bir dijital oyun platformunun aynı güvenlik açığı nedeniyle iki kez saldırıya uğradığı, Türkiye’den 90.182 kişinin (çocuklar dâhil) etkilendiği tespit edildi. Kurulun değerlendirmesinde, şirketin bugüne kadar hiç sızma testi yaptırmamış olması belirleyici bir unsur olarak öne çıktı. Sonuç olarak 1.500.000 TL idari para cezası uygulandı.
Şirketler için çıkarım. Aynı güvenlik açığının ikinci kez istismar edilmesi, önceki ihlalden ders çıkarılmadığı yönünde değerlendiriliyor ve ceza tutarını artırıyor.
Sızıntının altı ay sonra fark edilmesi ayrı bir eksiklik olarak değerlendirildi (2023/412). İncelemeye konu olayda, bir hosting firmasının kullandığı üçüncü taraf yönetim panelindeki bir açık nedeniyle 31.179 kişinin kimlik, iletişim, finans ve kredi kartı bilgisi karanlık ağda yayımlandı. İhlal, şirketin kendi sistemleri tarafından değil, bir müşteri bildirimi üzerine ve olaydan altı ay sonra tespit edildi. Saldırı tespit sisteminin, iki adımlı doğrulamanın ve veri minimizasyonu uygulamalarının bulunmaması nedeniyle 350.000 TL idari para cezası uygulandı.
Şirketler için çıkarım. Bir ihlalin kendiliğinden fark edilebileceği varsayımı test edilmelidir; saldırı tespit ve izleme mekanizmaları bulunmadığında ihlaller aylarca gözden kaçabiliyor.
Maliyetsiz güvenlik tedbirlerinin alınmaması cezayı büyüttü (2024/133). Başvuruya konu olayda, bir yemek siparişi platformuna yönelik DDoS, veritabanı silme ve fidye talebi içeren saldırı sonucunda 1.362 kullanıcının verisi etkilendi. Tespit edilen eksiklikler arasında yönetim paneli şifresinin tarayıcıya kaydedilmiş olması ve teknik erişimin IP kısıtlaması olmadan yapılabilmesi yer aldı. Kurul, güvenlik tedbirlerinin her zaman yüksek maliyet gerektirmediğini özellikle vurgulayarak 250.000 TL idari para cezası uyguladı.
Şirketler için çıkarım. Küçük ve orta ölçekli veri sorumluları için önemli bir emsal: bütçe kısıtı, temel güvenlik hijyeninin ihmaline gerekçe teşkil etmiyor.
Oltalama ve sahte yönetici e-postası saldırıları
Sahte yönetici e-postası ile veri sızdırıldı, geç bildirim ayrıca cezalandırıldı (2024/728). İnceleme konusu olayda, uluslararası bir meslek kuruluşunda, kuruluşun başkanı kimliğine bürünen sahte bir e-posta yoluyla 217 üyenin bilgisini içeren listenin sızdırıldığı tespit edildi. E-posta doğrulama kontrollerinin ihlalden önce güçlendirilmemiş olması ve yasal bildirim süresine uyulmaması ayrı ayrı değerlendirildi. Risk analizi eksikliği için 750.000 TL, geç bildirim için ayrıca 250.000 TL olmak üzere toplam 1.000.000 TL idari para cezası uygulandı.
Şirketler için çıkarım. Sahte yönetici e-postası (CEO dolandırıcılığı) yaygın bir saldırı türü; e-posta doğrulama sistemlerinin (SPF/DKIM benzeri kontroller) gözden geçirilmesi ve finans ekiplerinin bu saldırı türü konusunda bilgilendirilmesi öneriliyor.
Tek bir çalışanın tarayıcı kaydı 500 binden fazla kişiyi etkiledi (2025/88). Somut olayda, bir restoran zincirinde bilgi teknolojileri ekibinden bir çalışanın tarayıcısına kayıtlı kullanıcı adı ve şifresinin kötü amaçlı bir yazılımla ele geçirilmesi sonucunda 505.337 müşterinin ad-soyad, cinsiyet, e-posta, telefon ve şehir bilgisi etkilendi. İki adımlı doğrulamanın bulunmaması ve güvenlik sistemlerinin ihlalden sonra tedarik edilmiş olması tespit edildi. Güvenlik eksiklikleri için 800.000 TL, ilgili kişilere bildirim yapılmaması için ayrıca 200.000 TL olmak üzere toplam 1.000.000 TL idari para cezası uygulandı.
Şirketler için çıkarım. Tarayıcıya kaydedilen şifreler, tek bir cihaz üzerinden geniş çaplı bir veri ihlaline yol açabiliyor; kurumsal cihazlarda parola yöneticisi kullanımı ve tarayıcı düzeyinde şifre kaydının devre dışı bırakılması öneriliyor.
İki adımlı doğrulama eksikliği ve fiziksel güvenlik açığı cezalandırıldı (2022/714, 2024/1523). İki ayrı kararda benzer bir örüntü görülüyor. İlkinde, bir ticaret şirketinde üst düzey bir yöneticinin e-posta hesabının oltalama saldırısıyla ele geçirilmesi ve yaklaşık 1.000 kişiye sahte borç bildirimi gönderilmesi üzerine, çok faktörlü kimlik doğrulamanın bulunmaması nedeniyle 200.000 TL idari para cezası uygulandı. İkincisinde, bir otelcilik şirketinde oltalama saldırısıyla ele geçirilen bir personel bilgisayarı üzerinden 450 çalışanın verisi etkilendi; sunucu odasına fiziksel erişimin kontrol edilmemiş olması ayrıca dikkat çekti ve 500.000 TL idari para cezası uygulandı.
Şirketler için çıkarım. Çok faktörlü kimlik doğrulama artık asgari beklenti niteliğinde. Fiziksel sunucu altyapısı bulunan şirketlerin, dijital güvenlik kadar fiziksel erişim kontrolünü de değerlendirmesi öneriliyor.
Hizmet sağlayıcı kaynaklı ihlaller
Bu başlık altındaki kararlar, dışarıdan hizmet alan (yazılım, barındırma, altyapı) şirketler açısından önem taşıyor: hizmet sağlayıcı kaynaklı bir ihlal, veri sorumlusunu sorumluluktan kurtarmıyor.
Tedarikçi kaynaklı ihlalde sorumluluk veri sorumlusunda kaldı (2022/711). İncelemeye konu olayda, bir otomotiv elektronik üreticisinin insan kaynakları yazılımını yöneten hizmet sağlayıcının hesabının ele geçirilmesi yoluyla başlayan fidye yazılımı saldırısı sonucunda 660 kişinin verisi (kan grubu, sağlık durumu gibi özel nitelikli veriler dâhil) etkilendi. Kurul, saldırının bir hizmet sağlayıcı üzerinden gerçekleşmiş olmasına rağmen veri sorumlusunun sorumlu olduğuna karar verdi ve 500.000 TL idari para cezası uyguladı.
Şirketler için çıkarım. Hassas sistemlere (özellikle insan kaynakları, muhasebe) erişimi bulunan dış hizmet sağlayıcıların erişim yetkilerinin düzenli olarak gözden geçirilmesi öneriliyor.
İçerik dağıtım ağı hatasında denetim yükümlülüğü vurgulandı (2023/1796). Kurulun değerlendirmesine konu olayda, bir giyim mağazasının internet sitesinde, kullanılan içerik dağıtım ağı (CDN) sağlayıcısındaki teknik bir hata nedeniyle müşteri hesap ve sipariş bilgilerinin üçüncü kişilerin erişimine açıldığı tespit edildi. Kurul, bir hizmet sağlayıcıyla güvenlik taahhüdü içeren bir sözleşme yapılmasının yeterli olmadığını, bu taahhüdün fiilen denetlenmesinin de veri sorumlusunun yükümlülüğü olduğunu belirterek 200.000 TL idari para cezası uyguladı.
Şirketler için çıkarım. Tedarikçi sözleşmelerine güvenlik taahhüdü eklenmesi ilk adım; bu taahhüdün periyodik olarak denetlendiğinin belgelenmesi ikinci ve eşit derecede önemli adımdır.
Yurt dışından sıçrayan saldırılarda ağ ayrımı eksikliği cezalandırıldı (2024/413, 2024/415). İki ayrı kararda, yurt dışındaki grup şirketlerine yönelik fidye saldırılarının, ağ segmentasyonu eksikliği nedeniyle Türkiye’deki sistemlere de yayıldığı görüldü. İlkinde bir tarım makineleri üreticisinde 56 çalışanın (sağlık verisi dâhil) bilgisi etkilendi ve 150.000 TL idari para cezası uygulandı. İkincisinde bir otomotiv yan sanayi şirketinde Fransa merkezli sunuculara yönelik saldırı Türkiye’deki 8 sunucuya yayıldı ve 430.000 TL idari para cezası uygulandı.
Şirketler için çıkarım. Uluslararası bir grubun parçası olan şirketlerin, merkezde meydana gelen bir saldırının yerel sistemlere sıçramaması için ağ altyapısının izole edildiğinden emin olması öneriliyor.
İhlal bildirim süreci ve şeffaflık
“Veri bozulmadı” savunması bildirim yükümlülüğünü ortadan kaldırmadı (2024/790). İncelemeye konu olayda, bir yazılım girişiminin mobil uygulama veritabanına yetkisiz erişim sağlandı; yeterli kayıt (log) altyapısı bulunmadığından erişim yöntemi tespit edilemedi. 7.823 kullanıcının isim, e-posta ve telefon bilgisi etkilendi; şirket, verilerin içeriğinin değişmediği gerekçesiyle ilgili kişilere bildirim yapmadı. Kurul, verinin bütünlüğünün bozulmamış olmasının bildirim yükümlülüğünü ortadan kaldırmadığını, yetkisiz erişimin kendisinin yeterli bir bildirim sebebi olduğunu belirterek güvenlik eksikliği için 250.000 TL, bildirim yapılmaması için ayrıca 100.000 TL olmak üzere toplam 350.000 TL idari para cezası uyguladı.
Şirketler için çıkarım. Verinin değiştirilmemiş, yalnızca görüntülenmiş olması bildirim yükümlülüğünü ortadan kaldırmıyor; yetkisiz erişim tespit edildiğinde bildirim süreci başlatılmalıdır.
Sürece ilişkin çelişkili açıklamalar aleyhe değerlendirildi (2024/2196). Somut olayda, bir plastik ev gereçleri üreticisi fidye yazılımı saldırısına uğradı; süreç boyunca etkilenen kişi ve veri kategorileri konusunda tutarsız açıklamalarda bulundu, talep edilen belgeleri de sunamadı. Kurul, şirketin şeffaf olmayan tutumunu olumsuz değerlendirerek 250.000 TL idari para cezası uyguladı.
Şirketler için çıkarım. İhlal bildirim sürecinde verilen bilgilerin tutarlılığı, sürecin kendisi kadar önem taşıyor; ilk açıklamalarla sonraki açıklamalar arasında çelişki oluşmamasına özen gösterilmelidir.
Çok uluslu bildirim süreci gerektiren ihlal (2024/1718). İnceleme konusu olayda, bir kozmetik şirketinin ağ sunucusuna truva atı virüsü ile erişim sağlanarak fidye talep edildi, 432 kişi etkilendi. Olayın uluslararası boyutu nedeniyle Avrupa’daki 19 ayrı veri koruma otoritesine bildirim yapıldı. Tehdit tespit sisteminin ihlalden sonra tedarik edilmiş olması ve sızma testinin hiç yapılmamış olması nedeniyle 500.000 TL idari para cezası uygulandı.
Şirketler için çıkarım. Birden fazla ülkede faaliyet gösteren şirketlerin, olası bir ihlalin çok otoriteli bildirim süreci gerektirebileceğini önceden planlaması öneriliyor.
Sınırlı kapsamlı diğer vakalar
Aşağıdaki kararların çoğunluğunda Kurul, alınan tedbirleri yeterli buldu, riski sınırlı değerlendirdi veya iddiayı ispatsız bularak işlem yapılmasına gerek görmedi. Bir kısmında ise göreli olarak daha dar kapsamlı olaylara rağmen tespit edilen eksiklikler nedeniyle idari para cezası uygulandı. Bu kararlar bir bütün olarak, hem hangi uygulamaların yeterli kabul edildiğine hem de küçük ölçekli görünen olaylarda dahi hangi eksikliklerin cezalandırılabildiğine dair örnekler sunuyor.
| Olay | Sonuç |
|---|---|
| Bir teknoloji şirketine yönelik “veri sızdı” iddiası, yapılan incelemede doğrulanamadı (2022/1087). | İşlem yapılmasına gerek görülmedi; kanıtlanamayan iddia ihlal olarak nitelendirilmedi. |
| Bir tekstil şirketinin müşterilerini hedef alan dolandırıcılık girişiminde, sızıntının şirket sistemlerinden kaynaklanmadığı tespit edildi (2022/1407). | Kimlik doğrulama ve müdahale planı yeterli görüldü. |
| Bir e-ticaret uygulamasındaki teknik bir hata nedeniyle üyeler kısa süreliğine birbirinin bilgisine erişebildi (2022/707). | Düşük etki ve hızlı müdahale nedeniyle işlem yapılmadı. |
| Bir insan kaynakları yazılımındaki arayüz hatası nedeniyle 1.522 çalışanın verisi sehven 1.589 çalışana toplu olarak gönderildi (2023/1675). | İnsan hatasının hayatın olağan akışında anlaşılabilir olduğu değerlendirildi, hızlı düzeltme dikkate alındı. |
| Bir ilaç şirketinde fidye yazılımı saldırısı yaşandı; bazı şifrelerin tahmin edilebilir nitelikte olduğu tespit edildi (2024/1898). | 350.000 TL idari para cezası: güvenlik raporundaki önerilerin yeterince uygulanmaması. |
| Avrupa grup şirketlerine hizmet veren bir şirkette pazarlama hesabı ele geçirildi, erişime açık bir klasör üzerinden 70.000 kişi etkilendi (2024/1899). | 700.000 TL idari para cezası: sistemik zafiyetler nedeniyle yüksek ceza uygulandı. |
| Bir ev aletleri üreticisi toplu e-postada gizli kopya yerine açık kopya kullandı, yaklaşık 500 müşteri birbirinin adresini gördü (2025/536). | İşlem yapılmadı; sık görülen bir hata türü olarak dikkat çekiyor. |
| Kâr amacı gütmeyen bir kuruluşun bülten platformuna yetkisiz erişim sağlandı, 15 kişi etkilendi (2025/833). | Düşük risk ve hızlı müdahale nedeniyle işlem yapılmadı. |
| Bir tekstil perakendecisinde paketleme hatası nedeniyle bir müşterinin kargosu başka bir müşteriye teslim edildi (2024/756). | Tek kişi ve düşük risk nedeniyle işlem yapılmadı. |
Kamera ve ses kaydıyla çalışan izleme
Görüntü ve ses kaydı ayrı ölçülülük değerlendirmesine tabi tutuldu (2023/2007). İncelemeye konu olayda, bir işyerinin güvenlik kulübesindeki kameranın hem görüntü hem ses kaydı yaptığı; ses kaydında bir çalışanın amirine yönelik sözlerinin yer aldığı ve bu kaydın bir işçilik davasında delil olarak kullanıldığı tespit edildi. Kurul, görüntü kaydını meşru menfaate dayalı olarak hukuka uygun buldu; ancak ses kaydı için ayrı bir gereklilik gerekçesi gösterilemediğinden bu kısmı hukuka aykırı kabul ederek 125.000 TL idari para cezası uyguladı.
Şirketler için çıkarım. Güvenlik kameralarının ses kaydı özelliğinin bulunup bulunmadığının kontrol edilmesi ve ayrı bir gereklilik gerekçesi yoksa bu özelliğin devre dışı bırakılması öneriliyor.
Vekâletnamede özel yetki aranmaması netleştirildi (2024/540). Somut olayda, çalışanların kendi talebiyle yerleştirilen bir güvenlik kamerasına ilişkin şikâyet incelendi; kamera kullanımı meşru menfaate dayalı olarak hukuka uygun bulundu. Kurul, ayrıca aydınlatma metninin yalnızca kanun maddelerine atıf yaparak somut bilgi vermemesini yetersiz buldu ve KVKK başvurularında vekâletnamede özel yetki şartının aranmaması gerektiğini netleştirdi.
Şirketler için çıkarım. Vekil aracılığıyla yapılan KVKK başvurularının, vekâletnamede özel yetki ibaresi bulunmadığı gerekçesiyle reddedilmemesi gerekiyor.
Biyometrik veri kullanımı
Açık rızanın varlığı, ölçülülük denetimini ortadan kaldırmadı (2024/197). İncelemeye konu olayda, bir üniversitenin ders yoklaması amacıyla parmak izi (biyometrik veri) kullandığı, öğrencilerden açık rıza alınmış olmasına rağmen bu uygulamanın şikâyet konusu edildiği tespit edildi. Kurul, imza ile yoklama gibi daha az müdahaleci bir alternatif mevcutken biyometrik veri kullanılmasının ölçülülük ilkesine aykırı olduğuna karar verdi; açık rızanın varlığının bu değerlendirmeyi değiştirmediğini belirtti. İdari para cezası uygulanmadı; bunun yerine biyometrik veri işlenmesinin derhâl durdurulması, mevcut verilerin imhası, alternatif yönteme geçilmesi ve sorumlu personel hakkında disiplin işlemi başlatılması talimatlandırıldı.
Şirketler için çıkarım. Biyometrik yöntemlerle (parmak izi, yüz tanıma) çalışan veya öğrenci takibi yapan kuruluşların, aynı sonucu daha az müdahaleci bir yöntemle elde edip edemeyeceklerini değerlendirmesi ve bu değerlendirmeyi belgelemesi öneriliyor.
Çerezler ve pazarlama izinleri
Çerezlerde onay öncesi otomatik çalışma ihlal olarak değerlendirildi (2024/1361). Kurulun değerlendirmesine konu olayda, bir eğitim kurumunun internet sitesinde analiz çerezlerinin kullanıcı onayı alınmadan otomatik olarak çalıştığı; ayrıca iletişim formunda “bilgi talebi” ile “pazarlama” amaçlarının tek bir onay kutucuğunda birleştirildiği tespit edildi. (Aynı kararda incelenen kamera uygulamasında ise herhangi bir ihlal tespit edilmedi.) Kurul, yalnızca sitenin işleyişi için zorunlu çerezlerin onaysız kullanılabileceğini, diğer çerezler için kullanıcının varsayılan olarak kapalı bir seçeneği aktif olarak işaretlemesi gerektiğini netleştirdi. Çerez ihlali için 250.000 TL, aydınlatma eksikliği için ayrıca 15.000 TL olmak üzere toplam 265.000 TL idari para cezası uygulandı.
Şirketler için çıkarım. İnternet sitelerindeki çerez onay mekanizmalarının, zorunlu olmayan çerezleri kullanıcı seçim yapmadan çalıştırmadığından ve farklı amaçlar için ayrı onay seçenekleri sunduğundan emin olunması öneriliyor.
Yurt dışında yerleşik şirketler için uygulama alanı
Hizmetin Türkiye’de sunulmaması nedeniyle Kanun uygulanmadı (2025/601). Başvuruya konu olayda, Hong Kong merkezli bir otel şirketinin Türkiye’de tüzel kişiliği, çalışanı veya altyapısı bulunmadığı; tüm işlemlerin Hong Kong’da yürütüldüğü tespit edildi. Şirkette yaşanan bir veri ihlalinden Türkiye’de yerleşik 909 kişi etkilendi; ancak bu kişiler söz konusu hizmeti Türkiye’de değil, yurt dışında konaklarken almışlardı. Kurul, Kanun’un yer bakımından uygulama alanına girmediğine karar vererek şu ayrımı netleştirdi: ilgili kişinin Türkiye’de yerleşik olması tek başına yeterli değildir; ürün veya hizmetin Türkiye’de sunulması şartının da gerçekleşmesi gerekir.
Şirketler için çıkarım. Yurt dışı yapılanması veya yabancı müşteri kitlesi bulunan şirketlerin, KVKK’nın uygulanabilirliğini değerlendirirken hem ilgili kişinin yerleşim yerini hem de hizmetin sunulduğu ülkeyi birlikte incelemesi öneriliyor.
İlgili kişi başvuruları ve aydınlatma yükümlülüğü
Aydınlatma yükümlülüğünün ispatı veri sorumlusuna ait (2023/1818). İncelemeye konu olayda, bir güvenlik şirketinin müşteri görüşmelerini kayıt altına alması şikâyet edildi. Kurul, kayıt alınmasının kendisini meşru menfaate dayalı olarak hukuka uygun buldu; ancak şirketin bu uygulamayı kullanıcılara yeterince açık şekilde bildirdiğini ispatlayamadığını tespit ederek 15.000 TL idari para cezası uyguladı.
Şirketler için çıkarım. Aydınlatma metinlerinin, kaydın amacını ve saklama süresini somut biçimde belirtmesi ve bu bilgilendirmenin yapıldığının ispatlanabilir olması öneriliyor.
Çalışanın kendi verisine erişim hakkı ile müşteri sırrı dengelendi (2024/592). Somut olayda, bir banka çalışanı, kendisine yönelik hakaret içeren bir görüşme kaydına, suç duyurusunda kullanmak üzere erişim talep etti; banka bu talebi müşteri sırrı gerekçesiyle reddetti. Kurul, talebin çalışanın kendi verisine erişim hakkı kapsamında olduğunu, bunun müşteri sırrıyla çelişmediğini belirtti; bankanın müşteriye ait hassas kısımları maskeleyerek kaydı çalışana sunması gerektiğine karar verdi. İdari para cezası uygulanmadı.
Şirketler için çıkarım. Bir başvuruda üçüncü kişiye ait hassas bilgi de yer alıyorsa, talebi tümüyle reddetmek yerine ilgili kısımların maskelenerek paylaşılması değerlendirilebilir.
Aşağıdaki iki karar da benzer nitelikte, göreli olarak dar kapsamlı başvuru süreçlerine ilişkin:
| Olay | Sonuç |
|---|---|
| Bir sigorta şirketi, trafik kazası sürecinde edindiği bir IBAN bilgisini, aynı kişiye ilişkin sonraki bir ödemede de kullandı (2024/1359). | İşlem yapılmadı; hakkın korunması ve mevzuat gereği belge sunma zorunluluğu kapsamında değerlendirildi. |
| Bir kamu kuruluşu iştirakinde, işten ayrılan bir çalışanın kurumsal e-postasına erişildiği ve sağlık verisi toplandığı iddia edildi (2024/284). | İddiaların büyük bölümü ispatlanamadı; yalnızca aydınlatma metninin geliştirilmesi talimatlandırıldı. |
Kanun kapsamı dışında kalan hâller
Basın arşivi ile arama motoru sonuçları farklı değerlendirildi (2023/2185). İncelemeye konu olayda, bir gazetenin arşivinde yirmi yılı aşkın süredir yer alan bir habere ilişkin imha talebi, veri sorumlusunun basın istisnasına dayanması üzerine değerlendirildi. Kurul, arşivdeki haberin kendisinin basın özgürlüğü kapsamında Kanun’dan istisna tutulduğuna karar verdi; ancak kişinin adı arandığında haberin arama motoru sonuçlarında görünmesine ilişkin talebin doğru muhatabının arama motorları olduğunu, bu talebin unutulma hakkı çerçevesinde arama motorları nezdinde ileri sürülmesi gerektiğini belirtti.
Şirketler için çıkarım. Bir içeriğe ilişkin unutulma hakkı talebi alındığında, talebin arşivin kendisine mi yoksa arama motoru görünürlüğüne mi yönelik olduğunun ayırt edilmesi, doğru muhataba yönlendirme açısından önem taşıyor.
Ceza infaz kurumlarına ilişkin iki ayrı başvuruda Kurul, konunun kendi inceleme alanı dışında kaldığına karar verdi:
| Olay | Sonuç |
|---|---|
| Bir hükümlünün ceza infaz kurumundan kendi verisine erişim talebi reddedildi (2022/1152). | Yargı/infaz süreçlerine ilişkin istisna kapsamında, konu KVKK bakımından değerlendirilmedi. |
| İnfaz kurumu tahsilat makbuzlarında hükümlülere ait kimlik ve ceza bilgisi açıkça yer aldı (2024/2158). | Aynı istisna kapsamında işlem yapılmadı. |
Sektörel ve özel durum kararları
Maskeleme, anonimleştirme ile eş değer sayılmadı (2024/275). İncelemeye konu olayda, bir yerel basın organının internet sitesinde yayımladığı seçim anketi sonuçlarında isimlerin kısaltıldığı ve telefon numaralarının kısmen gizlendiği; ancak bazı kayıtlarda mahalle bilgisinin de yer aldığı tespit edildi. Kurul, kısmi telefon numarası ile mahalle bilgisinin birlikte değerlendirildiğinde kişiyi belirlenebilir kıldığını, dolayısıyla gerçek bir anonimleştirme sağlanmadığını tespit etti; siyasi görüş bilgisinin de içerikte yer alması nedeniyle 40.179 TL idari para cezası uyguladı.
Şirketler için çıkarım. Bir veri kümesindeki tek bir alanın gizlenmesi yeterli olmayabilir; kalan bilgilerin bir arada kişiyi tanımlanabilir kılıp kılmadığının ayrıca değerlendirilmesi öneriliyor.
Aşağıdaki kararlar, göreli olarak dar kapsamlı ve sektöre özgü örnekler:
| Olay | Sonuç |
|---|---|
| Bir kişinin Covid-19 test sonucu, güncellenmemiş bir telefon numarasına SMS ile gönderildi (2023/1787). | 30.000 TL idari para cezası: verinin doğru ve güncel tutulması ilkesine aykırılık; numaranın güncellenmesi ve eski verinin imhası talimatlandırıldı. |
| Kredi Kayıt Bürosu nezdinde bir kişinin silme talebi, bankalar arası veri paylaşımı istisnası gerekçesiyle reddedildi (2024/292). | İşlem yapılmadı; verilen cevap yasal çerçeveye uygun bulundu. |
| Kredi Kayıt Bürosu/Risk Merkezi, ödenmiş bir kredi borcunu “sicil affı” kapsamında silmedi (2024/444). | İşlem yapılmadı; on yıllık saklama süresi kanuni dayanaklı bulundu. |
Şirketler için aksiyon planı
- Onay kutucuklarının gözden geçirilmesi. Sözleşme, form ve üyelik ekranlarında, başka bir hukuki dayanakla zaten yapılabilecek işlemler için ayrıca onay talep edilip edilmediğinin kontrol edilmesi (bkz. Açık rızanın sınırları).
- Çerez onay mekanizmasının test edilmesi. Zorunlu olmayan çerezlerin, kullanıcı onayı alınmadan çalışıp çalışmadığının değerlendirilmesi (bkz. Çerezler ve pazarlama izinleri).
- Kamera sistemlerinin ses kaydı özelliğinin kontrol edilmesi. Ayrı bir gereklilik gerekçesi bulunmuyorsa bu özelliğin devre dışı bırakılması (bkz. Kamera ve ses kaydıyla çalışan izleme).
- Temel güvenlik tedbirlerinin doğrulanması. Çok faktörlü kimlik doğrulama, yönetim panellerinde erişim kısıtlaması ve tarayıcıda şifre saklanmaması hususlarının teyit edilmesi (bkz. Temel güvenlik tedbirlerinin eksikliği).
- Sızma testinin planlanması. Son on iki ay içinde yapılmadıysa gerçekleştirilmesi ve tespit edilen açıkların kapatıldığının belgelenmesi.
- Tedarikçi denetim sürecinin kurulması. Kritik sistemlere erişimi bulunan hizmet sağlayıcıların güvenlik taahhütlerinin yalnızca sözleşmeyle değil, fiilen denetlenmesi (bkz. Hizmet sağlayıcı kaynaklı ihlaller).
- İhlal bildirim prosedürünün netleştirilmesi. Yasal bildirim süresine (72 saat) ve ilgili kişilere bildirim yükümlülüğüne ilişkin sürecin önceden tanımlanması.
- Biyometrik veri kullanımının gözden geçirilmesi. Daha az müdahaleci bir alternatifin mevcut olup olmadığının değerlendirilmesi ve belgelenmesi (bkz. Biyometrik veri kullanımı).
- Kayıt (log) saklama süresinin belirlenmesi. Asgari bir yıllık saklama süresinin ihlal öncesinde belgelenmesi.
- Yurt dışı yapılanmaların değerlendirilmesi. Hizmetin Türkiye’de sunulup sunulmadığının netleştirilmesi (bkz. Yurt dışında yerleşik şirketler için uygulama alanı).
- Vekâletli başvuru süreçlerinin sadeleştirilmesi. Özel yetki aranmadığının iç prosedürlere yansıtılması.
- Aydınlatma metinlerinin somutlaştırılması. Yalnızca kanun maddesine atıf yapan genel ifadeler yerine, amaç ve süreye ilişkin somut bilgi içeren metinlere geçilmesi.
Genel değerlendirme
İncelenen 47 kararın bütünsel değerlendirmesi iki eğilimi ortaya koyuyor. İlk olarak, Kurulun temel ve düşük maliyetli güvenlik tedbirlerinin eksikliğine yönelik toleransı azalıyor; büyük ölçekli şirketler dahi çok faktörlü kimlik doğrulama veya yama yönetimi gibi asgari uygulamaların eksikliği nedeniyle yüksek tutarlı cezalara maruz kalabiliyor. İkinci olarak, geçerli bir hukuki dayanağın varlığı tek başına yeterli görülmüyor; bu dayanağın dürüstlük kuralı ve ölçülülük ilkesi çerçevesinde makul biçimde kullanılıp kullanılmadığı ayrıca değerlendiriliyor.
En güncel iki kararın (yurt dışı şirketlerin konumu ve dolaylı onay girişiminin reddi) işaret ettiği üzere, Kurulun önümüzdeki dönem gündeminde sınır ötesi sorumluluk ve dolaylı/zımni onay uygulamalarının öne çıkması beklenebilir. Bu değerlendirme tarafımızca yapılan bir öngörü niteliğinde olup Kurulun resmî bir açıklamasına dayanmamaktadır.
Önümüzdeki günlerde bu karar özetlerinin ayrıntılarına inen yazıları ayrı ayrı paylaşacağım: her başlığı kendi bağlamında, uygulamaya dönük sonuçlarıyla birlikte ele alacağım.
Serinin bölümleri ve yayım takvimi
47 kararın tamamı, konu başlıklarına göre on ayrı yazıda ele alınacak. Yazılar aşağıdaki takvime göre yayımlanacak; yayımlanan bölümlerin başlıkları bağlantı hâline gelecektir.
| Bölüm | Yayım tarihi | Başlık |
|---|---|---|
| 1 | 14 Ağustos 2026 | Fidye Yazılımı ve Yetkisiz Erişim: Kurul Hangi Teknik Tedbirleri Arıyor? |
| 2 | 15 Ağustos 2026 | Kimlik Doğrulama, E-posta ve Fiziksel Erişim: Beş Kararda Güvenlik Standardı |
| 3 | 16 Ağustos 2026 | Hizmet Sağlayıcı Kaynaklı İhlaller: Sorumluluk Neden Veri Sorumlusunda Kalıyor? |
| 4 | 17 Ağustos 2026 | İhlal Bildirimi: 72 Saatlik Süre, Usul ve Şeffaflık Üzerine Beş Karar |
| 5 | 18 Ağustos 2026 | Açık Rıza Kararları: Pazarlama İzinleri, Onay Kutucukları ve Hizmet Şartı |
| 6 | 19 Ağustos 2026 | Açık Rıza Gerekmeyen Hâller ve Kanunun Kapsamı: Beş Karar |
| 7 | 20 Ağustos 2026 | İlgili Kişi Başvuruları ve Aydınlatma Yükümlülüğü: Beş Kararda Usul |
| 8 | 21 Ağustos 2026 | Ölçülülük Sınavı: Kamera, Ses, Biyometri, Çerez ve Maskeleme Kararları |
| 9 | 22 Ağustos 2026 | Kurul Ne Zaman İşlem Yapmıyor? Düşük Riskli Beş İhlal Kararı |
| 10 | 23 Ağustos 2026 | Kredi Kayıt Sektöründen İki Karar ve 47 Karar Özetinin Tam Dizini |
Uyum programının bütünü için KVKK + GDPR sayfamıza, yayımlandıkça işlediğimiz kararlar için KVKK Takip‘e göz atabilirsiniz.
Bu yazı yalnızca genel bilgilendirme amaçlı olup somut bir olaya ilişkin hukuki görüş yerine geçmez. Kararların tam metinlerine Kişisel Verileri Koruma Kurumu’nun resmî internet sitesinden ulaşılabilir.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayın