KVKK cezaları 2027'de yüzde 27,83 artıyor: üst sınır 21,8 milyon TL

Türkiye İstatistik Kurumu'nun 3 Kasım 2026'da açıkladığı Yurt İçi Üretici Fiyat Endeksi verisiyle 2027 yılı yeniden değerleme oranı yüzde 27,83 olarak hesaplandı. Oran, BloombergHT ve Sözcü'nün aynı gün geçtiği haberlerde teyit edildi. Bu oran yalnızca vergi ve harçları değil, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesindeki idari para cezalarını da doğrudan etkiliyor.

Cezalar 1 Ocak 2027'de yeni tutarlarla uygulanacak

KVKK idari para cezaları her yıl Vergi Usul Kanunu'nun mükerrer 298. maddesi uyarınca yeniden değerleme oranında artırılıyor. 2026 tutarları üzerine yüzde 27,83 uygulandığında ortaya çıkan 2027 tablosu şöyle:

• Aydınlatma yükümlülüğünün ihlali: 85.437 – 1.709.200 TL aralığı, 109.214 – 2.184.870 TL'ye çıkıyor.
• Veri güvenliğine ilişkin yükümlülüklerin ihlali: 256.357 – 17.092.242 TL aralığı, 327.701 – 21.849.012 TL'ye çıkıyor.
• Kurul kararlarının yerine getirilmemesi: 427.263 TL olan alt sınır 546.170 TL'ye yükseliyor.
• VERBİS kayıt ve bildirim yükümlülüğünün ihlali: 341.809 TL olan alt sınır 436.934 TL'ye yükseliyor.

2026 tutarları Köksal & Partners'ın yayımladığı güncel ceza tablosundan, 2027 karşılıkları ise Pekin Hukuk Bürosu'nun 4 Kasım tarihli bültenindeki hesaplamadan alınmıştır. Tutarlar Hazine ve Maliye Bakanlığı'nın Vergi Usul Kanunu genel tebliğinin Resmî Gazete'de yayımlanmasıyla kesinleşecek.

KOBİ tarafında bu ne anlama geliyor?

Dikkat çeken nokta, en yüksek cezanın "veri sızdırıldı" durumuna değil, veri güvenliği yükümlülüklerinin yerine getirilmemesine bağlanmış olması. Yani bir ihlal yaşanmasa bile, yedeklemesi çalışmayan, erişim yetkileri dağıtılmış, log tutmayan bir yapı tek başına ceza konusu olabiliyor. Üst sınırın 21,8 milyon TL'ye çıkması, orta ölçekli bir firma için teorik bir rakam olmaktan çıkıp bilanço riskine dönüşüyor. Kurul'un kararlarında en sık karşılaşılan gerekçeler de teknik tarafta toplanıyor: güncellenmemiş sistemler, denetlenmeyen erişim yetkileri ve çalıştığı doğrulanmamış yedekler.

Alt sınırların da artması ikinci önemli detay. Kurul'un uyguladığı cezaların büyük kısmı alt sınıra yakın seyrediyor; dolayısıyla 20 kişilik bir ofis için bile bir VERBİS gecikmesinin faturası artık 436.934 TL'den başlıyor. İnşaat ofisleri, acenteler, klinikler ve lojistik firmaları gibi müşteri ve personel verisini yoğun işleyen işletmeler için bu eşik, danışmanlık ve altyapı yatırımının çok üzerinde. Üstelik cezanın tebliğinden sonra eksikliği gidermek, baştan önlem almaya göre hem daha pahalı hem de itibar açısından daha maliyetli oluyor.

Kamer Bilişim olarak ne öneriyoruz?

Yılbaşına iki ay kaldı. Bu süre, cezaların yükseldiği tarihe kadar uyum açıklarını kapatmak için fazlasıyla yeterli:

• VERBİS kaydınızı ve kayıt içeriğinizi kontrol edin. Kayıt var ama veri kategorileri, saklama süreleri ve irtibat kişisi bilgisi güncel değilse bildirim yükümlülüğü tam yerine getirilmiş sayılmıyor. Değişen personel ve yeni işlenen veri türleri için kaydı güncelleyin.
• Yedeklemenizi geri dönüş testiyle doğrulayın. Veri güvenliği yükümlülüğü, yedek alınmasını değil verinin kurtarılabilir olmasını gerektiriyor. En az bir sunucu ve bir kritik paylaşımda tam geri yükleme testi yapın, sonucu tarihli olarak kayıt altına alın.
• Erişim yetkilerini ve log kayıtlarını gözden geçirin. Ayrılan personelin hesaplarını kapatın, "herkes yönetici" yapısını rol bazlı yetkilendirmeye çevirin, sunucu ve firewall loglarının tutulduğunu ve saklandığını doğrulayın. İhlal anında ilk sorulan budur.

Mevcut altyapınızın KVKK teknik tedbirleri karşısında nerede durduğunu görmek isterseniz, İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan değerlendirme yapıyoruz. İletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: BloombergHT, Sözcü, Pekin Hukuk Bürosu, Köksal & Partners