KVKK Cezasına İki Mahkemede İtiraz: İndirilen Ceza Geri Geldi

Bugünkü (8 Kasım 2026) Resmî Gazete’nin yargı bölümünde, Kişisel Verileri Koruma Kurulu cezalarıyla ilgili iki Uyuşmazlık Mahkemesi kararı var. Konuları farklı: biri bir spor salonunun üye girişinde el geometrisi okutması, diğeri bir şirketin Veri Sorumluları Siciline (VERBİS) kaydolmaması. İki dosyanın ortak yanı şu: aynı ceza için iki ayrı mahkemeye gidilmiş ve iki mahkeme farklı sonuca varmış. Sulh ceza hâkimliği iki dosyada da cezayı kanundaki alt sınıra indirmiş, idare mahkemesi ise iki dosyada da cezanın tamamını onamıştı.

Uyuşmazlık Mahkemesi iki çelişkiyi de aynı yönde çözdü. Sulh ceza kararları kaldırıldı, idare mahkemesi kararları benimsendi. Spor salonunun indirimle 27.037 TL’ye düşen cezası 100.000 TL’ye, VERBİS cezası ise 53.572 TL’den 850.000 TL’ye döndü. İki karar da oy birliğiyle ve kesin olarak verildi.

İki dosya, iki mahkeme, tek sonuç

Kaynak: Uyuşmazlık Mahkemesi kararları, R.G. 8.11.2026, Sayı 33424. Taraf adları R.G.‘de baş harfleriyle yer alıyor.

Tablonun en dikkat çekici satırı, Mahkemeye kimin başvurduğu. Spor salonu dosyasında başvuruyu cezayı alan şirket yaptı. Amaç, çelişkiyi gerekçe göstererek cezanın tamamen iptal edilmesini sağlamaktı. Sonuçta şirket sulh cezada kazandığı indirimi de kaybetti.

Dosya 1: Spor salonunda el geometrisi

Olay 2020’de başlıyor. Bir üye, salona kaydolurken avuç içinin ve parmaklarının tarandığını, girişin cihaza el koyup şifre tuşlanarak yapıldığını ve bunun “şirket prosedürü” olarak üyeliğin şartı tutulduğunu Kuruma şikâyet etti. Kurul 7 Temmuz 2022’de üç karar verdi: 100.000 TL idari para cezası, girişte el geometrisi kullanımının durdurulması ve toplanan verilerin silinmesi.

Şirketin savunması teknikti. Cihazın parmak izi değil el geometrisi okuduğunu, el geometrisinin parmak izi gibi kişiden kişiye değişen bir özellik olmadığını, iki kişide aynı çıkabileceğini, bu yüzden özel nitelikli veri sayılmaması gerektiğini ve sistemin şifreyle birlikte çalıştığını ileri sürdü. Kurum’un incelemesi farklı bir tablo ortaya koydu. Cihaz eli 31.000 noktadan üç boyutlu tarıyor, parmak uzunluklarını ve eklemler arası mesafeleri analiz ediyordu. Kararda yanlış eşleşme olasılığının “çok düşük” olduğu tespit edildi.

İdare mahkemesi ve Uyuşmazlık Mahkemesi aynı ölçütü uyguladı. Bir verinin biyometrik sayılması için kişiyi tanımlamaya veya doğrulamaya elverişli olması yeterli. Fizyolojik bir özellikten otomatik doğrulama yapan bir sistem bu tanıma girer. Biyometrik veri özel nitelikli olduğu için md. 6’ya göre ancak açık rıza veya kanunda sayılan diğer şartlardan biriyle işlenebilir. Dosyada açık rıza alınmadığı ve sistemin bütün üyelere uygulandığı konusunda taraflar arasında uyuşmazlık yoktu.

Ceza miktarı tartışması. Sulh ceza hâkimliği ihlalin varlığını kabul etti ama Kurul’un alt sınırdan neden ayrıldığının “net olarak anlaşılamadığını” söyledi ve cezayı eylem tarihindeki alt sınır olan 27.037 TL’ye indirdi. Uyuşmazlık Mahkemesi bu gerekçeyi hukuka aykırı buldu. Kurul kararında üç gerekçe zaten yazılıydı:

• Kurum, el geometrisinin açık rıza olmadan işlenemeyeceğini daha önce iki ayrı karar özetiyle internet sitesinde duyurmuş, sektörü uyarmıştı.
• İhlal yalnız şikâyetçiyi değil, salonun bütün üyelerini kapsıyordu.
• Bu iki olgu birlikte kusurun ağırlığını gösteriyordu.

Mahkeme, Kabahatler Kanunu md. 17/2’deki ölçüye göre (haksızlık içeriği, failin kusuru ve ekonomik durumu) alt sınırdan uzaklaşmanın gerekçeli ve hukuka uygun olduğuna karar verdi.

Dosya 2: VERBİS’e kaydolmayan şirket

İkinci dosyada ceza alan şirket araç alım-satım, servis ve kiralama işi yapıyordu. Kurul’un 2021/238 sayılı kararıyla yıllık mali bilançosu 200 milyon TL’yi aşan veri sorumluları için sicile kayıt son tarihi 31 Aralık 2021’di. Şirket bu tarihe kadar kaydını tamamlamadı ve 850.000 TL ceza aldı. Sulh ceza hâkimliği bu cezayı 2022 yılının alt sınırı olan 53.572 TL’ye indirdi. Ankara 9. İdare Mahkemesi ise iptal davasını reddetti.

Şirketin en güçlü itirazı ceza algoritmasıyla ilgiliydi. Kurul’un ceza tutarını yayımlanmamış bir hesaplama yöntemiyle belirlediğini, bu yöntemin belirsiz olduğunu ve ceza miktarına dayanak yapılamayacağını savundu. Uyuşmazlık Mahkemesi bu itirazı kabul etmedi. Kurul’un dosyaya sunduğu yöntem cezayı bilanço büyüklüğüne göre kademelendiriyordu ve Mahkeme bunu bir hakkaniyet ölçütü olarak gördü. Yöntemin önceden ilgililere duyurulması zorunlu değildi, çünkü dava açıldığında verilen cezanın orantılı olup olmadığını mahkeme zaten denetleyebiliyordu. 850.000 TL o yılın üst sınırı olan 2.678.863 TL’nin üçte birinden azdı. Mahkeme, bu tutarın şirketin bilanço büyüklüğüne göre caydırıcı, hakkaniyetli ve orantılı olduğu yönündeki idare mahkemesi tespitini yerinde buldu.

Bugün itiraz yolu ne? 2024 değişikliği

Bu iki çelişkili sonuç, eski sistemde iki ayrı yolun aynı anda kullanılabilmesinden doğdu. KVKK’da itiraz yoluna dair özel bir hüküm yokken para cezasına, genel kural olan Kabahatler Kanunu md. 27 uyarınca tebliğden itibaren 15 gün içinde sulh ceza hâkimliğinde itiraz ediliyordu. Kurul’un durdurma ve silme talimatları ise idari işlem olduğu için idare mahkemesinde dava konusu ediliyordu. Ceza da Kurul kararının parçası olduğundan iki mahkeme aynı cezayı ayrı ayrı değerlendirebiliyordu.

2 Mart 2024 tarihli 7499 sayılı Kanun bu ikiliği kaldırdı. 6698 sayılı Kanun md. 18’e eklenen üçüncü fıkra şöyle: “Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.” Geçici madde 3’e göre 1 Haziran 2024 itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvurular oralarda sonuçlandırıldı. Bugün yeni bir KVKK cezasının tek yolu idare mahkemesi. Dava açma süresi İYUK md. 7 uyarınca yazılı bildirimden itibaren 60 gün.

paradefter yorumu

1. İki kararın birlikte okunması tek bir karardan daha çok şey söylüyor. Biri şirketin, diğeri Kurum’un başvurusuyla gelen iki dosyada Uyuşmazlık Mahkemesi aynı ilkeyi uyguladı. Kurul ceza miktarını gerekçelendirmişse, sulh cezanın “gerekçe anlaşılamadı” diyerek cezayı alt sınıra çekmesi kabul görmedi. Bu bizim okumamız. Mahkeme bunu genel bir kural olarak koymadı, iki somut dosyada bu sonuca vardı. Yine de 2024 öncesinden kalan ve çelişkili kararla kesinleşmiş başka dosyalar için yön belli görünüyor.

2. Kurum’un yayımladığı karar özetleri artık “bilmiyordum” savunmasını zayıflatıyor. Spor salonu kararında kusurun ağırlığına dayanak yapılan ilk gerekçe, Kurum’un aynı konuda daha önce iki karar özeti yayımlamış olması. Bundan şu sonuç çıkıyor: Kurum bir uygulamayı sitesinde duyurduğunda, aynı uygulamayı sürdüren veri sorumlusu daha yüksek ceza bekleyebilir. Mesai takibinde biyometrik veri kullanımına dair 2026/921 sayılı İlke Kararı da artık bu türden bir duyuru.

3. Müşteri girişi, mesai takibinden farklı bir alan. 2026/921 sayılı İlke Kararı yalnız çalışanların mesai takibini kapsıyor. Spor salonu, site veya rezidans girişindeki biyometrik sistemler ilke kararının kapsamı dışında ve md. 6’nın genel kuralına tabi. Bu kararın bize göre pratik sonucu şu: üyeliği biyometrik okutmaya bağlayan bir sistemde açık rızanın “özgür irade” şartını taşıdığını savunmak zor. Kart, QR kod veya PIN gibi biyometrik olmayan bir alternatif sunmak, rızayı savunulabilir kılmanın en düz yolu.

En sık yapılan hatalar

• “El geometrisi parmak izi değil, biyometrik sayılmaz” demek. Kararda ölçüt verinin türü değil, kişiyi otomatik olarak doğrulamaya elverişli olması.
• “Şifreyle birlikte kullanıyoruz” savunmasına güvenmek. İkinci bir doğrulama katmanı olması biyometrik veri işlendiği gerçeğini değiştirmedi.
• Ceza miktarını “algoritma ilan edilmedi” diye düşürmeye çalışmak. Mahkeme, bilanço büyüklüğüne dayalı yöntemi hakkaniyet ölçütü saydı.
• Bugün sulh cezaya itiraz dilekçesi vermek. 1 Haziran 2024’ten sonra tebliğ edilen KVKK cezaları için yol idare mahkemesi. Yanlış merciye başvurmak süre kaybettirebilir.
• Eski bir dosyada sulh cezadaki indirimi kesin kazanım saymak. Aynı ceza idare mahkemesinde aleyhinize kesinleşmişse, iki dosyada da olduğu gibi indirim Uyuşmazlık Mahkemesi önünde kalkabilir.

Pratik karar tablosu

Sonuç

İki kararın mesajı açık. KVKK cezası alan bir veri sorumlusu, iki ayrı mahkemenin farklı kararlarından kendine uygun olanı seçemiyor. Uyuşmazlık Mahkemesi bu iki dosyada idari yargının değerlendirmesini esas aldı ve ceza tam tutarıyla geri geldi. 2024’ten sonra yol zaten tek: idare mahkemesi. Biyometrik veri işleyen işletmeler için asıl ders ise Kurum’un duyurularının ceza miktarında ağırlaştırıcı neden olarak kullanılabilmesi. Bir uygulama Kurum sitesinde hukuka aykırı ilan edildiyse, onu sürdürmenin bedeli yükselir. Veri ihlali tarafındaki son örnek için: Pizza zinciri veri ihlali kararı.

Kaynaklar

• Resmî Gazete, 8 Kasım 2026, Sayı 33424 — içindekiler: resmigazete.gov.tr/eskiler/2026/11/20261108.htm
• Uyuşmazlık Mahkemesi kararları (E.2024/361 K.2026/211 ve E.2025/228 K.2026/82), R.G. 8.11.2026, Sayı 33424: 20261108-4.pdf
• 6698 sayılı Kişisel Verilerin Korunması Kanunu (md. 6, 12, 16, 18 ve geçici md. 3 — 7499 sayılı Kanun değişiklikleriyle): mevzuat.gov.tr
• 5326 sayılı Kabahatler Kanunu (md. 17, 27): mevzuat.gov.tr
• 2577 sayılı İdari Yargılama Usulü Kanunu (md. 7): mevzuat.gov.tr