KVKK Cezasına İtiraz Nasıl Edilir? İdare Mahkemesinde 60 Gün, %25 İndirim ve Yürütmenin Durdurulması

Kısa cevap: evet, itiraz edilebilir, ama gidilecek kapı değişti. 6698 sayılı Kanun'un 18. maddesine 2 Mart 2024 tarihli ve 7499 sayılı Kanun'un 35. maddesiyle eklenen üçüncü fıkra tek cümleden oluşuyor: Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir. Hüküm 1 Haziran 2024'te yürürlüğe girdi. On beş gün içinde sulh ceza hâkimliğine başvurma dönemi kapandı; bugün yapılacak şey, kararın tebliğinden itibaren altmış gün içinde idare mahkemesinde iptal davası açmak. Süre 2577 sayılı İdari Yargılama Usulü Kanunu'nun 7. maddesinden, yetkili mahkeme de 32. maddesinden geliyor: dava, işlemi yapan idari merciin bulunduğu yer idare mahkemesinde görülür. Kişisel Verileri Koruma Kurumu'nun merkezi Ankara olduğu için (6698 m.19/3) dosya Ankara idare mahkemelerine gidiyor. Bir de çoğu şirketin bilmediği bir imkân var: cezayı indirimli ödemek, dava açma hakkınızı ortadan kaldırmıyor.

Değişikliğin sebebi eski dönemin belirsizliği. 6698 sayılı Kanun'da idari para cezalarına karşı yargı yolunu gösteren bir hüküm yoktu, bu yüzden 5326 sayılı Kabahatler Kanunu'nun 27. maddesindeki genel kural işliyordu: kararın tebliğinden itibaren en geç on beş gün içinde sulh ceza hâkimliğine başvuru. Kurul'un aynı kararında hem para cezası hem de veri işlemenin durdurulması gibi bir tedbir varsa dosya ikiye bölünüyordu, biri adli yargıya biri idari yargıya. 7499 sayılı Kanun bu ikiliği kaldırdı. Geçiş de düzenlendi: Kanun'a eklenen Geçici Madde 3'ün ikinci fıkrası, 1 Haziran 2024 itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvuruların bu hâkimliklerce görülmeye devam edeceğini söylüyor. Dikkat edilecek nokta şu: internette dolaşan dilekçe örneklerinin ve pek çok yazının hâlâ on beş gün ile sulh ceza hâkimliğinden söz ediyor olması. Yanlış yargı koluna başvurulduğunda İdari Yargılama Usulü Kanunu'nun 9. maddesi bir kurtarma imkânı tanıyor, ama o imkâna güvenerek süre riskine girmenin bir mantığı yok.

Altmış gün hak düşürücü süre. Sayım tebliğ tarihinden değil, tebliğ tarihini izleyen günden başlıyor (İYUK m.8/1); tatil günleri süreye dahil, son gün tatile denk gelirse süre izleyen çalışma gününün bitimine kadar uzuyor. Sürenin bitimi çalışmaya ara verme zamanına, yani adli tatile denk gelirse yedi gün ekleniyor. Diyelim ki karar 12 Ağustos'ta tebliğ edildi: süre 13 Ağustos'tan işlemeye başlar. Evrakın şirket içinde kimin masasında beklediği ya da yönetime hangi tarihte çıktığı bu başlangıcı değiştirmiyor. Elektronik yolla tebligat yapıldıysa hesap biraz farklı: 7201 sayılı Tebligat Kanunu'nun 7/a maddesi, elektronik tebligatın muhatabın elektronik adresine ulaştığı tarihi izleyen beşinci günün sonunda yapılmış sayıldığını düzenliyor. Karar geldiğinde yapılacak ilk iş tebligat tarihini bir yere yazmak, ikinci iş o tarihten altmışıncı günü takvime işlemek.

Şimdi en çok kaçırılan kısma gelelim. 6698 sayılı Kanun idari para cezası için bir ödeme süresi belirlemiyor. Böyle durumlarda Kabahatler Kanunu'nun 17. maddesinin altıncı fıkrası devreye giriyor ve fıkranın 1 Temmuz 2022 tarihli ve 7417 sayılı Kanun'la değiştirilen cümleleri şunu söylüyor: kanunlarında ödeme süresi düzenlenmemiş olan idari para cezaları tebliğinden itibaren bir ay içinde ödenir, ceza bu süre içinde ödenirse cezadan %25 oranında indirim yapılır. Aynı fıkraya eklenen cümle tereddüdü bitiriyor: ödeme yapılması, kişinin bu karara karşı kanun yoluna başvurma hakkını etkilemez. Yani bir ay içinde indirimli ödeyip kalan sürede dava açmak mümkün. 800.000 TL'lik bir ceza tebliğden itibaren bir ay içinde ödendiğinde 600.000 TL'ye iniyor ve dava hakkı yerinde kalıyor; işlem sonradan iptal edilirse ödenen tutarın iadesi gündeme gelir. Ödeme gücü yetmiyorsa aynı maddenin üçüncü fıkrası, ilk taksitin peşin ödenmesi koşuluyla bir yıl içinde ve dört eşit taksitle ödemeye karar verilebileceğini düzenliyor. Hiç ödeme yapılmazsa alacak 6183 sayılı Amme Alacaklarının Tahsil Usulü Hakkında Kanun'a göre takip edilir ve üstüne gecikme zammı biner.

Dava açmak tahsilatı kendiliğinden dondurmuyor. İdari Yargılama Usulü Kanunu'nun 27. maddesinin birinci fıkrası açık: Danıştay'da veya idari mahkemelerde dava açılması, dava edilen idari işlemin yürütülmesini durdurmaz. Bu yüzden dilekçede yürütmenin durdurulması ayrıca istenir ve ayrıca gerekçelendirilir. İkinci fıkra iki şartı birlikte arıyor, işlemin uygulanması hâlinde telafisi güç veya imkânsız zararların doğması ve işlemin açıkça hukuka aykırı olması. Mahkeme kural olarak davalı idarenin savunmasını aldıktan veya savunma süresi geçtikten sonra karar veriyor ve kararında her iki şartın neden gerçekleştiğini göstermek zorunda. Talep reddedilirse bir defaya mahsus olmak üzere yedi gün içinde bölge idare mahkemesine itiraz edilebiliyor. Ceza tutarı şirketin nakit akışını gerçekten zorlayacaksa, bunu bilanço ve tahsilat verisiyle anlatan bir yürütmenin durdurulması talebi dilekçenin en önemli kısmı olur.

Beklentiyi doğru kurmak gerekiyor: idare mahkemesi ceza tutarını kendisi aşağı çekemez. İYUK'un 2. maddesinin ikinci fıkrası idari yargı yetkisini hukuka uygunluk denetimiyle sınırlıyor, mahkemelerin yerindelik denetimi yapamayacağını ve idarenin takdir yetkisini kaldıracak biçimde karar veremeyeceğini söylüyor. Mahkeme işlemi ya hukuka uygun bulur ya da iptal eder; iptal hâlinde tutarı yeniden değerlendirmek Kurul'a düşer. Eski sistemde durum farklıydı, çünkü Kabahatler Kanunu'nun 28. maddesinin dokuzuncu fıkrası sulh ceza hâkimine idari para cezasının miktarında değişiklik yaparak başvuruyu kabul etme yetkisi veriyordu. Yargı yolu değişikliğinin en az konuşulan sonucu bu. Strateji de buna göre kurulur: biraz indirim koparma hedefi yerine, işlemi sakatlayan hukuka aykırılığı göstermek.

Dilekçeyi yazmadan önce kararın hangi bende dayandığını netleştirin. 18. maddenin birinci fıkrası beş ayrı kabahat sayıyor: aydınlatma yükümlülüğü (a), veri güvenliğine ilişkin yükümlülükler (b), Kurul kararlarını yerine getirmeme (c), Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğü (ç) ve 9. maddenin beşinci fıkrasındaki bildirim yükümlülüğü (d). 2026 tutarları sırasıyla 85.437 TL ile 1.709.200 TL, 256.357 TL ile 17.092.242 TL, 427.263 TL ile 17.092.242 TL, 341.809 TL ile 17.092.242 TL ve 90.308 TL ile 1.806.177 TL arasında. Tek kararda birden fazla ceza olabiliyor, örneğin aydınlatma ile veri güvenliği birlikte; her biri ayrı ayrı ele alınmalı, çünkü biri ayakta kalırken diğeri iptal edilebilir. Muhatap kontrolü de burada yapılıyor. 18. maddenin ikinci fıkrası (a), (b), (c) ve (ç) bentlerindeki cezaların veri sorumlusu hakkında uygulanacağını söylüyor; yalnızca (d) bendindeki ceza veri sorumlusu veya veri işleyen hakkında uygulanabiliyor. Veri işleyen konumundaki bir hizmet sağlayıcıya veri güvenliği gerekçesiyle kesilen ceza, bu fıkra karşısında tartışmalı hâle gelir. Aynı fıkra cezaların gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanacağını da belirtiyor; kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları için dördüncü fıkra disiplin yolunu gösteriyor.

İptal sebepleri İYUK'un 2. maddesinde sayılan beş başlık altında toplanıyor: yetki, şekil, sebep, konu ve maksat. Pratikte en çok işleyen üç argüman var. Birincisi ölçülülük ve gerekçe. Kabahatler Kanunu'nun 17. maddesinin ikinci fıkrası, alt ve üst sınır arasında ceza belirlenirken işlenen kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumunun birlikte göz önünde bulundurulmasını istiyor. Kurul kararında bu unsurlara dair somut bir değerlendirme yoksa, üst sınıra yakın bir tutarın nasıl bulunduğu sorusu cevapsız kalır. İkincisi usul ve savunma hakkı. 6698'in 15. maddesinin üçüncü fıkrası, veri sorumlusunun Kurul'un istediği bilgi ve belgeleri on beş gün içinde göndermesini düzenliyor; süreç bir bilgi isteme yazısıyla yürüyor. Bu yazışma hiç yapılmadan ya da savunma için gerçek bir imkân tanınmadan verilen cezada şekil sakatlığı tartışılır. Üçüncüsü maddi vakıa. İhlal olarak nitelenen olayın gerçekte nasıl geliştiği, alınmış teknik ve idari tedbirlerin kararda eksik yansıtılıp yansıtılmadığı burada konuşulur. Kurul incelemesi sırasında gönderdiğiniz belgeler dava dosyasının çekirdeğini oluşturuyor; o aşamada hiç anlatılmamış bir tedbir veya gönderilmemiş bir log kaydı, sonradan telafisi zor bir boşluk bırakıyor.

Zamanaşımı savunması sık sık gözden kaçıyor. Kabahatler Kanunu'nun 20. maddesi, soruşturma zamanaşımı dolduktan sonra kişi hakkında idari para cezasına karar verilemeyeceğini söylüyor ve süreyi cezanın ağırlığına göre kademelendiriyor; yüz bin TL veya daha fazla idari para cezası gerektiren kabahatlerde süre beş yıl. KVKK cezalarının kanuni sınırları bu eşiğin üzerinde olduğundan pratikte beş yıllık süre konuşuluyor. Süre, kabahate ilişkin tanımdaki fiilin işlenmesiyle veya neticenin gerçekleşmesiyle işlemeye başlıyor. Bir uyarı: kesintisiz devam eden ihlallerde bu savunma işlemez. VERBİS kaydının hiç yapılmamış olması ya da hukuka aykırı işlemenin sürüyor olması gibi hâllerde ihlal her gün yeniden gerçekleşiyor, dolayısıyla olayın 2019'da yaşandığını söylemek yeterli olmuyor.

Kurul'un her kararı para cezası değil ve hepsi aynı riski taşımıyor. 15. maddenin beşinci fıkrası uyarınca Kurul, tespit ettiği hukuka aykırılıkların giderilmesine karar verebiliyor ve bu karar tebliğden itibaren gecikmeksizin, en geç otuz gün içinde yerine getiriliyor. Yedinci fıkra, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık hâlinde veri işlemenin veya yurt dışına aktarımın durdurulmasına karar verme yetkisi tanıyor. Bu kararlara karşı da altmış gün içinde iptal davası açılabiliyor. Kritik ayrıntı şu: dava açmak otuz günlük yerine getirme süresini kendiliğinden askıya almıyor ve giderim kararının yerine getirilmemesi 18. maddenin birinci fıkrasının (c) bendi kapsamında ayrı bir cezaya yol açıyor, 2026'da 427.263 TL ile 17.092.242 TL arasında. Yürütmenin durdurulması kararı alınmadıysa doğru hamle davayı açmak ve aynı zamanda kararın gereğini yerine getirmek. Dava hakkı yalnızca veri sorumlusunda da değil: şikâyeti reddedilen ilgili kişi de bu kararı dava edebilir ve 15. maddenin dördüncü fıkrası, şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talebin reddedilmiş sayılacağını düzenliyor.

Usul tarafında iki küçük ayrıntı dosya kaybettiriyor. Sulh ceza yolunda başvuru harca tâbi değildi; idari yargıda ise dava, dilekçenin harç ve posta ücreti alındıktan sonra deftere kaydedilmesiyle açılmış sayılıyor (İYUK m.6/1) ve eksik harç veya posta ücreti tebligata rağmen tamamlanmazsa davanın açılmamış sayılmasına karar veriliyor. İkincisi karardan sonraki süreler. İdare mahkemesi kararına karşı tebliğden itibaren otuz gün içinde bölge idare mahkemesine istinaf yolu açık; İYUK'ta öngörülen ve her yıl güncellenen parasal sınırı aşan davalarda bölge idare mahkemesi kararına karşı Danıştay'a temyiz de mümkün. KVKK cezaları tutar itibarıyla genellikle bu sınırların üzerinde kalıyor, yine de kendi dosyanızdaki tutarı karar tarihinde geçerli sınırla karşılaştırmak gerekiyor.

Bu işin en pahalı kısmı genelde dava değil, davadan önceki aşama. Kurul'un bilgi isteme yazısına gecikmeli veya eksik cevap verildiğinde, altmış gün sonra açılacak davanın malzemesi de o cevapla sınırlı kalıyor. Elinizde bir Kurul kararı varsa hangi bende dayandığı, sürenin ne zaman dolduğu ve indirimli ödemenin sizin dosyanızda mantıklı olup olmadığı bir saatlik bir okumayla çıkar. KVKK Danışman'ın ücretsiz ön değerlendirmesinde kararı birlikte okuyup takvimi ve seçenekleri netleştirebiliriz.

Randevu Al