Kanun, hem idari para cezaları verilmesine hem de cezai sorumluluğa ilişkin hükümler içermektedir.
Kanun, cezai sorumluluğa ilişkin olarak, Türk Ceza Kanunu’nun kişisel verilerin hukuka aykırı olarak kaydedilmesi, hukuka aykırı olarak verilmesi veya ele geçirilmesine ilişkin yaptırımların yer aldığı ilgili hükümlerine atıfta bulunmaktadır.
Cezai yaptırımlara ek olarak, Kanun’da ayrıca ihlal durumunda uygulanacak idari para cezalarına ilişkin ayrıntıların yer aldığı hükümler bulunmaktadır. Kanun kapsamında dört temel ihlal türü tanımlanmıştır:
- (i) Veri sorumlusunun veri sahibini aydınlatma yükümlülüğünü yerine getirmemesi;
- (ii) Veri sorumlusunun veri güvenliğine ilişkin yükümlülüklerini yerine getirmemesi;
- (iii) Veri sorumlusunun Kurul tarafından alınan kararları uygulamaması ve
- (iv) Veri sorumlusunun, Veri Sorumluları Siciline kayıt yükümlülüğünü yerine getirmemesi.
Söz konusu ihlaller hakkında 29.853 – 5.971.980 TL’ye kadar (2023 yılı için güncellenmiş tutarlardır) bir idari para cezası verilebilir.
Kurul, Kanun’un ihlaline ilişkin çok sayıda karar yayınlamıştır ve verilerin hukuka aykırı işlendiği veya aktarıldığı durumlarda, veri güvenliğine ilişkin tedbirleri almayan veri sorumlularına idari para cezaları uygulamaktadır.
Kurul’un bazı durumlarda veri ihlali bildirimi üzerine veya re’sen gerçekleştirilen incelemelerin ardından başkaca bir bilgi veya ilgililerin savunmasını talep etmeksizin para cezalarının verildiği kararlar aldığı da gözlemlenmiştir. Kişisel Verileri Koruma Kurulu Çalışma Usul ve Esaslarına Dair Yönetmelik, Kurul’un incelemeye tabi tutulan kişilere savunma hakkı tanımasını açıkça gerekli kılmasa da, atılacak bu tür adımlar para cezalarının daha açık bir biçimde gerekçelendirilmesini sağlayacaktır.
Kanun her ne kadar henüz Türk mahkemeleri tarafından cezai yükümlülüklere sebebiyet verecek şekilde etkin olarak uygulanmamış olsa da, ceza mahkemelerinin veri koruma kurallarına ilişkin deneyimsizliği veri sorumluları ve yürüttükleri veri işleme faaliyetleri bakımından risk teşkil etmektedir.