GDPR İlgili Dibaceler 3 dibace
Recital 129
In order to ensure consistent monitoring and enforcement of this Regulation throughout the Union, the supervisory authorities should have in each Member State the same tasks and effective powers, including powers of investigation, corrective powers and sanctions, and authorisation and advisory powers, in particular in cases of complaints from natural persons, and without prejudice to the powers of prosecutorial authorities under Member State law, to bring infringements of this Regulation to the attention of the judicial authorities and engage in legal proceedings. Such powers should also include the power to impose a temporary or definitive limitation, including a ban, on processing. Member States may specify other tasks related to the protection of personal data under this Regulation. The powers of supervisory authorities should be exercised in accordance with appropriate procedural safeguards set out in Union and Member State law, impartially, fairly and within a reasonable time. In particular each measure should be appropriate, necessary and proportionate in view of ensuring compliance with this Regulation, taking into account the circumstances of each individual case, respect the right of every person to be heard before any individual measure which would affect him or her adversely is taken and avoid superfluous costs and excessive inconveniences for the persons concerned. Investigatory powers as regards access to premises should be exercised in accordance with specific requirements in Member State procedural law, such as the requirement to obtain a prior judicial authorisation. Each legally binding measure of the supervisory authority should be in writing, be clear and unambiguous, indicate the supervisory authority which has issued the measure, the date of issue of the measure, bear the signature of the head, or a member of the supervisory authority authorised by him or her, give the reasons for the measure, and refer to the right of an effective remedy. This should not preclude additional requirements pursuant to Member State procedural law. The adoption of a legally binding decision implies that it may give rise to judicial review in the Member State of the supervisory authority that adopted the decision.
Recital 148
In order to strengthen the enforcement of the rules of this Regulation, penalties including administrative fines should be imposed for any infringement of this Regulation, in addition to, or instead of appropriate measures imposed by the supervisory authority pursuant to this Regulation. In a case of a minor infringement or if the fine likely to be imposed would constitute a disproportionate burden to a natural person, a reprimand may be issued instead of a fine. Due regard should however be given to the nature, gravity and duration of the infringement, the intentional character of the infringement, actions taken to mitigate the damage suffered, degree of responsibility or any relevant previous infringements, the manner in which the infringement became known to the supervisory authority, compliance with measures ordered against the controller or processor, adherence to a code of conduct and any other aggravating or mitigating factor. The imposition of penalties including administrative fines should be subject to appropriate procedural safeguards in accordance with the general principles of Union law and the Charter, including effective judicial protection and due process.
Recital 150
In order to strengthen and harmonise administrative penalties for infringements of this Regulation, each supervisory authority should have the power to impose administrative fines. This Regulation should indicate infringements and the upper limit and criteria for setting the related administrative fines, which should be determined by the competent supervisory authority in each individual case, taking into account all relevant circumstances of the specific situation, with due regard in particular to the nature, gravity and duration of the infringement and of its consequences and the measures taken to ensure compliance with the obligations under this Regulation and to prevent or mitigate the consequences of the infringement. Where administrative fines are imposed on an undertaking, an undertaking should be understood to be an undertaking in accordance with Articles 101 and 102 TFEU for those purposes. Where administrative fines are imposed on persons that are not an undertaking, the supervisory authority should take account of the general level of income in the Member State as well as the economic situation of the person in considering the appropriate amount of the fine. The consistency mechanism may also be used to promote a consistent application of administrative fines. It should be for the Member States to determine whether and to which extent public authorities should be subject to administrative fines. Imposing an administrative fine or giving a warning does not affect the application of other powers of the supervisory authorities or of other penalties under this Regulation.
Dibace 129
Bu Tüzük’ün tüm Birlik içinde tutarlı bir şekilde izlenmesini ve uygulanmasını sağlamak maksadıyla, her Üye Devlet içinde denetim makamları, özellikle de gerçek kişilerden şikâyet gelmesi durumunda, Üye Devlet hukuku çerçevesinde soruşturma makamlarının yetkilerine halel gelmeksizin, bu Tüzük’e ilişkin ihlalleri adli makamların dikkatine sunmak ve hukuk süreçlerine dâhil olmak üzere; soruşturma yetkileri, düzeltme yetkileri ve yaptırımlar, izin ve danışma yetkileri dâhil, aynı görevleri ve tesirli yetkileri haiz olmalıdır. Söz konusu yetkiler, işleme yasağı da dâhil olmak üzere geçici veya kati bir sınırlama getirme yetkisini de içermelidir. Üye Devletler, bu Tüzük kapsamında kişisel verilerin korunmasına ilişkin başka görevler belirleyebilir. Denetim makamlarının yetkileri, Birlik ve Üye Devlet hukukunda belirlenen uygun usuli güvenceler uyarınca tarafsız, adil ve makul bir süre içinde kullanılmalıdır. Bu Tüzük’e uyumun sağlamasını teminen ve her münferit vakanın koşullarını dikkate alınması suretiyle; özellikle her bir tedbir uygun, gerekli ve orantılı olmalı, kişiyi olumsuz yönde etkileyebilecek bireysel bir tedbir alınmadan önce herkesin dinlenilme hakkını gözetmeli, gereksiz harcamalara ve veri öznelerine yönelik aşırı zorluklara meydan vermemelidir. Tesislere erişime ilişkin soruşturma yetkileri, ön adli izin alınması koşulu gibi Üye Devlet'in usul hukuku kapsamındaki belirli şartlar uyarınca kullanılmalıdır. Denetim makamı tarafından alınan ve hukuki bağlayıcılığı bulunan her tedbir yazılı, açık ve net olmalı; tedbiri alan denetim makamını ve tedbirin alınma tarihini belirtmeli; denetim makamı başkanının veya başkan tarafından yetkilendirilen denetim makamı üyesinin imzasını taşımalı; tedbirin gerekçelerini sunmalı ve etkili bir hukuk yoluna başvurma hakkına işaret etmelidir. Bu durum, Üye Devlet'in usul hukuku uyarınca öngörülen ek gerekliliklere engel teşkil etmemelidir. Hukuki olarak bağlayıcı olan bir kararın kabul edilmesi, bu kararın, kararı kabul eden denetim makamının bulunduğu Üye Devlet'te yargı denetimine mahal verebileceği anlamına gelir.
Dibace 148
Bu Tüzük kurallarının uygulanmasını güçlendirmek için, bu Tüzük'ün herhangi bir şekilde ihlal edilmesi durumunda, bu Tüzük uyarınca denetim makamı tarafından alınan uygun tedbirlere ek olarak veya bunların yerine, idari para cezalarını da içeren cezalar verilmelidir. Hafif bir ihlâl durumunda veya verilmesi muhtemel para cezası bir gerçek kişiye orantısız bir yük teşkil edecekse, para cezası yerine kınama cezası verilebilir. Bununla birlikte, ihlâlin niteliği, ağırlığı ve süresi, ihlalin kasıt niteliği, uğranan zararı hafifletmek için yapılan işlemler, sorumluluğun derecesi veya daha önceki ilgili ihlâller, denetim makamının ihlâlden haberdar olma şekli, veri sorumlusu veya veri işleyene karşı alınan tedbirlere uyum, davranış kurallarına uyum ve diğer ağırlaştırıcı veya hafifletici etkenler dikkate alınmalıdır. İdari para cezaları dâhil olmak üzere ceza verilmesi, etkili yargısal koruma ve yargı süreci dâhil olmak üzere, Birlik hukukunun genel ilkeleri ve Şart uyarınca uygun usul güvencelerine tabi olmalıdır.
Dibace 150
Bu Tüzük’ün ihlâli hâlinde uygulanacak idari cezaları güçlendirmek ve uyumlaştırmak üzere her denetim makamının idari para cezası verme yetkisi olmalıdır. Bu Tüzük, özellikle ihlâlin ve sonuçlarının niteliği, ağırlığı ve süresi ile bu Tüzük kapsamındaki yükümlülüklere uyumu sağlamak ve ihlâlin sonuçlarını önlemek veya hafifletmek için alınan tedbirlere uygun olarak, özel durumun ilgili tüm koşulları göz önünde bulundurulmak suretiyle, ihlalleri ve her münferit olayda yetkili denetim makamı tarafından belirlenmesi gereken ilgili idari para cezalarını belirlemeye yönelik üst limit ile kriterleri öngörmelidir. Bir teşebbüse idari para cezası verilmesi halinde teşebbüsün, ABİA'nın 101 ve 102. maddeleri uyarınca, bu amaçlar doğrultusundaki bir teşebbüs olarak anlaşıldığı kabul edilmelidir. Bir teşebbüs olmayan kişilere idari para cezası verilmesi halinde denetim makamı, uygun para cezası miktarını değerlendirirken, o Üye Devlet'teki genel gelir düzeyini ve kişinin ekonomik durumunu dikkate almalıdır. Tutarlılık mekanizması, idari para cezalarının tutarlı bir şekilde uygulanmasını teşvik etmek için de kullanılabilir. Kamu makamlarının idari para cezalarına tabi olup olmayacaklarına ve ne ölçüde tabi olacaklarına Üye Devletler karar vermelidirler. İdari para cezası veya uyarı verilmesi, bu Tüzük kapsamında denetim makamlarının diğer yetkilerinin veya diğer cezaların uygulanmasını etkilemez.
Görev ile yetki arasındaki ilişki
GDPR m.58, denetim makamlarının yetkilerini üç ana grupta düzenler. Birinci fıkra araştırma, ikinci fıkra düzeltme, üçüncü fıkra ise izin verme ve danışma yetkilerini içerir.1 Bu yetkiler, m.57 ve Tüzüğün diğer hükümleriyle makama verilen görevlerin yerine getirilmesini sağlar.
Yetkinin varlığı, her olayda kullanılmasını zorunlu kılmaz. Denetim makamı uygulanacak tedbiri görevin konusu, ihlalin niteliği ve usul güvenceleri içinde belirleyecektir. Gerekçe 129, her tedbirin somut olayda uygun, gerekli ve orantılı olmasını ister.2
Araştırma yetkileri
Denetim makamı, görevleri için gereken bilgilerin veri sorumlusu, veri işleyen ve gerektiğinde temsilcileri tarafından sağlanmasını isteyebilir. Veri koruma denetimi yapabilir, sertifikasyonları gözden geçirebilir, olası ihlali muhatabına bildirebilir ve gerekli kişisel veriler ile bilgilere erişebilir.1
Makam ayrıca veri sorumlusu ve veri işleyenin iş yerlerine, veri işleme araçlarına ve donanımına erişebilir. Bu yetki Birlik ve üye devlet usul hukukuna uygun kullanılmalıdır.2 Gerekçe 129, ulusal hukukun önceden yargı izni gibi özel şartlar öngörebileceğini belirtir. Bilgi ve erişim talebi, yürütülen görevin gerektirdiği kapsamı aşamaz.3
Düzeltme yetkileri
Denetim makamı, henüz uygulanmamış bir işlemenin GDPR'ı ihlal etme ihtimali bulunduğunda veri sorumlusunu veya veri işleyeni uyarabilir. İhlal gerçekleşmişse kınama kararı verebilir.1 Uyarı gelecekteki işleme, kınama ise gerçekleşmiş ihlale yönelir.
Makam, ilgili kişi talebinin yerine getirilmesini veya işlemenin belirli bir biçimde ve sürede Tüzüğe uygun hale getirilmesini emredebilir. Veri ihlalinin ilgili kişiye bildirilmesi, verilerin düzeltilmesi ya da silinmesi, işlemenin sınırlandırılması ve alıcıların bu tedbirlerden haberdar edilmesi de emredilebilir.2
Geçici veya kesin işleme sınırlaması ile işleme yasağı en ağır düzeltme araçları arasındadır. Tedbirin kapsamı, ihlali gidermek için gerekenle sınırlı tutulmalıdır. Daha dar bir sınırlandırma yeterliyse bütün işleme faaliyetinin yasaklanması orantılı olmayabilir.3 Denetim makamı ayrıca sertifikasyonu geri alabilir ve üçüncü ülkeye ya da uluslararası kuruluşa veri akışını durdurabilir.4
İdari para cezası ve diğer tedbirler
Denetim makamı, m.83 uyarınca idari para cezasını m.58/2'deki başka bir tedbire ek olarak veya o tedbirin yerine uygulayabilir. Seçim her somut olayın şartlarına göre yapılacaktır.1 Para cezası ile düzeltme emri farklı amaçlara hizmet ediyorsa birlikte uygulanmaları mümkündür. Ancak birlikte uygulama da orantılı olmalıdır.
Gerekçe 148, hafif bir ihlalde veya para cezasının gerçek kişi üzerinde orantısız yük doğuracağı durumda para cezası yerine kınama verilebileceğini belirtir.2 Gerekçe 150 ise para cezasının diğer yetkileri veya başka yaptırımları ortadan kaldırmadığını açıklar.3 Para cezasının miktarı ve uygulanma şartları m.83 uyarınca ayrıca incelenecektir.
İzin verme ve danışma
GDPR m.58/3, denetim makamına ihlal gerçekleştikten sonra kullanılacak araçların yanında önleyici yetkiler de verir. Makam, m.36'daki ön danışma sürecinde veri sorumlusuna görüş verir. Ulusal hukuk gerektiriyorsa, veri sorumlusunun kamu yararına yürüttüğü bir görevin yerine getirilmesi amacıyla yaptığı ve m.36/5 kapsamına giren işlemeye önceden izin de verebilir.1
Makam parlamentoya, hükümete, diğer kurumlara ve kamuya kişisel verilerin korunmasıyla ilgili görüş sunabilir. Davranış kuralları, sertifikasyon, standart veri koruma hükümleri, belirli aktarım sözleşmeleri, idari düzenlemeler ve bağlayıcı şirket kuralları hakkında maddede sayılan onay veya kabul yetkilerini kullanır.2 Her yetkinin şartları, gönderme yapılan özel maddede ayrıca aranacaktır.3
Usul güvenceleri ve ek yetkiler
Denetim makamının m.58'deki yetkileri, Avrupa Birliği Temel Haklar Şartına uygun Birlik ve üye devlet hukukunda düzenlenen güvencelere tabi olarak kullanılmalıdır. Bu güvenceler etkili bir yargı yolunu ve adil usul güvencelerini içerir.1 Gerekçe 129, aleyhe bireysel tedbirden önce kişinin dinlenmesini, bağlayıcı kararın yazılı ve gerekçeli olmasını ve başvuru yolunun kararda gösterilmesini de arar.2
Üye devletler, denetim makamının GDPR ihlallerini yargı makamlarına taşıyabilmesini ve gerektiğinde dava açmasını veya davaya katılmasını kanunla sağlamalıdır.3 Ulusal kanun m.58/1-3'tekilere ek yetkiler de verebilir. Ancak bu ek yetkiler VII. Bölümdeki iş birliği ve tutarlılık düzeninin etkili işleyişini aksatamaz.4
KVKK ile karşılaştırma
KVKK m.22/1-b ve c, şikayetleri karara bağlama, ihlal iddiasını öğrendiğinde kendiliğinden inceleme yapma ve gerektiğinde geçici önlem alma görev ve yetkilerini Kişisel Verileri Koruma Kuruluna verir.1 İnceleme ve yaptırım usulü ise yalnız bu hükümle belirlenmemiştir. Bilgi ve belge isteme ile yerinde inceleme KVKK m.15/3'te, hukuka aykırılığın giderilmesine ve veri işlemenin ya da yurt dışına aktarımın durdurulmasına karar verme m.15/5 ve m.15/7'de, idari para cezaları ise m.18'de düzenlenmiştir.2 GDPR m.58 araştırma ve düzeltme araçlarını aynı maddede gruplandırırken KVKK bu araçları m.15, m.18 ve m.22 arasında paylaştırmıştır.
KVKK m.22/1-ç ila h, özel nitelikli kişisel veriler için yeterli önlemleri belirleme, Sicilin tutulmasını sağlama, düzenleyici işlem yapma ve kişisel veri içeren mevzuat taslakları hakkında görüş bildirme yetkilerini Kurula verir.3 Bu görevler GDPR m.58/3'teki izin verme ve danışma yetkileriyle bazı ortak konulara sahiptir. Ancak iki düzenlemedeki araçların kapsamı ve bağlı oldukları usuller aynı değildir. KVKK m.19-27'de GDPR m.58/4-6'daki usul güvencelerini, yargı mercilerine başvuruyu ve ek ulusal yetkileri birlikte karşılayan bir hüküm bulunmamaktadır.4