Madde 77

GDPR m.77/1, kendisine ilişkin kişisel verilerin Tüzüğe aykırı işlendiği kanaatinde olan ilgili kişiye denetim makamına şikayette bulunma hakkı tanır.1 Başvurucu, şikayette bulunduğu sırada ihlali kesin olarak ispatlamak zorunda değildir. Başvuruda, kendi kişisel verilerinin işlendiğini ve bu işlemenin Tüzüğe aykırı olabileceğini gösteren olgulara yer verilmesi yeterlidir.2

Tüzük şikayet için özel bir şekil veya avukatla temsil şartı öngörmez. Gerekçe 141, başvuruyu kolaylaştırmak üzere elektronik ortamda da doldurulabilen bir form sunulmasını örnek gösterir ve diğer iletişim yollarının dışlanmamasını arar.3 Şikayetin kolaylaştırılması, denetim makamının başvurucunun kimliğini ve başvurunun onun iradesiyle yapıldığını doğrulamasına engel olmaz.4

İlgili kişi özellikle mutat meskeninin, iş yerinin veya ileri sürülen ihlalin bulunduğu üye devletteki denetim makamına başvurabilir. Tüzük, ilgili kişinin en azından bu üç bağlantı noktasından birindeki yetkili makama başvurabilmesini güvence altına alır. Aynı üye devlet içindeki görev ve yer bölüşümü ise ulusal hukuka göre belirlenecektir. İlgili kişi, m.77/1'e dayanarak o devletteki herhangi bir makamı seçemez.1

Sınır ötesi bir işleme ilişkin şikayette, başvuruyu alan makam ile öncü denetim makamının görevleri GDPR m.56 ve m.60 uyarınca ayrılabilir. Başvuruyu alan makam bu nedenle şikayetin ele alınması sürecinin dışında kalmaz. Yetkili makamlar, Tüzükteki işbirliği ve tutarlılık düzenine göre birlikte hareket edecektir.2

Şikayetin ele alınması, başvurunun yalnızca kayda geçirilmesiyle tamamlanmaz. Denetim makamı, şikayetin konusunu somut olayda uygun olan ölçüde araştırmalı ve Tüzüğe uyulup uyulmadığını değerlendirmelidir. İnceleme yargısal denetime açıktır.1

Uygun incelemenin kapsamı her başvuruda aynı değildir. Başvuruda sunulan bilgilerin ayrıntısı ve somutluğu ile ileri sürülen ihlalin ağırlığı, araştırmanın kapsamı belirlenirken dikkate alınabilir.2 Dayanaksız bir varsayım kapsamlı bir araştırmayı gerektirmeyebilir. Buna karşılık olası bir ihlali gösteren somut bilgiler varsa makamın gerekli araştırmayı yapmadan dosyayı kapatması, şikayeti gereği gibi ele alma yükümlülüğüyle bağdaşmayabilir.3

Denetim makamı, başvurucuya şikayetin ilerleyişi ve sonucu hakkında bilgi vermelidir. Sonuç bildiriminde GDPR m.78 uyarınca başvurulabilecek yargı yolu da gösterilmelidir.1

Gerekçe 141, bilginin makul süre içinde verilmesini öngörür. Dosya daha ayrıntılı bir araştırma veya başka bir denetim makamıyla eşgüdüm gerektiriyorsa başvurucuya ara bilgi verilmelidir. Bu yükümlülük, yürütülen her usul işleminin ayrı ayrı bildirilmesini gerektirmez.2 Başvurunun ele alınmaması veya üç ay içinde ilerleyişi ya da sonucu hakkında bilgi verilmemesi ise GDPR m.78/2'deki yargı yolunu açar. Üç aylık sürenin geçmesi, şikayetin esastan reddedildiği anlamına gelmez.3

GDPR, denetim makamına yapılacak şikayet için özel bir süre öngörmez.1

Denetim makamının ilgili kişiye yönelik görevleri ücretsizdir.2 Talep açıkça dayanaktan yoksunsa veya özellikle tekrarlanması sebebiyle aşırıysa makam, idari giderleri esas alan makul bir ücret isteyebilir ya da talep üzerine işlem yapmayı reddedebilir. Bu şartların gerçekleştiğini denetim makamı ispatlamalıdır.3

GDPR m.77 uyarınca denetim makamına şikayet, başka idari veya yargısal yollara halel getirmez. Avrupa Birliği Adalet Divanı, m.77/1 uyarınca yapılan şikayet ve bu şikayeti sonuçlandıran karara karşı m.78/1 uyarınca açılan dava ile m.79/1 uyarınca veri sorumlusu veya veri işleyene karşı açılan davanın eş zamanlı ve birbirinden bağımsız yürütülebileceğini kabul etmiştir.1

Başvuru yollarının bağımsız olması, aynı işleme ilişkin kararlar arasındaki çelişki ihtimalinin göz ardı edilebileceği anlamına gelmez. Üye devletlerin belirleyeceği usul kuralları, Tüzükteki hakların etkili korunmasını, hükümlerin Birlik içinde tutarlı uygulanmasını ve Avrupa Birliği Temel Haklar Şartı m.47'deki etkili yargısal başvuru hakkını korumalıdır.2

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.13 ve m.14, Kurula şikayetten önce veri sorumlusuna başvurulmasını zorunlu kılar. Veri sorumlusunun talebi reddetmesi, verdiği cevabın yetersiz bulunması veya süresinde cevap vermemesi halinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her halde veri sorumlusuna başvuru tarihinden itibaren altmış gün içinde Kurula şikayette bulunabilir.1 GDPR m.77 ise denetim makamına şikayet için önceden veri sorumlusuna başvurma şartı öngörmez.

KVKK m.15/4 uyarınca Kurulun şikayet tarihinden itibaren altmış gün içinde cevap vermemesi halinde talep reddedilmiş sayılır. GDPR m.77/2 ve m.78/2'de farklı bir düzen kurulmuştur. Başvurucunun üç ay içinde şikayetin ilerleyişi veya sonucu hakkında bilgilendirilmemesi yargı yoluna başvurma imkanı verir, fakat şikayeti esastan reddedilmiş sayan bir sonuç doğurmaz.2