Madde 78

GDPR m.78/1, denetim makamının kendisini ilgilendiren hukuken bağlayıcı kararına karşı her gerçek ve tüzel kişiye etkili bir yargı yoluna başvurma hakkı tanır. Dava hakkı yalnız ilgili kişiye veya m.77 uyarınca şikayette bulunana ait değildir.1 Dava konusu kararın, o kişiyi ilgilendiren bağlayıcı hukuki sonuçlar doğurması gerekir.2

Denetim makamının araştırma, düzeltme veya izin yetkilerini bağlayıcı biçimde kullanması ile bir şikayeti reddetmesi ya da geri çevirmesi yargısal denetime konu olabilir. Buna karşılık GDPR m.78/1, görüş, tavsiye ve benzeri bağlayıcı olmayan işlemlere karşı mutlaka dava yolu açılmasını gerektirmez.3 Ulusal hukuk, Tüzükteki asgari korumanın ötesinde daha geniş bir yargısal denetim sağlayabilir.4

GDPR m.78/2, m.77 uyarınca şikayette bulunan ilgili kişiyi denetim makamının hareketsizliği karşısında korur. Yargı yolu iki ayrı durumda açılır. Yetkili denetim makamı şikayeti hiç ele almamış olabilir veya ilgili kişiye üç ay içinde şikayetin ilerleyişi ya da sonucu hakkında bilgi vermemiş olabilir.1

Üç aylık süre şikayette bulunma süresi değildir. Bu sürenin geçmesi de şikayetin esastan reddedildiği veya denetim makamının üç ay içinde mutlaka nihai karar vermesi gerektiği anlamına gelmez. Hüküm, şikayetin ele alınmaması veya gerekli bilginin verilmemesi üzerine ilgili kişiye etkili bir yargı yolu sağlar.2 Bu başvurunun hangi dava türüyle yapılacağı üye devlet hukukuna göre belirlenecektir.3

Denetim makamının bir şikayet üzerine verdiği bağlayıcı karar, bütün maddi ve hukuki yönleriyle yargısal denetime tabidir. Mahkemenin incelemesi, denetim makamının şikayeti ele alıp almadığı, uygun ölçüde araştırma yapıp yapmadığı ve sonucu bildirip bildirmediği sorularıyla sınırlandırılamaz. Avrupa Birliği Adalet Divanı, Birleşik C-26/22 ve C-64/22 sayılı kararda şikayeti sonuçlandıran kararın tam yargısal denetime tabi olduğunu kabul etmiştir.1

Tam yargısal denetim, mahkemenin uygun ve gerekli düzeltici tedbiri seçerken denetim makamının yerine geçmesi anlamına gelmez. Denetim makamı GDPR m.58/2'deki tedbirler arasında seçim yaparken bir takdir alanına sahiptir. Mahkeme, makamın bu takdir alanının sınırlarına uyup uymadığını incelemelidir.2

Denetim makamına karşı dava, makamın kurulu olduğu üye devletin mahkemelerinde açılmalıdır. GDPR m.78/3 bu davalar için ilgili kişinin mutat meskenine veya ileri sürülen ihlalin yerine dayanan ayrı bir mahkeme seçeneği tanımaz. Aynı üye devlet içinde hangi mahkemenin görevli ve yetkili olduğu ulusal usul hukukuna göre belirlenecektir.1

Dava konusu karardan önce Avrupa Veri Koruma Kurulunun tutarlılık mekanizması kapsamında bir görüşü veya kararı verilmişse denetim makamı bu belgeyi mahkemeye iletmelidir.2 Ulusal mahkeme, Kurul kararının geçersiz olduğu kanaatine varırsa kararı kendisi geçersiz kılamaz. Geçerlilik sorununu Avrupa Birliği'nin İşleyişi Hakkında Antlaşma m.267 uyarınca Avrupa Birliği Adalet Divanına götürmelidir.3

GDPR m.78/1'deki yargı yolu, başka bir idari veya yargı dışı başvuru imkanını ortadan kaldırmaz. Avrupa Birliği Adalet Divanı, m.77/1 uyarınca yapılan şikayet ve bu şikayeti sonuçlandıran karara karşı m.78/1 uyarınca açılan dava ile m.79/1 uyarınca veri sorumlusu veya veri işleyene karşı açılan davanın eş zamanlı ve birbirinden bağımsız yürütülebileceğini kabul etmiştir.1

Üye devletler, bağımsız başvuru yolları arasındaki ilişkiyi usul özerklikleri çerçevesinde düzenleyebilir. Bu düzenleme, Tüzükte güvence altına alınan hakların etkili korunmasını, hükümlerin tutarlı uygulanmasını ve Avrupa Birliği Temel Haklar Şartı m.47'deki etkili yargısal başvuru hakkını zayıflatamaz.2

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.14 uyarınca Kurula şikayet, önce veri sorumlusuna başvuru yolunun tüketilmesine bağlıdır. Kurul, şikayet üzerine talebi inceleyerek ilgililere cevap verir. Şikayet tarihinden itibaren altmış gün içinde cevap verilmemesi halinde talep reddedilmiş sayılır. GDPR m.78/2'deki üç aylık süre ise şikayeti esastan reddedilmiş saymaz ve ilgili kişiye etkili bir yargı yoluna başvurma imkanı verir.1

KVKK m.13 ila m.15, Kurulun bağlayıcı kararlarına karşı yargısal denetimin kapsamını ve yetkili mahkemeyi ayrıca düzenlemez. GDPR m.78/1 ve m.78/3 ise bağlayıcı denetim makamı kararına karşı etkili yargı yolunu ve davanın açılacağı üye devleti açıkça belirler.2 Bu fark, Türk hukukundaki genel yargı yollarının kapsamını veya Kurul kararından etkilenen diğer kişilerin dava hakkını tek başına belirlemez.