Madde 83

GDPR m.83, dördüncü ila altıncı fıkralarda sayılan ihlaller için idari para cezası verilmesini düzenler. Denetim makamı, verdiği cezanın somut olayda etkili, orantılı ve caydırıcı olmasını sağlamalıdır.1 Bu üç şart yalnız cezanın üst sınırını değil, idari para cezası verilip verilmeyeceğini ve verilecekse tutarını da ilgilendirir.

İdari para cezası, denetim makamının elindeki tek düzeltici araç değildir. Somut olayın şartlarına göre GDPR m.58/2'deki tedbirlere ek olarak veya bu tedbirlerin yerine uygulanabilir.2 Hafif bir ihlalde ya da cezanın gerçek kişi üzerinde orantısız bir yük doğuracağı durumda kınama ile yetinilmesi mümkün olabilir.

ABAD, TR v Land Hessen kararında denetim makamının ihlali gidermek için gerekli, uygun ve orantılı düzeltici tedbiri seçmesi gerektiğini belirtmiştir. Başka bir tedbir bu sonucu sağlamaya yetiyorsa ihlalin tespiti her olayda idari para cezasını zorunlu kılmaz.3

Denetim makamı, idari para cezasına ve cezanın tutarına her somut olayın şartlarını gözeterek karar vermelidir. GDPR m.83/2 bu değerlendirmede dikkate alınacak unsurları saymıştır. İhlalin niteliği, ağırlığı ve süresi ile işlemenin kapsamı, amacı, etkilenen kişi sayısı ve doğan zarar bu unsurların ilk grubunu oluşturur. İhlalin kasten veya ihmalen işlenmesi, zararı azaltmak için alınan tedbirler, veri sorumlusu ya da veri işleyenin sorumluluk derecesi ve önceki ihlaller de ayrıca değerlendirilmelidir.1

Denetim makamıyla iş birliği, ihlalden nasıl haberdar olunduğu, etkilenen veri kategorileri, önceki tedbirlere uyulması ve onaylı davranış kuralları veya sertifikasyon mekanizmalarına bağlılık da ceza kararında dikkate alınır. Elde edilen mali yarar veya kaçınılan kayıp dahil olmak üzere somut olaya ilişkin başka ağırlaştırıcı ve hafifletici nedenler de değerlendirmeye katılabilir.2 Bu unsurların ağırlığı her olayda aynı değildir. Cezanın gerekçesi, hangi unsurun tutarı ne yönde etkilediğini anlaşılır biçimde göstermelidir.

Avrupa Veri Koruma Kurulu (EDPB), idari para cezalarının hesaplanması için beş aşamalı bir yöntem benimsemiştir. Önce somut olaydaki işleme faaliyetleri belirlenir ve GDPR m.83/3'ün uygulanıp uygulanmayacağı incelenir. Ardından ihlalin tabi olduğu ceza grubu, ihlalin ağırlığı ve teşebbüsün cirosu gözetilerek bir başlangıç tutarı bulunur. Üçüncü aşamada veri sorumlusu veya veri işleyenin geçmişteki ve mevcut davranışına ilişkin ağırlaştırıcı ya da hafifletici nedenler değerlendirilir.1

Dördüncü aşamada ilgili kanuni üst sınır belirlenir. Son aşamada ulaşılan tutarın etkili, caydırıcı ve orantılı olup olmadığı denetlenir ve gerekiyorsa tutar artırılır veya azaltılır.2 Bu yöntem, somut olayın bireysel değerlendirilmesi gereğini ortadan kaldıran matematiksel bir tarife değildir. Tüzükte asgari ceza tutarı bulunmadığı gibi EDPB Rehberine dayanılarak da GDPR m.83'teki ölçütlerden bağımsız bir sonuca ulaşılamaz.

Aynı veya bağlantılı işleme faaliyetleri sırasında Tüzüğün birden fazla hükmü kasten ya da ihmalen ihlal edilmişse toplam idari para cezası, en ağır ihlal için öngörülen tutarı aşamaz.1 Bu sınır, yalnız aynı veya bağlantılı işleme faaliyetlerinden doğan çoklu ihlallere uygulanır. Birbirinden ayrı işleme faaliyetleri hakkında doğan ihlallerin sırf aynı soruşturmada incelenmesi, GDPR m.83/3'ün uygulanması için yeterli değildir.

EDPB'ye göre bütün ihlaller kararda ayrı ayrı tespit edilmeli ve toplam cezanın belirlenmesinde dikkate alınmalıdır. En ağır ihlal için öngörülen tutar, ilgili ceza grubunun kanuni üst sınırını ifade eder.2 Böylece diğer ihlaller değerlendirme dışı bırakılmaz. Ancak sonuçta verilen toplam ceza bu üst sınırı geçemez.

GDPR m.83/4, veri sorumlusu ile veri işleyenin maddede gösterilen yükümlülüklerini, sertifikasyon kuruluşlarının yükümlülüklerini ve davranış kurallarını izleyen kuruluşun m.41/4 kapsamındaki yükümlülüğünü birinci ceza grubunda toplar. Bu ihlaller için on milyon avroya veya teşebbüsün önceki mali yıldaki dünya çapındaki toplam yıllık cirosunun yüzde ikisine kadar ceza verilebilir. İki sınırdan yüksek olanı uygulanır.1

Temel işleme ilkeleri ve rıza şartları, ilgili kişi hakları, üçüncü ülkelere ve uluslararası kuruluşlara aktarımlar ile IX. Bölüm uyarınca kabul edilen ulusal kurallardaki yükümlülükler ikinci ceza grubundadır. Denetim makamının belirli emirlerine uymamak veya denetim için erişim sağlamamak da bu gruba girer. GDPR m.83/5-6, bu ihlaller için yirmi milyon avroya veya teşebbüsün önceki mali yıldaki dünya çapındaki toplam yıllık cirosunun yüzde dördüne kadar ceza öngörür. Burada da yüksek olan sınır esas alınır.2

Bu tutarlar verilecek cezayı değil, kanuni üst sınırları gösterir. Somut ceza, GDPR m.83/1-2'deki şartlar ve değerlendirme ölçütleri uygulanarak belirlenecektir.

ABAD, Nacionalinis visuomenės sveikatos centras kararında GDPR m.83 kapsamında idari para cezası verilebilmesi için ihlalin veri sorumlusu veya veri işleyen tarafından kasten ya da ihmalen gerçekleştirilmiş olması gerektiğine karar vermiştir. Üye devletler, GDPR m.83 kapsamındaki idari para cezalarında bu şartı kaldırarak kusursuz sorumluluk öngöremez.1

Veri sorumlusunun, davranışının hukuka aykırı niteliğinden habersiz olması mümkün değilse ihlal kasten veya ihmalen gerçekleştirilmiş sayılabilir. Bunun için veri sorumlusunun hangi GDPR hükmünü ihlal ettiğini bilmesi aranmaz.2 Para cezası verilebilmesi için tüzel kişinin yönetim organının eylemi veya bilgisi de aranmaz.3 Kusurun bulunup bulunmadığı, ihlale yol açan somut davranış ve veri sorumlusunun bilmesi gereken şartlar üzerinden değerlendirilecektir.

ABAD, Deutsche Wohnen kararında tüzel kişi veri sorumlusuna idari para cezası verilebilmesi için ihlalin önce kimliği belirli bir gerçek kişiye isnat edilmesini aramamıştır. Tüzel kişi, yalnız temsilci ve yöneticilerinin değil, işletme faaliyeti kapsamında onun adına hareket eden diğer kişilerin ihlalleri nedeniyle de doğrudan cezanın muhatabı olabilir.1

Bu sonuç, tüzel kişiye kusursuz sorumluluk yüklenmesi anlamına gelmez. İhlalin yine GDPR m.83 bakımından kast veya ihmal şartını taşıması gerekir.2 Gerçek kişinin önceden belirlenmesi şartı ile ihlalin kusurlu olması şartı bu nedenle birbirinden ayrılmalıdır.

GDPR m.83/4-6'daki teşebbüs kavramı, Avrupa Birliğinin İşleyişi Hakkında Antlaşma m.101 ve m.102'deki ekonomik birim anlayışına dayanır. Veri sorumlusu bir teşebbüsün parçasıysa cezanın yüzdelik üst sınırı, teşebbüsün önceki mali yıldaki dünya çapındaki toplam yıllık cirosu esas alınarak belirlenir.1

ABAD, ILVA kararında kanuni üst sınır ile somut olayda verilecek cezanın birbirinden ayrılması gerektiğini belirtmiştir. Somut cezanın tutarı GDPR m.83/1-2'deki ölçütlere göre belirlenecektir. Bununla birlikte muhatabın gerçek ekonomik kapasitesi değerlendirilirken teşebbüsün parçası olup olmadığı da dikkate alınmalıdır. Ancak bu şekilde cezanın etkili, orantılı ve caydırıcı olup olmadığı denetlenebilir.2

Teşebbüs kavramı, tüzel kişinin hangi şartlarda sorumlu tutulacağını belirlemez. Bu kavram cezanın üst sınırı ile muhatabın gerçek ekonomik kapasitesinin değerlendirilmesinde kullanılır.3 Sorumluluğun maddi şartları ise GDPR m.58/2 ve m.83/1-6 hükümlerine göre belirlenecektir.

Üye devletler, ülkelerinde kurulan kamu makamı ve kamu kuruluşlarına idari para cezası verilip verilemeyeceğini ve cezanın kapsamını belirleyebilir. Bu seçim denetim makamının GDPR m.58/2'deki diğer düzeltici yetkilerini ortadan kaldırmaz.1

Denetim makamının m.83 kapsamındaki yetkileri, Birlik hukuku ve ulusal hukuk uyarınca uygun usul güvencelerine tabi olmalıdır. Etkili bir yargı yolu ile adil usul bu güvenceler arasındadır.2 Hukuk düzeninde idari para cezasına yer vermeyen bir üye devlet, denetim makamının süreci başlatması ve cezanın yetkili ulusal mahkemece verilmesi yolunu benimseyebilir. Böyle bir ceza, denetim makamının verdiği idari para cezasına eşdeğer etki doğurmalı ve yine etkili, orantılı ve caydırıcı olmalıdır.3

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.18, aydınlatma, veri güvenliği, Kurul kararına uyma, Sicile kayıt ve bildirim ile yurt dışına aktarım bildirimine ilişkin belirli aykırılıkları kabahat olarak düzenler. Her kabahat için Türk lirası üzerinden bir alt ve üst sınır öngörülmüştür.1 GDPR m.83 ise ihlalleri iki ana ceza grubuna ayırır ve teşebbüsler bakımından ciroya bağlı üst sınırlar da getirir.

KVKK m.18, Kurulun idari para cezası kararına karşı idare mahkemesinde dava açılabileceğini açıkça belirtir. Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenen fiillerde ise Kurulun bildirimi üzerine görevli kişiler hakkında disiplin hükümleri uygulanır.2 KVKK'daki yaptırım düzeni, GDPR m.83/2'deki bütün değerlendirme ölçütlerini ve m.83/3'teki aynı veya bağlantılı işleme faaliyetleri kuralını aynı yapıda düzenlememiştir. Somut yaptırım bu nedenle her düzenlemenin kendi hükümlerine göre belirlenecektir.