GDPR İlgili Dibaceler 3 dibace
Recital 148
In order to strengthen the enforcement of the rules of this Regulation, penalties including administrative fines should be imposed for any infringement of this Regulation, in addition to, or instead of appropriate measures imposed by the supervisory authority pursuant to this Regulation. In a case of a minor infringement or if the fine likely to be imposed would constitute a disproportionate burden to a natural person, a reprimand may be issued instead of a fine. Due regard should however be given to the nature, gravity and duration of the infringement, the intentional character of the infringement, actions taken to mitigate the damage suffered, degree of responsibility or any relevant previous infringements, the manner in which the infringement became known to the supervisory authority, compliance with measures ordered against the controller or processor, adherence to a code of conduct and any other aggravating or mitigating factor. The imposition of penalties including administrative fines should be subject to appropriate procedural safeguards in accordance with the general principles of Union law and the Charter, including effective judicial protection and due process.
Recital 150
In order to strengthen and harmonise administrative penalties for infringements of this Regulation, each supervisory authority should have the power to impose administrative fines. This Regulation should indicate infringements and the upper limit and criteria for setting the related administrative fines, which should be determined by the competent supervisory authority in each individual case, taking into account all relevant circumstances of the specific situation, with due regard in particular to the nature, gravity and duration of the infringement and of its consequences and the measures taken to ensure compliance with the obligations under this Regulation and to prevent or mitigate the consequences of the infringement. Where administrative fines are imposed on an undertaking, an undertaking should be understood to be an undertaking in accordance with Articles 101 and 102 TFEU for those purposes. Where administrative fines are imposed on persons that are not an undertaking, the supervisory authority should take account of the general level of income in the Member State as well as the economic situation of the person in considering the appropriate amount of the fine. The consistency mechanism may also be used to promote a consistent application of administrative fines. It should be for the Member States to determine whether and to which extent public authorities should be subject to administrative fines. Imposing an administrative fine or giving a warning does not affect the application of other powers of the supervisory authorities or of other penalties under this Regulation.
Recital 151
The legal systems of Denmark and Estonia do not allow for administrative fines as set out in this Regulation. The rules on administrative fines may be applied in such a manner that in Denmark the fine is imposed by competent national courts as a criminal penalty and in Estonia the fine is imposed by the supervisory authority in the framework of a misdemeanour procedure, provided that such an application of the rules in those Member States has an equivalent effect to administrative fines imposed by supervisory authorities. Therefore the competent national courts should take into account the recommendation by the supervisory authority initiating the fine. In any event, the fines imposed should be effective, proportionate and dissuasive.
Dibace 148
Bu Tüzük kurallarının uygulanmasını güçlendirmek için, bu Tüzük'ün herhangi bir şekilde ihlal edilmesi durumunda, bu Tüzük uyarınca denetim makamı tarafından alınan uygun tedbirlere ek olarak veya bunların yerine, idari para cezalarını da içeren cezalar verilmelidir. Hafif bir ihlâl durumunda veya verilmesi muhtemel para cezası bir gerçek kişiye orantısız bir yük teşkil edecekse, para cezası yerine kınama cezası verilebilir. Bununla birlikte, ihlâlin niteliği, ağırlığı ve süresi, ihlalin kasıt niteliği, uğranan zararı hafifletmek için yapılan işlemler, sorumluluğun derecesi veya daha önceki ilgili ihlâller, denetim makamının ihlâlden haberdar olma şekli, veri sorumlusu veya veri işleyene karşı alınan tedbirlere uyum, davranış kurallarına uyum ve diğer ağırlaştırıcı veya hafifletici etkenler dikkate alınmalıdır. İdari para cezaları dâhil olmak üzere ceza verilmesi, etkili yargısal koruma ve yargı süreci dâhil olmak üzere, Birlik hukukunun genel ilkeleri ve Şart uyarınca uygun usul güvencelerine tabi olmalıdır.
Dibace 150
Bu Tüzük’ün ihlâli hâlinde uygulanacak idari cezaları güçlendirmek ve uyumlaştırmak üzere her denetim makamının idari para cezası verme yetkisi olmalıdır. Bu Tüzük, özellikle ihlâlin ve sonuçlarının niteliği, ağırlığı ve süresi ile bu Tüzük kapsamındaki yükümlülüklere uyumu sağlamak ve ihlâlin sonuçlarını önlemek veya hafifletmek için alınan tedbirlere uygun olarak, özel durumun ilgili tüm koşulları göz önünde bulundurulmak suretiyle, ihlalleri ve her münferit olayda yetkili denetim makamı tarafından belirlenmesi gereken ilgili idari para cezalarını belirlemeye yönelik üst limit ile kriterleri öngörmelidir. Bir teşebbüse idari para cezası verilmesi halinde teşebbüsün, ABİA'nın 101 ve 102. maddeleri uyarınca, bu amaçlar doğrultusundaki bir teşebbüs olarak anlaşıldığı kabul edilmelidir. Bir teşebbüs olmayan kişilere idari para cezası verilmesi halinde denetim makamı, uygun para cezası miktarını değerlendirirken, o Üye Devlet'teki genel gelir düzeyini ve kişinin ekonomik durumunu dikkate almalıdır. Tutarlılık mekanizması, idari para cezalarının tutarlı bir şekilde uygulanmasını teşvik etmek için de kullanılabilir. Kamu makamlarının idari para cezalarına tabi olup olmayacaklarına ve ne ölçüde tabi olacaklarına Üye Devletler karar vermelidirler. İdari para cezası veya uyarı verilmesi, bu Tüzük kapsamında denetim makamlarının diğer yetkilerinin veya diğer cezaların uygulanmasını etkilemez.
Dibace 151
Danimarka ve Estonya'nın hukuk sistemleri, bu Tüzük'te belirtilen idari para cezalarına izin vermez. İdari para cezalarına ilişkin kurallar, Danimarka ve Estonya’daki uygulamaların, denetim makamları tarafından verilen idari para cezalarına eşdeğer bir etkiye sahip olması şartıyla, para cezasının Danimarka'da yetkili ulusal mahkemeler tarafından adli ceza olarak ve Estonya'da denetim makamı tarafından bir kabahat usulü çerçevesinde kesilmesi suretiyle uygulanması şeklinde gerçekleştirilebilir. Bu nedenle yetkili ulusal mahkemeler, para cezası için girişimde bulunan denetim makamının tavsiyesini dikkate almalıdır. Her halükarda, verilen para cezaları etkili, orantılı ve caydırıcı olmalıdır.
İdari para cezasının yaptırım düzenindeki yeri
GDPR m.83, dördüncü ila altıncı fıkralarda sayılan ihlaller için idari para cezası verilmesini düzenler. Denetim makamı, verdiği cezanın somut olayda etkili, orantılı ve caydırıcı olmasını sağlamalıdır.1 Bu üç şart yalnız cezanın üst sınırını değil, idari para cezası verilip verilmeyeceğini ve verilecekse tutarını da ilgilendirir.
İdari para cezası, denetim makamının elindeki tek düzeltici araç değildir. Somut olayın şartlarına göre GDPR m.58/2'deki tedbirlere ek olarak veya bu tedbirlerin yerine uygulanabilir.2 Hafif bir ihlalde ya da cezanın gerçek kişi üzerinde orantısız bir yük doğuracağı durumda kınama ile yetinilmesi mümkün olabilir.
ABAD, TR v Land Hessen kararında denetim makamının ihlali gidermek için gerekli, uygun ve orantılı düzeltici tedbiri seçmesi gerektiğini belirtmiştir. Başka bir tedbir bu sonucu sağlamaya yetiyorsa ihlalin tespiti her olayda idari para cezasını zorunlu kılmaz.3
Bireysel değerlendirme ölçütleri
Denetim makamı, idari para cezasına ve cezanın tutarına her somut olayın şartlarını gözeterek karar vermelidir. GDPR m.83/2 bu değerlendirmede dikkate alınacak unsurları saymıştır. İhlalin niteliği, ağırlığı ve süresi ile işlemenin kapsamı, amacı, etkilenen kişi sayısı ve doğan zarar bu unsurların ilk grubunu oluşturur. İhlalin kasten veya ihmalen işlenmesi, zararı azaltmak için alınan tedbirler, veri sorumlusu ya da veri işleyenin sorumluluk derecesi ve önceki ihlaller de ayrıca değerlendirilmelidir.1
Denetim makamıyla iş birliği, ihlalden nasıl haberdar olunduğu, etkilenen veri kategorileri, önceki tedbirlere uyulması ve onaylı davranış kuralları veya sertifikasyon mekanizmalarına bağlılık da ceza kararında dikkate alınır. Elde edilen mali yarar veya kaçınılan kayıp dahil olmak üzere somut olaya ilişkin başka ağırlaştırıcı ve hafifletici nedenler de değerlendirmeye katılabilir.2 Bu unsurların ağırlığı her olayda aynı değildir. Cezanın gerekçesi, hangi unsurun tutarı ne yönde etkilediğini anlaşılır biçimde göstermelidir.
Beş aşamalı hesaplama yöntemi
Avrupa Veri Koruma Kurulu (EDPB), idari para cezalarının hesaplanması için beş aşamalı bir yöntem benimsemiştir. Önce somut olaydaki işleme faaliyetleri belirlenir ve GDPR m.83/3'ün uygulanıp uygulanmayacağı incelenir. Ardından ihlalin tabi olduğu ceza grubu, ihlalin ağırlığı ve teşebbüsün cirosu gözetilerek bir başlangıç tutarı bulunur. Üçüncü aşamada veri sorumlusu veya veri işleyenin geçmişteki ve mevcut davranışına ilişkin ağırlaştırıcı ya da hafifletici nedenler değerlendirilir.1
Dördüncü aşamada ilgili kanuni üst sınır belirlenir. Son aşamada ulaşılan tutarın etkili, caydırıcı ve orantılı olup olmadığı denetlenir ve gerekiyorsa tutar artırılır veya azaltılır.2 Bu yöntem, somut olayın bireysel değerlendirilmesi gereğini ortadan kaldıran matematiksel bir tarife değildir. Tüzükte asgari ceza tutarı bulunmadığı gibi EDPB Rehberine dayanılarak da GDPR m.83'teki ölçütlerden bağımsız bir sonuca ulaşılamaz.
Aynı veya bağlantılı işleme faaliyetleri
Aynı veya bağlantılı işleme faaliyetleri sırasında Tüzüğün birden fazla hükmü kasten ya da ihmalen ihlal edilmişse toplam idari para cezası, en ağır ihlal için öngörülen tutarı aşamaz.1 Bu sınır, yalnız aynı veya bağlantılı işleme faaliyetlerinden doğan çoklu ihlallere uygulanır. Birbirinden ayrı işleme faaliyetleri hakkında doğan ihlallerin sırf aynı soruşturmada incelenmesi, GDPR m.83/3'ün uygulanması için yeterli değildir.
EDPB'ye göre bütün ihlaller kararda ayrı ayrı tespit edilmeli ve toplam cezanın belirlenmesinde dikkate alınmalıdır. En ağır ihlal için öngörülen tutar, ilgili ceza grubunun kanuni üst sınırını ifade eder.2 Böylece diğer ihlaller değerlendirme dışı bırakılmaz. Ancak sonuçta verilen toplam ceza bu üst sınırı geçemez.
İhlal grupları ve üst sınırlar
GDPR m.83/4, veri sorumlusu ile veri işleyenin maddede gösterilen yükümlülüklerini, sertifikasyon kuruluşlarının yükümlülüklerini ve davranış kurallarını izleyen kuruluşun m.41/4 kapsamındaki yükümlülüğünü birinci ceza grubunda toplar. Bu ihlaller için on milyon avroya veya teşebbüsün önceki mali yıldaki dünya çapındaki toplam yıllık cirosunun yüzde ikisine kadar ceza verilebilir. İki sınırdan yüksek olanı uygulanır.1
Temel işleme ilkeleri ve rıza şartları, ilgili kişi hakları, üçüncü ülkelere ve uluslararası kuruluşlara aktarımlar ile IX. Bölüm uyarınca kabul edilen ulusal kurallardaki yükümlülükler ikinci ceza grubundadır. Denetim makamının belirli emirlerine uymamak veya denetim için erişim sağlamamak da bu gruba girer. GDPR m.83/5-6, bu ihlaller için yirmi milyon avroya veya teşebbüsün önceki mali yıldaki dünya çapındaki toplam yıllık cirosunun yüzde dördüne kadar ceza öngörür. Burada da yüksek olan sınır esas alınır.2
Bu tutarlar verilecek cezayı değil, kanuni üst sınırları gösterir. Somut ceza, GDPR m.83/1-2'deki şartlar ve değerlendirme ölçütleri uygulanarak belirlenecektir.
Kast veya ihmal şartı
ABAD, Nacionalinis visuomenės sveikatos centras kararında GDPR m.83 kapsamında idari para cezası verilebilmesi için ihlalin veri sorumlusu veya veri işleyen tarafından kasten ya da ihmalen gerçekleştirilmiş olması gerektiğine karar vermiştir. Üye devletler, GDPR m.83 kapsamındaki idari para cezalarında bu şartı kaldırarak kusursuz sorumluluk öngöremez.1
Veri sorumlusunun, davranışının hukuka aykırı niteliğinden habersiz olması mümkün değilse ihlal kasten veya ihmalen gerçekleştirilmiş sayılabilir. Bunun için veri sorumlusunun hangi GDPR hükmünü ihlal ettiğini bilmesi aranmaz.2 Para cezası verilebilmesi için tüzel kişinin yönetim organının eylemi veya bilgisi de aranmaz.3 Kusurun bulunup bulunmadığı, ihlale yol açan somut davranış ve veri sorumlusunun bilmesi gereken şartlar üzerinden değerlendirilecektir.
Tüzel kişiye doğrudan para cezası
ABAD, Deutsche Wohnen kararında tüzel kişi veri sorumlusuna idari para cezası verilebilmesi için ihlalin önce kimliği belirli bir gerçek kişiye isnat edilmesini aramamıştır. Tüzel kişi, yalnız temsilci ve yöneticilerinin değil, işletme faaliyeti kapsamında onun adına hareket eden diğer kişilerin ihlalleri nedeniyle de doğrudan cezanın muhatabı olabilir.1
Bu sonuç, tüzel kişiye kusursuz sorumluluk yüklenmesi anlamına gelmez. İhlalin yine GDPR m.83 bakımından kast veya ihmal şartını taşıması gerekir.2 Gerçek kişinin önceden belirlenmesi şartı ile ihlalin kusurlu olması şartı bu nedenle birbirinden ayrılmalıdır.
Teşebbüsün ekonomik kapasitesi
GDPR m.83/4-6'daki teşebbüs kavramı, Avrupa Birliğinin İşleyişi Hakkında Antlaşma m.101 ve m.102'deki ekonomik birim anlayışına dayanır. Veri sorumlusu bir teşebbüsün parçasıysa cezanın yüzdelik üst sınırı, teşebbüsün önceki mali yıldaki dünya çapındaki toplam yıllık cirosu esas alınarak belirlenir.1
ABAD, ILVA kararında kanuni üst sınır ile somut olayda verilecek cezanın birbirinden ayrılması gerektiğini belirtmiştir. Somut cezanın tutarı GDPR m.83/1-2'deki ölçütlere göre belirlenecektir. Bununla birlikte muhatabın gerçek ekonomik kapasitesi değerlendirilirken teşebbüsün parçası olup olmadığı da dikkate alınmalıdır. Ancak bu şekilde cezanın etkili, orantılı ve caydırıcı olup olmadığı denetlenebilir.2
Teşebbüs kavramı, tüzel kişinin hangi şartlarda sorumlu tutulacağını belirlemez. Bu kavram cezanın üst sınırı ile muhatabın gerçek ekonomik kapasitesinin değerlendirilmesinde kullanılır.3 Sorumluluğun maddi şartları ise GDPR m.58/2 ve m.83/1-6 hükümlerine göre belirlenecektir.
Kamu makamları ve usul güvenceleri
Üye devletler, ülkelerinde kurulan kamu makamı ve kamu kuruluşlarına idari para cezası verilip verilemeyeceğini ve cezanın kapsamını belirleyebilir. Bu seçim denetim makamının GDPR m.58/2'deki diğer düzeltici yetkilerini ortadan kaldırmaz.1
Denetim makamının m.83 kapsamındaki yetkileri, Birlik hukuku ve ulusal hukuk uyarınca uygun usul güvencelerine tabi olmalıdır. Etkili bir yargı yolu ile adil usul bu güvenceler arasındadır.2 Hukuk düzeninde idari para cezasına yer vermeyen bir üye devlet, denetim makamının süreci başlatması ve cezanın yetkili ulusal mahkemece verilmesi yolunu benimseyebilir. Böyle bir ceza, denetim makamının verdiği idari para cezasına eşdeğer etki doğurmalı ve yine etkili, orantılı ve caydırıcı olmalıdır.3
KVKK ile karşılaştırma
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.18, aydınlatma, veri güvenliği, Kurul kararına uyma, Sicile kayıt ve bildirim ile yurt dışına aktarım bildirimine ilişkin belirli aykırılıkları kabahat olarak düzenler. Her kabahat için Türk lirası üzerinden bir alt ve üst sınır öngörülmüştür.1 GDPR m.83 ise ihlalleri iki ana ceza grubuna ayırır ve teşebbüsler bakımından ciroya bağlı üst sınırlar da getirir.
KVKK m.18, Kurulun idari para cezası kararına karşı idare mahkemesinde dava açılabileceğini açıkça belirtir. Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenen fiillerde ise Kurulun bildirimi üzerine görevli kişiler hakkında disiplin hükümleri uygulanır.2 KVKK'daki yaptırım düzeni, GDPR m.83/2'deki bütün değerlendirme ölçütlerini ve m.83/3'teki aynı veya bağlantılı işleme faaliyetleri kuralını aynı yapıda düzenlememiştir. Somut yaptırım bu nedenle her düzenlemenin kendi hükümlerine göre belirlenecektir.