GDPR İlgili Dibaceler 2 dibace
Recital 149
Member States should be able to lay down the rules on criminal penalties for infringements of this Regulation, including for infringements of national rules adopted pursuant to and within the limits of this Regulation. Those criminal penalties may also allow for the deprivation of the profits obtained through infringements of this Regulation. However, the imposition of criminal penalties for infringements of such national rules and of administrative penalties should not lead to a breach of the principle of ne bis in idem, as interpreted by the Court of Justice.
Recital 152
Where this Regulation does not harmonise administrative penalties or where necessary in other cases, for example in cases of serious infringements of this Regulation, Member States should implement a system which provides for effective, proportionate and dissuasive penalties. The nature of such penalties, criminal or administrative, should be determined by Member State law.
Dibace 149
Üye Devletler, bu Tüzük uyarınca ve bu Tüzük'ün sınırları dâhilinde kabul edilen ulusal kuralların ihlâlleri de dâhil olmak üzere, bu Tüzük'ün ihlâlleri ile ilgili cezalara ilişkin kuralları belirleyebilmelidirler. Bu cezalar, bu Tüzük'ün ihlâli yoluyla elde edilen kazançlardan mahrum bırakılmayı da mümkün kılabilir. Bununla birlikte, idari cezalar ve bu tür ulusal kuralların ihlâli nedeniyle adli cezalar verilmesi, Adalet Divanı tarafından yorumlandığı şekilde, aynı suçtan dolayı iki kez yargılanmama ilkesinin ihlâline yol açmamalıdır.
Dibace 152
Bu Tüzük'ün idari cezaları uyumlaştırmaması halinde veya ihtiyaç duyulan diğer hallerde, örneğin bu Tüzük'ün ağır ihlâlleri halinde, Üye Devletler etkili, orantılı ve caydırıcı cezalar öngören bir sistem uygulamalıdırlar. Adli veya idari, söz konusu cezaların niteliği, Üye Devlet hukukuna göre belirlenmelidir.
Diğer yaptırımlar
GDPR m.84/1, üye devletlere Tüzük ihlallerine uygulanacak diğer yaptırımları düzenleme görevi verir. Hüküm özellikle GDPR m.83 uyarınca idari para cezasına tabi olmayan ihlalleri belirtir. Bununla birlikte maddede kullanılan ifade, diğer yaptırımların yalnız bu ihlallerle sınırlı olduğunu göstermez.1
Üye devletler, kabul ettikleri yaptırımların uygulanması için gerekli tedbirleri de almalıdır. Bu yaptırımlar etkili, orantılı ve caydırıcı olmalıdır. Yaptırımın ceza hukuku, idare hukuku veya başka bir hukuk alanı içinde düzenlenmesi ulusal hukuka bırakılmıştır.2 Ancak üye devletlerin bu yetkisi, GDPR'ın doğrudan düzenlediği maddi şartları değiştirmelerine imkan vermez.
İdari para cezalarıyla sınır
Üye devletlerin GDPR m.84 kapsamındaki düzenleme yetkisi, m.83 uyarınca verilen idari para cezalarının maddi şartlarını kapsamaz. ABAD, Nacionalinis visuomenės sveikatos centras kararında m.83'teki maddi şartların yalnız Birlik hukukuna tabi olduğunu belirtmiştir.1 Bu nedenle ulusal hukuk, m.84'e dayanarak m.83 kapsamındaki idari para cezasına yeni bir kusur veya sorumluluk şartı ekleyemez.
Bu sınır, üye devletlerin başka yaptırımlar düzenleme yetkisini ortadan kaldırmaz. Ancak ulusal yaptırım hangi ihlale ve hangi şartlarla bağlanırsa bağlansın, GDPR'ın uygulama alanını ve Tüzükteki haklarla yükümlülüklerin kapsamını değiştiremez. Diğer yaptırımlarla m.83 kapsamındaki idari para cezası arasındaki ilişki de temel haklara ve Birlik hukukunun genel ilkelerine uygun biçimde kurulmalıdır.2
Ceza yaptırımları ve iki kez cezalandırma yasağı
Üye devletler, GDPR'ın veya Tüzüğün verdiği yetki sınırları içinde kabul edilen ulusal kuralların ihlali için ceza yaptırımları düzenleyebilir. Bu yaptırımlar, ihlal sonucunda elde edilen kazancın alınmasını da sağlayabilir.1
Aynı fiile idari ve cezai yaptırım uygulanması, Avrupa Birliği Temel Haklar Şartı m.50'deki aynı suçtan iki kez yargılanmama veya cezalandırılmama hakkına uygun olmalıdır. Gerekçe 149, ceza yaptırımı ile idari yaptırımın birlikte uygulanmasının bu hakkı ihlal etmemesini açıkça arar.2 Bu nedenle iki yaptırım yolunun ulusal hukukta bulunması, aynı kişi ve aynı fiil hakkında her iki yaptırımın herhangi bir sınırlama olmadan uygulanabileceği anlamına gelmez.
Komisyona bildirim
Her üye devlet, GDPR m.84/1 uyarınca kabul ettiği ulusal hükümleri 25 Mayıs 2018'e kadar Avrupa Komisyonuna bildirmekle yükümlü tutulmuştur.1 Bu tarihten sonra yapılan ve söz konusu hükümleri etkileyen değişiklikler de gecikmeksizin bildirilmelidir. Bildirim yükümlülüğü yalnız ilk düzenlemeyle sona ermez.
Komisyona bildirim, ulusal yaptırımın GDPR'a uygunluğunu kendiliğinden sağlamaz. Yaptırımın etkili, orantılı ve caydırıcı olması ile temel haklara ve Tüzüğün çizdiği yetki sınırlarına uygunluğu ayrıca değerlendirilmelidir.2
KVKK ile karşılaştırma
KVKK m.17, kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu m.135-140 hükümlerinin uygulanacağını düzenler. Silme veya anonim hale getirme yükümlülüğüne aykırılık hakkında ayrıca Türk Ceza Kanunu m.138'e gönderme yapılmıştır.1 KVKK m.18 ise maddede sayılan aykırılıklar için idari para cezaları öngörür. Türk hukukunda cezai ve idari yaptırımlar böylece ayrı hükümlerde düzenlenmiştir.
GDPR m.84, üye devletlere Tüzük ihlalleri için diğer yaptırımları düzenleme ve bunları Komisyona bildirme görevi verir. KVKK m.17-18'de Avrupa Komisyonuna bildirimle karşılaştırılabilecek bir yükümlülük bulunmaz.2 Ayrıca KVKK m.17'deki suçlara gönderme ile GDPR m.84'ün üye devletlere bıraktığı düzenleme alanı aynı hukuki işlevi görmez. Her yaptırımın uygulanma şartları ilgili ceza veya kabahat hükmüne göre ayrıca belirlenecektir.