Diğer yaptırımlar
GDPR m.84/1, üye devletlere Tüzük ihlallerine uygulanacak diğer yaptırımları düzenleme görevi verir. Hüküm özellikle GDPR m.83 uyarınca idari para cezasına tabi olmayan ihlalleri belirtir. Bununla birlikte maddede kullanılan ifade, diğer yaptırımların yalnız bu ihlallerle sınırlı olduğunu göstermez.1
Üye devletler, kabul ettikleri yaptırımların uygulanması için gerekli tedbirleri de almalıdır. Bu yaptırımlar etkili, orantılı ve caydırıcı olmalıdır. Yaptırımın ceza hukuku, idare hukuku veya başka bir hukuk alanı içinde düzenlenmesi ulusal hukuka bırakılmıştır.2 Ancak üye devletlerin bu yetkisi, GDPR'ın doğrudan düzenlediği maddi şartları değiştirmelerine imkan vermez.
İdari para cezalarıyla sınır
Üye devletlerin GDPR m.84 kapsamındaki düzenleme yetkisi, m.83 uyarınca verilen idari para cezalarının maddi şartlarını kapsamaz. ABAD, Nacionalinis visuomenės sveikatos centras kararında m.83'teki maddi şartların yalnız Birlik hukukuna tabi olduğunu belirtmiştir.1 Bu nedenle ulusal hukuk, m.84'e dayanarak m.83 kapsamındaki idari para cezasına yeni bir kusur veya sorumluluk şartı ekleyemez.
Bu sınır, üye devletlerin başka yaptırımlar düzenleme yetkisini ortadan kaldırmaz. Ancak ulusal yaptırım hangi ihlale ve hangi şartlarla bağlanırsa bağlansın, GDPR'ın uygulama alanını ve Tüzükteki haklarla yükümlülüklerin kapsamını değiştiremez. Diğer yaptırımlarla m.83 kapsamındaki idari para cezası arasındaki ilişki de temel haklara ve Birlik hukukunun genel ilkelerine uygun biçimde kurulmalıdır.2
Ceza yaptırımları ve iki kez cezalandırma yasağı
Üye devletler, GDPR'ın veya Tüzüğün verdiği yetki sınırları içinde kabul edilen ulusal kuralların ihlali için ceza yaptırımları düzenleyebilir. Bu yaptırımlar, ihlal sonucunda elde edilen kazancın alınmasını da sağlayabilir.1
Aynı fiile idari ve cezai yaptırım uygulanması, Avrupa Birliği Temel Haklar Şartı m.50'deki aynı suçtan iki kez yargılanmama veya cezalandırılmama hakkına uygun olmalıdır. Gerekçe 149, ceza yaptırımı ile idari yaptırımın birlikte uygulanmasının bu hakkı ihlal etmemesini açıkça arar.2 Bu nedenle iki yaptırım yolunun ulusal hukukta bulunması, aynı kişi ve aynı fiil hakkında her iki yaptırımın herhangi bir sınırlama olmadan uygulanabileceği anlamına gelmez.
Komisyona bildirim
Her üye devlet, GDPR m.84/1 uyarınca kabul ettiği ulusal hükümleri 25 Mayıs 2018'e kadar Avrupa Komisyonuna bildirmekle yükümlü tutulmuştur.1 Bu tarihten sonra yapılan ve söz konusu hükümleri etkileyen değişiklikler de gecikmeksizin bildirilmelidir. Bildirim yükümlülüğü yalnız ilk düzenlemeyle sona ermez.
Komisyona bildirim, ulusal yaptırımın GDPR'a uygunluğunu kendiliğinden sağlamaz. Yaptırımın etkili, orantılı ve caydırıcı olması ile temel haklara ve Tüzüğün çizdiği yetki sınırlarına uygunluğu ayrıca değerlendirilmelidir.2
KVKK ile karşılaştırma
KVKK m.17, kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu m.135-140 hükümlerinin uygulanacağını düzenler. Silme veya anonim hale getirme yükümlülüğüne aykırılık hakkında ayrıca Türk Ceza Kanunu m.138'e gönderme yapılmıştır.1 KVKK m.18 ise maddede sayılan aykırılıklar için idari para cezaları öngörür. Türk hukukunda cezai ve idari yaptırımlar böylece ayrı hükümlerde düzenlenmiştir.
GDPR m.84, üye devletlere Tüzük ihlalleri için diğer yaptırımları düzenleme ve bunları Komisyona bildirme görevi verir. KVKK m.17-18'de Avrupa Komisyonuna bildirimle karşılaştırılabilecek bir yükümlülük bulunmaz.2 Ayrıca KVKK m.17'deki suçlara gönderme ile GDPR m.84'ün üye devletlere bıraktığı düzenleme alanı aynı hukuki işlevi görmez. Her yaptırımın uygulanma şartları ilgili ceza veya kabahat hükmüne göre ayrıca belirlenecektir.