Kişisel Verileri Koruma Kurulu Tarafından Verilen Kararlar

6698 sayılı Kişisel Verilerin Korunması Kanunu ile Kişisel Verileri Koruma Kurulu kurulmuştur. Kurulun başlıca göre kanun kapsamında gerçekleşen ihlallere dair başvuruları incelemektir. Kurul nezdinde incelemeler, karar organı olarak tayin edilen Kurul tarafından gerçekleştirilecektir.

Kişisel Verileri Koruma Kurulu herhangi bir ihlale ilişkin incelemesini ilgili kişilerin şikâyeti üzerine yapabileceği gibi durumdan bir şekilde haberdar olması üzerine re’sen de yapabilir. Kurul yaptığı inceleme sonucunda çeşitli kararlar verebilmektedir. Şikâyet üzerine Kurul tarafından 60 gün içerisinde karar verilmesi gerekmektedir. Aksi takdirde şikâyet başvurusu reddedilmiş sayılır.

Kurul incelemesi sonucunda çeşitli kararlar verebilmektedir. Aşağıda bu kararlar incelenmektedir:

Hukuka Aykırılığın Giderilmesi Kararı

Kanun’un 15/5. maddesinde “Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin varlığının anlaşılması hâlinde Kurul, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir.” hükmünü havidir.

Hükümden de görüleceği üzere Kurul incelemesi sonucu kişisel verilerin korunmasına dair bir ihlal durumunu tespit ederse ihlalin ortadan kaldırılmasına karar verir. Kurul bu kapsamda verdiği kararları “talimatlandırma” kararları olarak adlandırmaktadır. Yani Kurul tespit edilen hukuka aykırılığın ortadan kaldırılması yönünde ilgiliye talimat vermektedir. Kararın muhatabı olan veri sorumlusunun bu talimatı yerine getirmek için 30 günlük süresi bulunmaktadır.

İlke Kararı

Kurul, ihlalin yaygın olduğunu tespit ederse ilke kararı alabilir. Bu yetki Kanun’un 15/6 hükmünde “Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin yaygın olduğunun tespit edilmesi hâlinde Kurul, bu konuda ilke kararı alır ve bu kararı yayımlar. Kurul, ilke kararı almadan önce ihtiyaç duyması hâlinde, ilgili kurum ve kuruluşların görüşlerini de alabilir.” şeklinde ifade edilmiştir. Yani bir ihlalin yalnızca önündeki olayda değil, buna benzer diğer durumlarda da mevcut olduğu tespit edilirse ilke kararı alınacaktır. İlke kararında Kurul, Kanun’un bu durumlarda nasıl anlaşılması gerektiğini ve ihlalin oluşmaması için gereken tedbirleri açıklar. Bir bakıma Kurul tarafından bundan sonra gerçekleştirilecek incelemelerde benzer olaylara nasıl yaklaşılacağı açıklanmakta, ilgililerin önceden önlem alması gerektiği ilan edilmektedir.

Veri İşlenmesinin/Yurt Dışına Aktarılmasının Durdurulması Kararı

Kanun’un 15/7. maddesinde “Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir.” düzenlemesine yer verilmiştir.Kurul önüne gelen olayda telafisi güç veya imkânsız zararlar doğuran bir durum olması ve açıkça hukuka aykırılık olması halinde veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir. Kanun’un 22. maddesinde bu karar geçici bir önlem olarak adlandırılmıştır. Yani Kurul, hukuka aykırılık tespit etmekle birlikte veri işlenmesinin ya da yurt dışına aktarılmasının derhal durdurulmaması halinde önemli zararlar doğacağını düşünürse tedbir kararı alabilir.

İdari Para Cezası Kararı

Kişisel Verilerin Korunması Kanunu’nun 18. maddesinde bazı eylemler kabahat olarak düzenlenmiştir. Buna göre hangi hallerde hangi idari para cezalarının verileceği aşağıdaki tabloda gösterilmiştir:

10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler	5.000 Türk lirasından 100.000 Türk lirasına kadar
12nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler	15.000 Türk lirasından 1.000.000 Türk lirasına kadar
15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler	25.000 Türk lirasından 1.000.000 Türk lirasına kadar
16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler	20.000 Türk lirasından 1.000.000 Türk lirasına kadar

Bu para cezaları veri sorumluları hakkında uygulanacaktır. Veri sorumlusunun kamu kurumu olması halinde idari para cezasına karar verilmeyecek fakat kurumdaki sorumlular hakkında disiplin hükümleri uygulanacaktır.

Bu düzenlemede Kanun’un dört ayrı maddesinde öngörülen yükümlülüklerin yerine getirilmemesi hali kabahat olarak düzenlenmiştir. Veri sorumluları bu sorumluluklarına aykırı hareket etmeleri halinde belirli miktarlar arasında idari para cezası ile tecziye edileceklerdir. Kurul ihlalin ve olayın şartlarını değerlendirerek idari para cezasının miktarını Kanun maddesinde belirtilen miktarlar arasında takdir edecektir. Kanun gerekçesinde kabahatin haksızlık içeriği, failin kusuru ve veri sorumlusunun ekonomik durumunun idari para cezasının takdirinde önemli rol oynayacağı belirtilmiştir.

İdari para cezaları her ne kadar Kanun’un dört maddesine aykırılığın karşılığı olarak düzenlenmişse de, Kurul tarafından verilen kararların yerine getirilmemesi halinde de para cezası verilmektedir. Bu nedenle ilgililerin Kurul kararlarının gereklerini mutlaka uygulamaları gerekmektedir. Aksi halde para cezası ile karşı karşıya kalınabilir.

Örneğin veri sorumlularının Kurul tarafından verilen hukuka aykırılığın giderilmesine ilişkin kararları 30 günlük süre içerisinde ya da gereği gibi uygulamamaları, verilerin işlenmesini/aktarılmasını derhal durdurmamaları ya da ilke kararlarının gereklerini yerine getirmemeleri halinde haklarında idari para cezası tesis edilebilir.

Kurul tarafından verilen idari para cezaların karşı Kabahatler Kanunu hükümlerine göre 15 gün içerisinde sulh ceza hâkimliklerine itiraz edilebilir. Kabahatler Kanunu’nun 27/8 hükmü uyarınca idari para cezasının verildiği işlem kapsamında idarî yargının görev alanına giren bir başka karar verilirse, her ikisine ilişkin açılacak dava idari yargıda görülmelidir.