Avrupa Veri Koruma Kurulu (EDPB), GDPR uygulamasının pratikte nasıl işleyeceğini değiştirebilecek taslak kılavuzlar yayımladı. Taslağın bir özetine göre öneri, küçük nitelikte olmayan ihlaller için bir EDPB GDPR para cezası karinesi ve buna eşlik eden kasıtlı olarak düşük bir ihmal eşiği ortaya koyuyor. Basit bir ifadeyle, düzenleyiciler ciddi bir ihlalin para cezasını hak ettiği varsayımından yola çıkacak ve şirketler bunun neden olmaması gerektiğini gösterme yükünün daha büyük bir kısmını taşıyacak.
Bu haber için mevcut kaynak materyal bir özetle sınırlı olduğundan, bu yazı özetin belirttikleriyle sınırlı kalıyor ve olası sonuçları genel hatlarıyla açıklıyor.
EDPB'nin taslak kılavuzları neler öneriyor
Taslağın özü, varsayılan yaklaşımda bir değişikliktir. Şimdiye kadar denetim makamları, GDPR kapsamında kınamalardan ve uyum emirlerinden idari para cezalarına kadar bir dizi düzeltici yetkiye sahipti. Taslak kılavuzlar, küçük nitelikte olmayan ihlaller için para cezasının birçok seçenek arasından biri olmak yerine beklenen sonuç olması gerektiğini öne sürüyor.
Özette iki unsur öne çıkıyor:
- Küçük nitelikte olmayan ihlaller için para cezası lehine bir karine.
- Kasıtlı olarak düşük bir ihmal eşiği; bu önemlidir çünkü kusur, para cezası uygulamanın temel koşullarından biridir.
Özet ayrıca kuruluşların uygun özenle hareket ettiklerini göstermek için sağlam tedbirler ortaya koymaları gerekeceğini belirtiyor. Taslak bir öneridir, nihai rehberlik değildir; dolayısıyla ayrıntılar istişareden sonra değişebilir.
Düşük ihmal eşiği uygulamayı neden değiştiriyor
GDPR kapsamındaki para cezaları genellikle bir ihlalin kasıtlı mı yoksa ihmal sonucu mu gerçekleştiğine bağlıdır. İhmalin kanıtlanması zorsa, düzenleyiciler para cezası vermekte tereddüt edebilir veya davalar bir şirketin ne bildiği ya da bilmesi gerektiği konusundaki tartışmalarda tıkanabilir.
Düşük bir eşik bu dinamiği değiştirir. Bir şirket, makul ölçüde dikkatli bir kuruluşun atacağı adımları atmadıysa, ihmal çok fazla ek inceleme gerektirmeden tespit edilebilir. Para cezası karinesiyle birleştiğinde bu, bir kuruluşun bir ihlalin sadece kötü şans ya da dürüst bir gözden kaçırma olduğunu savunmasını zorlaştırır.
Bu, tutarlılığa yönelik daha geniş bir çabayla örtüşüyor. EDPB, para cezalarının hesaplanmasına yönelik beş adımlı bir yaklaşımı hâlihazırda uygulamaya koydu; bunu EDPB beş adımlı GDPR para cezası yöntemi açıklamamızda ele aldık. O yöntem, bir para cezasının ne kadar olması gerektiğiyle ilgilidir. Yeni taslak ise bir para cezasının hiç uygulanıp uygulanmaması gerektiğine dair daha önceki soruyu ele alıyor. Para cezası kademeleri ve kusurun rolü hakkında arka plan için 2026'da GDPR para cezaları ve yaptırımları rehberimize bakın.
Bu Sizin İçin Ne Anlama Geliyor
Sıradan insanlar için pratik etki dolaylı ama anlamlı olacaktır. Kâğıt üzerindeki gizlilik hakları, ancak göz ardı edildiklerinde sonuçları varsa anlam taşır. Para cezaları ciddi ihlallere beklenen yanıt haline gelirse, şirketlerin şunları yapmak için daha güçlü bir mali nedeni olur:
- Başlangıçta daha az kişisel veri toplamak.
- Elde tuttukları verileri güvence altına almak ve bunu belgelemek.
- Erişim, silme ve itiraz taleplerine zamanında yanıt vermek.
- Personeli eğitmek ve müşteri verilerini işleyen tedarikçileri denetlemek.
Bu, her şikâyetin bir yaptırımla sonuçlanacağı anlamına gelmez ve bireyler için daha hızlı sonuçları garanti etmez. Küçük nitelikteki ihlallerin farklı ele alınması bekleniyor ve kılavuzlar hâlâ taslak halinde. Ancak gidişat, gerçek bir ağırlık taşıyan uygulamaya doğru.
Bu arada kuruluşlar muhtemelen kanıtlara odaklanacak. Bu yaklaşım kapsamında kayıtları, risk değerlendirmelerini ve hızlı düzeltici eylemleri gösterebilmek, para cezası ile daha hafif bir yanıt arasındaki farkı yaratabilir.
GDPR haklarınızı bugün nasıl kullanabilirsiniz
Kılavuzların kesinleşmesini beklemek zorunda değilsiniz. AB veya AEA'daysanız ya da bir şirket verilerinizi GDPR kapsamında işliyorsa, şimdiden harekete geçebilirsiniz:
- Erişim talep edin. Bir şirketin hakkınızda neler tuttuğunu ve bunları nasıl kullandığını öğrenmek için bir veri sahibi erişim talebi gönderin.
- Silme talep edin. Veriler artık gerekli değilse veya rızanızı geri çektiyseniz, şirketten bunları silmesini isteyin.
- İşlemeye itiraz edin. Doğrudan pazarlama da dahil olmak üzere belirli kullanımlara itiraz edebilirsiniz.
- Kayıt tutun. Taleplerinizin ve yanıtların kopyalarını tarihleriyle birlikte saklayın.
- Göz ardı edilirse üst makama başvurun. Bir şirket düzgün yanıt vermezse, ulusal veri koruma makamınıza şikâyette bulunabilirsiniz.
Belgelenmiş ve iyi temellendirilmiş bir şikâyet, düzenleyicilerin harekete geçebileceği türden bir kanıttır ve daha güçlü bir uygulama duruşu bu şikâyetleri daha etkili hale getirecektir.
Önemli çıkarımlar
EDPB GDPR para cezası karinesi, taslağındaki gibi kabul edilirse, küçük nitelikte olmayan ihlallere yönelik normal yanıtı yaptırımlar haline getirecek ve ihmalin tespitini kolaylaştıracaktır. Bu, şirketler üzerinde kişisel verileri özenle işleme konusunda baskı oluşturur ve bireylerin haklarına daha fazla pratik güç kazandırır.
Hâlihazırda sahip olduğunuz hakları kullanın: erişim talep edin, silme isteyin ve uygun olduğunda itiraz edin. Bir para cezası gündeme geldiğinde yaptırımların nasıl hesaplandığını anlamak için EDPB beş adımlı para cezası yöntemi ve GDPR yaptırım kademeleri hakkındaki açıklamalarımızı okuyun.
