Avrupa Veri Koruma Kurulu Tarafından GDPR Kapsamındaki İdari Para Cezaları ve DSA-GDPR Etkileşimine İlişkin Kılavuzlar Kabul Edilmiştir

Avrupa Veri Koruma Kurulu (EDPB) tarafından, 21 Eylül 2026 tarihinde gerçekleştirilen genel kurul toplantısında, Genel Veri Koruma Tüzüğü (“GDPR”) kapsamında idari para cezası uygulama yetkisinin diğer düzeltici yetkilerle ilişkisine ilişkin kılavuz ile Dijital Hizmetler Yasası (“DSA”) ile GDPR arasındaki etkileşime ilişkin kılavuzun nihai versiyonu kabul edilmiştir.

Söz konusu kılavuzlar ile Veri Koruma Otoriteleri (“DPA”) tarafından GDPR kapsamında idari para cezalarının uygulanmasına ilişkin yaklaşımların daha fazla uyumlaştırılması ve DSA ile GDPR'ın birlikte uygulandığı durumlarda her iki düzenlemenin tutarlı şekilde uygulanmasının desteklenmesi amaçlanmıştır.

a. GDPR Kapsamında İdari Para Cezalarının Uygulanmasına İlişkin Beş Aşamalı Metodoloji

Yeni kılavuz kapsamında, Veri Koruma Otoriteleri tarafından bir ihlal bakımından idari para cezası uygulanıp uygulanmayacağına karar verilmesi sırasında beş aşamalı bir metodolojinin izlenmesi öngörülmüştür:

İhlalin para cezasına tabi olup olmadığının belirlenmesi: İhlalin GDPR veya uygulanabilir ulusal mevzuat kapsamında idari para cezasına tabi olup olmadığı değerlendirilmektedir.
Sorumlu tarafın belirlenmesi: İhlal nedeniyle ilgili tarafın idari para cezasına tabi olup olmadığı belirlenmektedir. Bu kapsamda, ihlal edilen hükümden kaynaklanan yükümlülüğün veri sorumlusuna mı yoksa veri işleyene mi ait olduğu dikkate alınmaktadır.
Kusurun değerlendirilmesi: İhlalin kasten veya ihmal sonucu gerçekleştirilip gerçekleştirilmediği değerlendirilmektedir. Kusurlu bir ihlal, idari para cezası uygulanmasının koşullarından biri olarak kabul edilmektedir.
Ağırlaştırıcı ve hafifletici unsurların değerlendirilmesi: İhlalin niteliği ve somut olayın koşulları dikkate alınarak ağırlaştırıcı ve hafifletici unsurlar değerlendirilmektedir. İhlalin küçük çaplı olması hâlinde genel olarak idari para cezası uygulanmaması ve bunun yerine kınama verilmesi öngörülmektedir. İhlalin küçük çaplı olmaması hâlinde ise idari para cezası uygulanması yönünde güçlü bir karine bulunduğu belirtilmektedir.
Cezanın etkin, orantılı ve caydırıcı olup olmadığının değerlendirilmesi: İdari para cezasının uygulanmasının somut olay bakımından etkili, orantılı ve caydırıcı olup olmadığı değerlendirilmektedir. Bu kapsamda, somut olayın özellikleri nedeniyle standart yaklaşımdan ayrılmayı gerektiren bir neden bulunup bulunmadığı da dikkate alınabilmektedir.

Kılavuz kapsamında, ulusal Veri Koruma Otoritelerinin yetki alanında bulunan düzeltici yetkilere ilişkin genel bir çerçeve de sunulmuştur. Bu kapsamda uyarı, kınama, emirler, kişisel veri işleme faaliyetlerinin sınırlandırılması veya yasaklanması ve sertifikasyonun geri çekilmesi gibi düzeltici tedbirlerin amaçları, kapsamları ve birbirleriyle olan ilişkileri açıklanmıştır.

Ayrıca, Veri Koruma Otoriteleri tarafından somut olayın özelliklerinin değerlendirilmesine ve uygulanabilecek düzeltici tedbirlerin belirlenmesine yardımcı olmak üzere 14 pratik örneğe yer verilmiştir.

Söz konusu kılavuz, 13 Kasım 2026 tarihine kadar kamuoyu görüşüne sunulmuştur.

b. DSA ve GDPR Arasındaki Etkileşime İlişkin Kılavuzun Nihai Versiyonu Kabul Edilmiştir

Kamuoyu görüşü sürecinin tamamlanmasının ardından, Dijital Hizmetler Yasası ile Genel Veri Koruma Tüzüğü arasındaki etkileşime ilişkin kılavuzun nihai versiyonu da EDPB tarafından kabul edilmiştir.

Söz konusu kılavuz ile özellikle DSA hükümlerinin aracı hizmet sağlayıcıları tarafından gerçekleştirilen kişisel veri işleme faaliyetleriyle ilgili olduğu ve DSA kapsamında GDPR'da yer alan kavram ve tanımlara atıfta bulunulduğu durumlarda, her iki düzenlemenin tutarlı şekilde uygulanmasının desteklenmesi amaçlanmıştır.

c. GDPR Kapsamındaki İdari Para Cezalarına İlişkin Önceki Kılavuzlardan Farkı

Yeni kılavuz, GDPR kapsamında idari para cezalarının uygulanmasına ilişkin WP29 kılavuzunun yerini almaktadır

Bununla birlikte, EDPB tarafından daha önce kabul edilen ve GDPR kapsamında idari para cezasının miktarının hesaplanmasına ilişkin metodolojiye odaklanan kılavuzu tamamlayıcı nitelikte olduğu belirtilmiştir.

Bu kapsamda, yeni kılavuzda esas olarak idari para cezasının uygulanıp uygulanmayacağı ve diğer düzeltici tedbirlerle nasıl ilişkilendirileceği ele alınırken, daha önce kabul edilen kılavuzda uygulanmasına karar verilen idari para cezasının miktarının hesaplanmasına ilişkin metodoloji ele alınmaktadır.

DSA ile GDPR arasındaki etkileşime ilişkin nihai kılavuzun ise yayımlanmadan önce dilsel kontrollerden geçirileceği ve belgenin kısa süre içerisinde EDPB'nin internet sitesinde yayımlanacağı belirtilmiştir.

EDPB tarafından yayımlanan 21 Eylül 2026 tarihli duyurunun tam metnine buradan ulaşabilirsiniz.

Saygılarımızla,

Zümbül Hukuk ve Danışmanlık

info@zumbul.av.tr

İnternet sitemizde bulunan her türlü bilgi ve belge Avukatlık Kanunu ve ilgili diğer mevzuat ile Türkiye Barolar Birliği’nin Avukatlık Meslek Kuralları dikkate alınarak Zümbül Hukuk ve Danışmanlık tarafından yalnızca genel bilgilendirme amacıyla hazırlanmış olup, bu yayınlarda kesinlikle reklam ve/veya ticari amaç güdülmemiştir. İnternet sitemizdeki her türlü bilgi ve belge genel geçer nitelikte olup hiçbir suretle bu yayınların eksiksiz, doğru, güncel ve güvenilir olduğu garanti ve taahhüt edilmemektedir. İnternet sitemizde yer verilen yayınlardaki bilgilerle ilgili olarak bir avukata/uzmana danışmadan söz konusu bilgi ve belgelere dayanılarak hareket edilmemelidir. İnternet sitemizdeki yayınlarda yer verilen linkler kamuya açık kaynaklardan elde edilerek yalnızca ziyaretçilerin diğer bilgi ve belgelere ulaşmasını kolaylaştırmak amacıyla bulunmaktadır. Bu linkler hiçbir şekilde link verilen kişi, kurum ve kuruluşları tavsiye ve/veya onay anlamına gelmemektedir. İnternet sitemizdeki yayınlar hiçbir şekilde hukuki danışmanlık sunulması veya internet sitemize herhangi bir suretle ulaşan ziyaretçiler ile avukat-müvekkil ilişkisi oluşturulduğu anlamına gelmemektedir. İnternet sitemizdeki tüm içerikler Zümbül Hukuk ve Danışmanlık mülkiyetindedir ve hiçbir içerik yazılı izin alınmaksızın kopyalanamaz, çoğaltılamaz ve atıf yapılmadan kullanılamaz.