Deutsche Wohnen SE / Staatsanwaltschaft Berlin (C-807/21)

I. Sorular

1) GVKT’ye aykırılığın tespitinde üye ülkenin kabahatler hukukuna ilişkin hükümlere öncelik tanınmalı mı? Yoksa üye ülkenin kabahatler hukuku kurallarından bağımsız bir şekilde mi yaptırım uygulanmalı? Somut olayda Alman Kabahatler Kanunu §30’a göre tüzel kişiye karşı yaptırım uygulayabilmek için öncelikle tüzel kişiyi temsil yetkisini haiz olan bir kişinin kusurlu davranışının tespit edilmesi gerekmektedir. GVKT ihlalleri açısından da aynı ilke söz konusu olacak mı?

2) GVKT’ye aykırılık sebebiyle idari yaptırım uygulayabilmek için kusurlu bir davranışın bulunması zorunlu mu? Yoksa kusur tespit edilmeden de GVKT’ye aykırılık sebebiyle idari yaptırım uygulanabilir mi?

II. İhtilafın Gelişimi

Alman Kabahatler Kanunu (Ordnungswidrigkeitengesetz – OwiG) § 30’a göre tüzel kişi aleyhine yaptırım uygulayabilmek için tüzel kişinin yönetim organlarının en azından kusurlu bir davranışının tespit edilmesi gerekecektir. Dolayısıyla yönetim yetkisini haiz olmayan kişilerin kabahatleri, tüzel kişi aleyhine yaptırım uygulayabilmek için yeterli değildir. Ayrıca yönetim organlarının fiilinin tüzel kişiye isnat edilebilmesi için gerekli araştırmaların yapılması zorunludur. Dolayısıyla ilgili hüküm uygulama alanı bulduğu takdirde veri koruma otoriteleri tarafından her bir kabahatin kim tarafından ve ne şekilde işlendiğinin etraflıca araştırılması gerekecektir.

Buna karşılık Berlin Veri Koruma Otoritesi, § 30 OWiG hükmünün uygulanmasının mümkün olmadığını, bilakis GVKT’ye aykırılık halinde uygulanacak yaptırımın doğrudan ve herhangi bir kusur ispatına gerek kalmaksızın tüzel kişi aleyhine uygulanacağını savunmuştur. Buna karşılık Deutsche Wohnen, Alman Kabahatler Kanunu’nun ilgili maddesinin uygulama alanı bulacağını, dolayısıyla yönetim organları tarafından tüzel kişiye isnat edilecek kusurlu bir davranışın tespit edilmemesi halinde tüzel kişi aleyhine yaptırım uygulamanın da mümkün olmayacağını ileri sürmüştür.  

Berlin Eyalet Mahkemesi Alman Kabahatler Kanunu hükümlerinin GVKT’ye dayalı yaptırımlarda da uygulama alanı bulacağına hükmetmiş, kararın istinaf çerçevesinde taşındığı Berlin Yüksek Eyalet Mahkemesi (Kammergericht Berlin) ise Avrupa Birliği Adalet Divanı’na önsoru olarak iki soru iletmiştir:

1) Bir tüzel kişiye karşı, önceden gerçek bir kişinin sorumluluğu tespit edilmeden de yaptırım uygulamak mümkün müdür?

2) İhlal niteliği taşıyan davranış kasıt ya da kusura dayanmalı mı? Ya da salt objektif, yani kusursuz bir şekilde ihlal niteliği taşıyan davranış yaptırım için yeterli midir?

III. ABAD Kararı

ABAD kararı şu şekilde özetlenebilir;

-Tüzel kişiye karşı da doğrudan yaptırım uygulanabilecektir. (Art. 4 Nr. 7 GVKT);

-Tüzel kişinin yönetim organları, temsilcileri ya da herhangi bir çalışanı tarafından gerçekleştirilen fiilin ihlal niteliği taşıması yeterlidir; tüzel kişiye karşı yaptırım uygulayabilmek için öncesinde gerçek bir kişi tarafından ihlal niteliğindeki bir davranışın tespit edilmiş olması zorunlu değildir (Karar Kn. 44).

-GVKT’ye dayalı olarak para cezası uygulayacak olan otoritenin dikkate alması gereken kıstaslar, üye ülkelere herhangi bir takdir yetkisi sunulmaksızın Art. 83 f. 1-6 GVKT hükümlerinde sayılmıştır; dolayısıyla üye ülkeler Tüzük hükümlerinin gereği gibi uygulanması için gerekeni yapmakla yükümlüdürler (Kn. 45, 52).

-GVKT’ye göre bir yaptırımın uygulanabilmesi için ihlal niteliğinde bir davranışın objektif olarak varlığı yeterli olmayacaktır. Bilakis Art. 83 GVKT’nin lafzi ve sistematik yorumundan anlaşılacağı üzere ihlalin muhakkak kasıt ya da taksire dayanması gerekmektedir (Kn. 75, 78).

-İhlalin kasıtlı ya da taksirle işlendiğinin tespitinde ABAD, rekabet hukukunda artık kökleşmiş içtihat niteliğinde olan bir varsayıma dayanmaktadır: veri sorumlusu, GVKT hükümlerine aykırı davrandığının bilincinde olsun ya da olmasın, davranışının hukuka aykırılığının farkında olmaması mümkün değilse artık kusurlu bir davranıştan bahis açmak mümkün olacaktır (Kn. 76).

-İhlalin tüzel kişi tarafından gerçekleştirilmesi halinde Art. 83’e dayalı olarak tüzel kişi aleyhine yaptırım uygulayabilmek için yönetim organının davranışının ve hatta bu ihlal hakkında bilgisinin dahi olmasına gerek yoktur (Kn. 77).

IV. Değerlendirme

ABAD, GVKT’nin uygulanmasında yaptırım mekanizmasının tahdidi nitelikte Art. 83’e göre belirlenmesi gerektiğini, üye ülkelerin kabahatler kanunlarından kaynaklanan farklılıkların, Tüzük hükümlerinin uygulanmasını olumsuz etkileyebileceğini belirterek kabahatin tüzel kişiye isnat edilmesi noktasında Birlik hukukunun otonom, yani üye ülke hukukundan bağımsız bir şekilde uygulanması gerektiğine hükmetmiştir. Bu açıdan veri koruma otoriteleri GVKT’ye dayalı olarak yaptırım uygulamak istediklerinde kabahatler kanunundan kaynaklanan sınırlandırmalara tabi olmayacaklardır.

Aynı durumun Türk hukukunda söz konusu olduğunu söylemek güçtür. Şöyle ki Kabahatler Kanunu m. 8’e göre “Organ veya temsilcilik görevi yapan ya da organ veya temsilci olmamakla birlikte, tüzel kişinin faaliyeti çerçevesinde görev üstlenen kişinin bu görevi kapsamında işlemiş bulunduğu kabahatten dolayı tüzel kişi hakkında da idarî yaptırım uygulanabilir”. Dolayısıyla Alman hukukunun aksine Türk hukukunda tüzel kişiye isnat edilebilecek ihlal niteliğindeki davranışın faili sadece yönetim organlarıyla sınırlı tutulmamıştır. Bu kapsamda tüzel kişinin faaliyeti çerçevesinde gerçek kişinin görev üstlenmiş olması yeterlidir.

Bununla birlikte Divan kararında tüzel kişiye isnat edilebilecek ve her halükârda kusur ya da kasta dayanması gereken fiilin kime ait olacağı noktasında bir belirsizlik söz konusudur. Burada kastedilen kusurlu davranış, herhangi bir çalışanın ihlal niteliği taşıyan kusurlu ya da kasıtlı davranışı mı olacak? Yoksa kusurlu davranış, yönetim organının gerekli uyum mekanizmasını kurgulamamasında mı görülecektir?

An itibariyle yönetim organının kusurunu esas almak daha isabetli gözükmektedir. Nitekim Divan, tüzel kişi aleyhine yaptırım uygulanabilmesi için önceden bir gerçek kişinin kusurlu davranışının tespit edilmesinin zorunlu olmadığını belirtmektedir. Dolayısıyla şayet gerçek kişinin kusurlu davranışının tespit edilmesi yaptırım için bir ön şart değilse, kusurlu davranışta bulunması gereken, GVKT’yi ihlal eden davranışı gerçekleştiren herhangi bir çalışan olamayacaktır. Bilakis burada tüzel kişinin kusurundan bahis açılmaktadır. Tüzel kişinin kusurlu davranışı ise ancak tüzel kişinin organları sayesinde mümkündür. Dolayısıyla bundan sonra tüzel kişinin organları tarafından kusurlu ya da kasta dayalı bir davranışın tespit edilmesi gerekecektir. Bununla birlikte veri sorumlusu, GVKT hükümlerine aykırı davrandığının bilincinde olsun ya da olmasın, davranışının hukuka aykırılığının farkında olmaması mümkün değilse artık kusurlu bir davranıştan bahis açmak mümkün olacaksa, yönetim organının ihmali davranışları dahi kusur için yeterli olacaktır. Bu bağlamda bir taraftan üye ülke otoritelerinin araştırma yükümlülüğü artacakken, aynı zamanda tüzel kişilerin yönetim organlarının uyum (compliance) yükümlülüğü de önem kazanacak, özellikle hesap verilebilirlik ilkesi daha sık gündeme gelecektir.  

Türk hukukuna bakıldığında Divan tarafından sunulan argümanların çoğunun gündeme gelmeyeceği söylenebilecektir. Şöyle ki Tüzük hükümlerinin işlevselliğini yitirmemesi amacıyla üye ülkelerin kabahatler hukuku hükümlerinin uygulama alanı bulmaması tezi Türk hukuku açısından söz konusu olmayacaktır. Türk hukukunda KVKK m. 18 hükmü açıkça “Kabahatler” başlığını taşıdığı için bu hükme dayalı olarak uygulanacak yaptırımlarda Kabahatler Hukuku ilkelerinin dikkate alınması kaçınılmaz olacaktır. Dolayısıyla ilgili kanun m. 8’e göre tüzel kişi aleyhine yaptırım uygulayabilmek için öncelikle “organ veya temsilcilik görevi yapan ya da organ veya temsilci olmamakla birlikte, tüzel kişinin faaliyeti çerçevesinde görev üstlenen kişinin bu görevi kapsamında işlemiş bulunduğu” bir kabahatin tespit edilmiş olması şartı aranmalıdır. Nitekim bunun aksini gerektiren bir yorum, belirtildiği üzere Türk hukukunda söz konusu değildir. Ancak böyle bir tespitin akabinde tüzel kişi aleyhine yaptırım mümkün olacaktır. Buna karşılık tüzel kişi organlarının gerekli uyum (compliance) mekanizmasını kurgulamamaları sebebiyle gerekli idari ve teknik tedbirlerin alınmaması ve bu ihmali davranışa dayalı olarak bir yaptırım uygulanması da elbette söz konusu olabilecektir. Her halükarda ABAD kararı dikkate alındığın takdirde Kişisel Verileri Koruma Kurulu açısından ciddi bir araştırma yükünün söz konusu olacağını söylemek mümkündür.