*Görsel, yazar tarafından yapay zekâ destekli bir araç kullanılarak üretilmiştir.
Mehmet Kipriksiz
Ankara Üniversitesi Sosyal Bilimler Enstitüsü Avrupa Birliği ve Uluslararası Ekonomik İlişkiler Anabilim Dalı Avrupa Birliği Hukuku Tezli Yüksek Lisans Programı Öğrencisi
GİRİŞ
Avrupa
Birliği Genel Veri Koruma Tüzüğü’nün (General
Data Protection Regulation (GDPR)) uygulanmasına ilişkin ek usul kuralları
belirleyen 2025/2518
sayılı Tüzük (Usul Tüzüğü) 26 Kasım 2025 tarihinde Avrupa Parlamentosu ve
Konsey tarafından kabul edilmiştir. Bu düzenlemeyle, Avrupa Birliği’nde (AB) veri
koruma hukuku, paylaşılan yetkiler çevresinde kalmasına rağmen, kısmen rekabet,
kısmen bankacılık hukuku gibi alanlara benzeyen ilginç bir idari uygulamaya
bürünmektedir. Bu çalışmada, Usul Tüzüğü’nün Birlik hukukunda ne şekilde
konumlanacağı ve pratikteki etkileri incelenmeye çalışılacaktır. Öncelikle Usul
Tüzüğü’nden önceki mevcut sistemden bahsedilecek, ardından Usul Tüzüğü’nün yeniliklerine
değinilecektir.
1. 2025/2518 Sayılı Tüzük’ten Öncesi
1.1. Genel Olarak
Uzun yıllar boyunca AB veri koruma hukuku, işlerliğini 95/46 sayılı Direktif
üzerinden sağlamıştır ve en temel hukuki meseleler, üye devlet mevzuatlarının
yakınlaştırılması ve kapasite düzeylerinin eşlenmesi olagelmiştir. 2016/679
sayılı Tüzük, namı diğer GDPR ise 27 Nisan 2016 tarihinde kabul edilmiş, AB
veri koruma hukuku sisteminde yeni bir paradigma değişimine sebep olmuştur.
Bilindiği üzere direktiflerde, AB ulaşılması istenen sonucu
ve asgari koşulları çizerken, üye devlet AB’nin çizdiği sınırlar doğrultusunda
ulusal mevzuatını inşa edip çeşitlendirir. Tüzükler ise her üye devlette
doğrudan uygulanabilir nitelikteki sui
generis düzenlemelerdir. Bu düzenlemeler, adeta üye devlet yasa koyucusu
tarafından çıkarılmış bir kanun gibi sonuç doğurmaktadır.[1]
Bu açıdan 20 yılı aşan Direktif uygulamasının ardından gelen
GDPR, bütünleşik bir uyum aracı olarak planlanmış, hem maddi hem usulî anlamda
dönemin gereklerine uygun kapsamlı bir reform getirmiştir.
1.2. Kurumsal Çerçeve
GDPR’nin getirdiği kurumsal yenilikler 3 başlık altında özetlenebilir:
Birincisi, Direktif döneminden kalan yumuşak güç WP29
yapılandırılmış, Avrupa Veri
Koruma Kurulu (European Data Protection
Board (EDPB) adıyla bağlayıcı kararlar alabilen bir AB organına
dönüştürülmüştür. İkincisi, Veri
Koruma Otoritelerinin (Data
Protection Authority (DPA)) tam teşekküllü idari uygulayıcılar haline
gelmesi için pek çok düzenleme ihdas edilmiş, otoriteler arası kapasite
düzeyleri büyük ölçüde eşlenmiştir. Üçüncüsü, yıllardır AB’nin DPA’sı olarak
faaliyet göstermekte olan Avrupa Veri
Koruma Denetçisi (European Data
Protection Supervisor (EDPS)), GDPR’a uyumlu çıkarılan 2018/1725 sayılı
Tüzük ile oldukça geniş yetkilere
kavuşmuş, yüksek kapasitesiyle nevi şahsına münhasır bir kuruluş haline
gelmiştir.
Yenilenen işbu kurumsal yapı şu şekilde gözlemlenebilir:
EDPB, ağırlıklı olarak koordinasyon sağlayıcı olarak
faaliyet göstermektedir. Kurul, selefi olan WP29’a benzer şekilde, DPA
temsilcileri ve EDPS temsilcisinden mürekkeptir.[2]
EDPB, kendi üyeleri arasından seçilen -primus
inter pares- bir Başkan ve iki Başkan Yardımcısı ile idare edilir ve kararlarını
ağırlıklı olarak salt çoğunlukla alır.[3]
Bu açıdan oldukça federal bir görünüme sahiptir. Ayrıca tüzel kişiliğe
sahiptir.[4]
Bu nedenle duruma göre davacı veya davalı olabilir, Kurul’a karşı tazminat
taleplerinde bulunulabilir.[5]
Bütün bu faaliyetleri yerine getirirken Kurul’un sekretarya hizmetleri ve
bütçesi ise EDPS’den sağlanır.[6]
EDPS, Birlik’in DPA’sı olarak AB Kurum, Organ, Ofis ve
Ajansları’nın veri işleme faaliyetlerinde münhasır olarak yetkilendirilmiş bir
AB organı olarak faaliyet göstermektedir. EDPS, geniş sekretaryasıyla çalışan tekil
bir denetçi tarafından yönetilir. İşbu Denetçi, bağımsızlığı şüphe götürmez
veri koruma uzmanları arasından seçilir ve Avrupa Parlamentosu ve Konsey’in
ortak mutabakatıyla atanır. EDPS, AB genel bütçesinde özerk bir bölüme sahiptir
ve Denetçi dış etkilerden uzak, bağımsız biçimde faaliyetlerini yürütür.[7]
DPA’lar ise kurulu oldukları üye devlet sınırları içerisinde
yetkilendirilmiş, ulusal uygulayıcılar olarak faaliyet göstermektedir. GDPR,
DPA’ların bağımsızlığına yönelik yeni denge mekanizmaları kurgulamış, bu
otoritelerin üye seçimlerini ve görev sürelerini güvence altına almış, bütçesel
özerklik gibi standartlar öngörmüştür.[8]
DPA’lar Tüzük ile geniş yetkilere de kavuşmuştur. Bütün DPA’lar, salt Tüzük
hükümlerine dayanarak, emir ve talimatlarda bulunup, işleme faaliyetlerine
yönelik yasaklar ihdas edebilir,[9]
ihlal tespitinde bulundukları teşebbüslere 20 milyon Avro’ya veya küresel
cirolarının %4’üne varan ağır para cezaları uygulayabilir hale gelmiştir.[10]
Bu sistemle DPA’lar arası kapasite farklılıkları gün geçtikçe azalmaktadır.
İşbu EDPB, EDPS ve DPA’lardan oluşan üçlü yapılanma, -iç
pazarı etkileyen mevzularda Komisyonun da katılımıyla- AB veri koruma hukukunun
idari uygulama boyutunu oluşturmaktadır. GDPR bu aktörleri deyim yerindeyse
kaslandırırken, yeni bir ulusüstü işleyişi de beraberinde getirmektedir.
1.3. Mevcut İdari Uygulama
AB, veri koruma hukukunu düzenlerken, Direktif döneminden bu
yana sürdürdüğü anlayışla, bir taraftan gerçek kişilerin temel haklarını
korurken, diğer yandan verilerin Birlik genelinde serbest dolaşımının
sağlanmasını da hedeflemektedir.[11]
İşbu ikili hedef, başlı başına bir iç pazar kurmanın gereğidir. Zira Birlik
içinde üye devlet uygulamaları arasındaki farklar, teşebbüslerin pazara en
rahat nüfus edebilecekleri uygulayıcıları tercih edebilmelerine imkân
tanımaktadır.
Bu çerçevede temel hakların muhafızları olan DPA’lar,[12]
GDPR ile geniş bir sorumluluk rejiminin parçası haline getirilmiş,[13]
çeşitli işbirliği araçlarıyla birbirine bağlanmıştır.[14]
Otoriteler yalnızca ulusal yetki alanlarındaki bireyleri korumakla kalmayıp, Birlik
menfaatini gözetme yükümlülüğünü de üstlenmişlerdir.[15]
Bunun en çarpıcı örneğini tek durak mekanizması (one stop shop) adıyla anılan sistem oluşturmaktadır. Bireyler, işbu
sistem vasıtasıyla haklarını diledikleri otoriteye başvurarak kullanabilecek, teşebbüsler
Birlik genelinde tek bir otoriteyle muhatap olacak, bu yolla uygulama birörnek
yürütülebilecek, hukuki belirlilik sağlanacaktır.
Sistemin işleyişi şu şekilde özetlenebilir: Uyuşmazlıkla
ilgili otoritelerden birinin baş denetim otoritesi (lead supervisory authority (LSA)) olarak seçilmesi (i), LSA’nın
ulusal usul kurallarını dikkate alarak ve gerektiğinde ilgili diğer otoritelere
de (concerned supervisory authority (CSA))
danışarak incelemeyi yürütmesi ve bir taslak karar hazırlaması (ii), eldeki
kararın CSA’lara sunulması ve fikir birliğine varılarak uyuşmazlığın çözülmeye
çalışılması (iii).[16]
GDPR işbu DPA’lar arası uyuşmazlıkların çözümünü ise EDPB
üzerinden kurgulamıştır. Bu doğrultuda EDPB, CSA’nın LSA’nın taslak kararına
itiraz etmesi ve anlaşmaya varılamaması durumunda, LSA’nın belirlenemediği
durumda ve tutarlılık mekanizmasına aykırılık durumunda bağlayıcı karar almak
zorunda tutulmuş, ilgili DPA’nın işbu kararın kendisine bildirilmesini takiben
1 ay içerisinde ve gecikmeksizin nihai kararını vermesi gerektiği
düzenlenmiştir.[17] İşbu
bağlayıcı güç, EDPB’ye uyuşmazlık çözücü bir işlev yüklemiştir.
GDPR’de genel DPA kararlarına itiraz yeri DPA’nın bulunduğu
üye devlet mahkemeleri olarak düzenlenmiştir.[18]
EDPB’nin bağlayıcı kararlarına itiraz yeri ise ABAD olmaktadır. DPA’lar ilgili
kararı takiben 2 ay içerisinde kararın iptalini talep edebilecek, yine bir
Kurul kararı, herhangi bir gerçek veya tüzel kişiyi doğrudan ve bireysel olarak
ilgilendiriyorsa, ABİHA’nın 263. maddesi doğrultusunda o kişi de bir iptal
davası açabilecektir.[19]
Ancak kâğıt üzerinde bu şekilde kurgulanan sistem, ne yazık ki arzulanan
biçimde ilerleyememektedir.
1.4. Uygulamadaki Sorunlar
GDPR dönemi sorunlarının başında kapasite sorunları, ulusal
yaklaşım farklılıkları ve tek durak mekanizması gelmektedir. Bu noktada en
büyük tartışmalar İrlanda DPA’sı çevresinde gerçekleşmektedir. Zira pek çok
küresel teknoloji firmasının AB faaliyet merkezi İrlanda’da bulunmakta, bu
nedenle İrlanda DPA’sı pek çok uyuşmazlıkta LSA olarak karar verici konumuna
gelmektedir. İrlanda hukuku ise Anglosakson sistemine olan yakınlığıyla, genel
olarak kıta Avrupası yaklaşımından ayrışmakta, bu doğrultuda zaten Almanya,
Fransa gibi ülkelerin DPA’larına kıyasla daha müsamahakâr olan Otorite, bir de
oluşan yoğun iş yükü nedeniyle kapasite yetersizliği içerisine girmekte, etkili
bir idari uygulama sergileyememektedir. Nitekim 2021 yılında İrlanda Sivil
Özgürlükler Konseyi (Irish Council for
Civil Liberties (ICCL)) tarafından yayımlanan bir rapor, İrlanda otoritesinin
2018-2021 yılları arasında AB çapında önemi haiz toplam 164 uyuşmazlıkta LSA
olarak yer aldığını, bu uyuşmazlıkların %98’ini nihayete erdiremediğini çarpıcı
biçimde göstermektedir.[20]
Bir diğer sorun, idari açıdan şikâyetlerin/soruşturmaların
ele alınış biçimi olagelmektedir. Zira yetersiz bilgi sağlandığı gerekçesiyle
reddedilen bir şikâyet, bir diğer otoritede kabul edilebilmekte, şikâyetçilere
verilen haklar otoriteden otoriteye değişiklik gösterebilmektedir. Dahası
soruşturma altındaki tarafların hakları, ulusal usul hukuku kuralları
doğrultusunda çeşitlenmekte, tarafların dosyaya ne zaman, ne şekilde ve ne
ölçüde erişeceği belirsizlik göstermektedir.[21]
Yargısal açıdan ise her ne kadar gerçek veya tüzel kişilerin
belirli şartlar altında EDPB kararlarını iptal davasına konu edebilmesi mümkün
gibi gözükse de uygulamada bu yollar oldukça güçtür. Özellikle ABİHA md.
263 kriterleri olan doğrudan ve bireysel ilgililik, veri ihlallerinin doğal
yapısı gereği, mağdurlar açısından neredeyse hiçbir olayda sağlanamamakta,
dahası teşebbüslerce açılan bazı davalar da EDPB’nin kararlarının üzerine nihai
kararı verenin ilgili DPA olmasından bahisle, kabul edilemez bulunmaktadır.[22]
Dolayısıyla uygulamada ulusal mahkemeler tarafından ön karar prosedürünün
işletilmesi, daha standart bir işlerlik göstermektedir. Ancak bu noktada ilgili
DPA kararlarına itiraz yerinin, otoritenin bulunduğu üye devlet mahkemeleri
olması, sınır ötesi bireysel davacıların, bilmedikleri usul hukuku kurallarına
tabi olmasına, dil bariyerlerine ve dolayısıyla yüksek maliyetlere ve hak
kayıplarına sebep olmaktadır.
İşbu dağınık ve iyi işlemeyen hukuki çerçevede reforma
gidilmiş, GDPR’nin uygulanmasına ilişkin ek usul kuralları belirleyen 2025/2518
sayılı Tüzük getirilmiştir.
2. 2025/2518 sayılı Tüzük’ten Sonrası
2.1. Genel Olarak
Usul Tüzüğü, ABİHA’nın
16. maddesine dayanarak olağan yasama usulüyle kabul edilmiş, 12 Aralık
2025 tarihinde AB Resmi Gazetesinde yayımlanmıştır. 1 Ocak 2026 tarihinde
yürürlüğe giren Tüzük, uygulama için ise 15 aylık bir hazırlık süresi
öngörmüştür.[23] Tüzük,
37 maddeden ve 68 dibaceden müteşekkildir, oldukça detaylıdır. Kapsama alanı ise
sınır ötesi işleme faaliyetleriyle sınırlandırılmıştır.[24]
Tüzük, Avrupa Ekonomik Alanı genelinde geçerli olacak, 2 Nisan 2027 tarihinden
itibaren bütün hükümleriyle uygulanacaktır.
2.2. Usul Tüzüğü’nün Yenilikleri
Usul Tüzüğü’nün getirdikleri 4 başlık altında özetlenebilir:
Şikâyet süreçlerinin yeknesaklaştırılması (i), soruşturmalardaki usulî hakların
garanti altına alınması (ii), işbirliğinde usul bütünlüğünün sağlanması ve bağlayıcı
sürelerin getirilmesi (iii) ve uyuşmazlık çözümü mekanizmasının netleştirilmesi
(iv).
Tüzük öncelikle, şikâyetlerin kabul edilebilirlik
kriterlerini, şikâyetçinin adı ve iletişim bilgileri, Sivil Toplum Kuruluşları
(STK) için kuruluş belgesi ve temsil yetkisi, şikâyet edilenin kimliği ve
ihlalin tanımı şeklinde tahdidi olarak belirlemiş, DPA’ların uyması gereken
süreleri ve prosedürü de kesinleştirmiştir.[25]
Ardından DPA’ların, kendisine gelen bu şikâyetlerin sınır ötesi nitelik taşıyıp
taşımadığını ve ilgili LSA’nın belirlenmesini, ön sorun olarak incelemesini ve
gerektiğinde erken çözüm (early resolution)
mekanizmasını devreye sokmasını düzenlemiştir.[26]
Bu mekanizmayla eğer ihlal giderilip şikâyet konusuz kalırsa, otoritenin
dosyayı hızlıca kapatabilmesi sağlanmaktadır.
Daha sonra her DPA’nın, bir diğer DPA ile işbirliği
içerisindeyken hangi bilgileri paylaşmaları gerektiği Tüzük’le belirlenmiş,[27]
LSA’ya, önemli konuların özetini (summary
of key issues) hazırlayıp ilgili DPA’ya iletmesi sorumluluğu yüklenmiştir.
Bu özet; soruşturmanın kapsamını, ilgili temel olguları, maddi ve hukuki sorunların
tespitini, tarafların görüşlerinin analizini ve uygulanması muhtemel
yaptırımları içerecektir. İlgili DPA’lara kendisine bildirilen özete
görüşlerini bildirmesi için 4 hafta süre verilmiş olup sessizlik zımni kabul
sayılmaktadır.[28] Bu
şekilde otoriteler arası fikir ayrılıklarının erkenden tespitinin sağlanması
amaçlanmaktadır.
Bu prosedürün ardından LSA, karar taslağını sunmayı
arzuluyorsa, bir ön bulgular (preliminary
findings) dokümanı hazırlayacaktır. Bu doküman önce ilgili DPA’ların
görüşlerine sunulacak, ardından soruşturma altındaki taraflara iletilecektir.
Bu bildirim anından itibaren soruşturma altındaki tarafların dosyaya erişim
hakkı söz konusu olacak, 3 ila 6 haftalık bir süre kısıtı içerisinde soruşturma
altındaki taraf, yazılı veya sözlü biçimde görüşlerini sunabilecektir.[29]
LSA taslak kararını yalnızca işbu prosedüre dâhil olgulara dayandırabilecek, bu
sistemle soruşturmalar daha öngörülebilir biçimde sonuçlandırılabilecektir.
Bu standart işleyişin yanı sıra Usul Tüzüğü, kararların
değerlendirilmesinde daha hızlı, basit işbirliği prosedürü (simple cooperation procedure) olarak anılan
bir mekanizmayı da duyurmuştur. Sistem, vakanın tartışmasız şekilde ortaya
konulabildiği konularda ve/veya EDPB kararlarıyla daha önceleri üzerinde
mutabakata varılmış konularda uygulanacak bir istisna olarak kurgulanmıştır.
Basit işbirliği prosedürünü uygulamak isteyen DPA, bunu duyuracak, eğer diğer
otoritelerce itiraz gelmezse somut uyuşmazlık hızlı biçimde sonuçlandırılacak, yaptırımlar
seri şekilde gerçekleştirilecektir.[30]
Bu uygulama muhtemelen EDPB kararlarının yapısını da etkileyecek, EDPB kararlarının
sürekli takip edilen bir içtihat havuzu oluşturmasına neden olacaktır.
Usul Tüzüğü tarafların erişebileceği bilgilerin bulunduğu
dosya ile otoriteler arasındaki işbirliğinin sağlandığı dosya arasında da
ayrıma gitmiş, iş birliği dosyası (cooperation
file) ve idari dosya (administrative
file) şeklinde ikili bir sistem kurgulamıştır. Dahası dosyaya giren ticari
bilgilerin gizliliğinin yalnızca tek bir DPA tarafından kabul edilmesiyle bile
bütün otoriteler için sonuç doğurması sağlanmıştır.[31]
Bu yenilik, teşebbüslerin ticari sır endişeleri açısından sağlıklı bir gelişme
olmuştur.
Son olarak Tüzük, uyuşmazlık çözümü prosedürünü de
geliştirmiştir. LSA’nın hazırladığı taslak karara gelen ilgili ve gerekçeli
itirazlar üzerine 3 ay içerisinde ya revize edilmiş bir taslak karar hazırlayacağı
ya da konuyu EDPB’ye havale edeceği düzenlenmiş, havale edilen dosyanın hangi
bilgileri içereceği sıralanmıştır. Dahası EDPB’nin gelen dosyayı ön incelemeden
geçireceği ve yeni olgulara dayandığı takdirde soruşturma altındaki taraflara
savunma hakkı tanıyacağı da belirtilmiştir.[32]
Bu şekilde dosyanın EDPB’ye karar vermeye hazır şekilde iletilmesinin
sağlanması ve adil yargılanma hakkının korunması amaçlanmıştır.
SONUÇ
AB hukukunda DPA’lar, bir zamanlar yalnızca bildirim alan ve
tavsiye veren bağlı/bağımlı kurumlarken, günümüzde soruşturmalar yürütüp,
baskınlar düzenleyen ve devasa para cezaları kesen bağımsız idari uygulayıcılara
dönüşmüştür. Dahası AB, kurmuş olduğu sistemde, bu bağımsız yapılanmaları, bir
şekilde uzlaşı ve işbirliği mekanizmalarıyla yeknesak hareket etmeye
zorlamakta, kimi zaman yumuşak hukuk, kimi zaman sert hukuk araçlarıyla süreci
idare etmektedir.
Bu noktada ulusal çıkarlar, Birlik yaklaşımıyla uyuşmayabilmekte,
hem siyasi hem ilkesel çatışma alanları gözlemlenebilmektedir. Bir yanda Birlik
uygulamasındaki idari özerklik kavramı ve veri koruma hukukunun bağımsız idari
otorite esası, diğer yanda Birlik hukukunun denkliği ve etkililiği ilkeleri yer
almaktadır.[33] Şimdilik
2025/2518 sayılı Tüzük ile terazinin Birlik tarafına eğildiği, uyumlaştırma
doğrultusundaki düzenlemelerin ağır bastığı söylenebilir.
Usul Tüzüğü, Birlik rekabet hukuku uygulamasından alışık
olduğumuz sözlü savunma benzeri idari prosedürlerin veri koruma hukukuna da
kısmi entegrasyonunu içermektedir. Bu düzenlemeler GDPR cezalandırma rejimine
daha hukuki bir çerçeve kazandırabilir. Dahası kısa ve bağlayıcı süreler, yeni
itiraz prosedürleriyle birlikte değerlendirildiğinde, teşebbüsleri bekle ve gör
stratejisinden uzaklaştırıp, daha sıkı, sistematik bir yaklaşıma da itecektir.
Bu gelişmelerin dijital değişiklikler paketi (EU digital omnibus) tartışmaları da
süregelirken AB’nin veri koruma hukukuna yönelik hak temelli yaklaşımını nasıl
etkileyeceği ise merak konusudur. Bu belirsiz geçiş dönemi muhtemelen ABAD’a
taşınacak itirazlar ve ilk EDPB kararlarıyla şekillenecektir. En doğrusu 2
Nisan 2027’yi beklemek olacaktır.
Bu yazıya atıf için: Mehmet Kipriksiz, “Sessiz bir İdari Bütünleşme Örneği: Avrupa Birliği Veri Koruma Hukukunda 2025/2518 sayılı Tüzük”, Yaşayan Avrupa Birliği Hukuku Blogu, 3/2/2026, Link: <https://yasayanabhukuku.blogspot.com/2026/02/blog-post.html>
Bu yazıyı faydalı buldunuz mu? Hiç bir içeriği kaçırmayın bizi takip edin.
[1] Bkz. ABİHA md. 288.
[2] 2016/679 sayılı Tüzük md. 68 (3).
[3] 2016/679 sayılı Tüzük md. 72; 73.
[4] 2016/679 sayılı Tüzük md. 68 (1).
[5] Bkz. ABİHA md. 268; 340.
[6] 2016/679 sayılı Tüzük md. 75.
[7] 2018/1725 sayılı Tüzük md. 53; 54; 55.
[8] 2016/679 sayılı Tüzük md. 52 (4); (6); 54.
[9] 2016/679 sayılı Tüzük md. 58.
[10] 2016/679 sayılı Tüzük md. 83.
[11] Bkz. 2016/679 sayılı Tüzük md. 1; Dibace (6); (10).
[12] Judgment of the Court (Grand Chamber) of 9 March
2010, Commission v Germany, C-518/07, EU:C:2010:125, para. 23.
[13] Bkz. 2016/679 sayılı Tüzük md. 57.
[14] 2016/679 sayılı Tüzük md. 63.
[15] 2016/679 sayılı Tüzük md. 51 (2).
[16] Bkz. 2016/679 sayılı Tüzük md. 60- 62. Ayrıca LSA’nin
belirlenmesine ilişkin bkz. 2016/679 sayılı Tüzük md. 4 (16); 56.
[17] 2016/679 sayılı Tüzük md. 65.
[18] 2016/679 sayılı Tüzük md. 78 (3).
[19] 2016/679 sayılı Tüzük Dibace (143).
[20] İrlanda DPA’sı bu süreçte yalnızca 4 adet taslak
kararını EDPB’ye iletebilmiştir. Bkz. Irish Council for Civil Liberties,
“Europe’s enforcement paralysis: ICCL’s 2021 report on the enforcement capacity
of data protection authorities”, (2021), s. 5.
[21] Konuya ilişkin olarak Komisyon taslağı incelenebilir.
Bkz. Proposal for a Regulation of The European Parliament and of The Council laying
down additional procedural rules relating to the enforcement of Regulation (EU)
2016/679 (COM/2023/348 final).
[22] Bkz. Opinion of Advocate General, WhatsApp Ireland v EDPB, C-97/23 P, EU:C:2025:210, paras. 31-34.
[23] Bkz. 2025/2518 sayılı Tüzük Dibace (67); md. 36-37.
[24] 2025/2518 sayılı Tüzük md. 1.
[25] 2025/2518 sayılı Tüzük md. 4.
[26] Bkz. 2025/2518 sayılı Tüzük md. 5.
[27] 2025/2518 sayılı Tüzük md. 9.
[28] 2025/2518 sayılı Tüzük md. 10.
[29] Bkz. 2025/2518 sayılı Tüzük md. 19.
[30] Bkz. 2025/2518 sayılı Tüzük md. 6.
[31] Bkz. 2025/2518 sayılı Tüzük md. 24; 25; 26.
[32] Bkz. 2025/2518 sayılı Tüzük md. 27-30.
[33] Bkz. Judgment of the Court of 16 December 1976, REWE, Case 33-76, EU:C:1976:188, para. 5; Judgment of the Court of 16
December 1976, Comet BV, Case 45-76, EU:C:1976:191, paras.
13-16.

