Madde 27

GDPR m.27/1, m.3/2'nin uygulandığı hallerde Birlik içinde yerleşik olmayan veri sorumlusu veya veri işleyenin Birlik içinde yazılı olarak bir temsilci belirlemesini öngörür.1 Temsilci belirleme yükümlülüğü Tüzüğün ülkesel uygulama alanını kurmaz. Bu nedenle önce GDPR m.3/2'nin şartlarının gerçekleşip gerçekleşmediği incelenecektir.2

GDPR m.3/2, Birlik içinde bulunan kişilere mal veya hizmet sunulmasıyla ya da bu kişilerin Birlik içindeki davranışlarının izlenmesiyle bağlantılı işlemeleri kapsar.3 Birlik dışındaki bir işleme faaliyeti, yalnız internet üzerinden erişilebilir olması nedeniyle m.27 kapsamında temsilci belirleme yükümlülüğü doğurmaz.4

Temsilci yazılı olarak belirlenmelidir. Gerekçe 80, temsilcinin veri sorumlusu veya veri işleyen adına hareket etmesi için açık bir yazılı yetkiyle görevlendirilmesini öngörür. Bu yetki, temsilcinin Tüzük kapsamındaki temas ve iş birliği görevlerini yerine getirmesine imkan vermelidir.5

Kamu makamları ve kamu organları temsilci belirleme yükümlülüğünün dışındadır. Özel kesimdeki veri sorumlusu veya veri işleyen ise GDPR m.27/2-a'daki üç şart birlikte gerçekleşirse istisnadan yararlanabilir.1

İşleme arızi olmalı, büyük ölçekte özel nitelikli verileri veya mahkumiyet ve suçlara ilişkin verileri içermemeli ve kişilerin hak ve özgürlükleri bakımından risk doğurması muhtemel olmamalıdır. Bu şartlardan yalnız birinin bulunması istisnanın uygulanması için yeterli değildir. Örneğin arızi bir işleme önemli risk doğuruyorsa temsilci belirleme yükümlülüğü devam edebilir.2

Arızi işleme ve büyük ölçek kavramları için sabit bir sayı verilmemiştir. İşlemenin sıklığı, sürekliliği, veri hacmi, kişi sayısı ve coğrafi kapsamı somut olayda birlikte değerlendirilecektir.3

Temsilci, mal veya hizmet sunulan ya da davranışı izlenen ilgili kişilerin bulunduğu üye devletlerden birinde yerleşik olmalıdır. Hüküm, kişinin vatandaşlığını veya sürekli ikametgahını değil, GDPR m.3/2 kapsamındaki işleme faaliyeti sırasında Birlik içinde bulunmasını esas alır.1

Faaliyet birden fazla üye devletteki kişileri etkiliyorsa her devlet için ayrı temsilci belirlenmesi gerekmez. Tek temsilci, ilgili kişilerin bulunduğu üye devletlerden birinde yerleşik olabilir. Temsilcinin bulunduğu yer, diğer üye devletlerdeki ilgili kişiler ve denetim makamlarıyla etkili iletişim kurmasına elverişli olmalıdır.2

Temsilcinin, ilgili kişilerin bulunmadığı bir üye devlette yerleşik olması GDPR m.27/3'teki yer şartını karşılamaz. İşlemenin yöneldiği ülkeler değiştiğinde temsilcinin yerleşim yeri de yeniden değerlendirilmelidir.3

Temsilci, kişisel veri işlemeye ilişkin konularda denetim makamları ve ilgili kişiler tarafından veri sorumlusu veya veri işleyene ek olarak ya da onun yerine muhatap alınmak üzere yetkilendirilmelidir.1 Temsilci, kendisine iletilen talebi temsil edilen veri sorumlusu veya veri işleyene ulaştırmalı ve ilgili kişi ya da denetim makamıyla iletişim kurulmasını sağlamalıdır.2

Temsilcinin kimlik ve iletişim bilgileri GDPR m.13 ve m.14 uyarınca ilgili kişiye verilmelidir. Temsilci ayrıca GDPR m.30 kapsamındaki işlem kayıtlarını tutmalı, istendiğinde denetim makamına sunmalı ve m.31 uyarınca denetim makamıyla iş birliği yapmalıdır.3

Temsilcinin başvuruyu alması, veri sorumlusu veya veri işleyenin ilgili kişi talebini karşılama yükümlülüğünü ortadan kaldırmaz. Temsilci, aldığı talebi ve talebin karşılanması için gereken bilgileri temsil edilen veri sorumlusu veya veri işleyene gecikmeksizin iletmelidir.4

Temsilci belirlenmesi, veri sorumlusu veya veri işleyen aleyhine hukuki yollara başvurulmasını engellemez. Gerekçe 80, bu belirlemenin temsil edilen veri sorumlusu veya veri işleyenin Tüzük kapsamındaki sorumluluk ve yükümlülüklerini etkilemediğini açıkça belirtir.1

Temsilci kendi kayıt tutma, bilgi sağlama ve iş birliği görevlerine uymak zorundadır. Buna karşılık m.27, veri sorumlusu veya veri işleyenin her ihlalinden temsilcinin doğrudan ve aynı kapsamda sorumlu tutulacağını açıkça düzenlememiştir.2

Gerekçe 80'de, temsil edilen veri sorumlusu veya veri işleyenin Tüzüğe uymaması halinde temsilci hakkında yaptırım süreci yürütülebileceği belirtilmiştir. Bu ifade ile m.27'nin hüküm fıkraları arasındaki ilişki tartışmalıdır. Temsilcinin kendi yükümlülüğü ile temsil edilenin ihlalinden doğabilecek sorumluluk birbirine karıştırılmamalıdır.3

GDPR m.27'deki temsilci, GDPR m.3/2 kapsamındaki işleme nedeniyle belirlenir. Doktrinde, temsilcinin yalnız bu görev nedeniyle Birlik içinde yerleşik olmasının temsil edilen veri sorumlusu veya veri işleyen bakımından m.3/1 anlamında yerleşiklik oluşturmayacağı kabul edilmektedir. Bu nedenle temsilci belirlenmesi tek durak mekanizmasını kendiliğinden başlatmaz.1

ABAD, 95/46/AT sayılı Direktif dönemindeki Weltimmo kararında tek bir temsilcinin varlığının, gerekli donanım ve yeterli süreklilik bulunduğunda istikrarlı bir düzen oluşturabileceğini belirtmiştir. Karar, GDPR m.27 uyarınca belirlenen temsilcinin statüsünü yorumlamamıştır.2

Temsilci, GDPR m.27'deki görevlerinin dışında temsil edilen veri sorumlusu veya veri işleyenin ekonomik faaliyetine sürekli biçimde katılırsa yerleşiklik bu fiili faaliyetler üzerinden ayrıca incelenecektir. Yalnız temsilci belirlenmesi ile temsilcinin ekonomik faaliyete bu biçimde katılması, yerleşiklik bakımından aynı sonucu doğurmaz.3

KVKK'de temsilciye ilişkin hükümler bulunur. KVKK m.10 uyarınca yapılacak aydınlatmada veri sorumlusunun varsa temsilcisinin kimliği açıklanır. Veri Sorumluları Siciline yapılacak başvuruda da varsa temsilcinin kimlik ve adres bilgileri gösterilir. Kurul, veri sorumlusu ile temsilcisinin görev, yetki ve sorumlulukları hakkında düzenleyici işlem yapmaya yetkilidir.1

Bununla birlikte KVKK'nin kanun metninde, GDPR m.3/2 ve m.27'deki gibi ülkesel uygulama alanına bağlanan bir temsilci belirleme şartı, üçlü istisna ölçütü ve temsilcinin bulunacağı yere ilişkin özel bir düzenleme yoktur.2 Türk hukukundaki temsilci yükümlülüklerinin kapsamı, KVKK ile bu yetkiye dayanılarak kabul edilen düzenlemeler üzerinden ayrıca belirlenecektir.

GDPR m.27, KVKK'nin ülkesel uygulama alanını veya yabancı veri sorumlularına ilişkin yükümlülükleri doğrudan belirlemez. İki düzen karşılaştırılırken kanun hükmü ile ikincil düzenlemelerin getirdiği şartlar ayrı tutulmalıdır.3