GDPR İlgili Dibaceler 1 dibace
Recital 80
Where a controller or a processor not established in the Union is processing personal data of data subjects who are in the Union whose processing activities are related to the offering of goods or services, irrespective of whether a payment of the data subject is required, to such data subjects in the Union, or to the monitoring of their behaviour as far as their behaviour takes place within the Union, the controller or the processor should designate a representative, unless the processing is occasional, does not include processing, on a large scale, of special categories of personal data or the processing of personal data relating to criminal convictions and offences, and is unlikely to result in a risk to the rights and freedoms of natural persons, taking into account the nature, context, scope and purposes of the processing or if the controller is a public authority or body. The representative should act on behalf of the controller or the processor and may be addressed by any supervisory authority. The representative should be explicitly designated by a written mandate of the controller or of the processor to act on its behalf with regard to its obligations under this Regulation. The designation of such a representative does not affect the responsibility or liability of the controller or of the processor under this Regulation. Such a representative should perform its tasks according to the mandate received from the controller or processor, including cooperating with the competent supervisory authorities with regard to any action taken to ensure compliance with this Regulation. The designated representative should be subject to enforcement proceedings in the event of non-compliance by the controller or processor.
Dibace 80
Birlik içinde kurulu olmayan ve işleme faaliyetleri, veri öznesinin ödeme yapmasının gerekli olup olmadığına bakılmaksızın Birlik içindeki veri öznelerine mal veya hizmetlerin sunulmasıyla ya da Birlik içinde gerçekleştiği sürece söz konusu veri öznelerinin davranışlarının izlenmesiyle ilgili olan bir veri sorumlusu veya veri işleyenin, Birlik içinde veri öznelerinin kişisel verilerini işlediği durumlarda, veri sorumlusu veya veri işleyen; işleme faaliyetinin nadiren gerçekleştiği, geniş ölçekli olarak özel kategorilerdeki kişisel verilerin işlenmesini veya mahkûmiyet kararları veya suçlarla ilgili kişisel verilerin işlenmesini içermediği ve söz konusu işlemenin, mahiyeti, bağlamı, kapsamı ve amaçları ve veri sorumlusunun bir kamu makamı veya organı olup olmadığı dikkate alınarak, gerçek kişilerin hak ve özgürlüklerine yönelik bir riske sebebiyet vermesi ihtimalinin bulunmadığı haller hariç olmak üzere, bir temsilci atamalıdır. Temsilci, veri sorumlusu veya veri işleyen adına hareket etmelidir ve herhangi bir denetim makamı tarafından muhatap alınabilir. Temsilci, veri sorumlusunun veya veri işleyenin bu Tüzük kapsamındaki yükümlülükleri ile ilgili olarak onun adına hareket etmesi için verdiği yazılı bir yetki ile açık bir şekilde belirlenmelidir. Böyle bir temsilcinin görevlendirilmesi, veri sorumlusunun veya veri işleyenin bu Tüzük kapsamındaki sorumluluğunu veya yükümlülüğünü etkilemez. Bu temsilci, bu Tüzük'e uyum sağlanması amacıyla alınan herhangi bir önleme ilişkin olarak yetkili denetim makamlarıyla işbirliği yapılması da dâhil olmak üzere, veri sorumlusu veya veri işleyenin verdiği yetkiye göre görevlerini yerine getirmelidir. Belirlenen temsilci, veri sorumlusu veya veri işleyenin herhangi bir uygunsuzluğu durumunda, zorlayıcı işlemlere tabi tutulmalıdır.
Temsilci belirleme yükümlülüğünün kapsamı
GDPR m.27/1, m.3/2'nin uygulandığı hallerde Birlik içinde yerleşik olmayan veri sorumlusu veya veri işleyenin Birlik içinde yazılı olarak bir temsilci belirlemesini öngörür.1 Temsilci belirleme yükümlülüğü Tüzüğün ülkesel uygulama alanını kurmaz. Bu nedenle önce GDPR m.3/2'nin şartlarının gerçekleşip gerçekleşmediği incelenecektir.2
GDPR m.3/2, Birlik içinde bulunan kişilere mal veya hizmet sunulmasıyla ya da bu kişilerin Birlik içindeki davranışlarının izlenmesiyle bağlantılı işlemeleri kapsar.3 Birlik dışındaki bir işleme faaliyeti, yalnız internet üzerinden erişilebilir olması nedeniyle m.27 kapsamında temsilci belirleme yükümlülüğü doğurmaz.4
Temsilci yazılı olarak belirlenmelidir. Gerekçe 80, temsilcinin veri sorumlusu veya veri işleyen adına hareket etmesi için açık bir yazılı yetkiyle görevlendirilmesini öngörür. Bu yetki, temsilcinin Tüzük kapsamındaki temas ve iş birliği görevlerini yerine getirmesine imkan vermelidir.5
Temsilci belirleme yükümlülüğünün istisnaları
Kamu makamları ve kamu organları temsilci belirleme yükümlülüğünün dışındadır. Özel kesimdeki veri sorumlusu veya veri işleyen ise GDPR m.27/2-a'daki üç şart birlikte gerçekleşirse istisnadan yararlanabilir.1
İşleme arızi olmalı, büyük ölçekte özel nitelikli verileri veya mahkumiyet ve suçlara ilişkin verileri içermemeli ve kişilerin hak ve özgürlükleri bakımından risk doğurması muhtemel olmamalıdır. Bu şartlardan yalnız birinin bulunması istisnanın uygulanması için yeterli değildir. Örneğin arızi bir işleme önemli risk doğuruyorsa temsilci belirleme yükümlülüğü devam edebilir.2
Arızi işleme ve büyük ölçek kavramları için sabit bir sayı verilmemiştir. İşlemenin sıklığı, sürekliliği, veri hacmi, kişi sayısı ve coğrafi kapsamı somut olayda birlikte değerlendirilecektir.3
Temsilcinin yerleşim yeri
Temsilci, mal veya hizmet sunulan ya da davranışı izlenen ilgili kişilerin bulunduğu üye devletlerden birinde yerleşik olmalıdır. Hüküm, kişinin vatandaşlığını veya sürekli ikametgahını değil, GDPR m.3/2 kapsamındaki işleme faaliyeti sırasında Birlik içinde bulunmasını esas alır.1
Faaliyet birden fazla üye devletteki kişileri etkiliyorsa her devlet için ayrı temsilci belirlenmesi gerekmez. Tek temsilci, ilgili kişilerin bulunduğu üye devletlerden birinde yerleşik olabilir. Temsilcinin bulunduğu yer, diğer üye devletlerdeki ilgili kişiler ve denetim makamlarıyla etkili iletişim kurmasına elverişli olmalıdır.2
Temsilcinin, ilgili kişilerin bulunmadığı bir üye devlette yerleşik olması GDPR m.27/3'teki yer şartını karşılamaz. İşlemenin yöneldiği ülkeler değiştiğinde temsilcinin yerleşim yeri de yeniden değerlendirilmelidir.3
Temas ve iş birliği görevleri
Temsilci, kişisel veri işlemeye ilişkin konularda denetim makamları ve ilgili kişiler tarafından veri sorumlusu veya veri işleyene ek olarak ya da onun yerine muhatap alınmak üzere yetkilendirilmelidir.1 Temsilci, kendisine iletilen talebi temsil edilen veri sorumlusu veya veri işleyene ulaştırmalı ve ilgili kişi ya da denetim makamıyla iletişim kurulmasını sağlamalıdır.2
Temsilcinin kimlik ve iletişim bilgileri GDPR m.13 ve m.14 uyarınca ilgili kişiye verilmelidir. Temsilci ayrıca GDPR m.30 kapsamındaki işlem kayıtlarını tutmalı, istendiğinde denetim makamına sunmalı ve m.31 uyarınca denetim makamıyla iş birliği yapmalıdır.3
Temsilcinin başvuruyu alması, veri sorumlusu veya veri işleyenin ilgili kişi talebini karşılama yükümlülüğünü ortadan kaldırmaz. Temsilci, aldığı talebi ve talebin karşılanması için gereken bilgileri temsil edilen veri sorumlusu veya veri işleyene gecikmeksizin iletmelidir.4
Temsilci belirlenmesinin sorumluluğa etkisi
Temsilci belirlenmesi, veri sorumlusu veya veri işleyen aleyhine hukuki yollara başvurulmasını engellemez. Gerekçe 80, bu belirlemenin temsil edilen veri sorumlusu veya veri işleyenin Tüzük kapsamındaki sorumluluk ve yükümlülüklerini etkilemediğini açıkça belirtir.1
Temsilci kendi kayıt tutma, bilgi sağlama ve iş birliği görevlerine uymak zorundadır. Buna karşılık m.27, veri sorumlusu veya veri işleyenin her ihlalinden temsilcinin doğrudan ve aynı kapsamda sorumlu tutulacağını açıkça düzenlememiştir.2
Gerekçe 80'de, temsil edilen veri sorumlusu veya veri işleyenin Tüzüğe uymaması halinde temsilci hakkında yaptırım süreci yürütülebileceği belirtilmiştir. Bu ifade ile m.27'nin hüküm fıkraları arasındaki ilişki tartışmalıdır. Temsilcinin kendi yükümlülüğü ile temsil edilenin ihlalinden doğabilecek sorumluluk birbirine karıştırılmamalıdır.3
Temsilci belirlenmesi ve yerleşiklik
GDPR m.27'deki temsilci, GDPR m.3/2 kapsamındaki işleme nedeniyle belirlenir. Doktrinde, temsilcinin yalnız bu görev nedeniyle Birlik içinde yerleşik olmasının temsil edilen veri sorumlusu veya veri işleyen bakımından m.3/1 anlamında yerleşiklik oluşturmayacağı kabul edilmektedir. Bu nedenle temsilci belirlenmesi tek durak mekanizmasını kendiliğinden başlatmaz.1
ABAD, 95/46/AT sayılı Direktif dönemindeki Weltimmo kararında tek bir temsilcinin varlığının, gerekli donanım ve yeterli süreklilik bulunduğunda istikrarlı bir düzen oluşturabileceğini belirtmiştir. Karar, GDPR m.27 uyarınca belirlenen temsilcinin statüsünü yorumlamamıştır.2
Temsilci, GDPR m.27'deki görevlerinin dışında temsil edilen veri sorumlusu veya veri işleyenin ekonomik faaliyetine sürekli biçimde katılırsa yerleşiklik bu fiili faaliyetler üzerinden ayrıca incelenecektir. Yalnız temsilci belirlenmesi ile temsilcinin ekonomik faaliyete bu biçimde katılması, yerleşiklik bakımından aynı sonucu doğurmaz.3
KVKK ile karşılaştırma
KVKK'de temsilciye ilişkin hükümler bulunur. KVKK m.10 uyarınca yapılacak aydınlatmada veri sorumlusunun varsa temsilcisinin kimliği açıklanır. Veri Sorumluları Siciline yapılacak başvuruda da varsa temsilcinin kimlik ve adres bilgileri gösterilir. Kurul, veri sorumlusu ile temsilcisinin görev, yetki ve sorumlulukları hakkında düzenleyici işlem yapmaya yetkilidir.1
Bununla birlikte KVKK'nin kanun metninde, GDPR m.3/2 ve m.27'deki gibi ülkesel uygulama alanına bağlanan bir temsilci belirleme şartı, üçlü istisna ölçütü ve temsilcinin bulunacağı yere ilişkin özel bir düzenleme yoktur.2 Türk hukukundaki temsilci yükümlülüklerinin kapsamı, KVKK ile bu yetkiye dayanılarak kabul edilen düzenlemeler üzerinden ayrıca belirlenecektir.
GDPR m.27, KVKK'nin ülkesel uygulama alanını veya yabancı veri sorumlularına ilişkin yükümlülükleri doğrudan belirlemez. İki düzen karşılaştırılırken kanun hükmü ile ikincil düzenlemelerin getirdiği şartlar ayrı tutulmalıdır.3