Madde 3

GDPR m.3, Tüzüğün ülkesel uygulama alanını üç bağlantı noktası üzerinden belirler. Birinci fıkra, Birlik içindeki bir kuruluşun faaliyetleri bağlamında yürütülen işlemeyi kapsar. İkinci fıkra, Birlik içinde kuruluşu bulunmayan veri sorumlusu veya veri işleyenin Birlik içinde bulunan kişilere mal ya da hizmet sunmasıyla veya bu kişilerin Birlik içinde gerçekleşen davranışlarını izlemesiyle ilgili işlemelere uygulanır. Üçüncü fıkra ise bir üye devlet hukukunun uluslararası kamu hukuku gereğince uygulandığı yerde yapılan işlemeyi düzenler.1

Ülkesel kapsam, kişi veya şirket hakkında bir kez belirlenerek bütün faaliyetlere yayılan genel bir statü değildir. GDPR m.3'teki bağlantı, her işleme faaliyeti bakımından ayrıca kurulmalıdır.2 Bir kişinin belirli bir işleme bakımından GDPR'a tabi olması, başka amaçlarla yürüttüğü bütün işlemeleri kendiliğinden Tüzüğün kapsamına sokmaz.

Bir işlemenin Tüzüğe tabi olması için ülkesel bağlantının yanında GDPR m.2'deki maddi kapsam şartlarının da gerçekleşmesi gerekir.3 Mahkemenin veya denetim makamının yetkisi ile uygulanacak hukuka ilişkin diğer kurallar, ülkesel kapsamdan ayrı olarak incelenecektir.

Birlik içinde kuruluş sayılmak için ayrı tüzel kişiliğe sahip bir şube veya iştirakin bulunması gerekmez. İstikrarlı bir yapı aracılığıyla gerçek ve etkili bir faaliyet yürütülmesi yeterlidir. Tek bir çalışan veya acente aracılığıyla yürütülen faaliyet de sürekliliği ve niteliği elveriyorsa kuruluş oluşturabilir.1

Kuruluşun varlığı tek başına yeterli değildir. İncelenen işlemenin bu kuruluşun faaliyetleri bağlamında yürütülmesi gerekir. İşlemenin kuruluş tarafından veya teknik olarak Birlik içinde gerçekleştirilmesi şart değildir.2 Buna karşılık kuruluş ile veri işleme arasındaki her ticari veya ekonomik ilişki, m.3/1'de aranan bağlantıyı kurmaya yetmez.

ABAD, Google Spain kararında reklam faaliyetleri ile arama motorundaki kişisel veri işleme arasında, incelenen iş modeli bakımından ayrılmaz bir ekonomik bağlantı bulunduğunu kabul etmiştir.3 Weltimmo kararında ise yerel temsilci, banka hesabı, posta adresi ve faaliyetin yöneldiği pazar birlikte değerlendirilmiştir.4 Her iki karar da 95/46/AT sayılı Direktif dönemine aittir. Bu kararlardan GDPR yorumunda, Direktifteki kavramların Tüzükte de korunduğu ve sonuçların güncel EDPB kılavuzuyla uyumlu olduğu ölçüde yararlanılabilir.

Veri sorumlusu ile veri işleyenin ülkesel kapsamı ayrı ayrı belirlenir. Birlik içinde kurulu bir veri işleyen, yalnız bu sıfatıyla Birlik dışında bulunan veri sorumlusunun m.3/1 anlamında kuruluşu sayılmaz. Veri işleyenin Birlik içindeki kuruluşu ve kendisine doğrudan yüklenen yükümlülükler de veri sorumlusunu kendiliğinden Tüzüğün ülkesel kapsamına sokmaz.1

Birlik dışında bulunan veri işleyenin belirli bir işlemesi, veri sorumlusunun m.3/2 kapsamındaki mal veya hizmet sunma ya da davranış izleme faaliyetiyle ilgiliyse Tüzüğün kapsamına girebilir. Bu sonuç yalnız ilgili işlemeye özgüdür ve veri işleyenin diğer faaliyetlerine yayılmaz. Ortak veri sorumlularından birinin m.3 kapsamına girmesi de diğer ortakların bütün işlemelerini kendiliğinden kapsama sokmaz.2

Temsilci atanması, GDPR m.3 kapsamını kuran dördüncü bir bağlantı noktası değildir. Temsilci görevlendirme yükümlülüğü, m.3/2'nin şartları gerçekleştikten sonra ve m.27/2'deki istisnalar saklı kalmak üzere doğabilir. Temsilcinin atanması, veri sorumlusu veya veri işleyenin sorumluluğunu ortadan kaldırmadığı gibi tek başına Birlik içinde kuruluş da oluşturmaz.3

GDPR m.3/2-a, Birlik içinde kuruluşu bulunmayan veri sorumlusu veya veri işleyenin Birlik içinde bulunan kişilere mal ya da hizmet sunmasıyla ilgili işlemeleri kapsar. Hizmet karşılığında ödeme yapılıp yapılmaması belirleyici değildir. İşlemenin, Birlik içinde bulunan kişilere yönelmiş bir sunumla ilgili olması gerekir.1

Bir internet sitesine Birlik içinden erişilebilmesi, e-posta adresi ve genel iletişim bilgilerinin bulunması veya üçüncü ülkede olağan olarak kullanılan bir dilin seçilmesi tek başına Birlik pazarına yönelme amacını göstermez. Birlik içinde kullanılan dil ve para birimiyle sipariş imkanı sunulması, Birliğe teslimat yapılması, Birlik içindeki müşterilerin anılması veya Birlik pazarına yönelik reklam verilmesi gibi olgular birlikte değerlendirilebilir.2

Bu göstergelerin bir bölümü, tüketici sözleşmelerinde yargı yetkisini konu alan Pammer ve Alpenhof kararlarından alınmıştır.3 Bu kararlar GDPR'ı doğrudan yorumlamaz. EDPB, kararlardaki göstergelerden m.3/2-a'nın yorumunda yardımcı kaynak olarak yararlanmıştır. Bir sözleşmenin kurulmuş olması önemli bir olgudur. Ancak önceden Birlik pazarına yönelme amacı bulunmadıkça tesadüfi veya arızi bir sunum, tek başına m.3/2-a kapsamını kurmaz.4

GDPR m.3/2-b, Birlik içinde bulunan kişilerin burada gerçekleşen davranışlarının izlenmesiyle ilgili işlemeleri kapsar. İlgili kişinin vatandaşlığı veya ikamet yeri belirleyici değildir. Kişinin izlemeye konu davranış sırasında Birlik içinde bulunması ve davranışın burada gerçekleşmesi gerekir.1

İzleme, yalnız internet üzerindeki faaliyetlerle sınırlı değildir. Kamera, Wi-Fi, konum, cihaz parmak izi ve düzenli sağlık takibi, somut olayın şartlarına göre bu kapsama girebilir. Ancak her veri toplama veya çözümleme faaliyeti izleme sayılamaz. Veri sorumlusunun amacı ile verinin daha sonra davranış çözümlemesinde veya profillemede kullanılıp kullanılmayacağı birlikte incelenecektir.2

İzleme için tamamlanmış bir profilin bulunması zorunlu değildir.3 Bununla birlikte kişisel verinin belirli bir izleme amacıyla işlendiği gösterilmedikçe, belirli bir teknolojinin kullanılması m.3/2-b kapsamını kurmaya yetmez. Belirleyici olan, işleme amacı ile izlenen davranış arasındaki bağlantıdır.

GDPR m.3/3, bir üye devlet hukukunun uluslararası kamu hukuku gereğince uygulandığı yerlerde yapılan işlemelere Tüzüğün uygulanmasını öngörür. Gerekçe 25'te üye devletlerin diplomatik temsilcilikleri ve konsoloslukları örnek gösterilmiştir.1

Bu örnekler sınırlı değildir. EDPB, bir üye devlet siciline kayıtlı gemide yapılan işlemeyi de şartları varsa bu bağlantı kapsamında değerlendirmiştir.2 Buna karşılık bir kuruluşun uluslararası faaliyet yürütmesi veya bir üye devletle ticari bağlantı kurması m.3/3'ün uygulanması için yeterli değildir. Üye devlet hukukunun ilgili yerde uluslararası kamu hukuku gereğince uygulanması gerekir.

Maddenin üçüncü fıkrası, diplomatik ayrıcalık ve bağışıklık sorununu tek başına çözmez.3 Uygulanacak veri koruma kuralının yanında, uluslararası hukuktan doğan statü ve bağışıklıklar da kendi kaynakları uyarınca ayrıca incelenecektir.

GDPR m.3, belirli bir işlemenin Tüzüğün ülkesel kapsamına girip girmediğini belirler. GDPR'ın V. Bölümü ise kişisel verilerin üçüncü ülkeye veya uluslararası kuruluşa aktarılmasını düzenler. Alıcının m.3/2 uyarınca GDPR'a tabi olması, aktarımın V. Bölüm bakımından ayrıca incelenmesini engellemez.1

EDPB'ye göre V. Bölüm anlamında bir aktarımın bulunması için üç şart birlikte gerçekleşmelidir. Aktaran ilgili işleme bakımından GDPR'a tabi olmalı, veriyi başka bir veri sorumlusu veya veri işleyene açıklamalı ya da iletmeli ve alıcı üçüncü ülkede veya uluslararası kuruluşta bulunmalıdır.2 Bu şartlar gerçekleşirse m.3/2 kapsamındaki bir kişinin aynı üçüncü ülkedeki başka bir alıcıya veri iletmesi de aktarım oluşturabilir.

İlgili kişinin verisini doğrudan üçüncü ülkedeki veri sorumlusuna vermesi, arada veriyi ileten başka bir veri sorumlusu veya veri işleyen bulunmadığı sürece V. Bölüm anlamında aktarım sayılmaz.3 Bununla birlikte üçüncü ülkedeki veri sorumlusunun kendi işlemesi, m.3/2'nin şartları gerçekleşiyorsa GDPR'a tabi olacaktır.

KVKK m.2, GDPR m.3/1'deki kuruluş ile kuruluş faaliyetleri arasındaki bağlantıyı, m.3/2'deki mal veya hizmet sunma ve davranış izleme ölçütlerini ya da m.3/3'teki uluslararası kamu hukuku bağlantısını açıkça düzenlemez.1 Bu nedenle GDPR'daki bağlantı noktaları yorum yoluyla KVKK m.2'ye aynen eklenemez.

Türkiye'de kurulu bir veri sorumlusu veya veri işleyenin belirli faaliyeti, GDPR m.3/2'nin şartları gerçekleşiyorsa GDPR'a tabi olabilir. KVKK'nin aynı faaliyete uygulanıp uygulanmayacağı ise Kanunun kendi kapsamı ve Türk hukukundaki ilgili kurallar uyarınca ayrıca belirlenecektir.2 Düzenlemelerden birinin uygulanması, diğerinin uygulanacağı veya uygulanmayacağı sonucunu tek başına doğurmaz.

KVKK m.2'de açık ülkesel bağlantı noktalarının bulunmaması, yabancı unsur taşıyan bütün işlemelerin aynı sonuca bağlanmasına imkan vermez. Kurul uygulaması, yaptırım kurallarının yer bakımından uygulanması, kanunlar ihtilafı ve milletlerarası yetki ayrı hükümlere göre incelenecektir.