Madde 50

GDPR m.50, Komisyona ve denetim makamlarına üçüncü ülkeler ve uluslararası kuruluşlarla iş birliğini geliştirmek üzere uygun adımları atma görevi verir.1 Maddenin doğrudan muhatapları Birlik düzeyindeki Komisyon ile ulusal denetim makamlarıdır.2

Uluslararası iş birliği, sınır ötesindeki işleme faaliyetlerine ilişkin şikayetlerin incelenmesinde ve denetim yetkilerinin kullanılmasında karşılaşılan güçlükleri azaltmayı amaçlar. Gerekçe 116, yetersiz yetkiler, hukuk düzenleri arasındaki farklar ve kaynak sınırlamaları nedeniyle denetim makamlarının soruşturma yürütmekte zorlanabileceğini belirtir.3

Birlik içindeki denetim makamları arasındaki iş birliği GDPR'ın diğer hükümlerinde düzenlenmiştir. GDPR m.50 bu düzeni tamamlar ve iş birliğini üçüncü ülke makamları ile uluslararası kuruluşlara genişletir.4

Komisyon ve denetim makamları, kişisel verilerin korunmasına ilişkin kuralların sınır ötesinde etkili biçimde uygulanmasını kolaylaştıracak iş birliği mekanizmaları geliştirmelidir. Bu görev yalnız genel politika görüşmeleri yürütülerek yerine getirilemez.1

Karşılıklı yardım, bildirim, şikayetin yetkili makama yönlendirilmesi, soruşturma desteği ve bilgi değişimi yoluyla sağlanabilir.2 Hüküm bu yöntemleri örnek olarak sayar. Karşılıklı yardım mekanizmasının usulünü ve kapsamını ayrıca belirlemez.3

Karşılıklı yardım sırasında paylaşılan kişisel veriler ile diğer temel hak ve özgürlükler uygun güvencelerle korunmalıdır.4 Gerekçe 116, iş birliğinin karşılıklılık temelinde ve GDPR'ye uygun biçimde yürütülmesini ister. Karşılıklılık, uygun güvence şartının yerine geçemez.5

Komisyon ve denetim makamları, uluslararası uygulama iş birliğinin geliştirilmesine yönelik görüşme ve çalışmalara ilgili paydaşları dahil etmelidir.1 Sivil toplum kuruluşları, tüketici örgütleri, akademik çevreler ve iş dünyası, ele alınan konuya göre ilgili paydaşlar arasında yer alabilir.2

GDPR m.50-d, kişisel verilerin korunmasına ilişkin mevzuat ve uygulama bilgisinin paylaşılmasını ve belgelenmesini teşvik eder. Üçüncü ülkelerle yargı yetkisi çatışmaları da bu kapsamda ele alınır.3 Bilgi paylaşımı yalnız mevzuat metinlerinin iletilmesiyle sınırlı tutulmamalıdır. Makamların uygulamada karşılaştıkları sorunların ve çözüm yollarının kayda geçirilmesi, sonraki iş birliği çalışmalarında ortak bir zemin sağlayabilir.4

GDPR m.50, üçüncü ülkeye kişisel veri gönderilmesi için bağımsız bir aktarım dayanağı değildir. Hükmün b bendinde karşılıklı yardım için uygun güvencelerin ayrıca aranması, iş birliğinin veri koruma kurallarının dışında yürütülemeyeceğini gösterir.1

Karşılıklı yardım kapsamında üçüncü ülkeye kişisel veri gönderilecekse GDPR m.44-49'daki aktarım şartlarından uygulanabilir olanı ayrıca belirlenmelidir. İş birliği mekanizması, yeterlilik kararının veya uygun güvencenin yerine geçemez. Belirli durumlara ilişkin bir istisnaya dayanılacaksa o istisnanın şartları da bağımsız olarak karşılanmalıdır.2

GDPR m.50, üçüncü ülke makamlarına Birlik içinde doğrudan denetim yetkisi vermez. Hüküm, yetkili makamlar arasında karşılıklı yardım ve bilgi alışverişi öngörür. Üçüncü ülkelerle yargı yetkisi çatışmaları da m.50-d kapsamındaki iş birliği konularından biridir.3

KVKK m.20/1-c, kişisel veriler alanındaki uluslararası gelişmeleri izleme ve değerlendirme, görev alanında uluslararası kuruluşlarla iş birliği yapma ve toplantılara katılma görevlerini Kuruma verir.1 GDPR m.50 ise Komisyon ile denetim makamlarına üçüncü ülkeler ve uluslararası kuruluşlarla uygulama iş birliği geliştirme görevi verir. Üçüncü ülkelerle iş birliği, KVKK m.20/1-c'de ayrıca sayılmamıştır.2

GDPR m.50, etkili uygulamayı kolaylaştıracak mekanizmaları, karşılıklı yardım yollarını, ilgili paydaşların katılımını ve hukuk ile uygulama bilgisinin belgelendirilmesini ayrı bentlerde gösterir.3 KVKK m.20/1-c'de üçüncü ülkeler veya yabancı denetim makamlarıyla karşılıklı yardım açıkça düzenlenmemiştir. Bildirim, şikayetin yönlendirilmesi, soruşturma desteği ve yargı yetkisi çatışmalarının belgelenmesi de Türk hükmünde ayrıca sayılmamıştır.4

Kurumun uluslararası iş birliği görevi, kişisel verilerin yurt dışına aktarılması için tek başına dayanak oluşturamaz. Bu iş birliği sırasında kişisel veri aktarılacaksa KVKK m.9 ile somut işlemeye uygulanabilen diğer hükümler ayrıca değerlendirilecektir.5