Bağımsız denetim makamının kurulması
GDPR m.51/1, her üye devlete bir veya birden fazla bağımsız kamu makamı kurma yükümlülüğü getirir. Bu makamlar, Tüzüğün uygulanmasını izlemekle görevlidir. İzlemenin amacı, kişisel verilerin işlenmesi karşısında gerçek kişilerin temel hak ve özgürlüklerini korumak ve kişisel verilerin Birlik içinde serbest dolaşımını kolaylaştırmaktır.1
Bağımsız denetim, kişisel verilerin korunmasının kurumsal güvencelerinden biridir. Gerekçe 117, makamın görevlerini yerine getirirken ve yetkilerini kullanırken tam bağımsızlığa sahip olmasını bu güvencenin temel unsurları arasında sayar.2 Maddenin iki amacı birlikte anması, bunlar arasında genel bir üstünlük sırası kurmaz. Somut yetkinin amacı ve sınırları uygulanacak özel hükme göre belirlenecektir.
Tutarlı uygulama ve iş birliği
Denetim makamlarının görevi kendi ülkelerindeki uygulamayla sınırlı değildir. GDPR m.51/2, her makamın Tüzüğün Birlik çapında tutarlı uygulanmasına katkıda bulunmasını zorunlu kılar. Bu amaçla denetim makamları, VII. Bölüm uyarınca birbirleriyle ve Avrupa Komisyonuyla iş birliği yapacaktır.1
İş birliği, ulusal makamın bağımsızlığını veya ülkesel yetki sınırını ortadan kaldırmaz. Makam, ulusal görevlerini yerine getirirken aynı zamanda ortak uygulamaya katkı sağlamakla yükümlüdür. Gerekçe 123 de tutarlı uygulama için makamlar ile Komisyon arasındaki iş birliğini arar.2 Bu yapı, tek bir merkezi denetim makamı kurmaz. Sınır ötesi olaylarda görev dağılımı ve karar usulü, m.56 ile VII. Bölüm hükümlerine göre ayrıca belirlenecektir.
Birden fazla denetim makamı
Bir üye devlet birden fazla denetim makamı kurabilir. Böyle bir durumda GDPR m.51/3, bu makamları Avrupa Veri Koruma Kurulunda temsil edecek makamın belirlenmesini ve diğer makamların tutarlılık mekanizmasına ilişkin kurallara uymasını sağlayacak bir ulusal mekanizma kurulmasını ister.1
Temsilci makamın belirlenmesi, aynı üye devletteki diğer denetim makamlarını ortadan kaldırmaz veya onların kanundan doğan görevlerini kendiliğinden temsilci makama devretmez. Gerekçe 119'un aradığı tek temas noktası, çok makamlı ulusal yapının Kurula, diğer denetim makamlarına ve Komisyona karşı düzenli biçimde işlemesini sağlar.2 Makamlar arasındaki iç görev dağılımı ile koordinasyon usulü, GDPR'ın bağımsızlık ve etkililik şartlarına uygun ulusal hukukla kurulacaktır.
Ulusal düzenlemelerin bildirimi
GDPR m.51/4, üye devletlerin VI. Bölüm uyarınca kabul ettikleri ulusal düzenlemeleri Avrupa Komisyonuna bildirmelerini zorunlu kılar. İlk bildirim için 25 Mayıs 2018 tarihi öngörülmüş, daha sonraki değişikliklerin ise gecikmeksizin bildirilmesi istenmiştir.1
Bu bildirim sayesinde Komisyon, denetim makamlarının kuruluş ve çalışma şartlarını belirleyen ulusal düzenlemelerden haberdar olur. Maddenin lafzında, ulusal düzenlemenin yürürlüğe girmesi için Komisyonun önceden onay vermesi şartı bulunmaz. Ulusal düzenlemenin GDPR'a uygunluğu, bildirimden bağımsız olarak Birlik hukukunun olağan denetim yollarına tabidir.
KVKK ile karşılaştırma
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu kanunla verilen görevleri yerine getirmek üzere idari ve mali özerkliğe sahip, kamu tüzel kişiliğini haiz Kişisel Verileri Koruma Kurumunu kurmuştur. Kurum, Kişisel Verileri Koruma Kurulu ile Başkanlıktan oluşur ve karar organı Kuruldur. GDPR m.51 ise her üye devletin kendi anayasal ve idari yapısına göre bir veya birden fazla denetim makamı kurabilmesine imkan tanır.1
KVKK m.21/1, Kurulun görev ve yetkilerini kendi sorumluluğu altında bağımsız biçimde yerine getireceğini ve hiçbir organ, makam, merci veya kişinin Kurula emir, talimat, tavsiye ya da telkinde bulunamayacağını düzenler. Bu güvence GDPR m.51 ve m.52'deki bağımsız denetim şartıyla aynı temel amaca yönelir.2 Buna karşılık KVKK m.19-27'de Avrupa Veri Koruma Kurulunda temsil veya Birlik çapında tutarlılık mekanizmasına katılımı karşılayan çok makamlı bir düzen bulunmaz.3