Madde 52

GDPR m.52/1, her denetim makamının Tüzük uyarınca görevlerini yerine getirirken ve yetkilerini kullanırken tam bağımsızlık içinde hareket etmesini ister.1 Bu şart, yalnız denetlenen veri sorumluları ve veri işleyenler karşısındaki bağımsızlıktan ibaret değildir. Karar alma sürecini etkileyebilecek doğrudan veya dolaylı dış müdahaleler de bağımsızlık güvencesiyle bağdaşmaz.2

95/46/AT sayılı Direktif döneminde verilen Commission v Germany kararında ABAD, bağımsızlık güvencesini yalnız denetlenen kuruluşlardan gelebilecek etkiyle sınırlamamıştır. Devletten gelebilecek doğrudan veya dolaylı dış etkinin de bu güvenceyle bağdaşmadığını kabul etmiştir.3

Üye devletler denetim makamlarının kurumsal modelini seçebilir. Ancak seçilen model, makamı klasik idari hiyerarşi içinde talimata açık hale getiremez. Bağımsızlık, makamın işlem ve ihmallerini yargı denetimi dışında bırakmaz. Gerekçe 118, mali harcamaların denetlenmesini ve yargısal denetimi bağımsızlıkla bağdaşabilir güvenceler olarak açıkça belirtir.4

Denetim makamının üye veya üyeleri, görev ve yetkilerini kullanırken doğrudan ya da dolaylı dış etkiden uzak kalmalıdır. Hiçbir kişiden veya makamdan talimat isteyemez ve verilen talimatı kabul edemez.1 Yasak, kararın sonucunu açıkça dikte eden emirlerin yanında tarafsızlık konusunda makul kuşku doğurabilecek dolaylı baskıları da kapsar.

Görev süresinin erken sona erdirilmesi tehdidi, kariyer beklentisi veya disiplin yoluyla baskı kurulması makamın karar alma serbestisini etkileyebilir. Bu nedenle bağımsızlık yalnız nihai kararın içeriği üzerinden değil, kararın verildiği kurumsal şartlar üzerinden de incelenecektir.2

GDPR m.52/3, denetim makamı üyelerinin görevleriyle bağdaşmayan davranışlardan kaçınmasını zorunlu kılar. Üyeler görev süreleri boyunca ücretli veya ücretsiz, görevle bağdaşmayan başka bir işle uğraşamaz.1

Maddede bağdaşmayan faaliyetlerin kapalı bir listesi verilmemiştir. Bu faaliyetler ve menfaatler, m.54/1-f uyarınca ulusal hukukta düzenlenecektir.2 Değerlendirmede yalnız fiili çıkar çatışması değil, makamın tarafsızlığına duyulan güveni zedeleyebilecek ilişkiler de göz önünde tutulabilir.

Üye devletler denetim makamına görevlerini etkili biçimde yerine getirmesi için gereken insan kaynağını, teknik ve mali imkanları, çalışma yerini ve altyapıyı sağlamak zorundadır. Kaynak yeterliliği, karşılıklı yardım, diğer makamlarla iş birliği ve Avrupa Veri Koruma Kuruluna katılım için gereken çalışmaları da kapsar.1

Kaynak sağlanması, makamı kaynağı tahsis eden kurumun idari gözetimine sokamaz. GDPR m.52/5, denetim makamının kendi personelini seçmesini ve bu personelin yalnız makamın üye veya üyelerinin talimatı altında çalışmasını ister.2 Başka bir kurumdan görevlendirilen personel, o kurumun talimat ve denetimine bağlı kalıyorsa bu şart karşılanmış sayılmaz.3

Denetim makamı mali denetime tabi tutulabilir. Ancak denetimin biçimi ve sonuçları makamın bağımsızlığını etkileyemez. Bütçe denetimi yoluyla makama talimat verilmesi veya kararlarının yönlendirilmesi m.52/6 ile bağdaşmaz.1

Her denetim makamının ayrı ve kamuya açık yıllık bir bütçesi bulunmalıdır. Bu bütçe genel devlet veya ulusal bütçenin parçası olabilir.2 Dolayısıyla ayrı bütçe şartı, bütçenin devlet bütçesinden tümüyle koparılmasını değil, denetim makamına ayrılan kaynağın ayrı ve görünür olmasını gerektirir.

KVKK m.19/1, Kişisel Verileri Koruma Kurumuna idari ve mali özerklik tanır. KVKK m.21/1 ise Kurulun bağımsızlığını ve dışarıdan emir, talimat, tavsiye veya telkin verilmesi yasağını açıkça düzenler. GDPR m.52, bağımsızlığa ilişkin çerçeveyi doğrudan ve dolaylı dış etki, kaynak yeterliliği, personelin yalnız makamın yönlendirmesine tabi olması, mali denetimin sınırı ve ayrı kamu bütçesi bakımından ayrıntılandırır.1

Kurul üyelerinin resmi veya özel başka görevler üstlenmesi, ticaret ve serbest meslek faaliyeti yürütmesi ile maddede sayılan diğer işler KVKK m.21/10'da yasaklanmıştır. Bilimsel yayın, ders ve konferans için sınırlı bir istisna tanınmıştır.2 Kurum personelini atama yetkisi Başkana, bütçe teklifini karara bağlama yetkisi ise Kurula aittir.3 Bununla birlikte KVKK'daki bu görev dağılımı, GDPR m.52/4-6'daki kaynak, münhasır personel yönetimi ve ayrı bütçe şartlarıyla özdeş değildir.