Madde 55

GDPR m.55/1 uyarınca her denetim makamı, Tüzüğün verdiği görev ve yetkileri kendi üye devletinin ülkesinde yerine getirmeye yetkilidir.1 Bu kural, makamın hangi coğrafi alanda idari yetki kullanabileceğini belirler. Özellikle araştırma ve düzeltme yetkilerinin başka bir üye devlet ülkesinde doğrudan kullanılması için m.61 ve m.62'deki iş birliği yollarına başvurulması gerekebilir.2

Gerekçe 122, ülkesel yetkinin yalnız verinin teknik olarak işlendiği yere bağlanmadığını açıklar. Ülkedeki bir kuruluşun faaliyetleri bağlamındaki işleme, ülkedeki kişileri etkileyen işleme veya Birlik dışında yerleşik bir veri sorumlusunun ülkedeki kişileri hedeflemesi denetim makamının görev alanıyla bağlantı kurabilir.3 Somut yetki, GDPR'ın bölgesel kapsamı ve sınır ötesi iş birliği hükümleriyle birlikte belirlenecektir.

GDPR m.55, denetim makamları arasındaki yetki dağılımını düzenler. Üye devletlere bırakılan düzenleme alanlarında hangi ulusal hükmün uygulanacağına ilişkin genel bir kanunlar ihtilafı kuralı getirmez.1

Bir makamın sınır ötesi işleme bakımından yetkili olması, yalnız kendi üye devlet hukukundaki bütün özel kuralları uygulayacağı anlamına gelmez. İşleme başka bir üye devletin GDPR uyarınca kabul ettiği özel kurallarla bağlantılıysa uygulanacak ulusal hüküm ayrıca incelenecektir.2 Yetkili makam ile uygulanacak maddi hukuk bu nedenle aynı soru değildir.

Kişisel veriler bir kamu makamı tarafından veya GDPR m.6/1-c ya da m.6/1-e uyarınca hareket eden özel bir kuruluş tarafından işleniyorsa ilgili üye devletin denetim makamı yetkilidir. Bu işlemler bakımından m.56'daki baş denetim makamı düzeni uygulanmaz.1

Özel kural, kuruluşun kamu veya özel hukuk kişisi olmasına değil, incelenen işlemenin dayandığı göreve ilişkindir. Bir kamu kuruluşunun ticari faaliyeti veya kamu görevi dışında kalan başka bir işlemesi, yalnız kuruluşun kamusal niteliği sebebiyle m.55/2 kapsamına alınamaz.2 Aynı özel kuruluşun kanuni bir yükümlülüğü yerine getirirken yaptığı işleme ile ticari amaçla yaptığı başka bir işleme farklı yetki düzenlerine tabi olabilir.

Denetim makamları, mahkemelerin yargısal sıfatla yürüttüğü işleme faaliyetlerini denetlemeye yetkili değildir.1 Gerekçe 20, bu sınırı yargının bağımsızlığını ve yargılama sürecini koruma amacıyla açıklar. Aynı gerekçe, üye devletlerin yargısal işlemleri denetlemek üzere yargı sistemi içinde özel organlar görevlendirebilmesine imkan tanır.2

Yetki sınırı, mahkemelerin bütün kişisel veri işlemelerini GDPR'ın dışında bırakmaz. Personel, bina erişimi veya genel idari kayıtlar gibi mahkemenin yargısal sıfatıyla bağlantılı olmayan işlemeler denetim makamının yetkisine girebilir.3 Bir işlemenin yargısal sıfatla yapılıp yapılmadığı, işlemenin mahkemenin uyuşmazlığı karara bağlama göreviyle olan bağına göre belirlenecektir.

KVKK m.22, Kişisel Verileri Koruma Kuruluna kişisel verilerin temel hak ve özgürlüklere uygun işlenmesini sağlama, şikayetleri karara bağlama ve ihlal iddiasını öğrendiğinde görev alanındaki konuları kendiliğinden inceleme görev ve yetkilerini verir. Kurulun görevleri ulusal ve tek merkezli bir kurum yapısı içinde düzenlenmiştir. GDPR m.55 ise birden fazla üye devlette bulunan denetim makamları arasında ülkesel yetki dağılımını kurar.1

KVKK m.19-27'de, kamu makamlarının veya kamu yararına görev yapan özel kuruluşların işlemeleri için GDPR m.55/2'deki gibi baş denetim makamını dışlayan ayrı bir ülkesel yetki kuralı bulunmaz. Aynı hükümlerde mahkemelerin yargısal sıfatla yürüttüğü işleme faaliyetlerini Kurulun denetiminden çıkaran GDPR m.55/3 benzeri bir yetki hükmü de yer almaz. Türk hukukunda yargı ve infaz işlemlerine ilişkin kapsam istisnası KVKK m.28/1-d'de ayrıca düzenlenmiştir.2 Kapsam istisnası ile denetim makamının yetkisine ilişkin GDPR m.55/3 aynı hukuki yapıya sahip değildir.