Madde 56

Bir veri sorumlusu veya veri işleyenin sınır ötesi işlemesi bakımından ana kuruluşun ya da tek kuruluşun bulunduğu üye devletin denetim makamı baş denetim makamı olarak hareket eder. Bu yetki, GDPR m.60'taki iş birliği usulü içinde kullanılacaktır.1

Baş denetim makamı düzeni yalnız GDPR m.4/23 anlamındaki sınır ötesi işlemelere uygulanır. Ayrıca veri sorumlusu veya veri işleyenin Birlik içinde bir ana ya da tek kuruluşu bulunmalıdır. Birlik içinde kuruluşu bulunmayan ve yalnız m.3/2 nedeniyle GDPR'a tabi olan bir kişi, temsilci atadığı için baş denetim makamı düzeninden yararlanamaz.2

Baş denetim makamı, ilgili diğer makamların bütün yetkilerini devralmaz. Karar sürecini yürütür, taslak kararı hazırlar ve m.60 uyarınca ilgili makamları sürece katar. Görüş ayrılığı çözülemezse m.65'teki uyuşmazlık çözüm yolu işletilecektir.3

ABAD, Facebook Ireland and Others kararında baş denetim makamının karar verme yetkisinin kural, diğer ilgili makamların karar verme yetkisinin ise istisna olduğunu kabul etmiştir. Bununla birlikte baş denetim makamı, diğer makamlarla yakın iş birliği ve gerçek bir diyalog içinde hareket etmelidir.4

Baş denetim makamı, veri sorumlusu veya veri işleyenin kendi tercih bildirimiyle kurulmaz. Yetki, GDPR m.4/16'daki ana kuruluş tanımı ile somut işleme faaliyetinin nerede kararlaştırıldığı ve uygulandığına göre kanundan doğar.1

Veri sorumlusu bakımından Birlik içindeki merkezi idarenin bulunduğu yer kural olarak ana kuruluştur. Ancak işlemenin amaç ve araçlarına ilişkin kararlar başka bir Birlik kuruluşunda alınıyor ve bu kuruluş kararları uygulatma yetkisini kullanıyorsa ana kuruluş o yer olacaktır. Veri işleyen bakımından ise Birlik içindeki merkezi idarenin bulunduğu yer esas alınır. Birlik içinde merkezi idare bulunmuyorsa, veri işleyenin Tüzük kapsamındaki belirli yükümlülüklere tabi olduğu başlıca işleme faaliyetlerinin yürütüldüğü kuruluş ana kuruluş sayılacaktır.2 Kağıt üzerinde yapılan bir yer seçimi yeterli değildir. Kurumsal düzen gerçek ve işlevsel olmalıdır.

Bir şikayet veya olası ihlal yalnız tek bir üye devletteki kuruluşa ilişkinse ya da yalnız o devletteki ilgili kişileri önemli ölçüde etkiliyorsa yerel denetim makamı olayı ele almaya yetkilidir.1 Gerekçe 127, belirli bir üye devletteki istihdam ilişkisi kapsamında çalışan verilerinin işlenmesini yerel olaya örnek gösterir.2

Bu istisna, olay sınır ötesi işleme tanımına girdiği halde uyuşmazlığın ağırlık merkezinin tek bir üye devlette bulunmasına dayanır. Başka üye devletlerdeki kişilerin önemli ölçüde etkilenip etkilenmediği somut olayda incelenecektir.3 Etkinin bulunup bulunmadığı belirsizse yerel istisna genişletilerek baş denetim makamı usulü dışlanmamalıdır.

Yerel denetim makamı m.56/2 kapsamındaki olayı baş denetim makamına gecikmeksizin bildirir. Baş denetim makamı, bildirimi aldıktan sonra üç hafta içinde olayı kendisinin ele alıp almayacağına karar vermelidir. Kararda, veri sorumlusu veya veri işleyenin bildirim yapan makamın üye devletinde bir kuruluşunun bulunup bulunmadığı dikkate alınacaktır.1

Baş denetim makamı olayı ele alırsa m.60 usulü uygulanır. Yerel makam bir karar taslağı sunabilir ve baş denetim makamı bu taslağı hazırladığı kararda azami ölçüde dikkate almalıdır.2 Baş denetim makamı olayı ele almazsa yerel makam m.61 ve m.62'deki karşılıklı yardım ve ortak operasyon hükümlerine göre işlemi sürdürür.3

Baş denetim makamı, veri sorumlusu veya veri işleyenin sınır ötesi işlemesi bakımından tek muhatabıdır.1 Bu kural, aynı sınır ötesi işlem hakkında farklı denetim makamlarıyla paralel ve birbirinden kopuk idari görüşmeler yürütülmesini önlemeye yöneliktir.

Tek muhatap kuralı, ilgili diğer denetim makamlarının karar sürecindeki görevlerini sona erdirmez. Şikayetin yapıldığı makamın, ilgili kişilerin bulunduğu ülkedeki makamın ve m.4/22'de sayılan diğer ilgili makamların m.60 uyarınca sürece katılması devam eder.2 Yerel makamın m.56/4 uyarınca karar taslağı hazırladığı olayda, gerekli bilgiyi veri sorumlusu veya veri işleyenden edinme biçimi de iş birliği usulü içinde belirlenecektir.3

KVKK m.19/4 uyarınca Kişisel Verileri Koruma Kurumu, Kurul ve Başkanlıktan oluşur. Kurumun karar organı Kuruldur. KVKK m.21 ve m.22 de Kurulun oluşumu ile görev ve yetkilerini tek ulusal yapı içinde düzenler. Bu sistemde, farklı ülkelerdeki denetim makamları arasında baş denetim makamı belirlenmesini gerektiren bir yetki paylaşımı yoktur.1

GDPR m.56'daki baş denetim makamı, sınır ötesi işleme ve Birlik içindeki ana ya da tek kuruluş kavramlarına dayanır. Yerel olayın baş makama bildirilmesi, üç haftalık karar, yerel makamın taslak sunması ve tek muhatap kuralının KVKK m.19-27'de doğrudan bir karşılığı bulunmaz.2 Bu fark, KVKK sisteminde Kurulun her sınır ötesi olayda tek başına yetkili olduğu sonucunu kendiliğinden doğurmaz. Kurulun kanundan doğan görevleri, işlemenin KVKK kapsamına girip girmediği ve uygulanacak diğer hükümler uyarınca belirlenecektir.