GDPR İlgili Dibaceler 7 dibace
Recital 36
The main establishment of a controller in the Union should be the place of its central administration in the Union, unless the decisions on the purposes and means of the processing of personal data are taken in another establishment of the controller in the Union, in which case that other establishment should be considered to be the main establishment. The main establishment of a controller in the Union should be determined according to objective criteria and should imply the effective and real exercise of management activities determining the main decisions as to the purposes and means of processing through stable arrangements. That criterion should not depend on whether the processing of personal data is carried out at that location. The presence and use of technical means and technologies for processing personal data or processing activities do not, in themselves, constitute a main establishment and are therefore not determining criteria for a main establishment. The main establishment of the processor should be the place of its central administration in the Union or, if it has no central administration in the Union, the place where the main processing activities take place in the Union. In cases involving both the controller and the processor, the competent lead supervisory authority should remain the supervisory authority of the Member State where the controller has its main establishment, but the supervisory authority of the processor should be considered to be a supervisory authority concerned and that supervisory authority should participate in the cooperation procedure provided for by this Regulation. In any case, the supervisory authorities of the Member State or Member States where the processor has one or more establishments should not be considered to be supervisory authorities concerned where the draft decision concerns only the controller. Where the processing is carried out by a group of undertakings, the main establishment of the controlling undertaking should be considered to be the main establishment of the group of undertakings, except where the purposes and means of processing are determined by another undertaking.
Recital 37
A group of undertakings should cover a controlling undertaking and its controlled undertakings, whereby the controlling undertaking should be the undertaking which can exert a dominant influence over the other undertakings by virtue, for example, of ownership, financial participation or the rules which govern it or the power to have personal data protection rules implemented. An undertaking which controls the processing of personal data in undertakings affiliated to it should be regarded, together with those undertakings, as a group of undertakings.
Recital 124
Where the processing of personal data takes place in the context of the activities of an establishment of a controller or a processor in the Union and the controller or processor is established in more than one Member State, or where processing taking place in the context of the activities of a single establishment of a controller or processor in the Union substantially affects or is likely to substantially affect data subjects in more than one Member State, the supervisory authority for the main establishment of the controller or processor or for the single establishment of the controller or processor should act as lead authority. It should cooperate with the other authorities concerned, because the controller or processor has an establishment on the territory of their Member State, because data subjects residing on their territory are substantially affected, or because a complaint has been lodged with them. Also where a data subject not residing in that Member State has lodged a complaint, the supervisory authority with which such complaint has been lodged should also be a supervisory authority concerned. Within its tasks to issue guidelines on any question covering the application of this Regulation, the Board should be able to issue guidelines in particular on the criteria to be taken into account in order to ascertain whether the processing in question substantially affects data subjects in more than one Member State and on what constitutes a relevant and reasoned objection.
Recital 125
The lead authority should be competent to adopt binding decisions regarding measures applying the powers conferred on it in accordance with this Regulation. In its capacity as lead authority, the supervisory authority should closely involve and coordinate the supervisory authorities concerned in the decision-making process. Where the decision is to reject the complaint by the data subject in whole or in part, that decision should be adopted by the supervisory authority with which the complaint has been lodged.
Recital 126
The decision should be agreed jointly by the lead supervisory authority and the supervisory authorities concerned and should be directed towards the main or single establishment of the controller or processor and be binding on the controller and processor. The controller or processor should take the necessary measures to ensure compliance with this Regulation and the implementation of the decision notified by the lead supervisory authority to the main establishment of the controller or processor as regards the processing activities in the Union.
Recital 127
Each supervisory authority not acting as the lead supervisory authority should be competent to handle local cases where the controller or processor is established in more than one Member State, but the subject matter of the specific processing concerns only processing carried out in a single Member State and involves only data subjects in that single Member State, for example, where the subject matter concerns the processing of employees' personal data in the specific employment context of a Member State. In such cases, the supervisory authority should inform the lead supervisory authority without delay about the matter. After being informed, the lead supervisory authority should decide, whether it will handle the case pursuant to the provision on cooperation between the lead supervisory authority and other supervisory authorities concerned (‘one-stop-shop mechanism’), or whether the supervisory authority which informed it should handle the case at local level. When deciding whether it will handle the case, the lead supervisory authority should take into account whether there is an establishment of the controller or processor in the Member State of the supervisory authority which informed it in order to ensure effective enforcement of a decision vis-à-vis the controller or processor. Where the lead supervisory authority decides to handle the case, the supervisory authority which informed it should have the possibility to submit a draft for a decision, of which the lead supervisory authority should take utmost account when preparing its draft decision in that one-stop-shop mechanism.
Recital 128
The rules on the lead supervisory authority and the one-stop-shop mechanism should not apply where the processing is carried out by public authorities or private bodies in the public interest. In such cases the only supervisory authority competent to exercise the powers conferred to it in accordance with this Regulation should be the supervisory authority of the Member State where the public authority or private body is established.
Dibace 36
Kişisel verilerin işlenmesine ilişkin amaç ve yöntemlere ilişkin kararların, veri sorumlusunun Birlik’teki başka bir kuruluşunda alınmaması halinde, Birlik’teki bir veri sorumlusunun ana kuruluşu, Birlik içindeki merkezi idare yeri olmalıdır, böyle bir halde diğer kuruluş ana kuruluş sayılır. Bir veri sorumlusunun Birlik içindeki ana kuruluşu objektif kriterlere göre belirlenmeli ve istikrarlı düzenlemeler yoluyla veri işleme amaçları ve araçlarıyla ilgili temel kararları belirleyen yönetim faaliyetlerinin etkili ve fiilen uygulanmasını sağlamalıdır. Bu kriter, kişisel verilerin o yerde işlenip işlenmediğine bağlı olmamalıdır. Kişisel verilerin işlenmesine veya işleme faaliyetlerine yönelik teknik araçların ve teknolojilerin varlığı ve kullanımı, kendi başına bir ana kuruluş meydana getirmez ve dolayısıyla bir ana kuruluş için belirleyici kriter değildir. Veri işleyenin ana kuruluşu, merkezi idarenin Birlik içindeki yeri veya Birlik içinde bir merkezi idaresi yoksa, ana işleme faaliyetlerinin Birlik içinde gerçekleştirildiği yer olmalıdır. Hem veri sorumlusu hem de veri işleyeni ilgilendiren durumlarda, yetkili baş denetim makamı, veri sorumlusunun ana kuruluşunun bulunduğu Üye Devlet'in denetim makamı olarak kalmalıdır, ancak veri işleyenin denetim makamı, ilgili bir denetim makamı olarak kabul edilmeli ve söz konusu denetim makamı, bu Tüzük'te öngörülen iş birliği prosedürüne katılmalıdır. Her halükarda, veri işleyenin bir veya daha fazla kuruluşa sahip olduğu Üye Devlet'in veya Üye Devletlerin denetim makamları, taslak kararın yalnızca veri sorumlusunu ilgilendirdiği durumlarda ilgili denetim makamları olarak değerlendirilmemelidir. Veri işleme faaliyetinin bir teşebbüsler grubu tarafından gerçekleştirildiği durumlarda, işleme amaçlarının ve yöntemlerinin başka bir teşebbüs tarafından belirlendiği hâller dışında, idare eden teşebbüsün ana kuruluşu, teşebbüsler grubunun ana kuruluşu olarak kabul edilmelidir.
Dibace 37
Bir teşebbüsler grubu, idare eden teşebbüs ile onun tarafından idare edilen teşebbüslerini kapsamalıdır; bu durumda, idare eden teşebbüs, diğer teşebbüsler üzerinde, örneğin mülkiyet, mali katılım veya yönetimine ilişkin kurallar veya kişisel verilerin korumasına ilişkin kuralların uygulanmasını sağlama yetkisi nedeniyle, hâkim bir etki yaratabilecek teşebbüs olmalıdır. Kendisine bağlı teşebbüslerde kişisel verilerin işlenmesini idare eden bir teşebbüs, bu teşebbüslerle birlikte bir teşebbüsler grubu olarak kabul edilmelidir.
Dibace 124
Kişisel veri işleme faaliyetinin, veri sorumlusu veya veri işleyenin Birlik içindeki bir kuruluşunun faaliyetleri bağlamında gerçekleşmesi ve söz konusu veri sorumlusu veya veri işleyenin birden fazla Üye Devlet'te kurulu olması hâlinde veya bir veri sorumlusu veya veri işleyenin Birlik içindeki tek bir kuruluşunun faaliyetleri bağlamında gerçekleşen veri işlemenin, birden fazla Üye Devlet'teki veri öznelerini kayda değer ölçüde etkilemesi veya etkileme ihtimali bulunması hâlinde, veri sorumlusu veya veri işleyenin ana kuruluşunun veya veri sorumlusu veya veri işleyenin tek kuruluşunun denetim makamı, baş makam sıfatıyla hareket etmelidir. Denetim makamı ilgili diğer makamlarla, bunların Üye Devletlerinin topraklarında veri sorumlusu veya veri işleyenin bir kuruluş sahibi olması, bunların topraklarında ikamet eden veri öznelerinin kayda değer ölçüde etkilenmesi veya bunlara bir şikâyetin iletilmesi durumunda, iş birliği yapmalıdır. Ayrıca, söz konusu Üye Devlet'te ikamet etmeyen bir veri öznesi şikâyette bulunduğunda, şikâyetin yapıldığı denetim makamı da aynı zamanda bir ilgili denetim makamı olmalıdır. Kurul, bu Tüzük'ün uygulanmasına ilişkin her türlü konu hakkında kılavuz yayımlama görevleri çerçevesinde, özellikle söz konusu işlemenin birden fazla Üye Devlet'teki veri öznelerini kayda değer ölçüde etkileyip etkilemediğini belirlemek amacıyla dikkate alınması gereken kriterlere ve neyin yerinde ve gerekçeli bir itiraz teşkil edeceğine ilişkin kılavuzlar yayımlayabilmelidir.
Dibace 125
Baş makam, bu Tüzük uyarınca kendisine verilen yetkilerin uygulanmasına yönelik tedbirlere ilişkin bağlayıcı kararlar almaya yetkili olmalıdır. Denetim makamı, baş makam sıfatıyla, karar alma sürecinde yer alan denetim makamlarını konuya yakından dâhil etmeli ve bu makamlar ile koordinasyonu sağlamalıdır. Veri öznesi tarafından yapılan şikâyetin tamamen veya kısmen reddedilmesi kararı verilecekse, söz konusu karar şikâyetin iletildiği denetim makamı tarafından alınmalıdır.
Dibace 126
Karar, baş denetim makamı ve ilgili denetim makamlarının ortak mutabakatıyla alınmalı; veri sorumlusu veya veri işleyenin ana veya tek kuruluşuna yönelik olmalı ve veri sorumlusu ve veri işleyen açısından bağlayıcı olmalıdır. Veri sorumlusu veya veri işleyen, bu Tüzük'e uyum sağlanması ve Birlik içindeki işleme faaliyetleri ile ilgili olarak bahse konu veri sorumlusu veya veri işleyenin ana kuruluşunun baş denetim makamına bildirilen kararın uygulanması için gereken tedbirleri almalıdır.
Dibace 127
Baş denetim makamı olarak hareket etmeyen her denetim makamı, veri sorumlusu veya veri işleyenin birden fazla Üye Devlet'te kurulu olduğu, ancak örneğin işleme faaliyetinin konusunun, bir Üye Devlet'te, çalışanların kişisel verilerinin spesifik olarak istihdam bağlamında işlenmesine ilişkin olduğu durumlar gibi, anılan konunun sadece tek bir Üye Devlet'te yürütülen işleme faaliyetine ilişkin olduğu ve yalnızca söz konusu Üye Devlet'teki veri öznelerini kapsadığı durumlarda, yerel vakaları ele almaya yetkili olmalıdır. Bu tür durumlarda, denetim makamı, baş denetim makamını, konu hakkında gecikmeksizin bilgilendirmelidir. Baş denetim makamı, bilgilendirildikten sonra, konuyu baş denetim makamı ve diğer ilgili denetim makamları arasındaki iş birliğine ("tek hizmet noktası mekanizması") ilişkin hüküm uyarınca ele alıp almayacağına ya da bilgiyi veren denetim makamının vakayı yerel düzeyde ele alıp almaması gerektiğine karar vermelidir. Baş denetim makamı vakayı ele alıp almayacağına karar verirken, veri sorumlusu veya veri işleyene karşı alınan kararın etkili bir şekilde uygulanmasını sağlamak üzere, veri sorumlusu veya veri işleyenin, bilgiyi veren denetim makamının bulunduğu Üye Devlet'te bir kuruluşunun olup olmadığını dikkate almalıdır. Baş denetim makamının vakayı ele almaya karar vermesi hâlinde, bilgiyi veren denetim makamının bir karar taslağı sunma imkânı olmalıdır ve baş denetim makamı, söz konusu tek hizmet noktası mekanizması çerçevesinde karar taslağını hazırlarken, bu taslağı önemle göz önünde bulundurmalıdır
Dibace 128
İşlemenin kamu makamları veya özel organlar tarafından kamu yararına gerçekleştirildiği durumlarda, baş denetim makamına ve tek hizmet noktası mekanizmasına ilişkin kurallar uygulanmamalıdır. Bu tür durumlarda, söz konusu kamu kuruluşunun veya özel organın kurulu olduğu Üye Devlet'teki denetim makamı, bu Tüzük uyarınca kendisine verilen yetkileri kullanmaya muktedir olan tek denetim makamı olmalıdır.
Sınır ötesi işlemede baş denetim makamı
Bir veri sorumlusu veya veri işleyenin sınır ötesi işlemesi bakımından ana kuruluşun ya da tek kuruluşun bulunduğu üye devletin denetim makamı baş denetim makamı olarak hareket eder. Bu yetki, GDPR m.60'taki iş birliği usulü içinde kullanılacaktır.1
Baş denetim makamı düzeni yalnız GDPR m.4/23 anlamındaki sınır ötesi işlemelere uygulanır. Ayrıca veri sorumlusu veya veri işleyenin Birlik içinde bir ana ya da tek kuruluşu bulunmalıdır. Birlik içinde kuruluşu bulunmayan ve yalnız m.3/2 nedeniyle GDPR'a tabi olan bir kişi, temsilci atadığı için baş denetim makamı düzeninden yararlanamaz.2
Baş denetim makamı, ilgili diğer makamların bütün yetkilerini devralmaz. Karar sürecini yürütür, taslak kararı hazırlar ve m.60 uyarınca ilgili makamları sürece katar. Görüş ayrılığı çözülemezse m.65'teki uyuşmazlık çözüm yolu işletilecektir.3
ABAD, Facebook Ireland and Others kararında baş denetim makamının karar verme yetkisinin kural, diğer ilgili makamların karar verme yetkisinin ise istisna olduğunu kabul etmiştir. Bununla birlikte baş denetim makamı, diğer makamlarla yakın iş birliği ve gerçek bir diyalog içinde hareket etmelidir.4
Ana kuruluşun belirlenmesi
Baş denetim makamı, veri sorumlusu veya veri işleyenin kendi tercih bildirimiyle kurulmaz. Yetki, GDPR m.4/16'daki ana kuruluş tanımı ile somut işleme faaliyetinin nerede kararlaştırıldığı ve uygulandığına göre kanundan doğar.1
Veri sorumlusu bakımından Birlik içindeki merkezi idarenin bulunduğu yer kural olarak ana kuruluştur. Ancak işlemenin amaç ve araçlarına ilişkin kararlar başka bir Birlik kuruluşunda alınıyor ve bu kuruluş kararları uygulatma yetkisini kullanıyorsa ana kuruluş o yer olacaktır. Veri işleyen bakımından ise Birlik içindeki merkezi idarenin bulunduğu yer esas alınır. Birlik içinde merkezi idare bulunmuyorsa, veri işleyenin Tüzük kapsamındaki belirli yükümlülüklere tabi olduğu başlıca işleme faaliyetlerinin yürütüldüğü kuruluş ana kuruluş sayılacaktır.2 Kağıt üzerinde yapılan bir yer seçimi yeterli değildir. Kurumsal düzen gerçek ve işlevsel olmalıdır.
Yerel olay istisnası
Bir şikayet veya olası ihlal yalnız tek bir üye devletteki kuruluşa ilişkinse ya da yalnız o devletteki ilgili kişileri önemli ölçüde etkiliyorsa yerel denetim makamı olayı ele almaya yetkilidir.1 Gerekçe 127, belirli bir üye devletteki istihdam ilişkisi kapsamında çalışan verilerinin işlenmesini yerel olaya örnek gösterir.2
Bu istisna, olay sınır ötesi işleme tanımına girdiği halde uyuşmazlığın ağırlık merkezinin tek bir üye devlette bulunmasına dayanır. Başka üye devletlerdeki kişilerin önemli ölçüde etkilenip etkilenmediği somut olayda incelenecektir.3 Etkinin bulunup bulunmadığı belirsizse yerel istisna genişletilerek baş denetim makamı usulü dışlanmamalıdır.
Üç haftalık karar ve yerel taslak
Yerel denetim makamı m.56/2 kapsamındaki olayı baş denetim makamına gecikmeksizin bildirir. Baş denetim makamı, bildirimi aldıktan sonra üç hafta içinde olayı kendisinin ele alıp almayacağına karar vermelidir. Kararda, veri sorumlusu veya veri işleyenin bildirim yapan makamın üye devletinde bir kuruluşunun bulunup bulunmadığı dikkate alınacaktır.1
Baş denetim makamı olayı ele alırsa m.60 usulü uygulanır. Yerel makam bir karar taslağı sunabilir ve baş denetim makamı bu taslağı hazırladığı kararda azami ölçüde dikkate almalıdır.2 Baş denetim makamı olayı ele almazsa yerel makam m.61 ve m.62'deki karşılıklı yardım ve ortak operasyon hükümlerine göre işlemi sürdürür.3
Tek muhatap ve diğer makamlar
Baş denetim makamı, veri sorumlusu veya veri işleyenin sınır ötesi işlemesi bakımından tek muhatabıdır.1 Bu kural, aynı sınır ötesi işlem hakkında farklı denetim makamlarıyla paralel ve birbirinden kopuk idari görüşmeler yürütülmesini önlemeye yöneliktir.
Tek muhatap kuralı, ilgili diğer denetim makamlarının karar sürecindeki görevlerini sona erdirmez. Şikayetin yapıldığı makamın, ilgili kişilerin bulunduğu ülkedeki makamın ve m.4/22'de sayılan diğer ilgili makamların m.60 uyarınca sürece katılması devam eder.2 Yerel makamın m.56/4 uyarınca karar taslağı hazırladığı olayda, gerekli bilgiyi veri sorumlusu veya veri işleyenden edinme biçimi de iş birliği usulü içinde belirlenecektir.3
KVKK ile karşılaştırma
KVKK m.19/4 uyarınca Kişisel Verileri Koruma Kurumu, Kurul ve Başkanlıktan oluşur. Kurumun karar organı Kuruldur. KVKK m.21 ve m.22 de Kurulun oluşumu ile görev ve yetkilerini tek ulusal yapı içinde düzenler. Bu sistemde, farklı ülkelerdeki denetim makamları arasında baş denetim makamı belirlenmesini gerektiren bir yetki paylaşımı yoktur.1
GDPR m.56'daki baş denetim makamı, sınır ötesi işleme ve Birlik içindeki ana ya da tek kuruluş kavramlarına dayanır. Yerel olayın baş makama bildirilmesi, üç haftalık karar, yerel makamın taslak sunması ve tek muhatap kuralının KVKK m.19-27'de doğrudan bir karşılığı bulunmaz.2 Bu fark, KVKK sisteminde Kurulun her sınır ötesi olayda tek başına yetkili olduğu sonucunu kendiliğinden doğurmaz. Kurulun kanundan doğan görevleri, işlemenin KVKK kapsamına girip girmediği ve uygulanacak diğer hükümler uyarınca belirlenecektir.