GDPR

Madde 58

Yetkiler

Son Güncelleme: 1 Ağustos 2026

Yazı boyutu

§ Tüzük Metni

Tüzük Metni

OFFICIAL JOURNAL TEXT EUR-Lex

1. Each supervisory authority shall have all of the following investigative powers:

(a) to order the controller and the processor, and, where applicable, the controller's or the processor's representative to provide any information it requires for the performance of its tasks;

(b) to carry out investigations in the form of data protection audits;

(d) to notify the controller or the processor of an alleged infringement of this Regulation;

(e) to obtain, from the controller and the processor, access to all personal data and to all information necessary for the performance of its tasks;

(f) to obtain access to any premises of the controller and the processor, including to any data processing equipment and means, in accordance with Union or Member State procedural law.

2. Each supervisory authority shall have all of the following corrective powers:

(a) to issue warnings to a controller or processor that intended processing operations are likely to infringe provisions of this Regulation;

(b) to issue reprimands to a controller or a processor where processing operations have infringed provisions of this Regulation;

(c) to order the controller or the processor to comply with the data subject's requests to exercise his or her rights pursuant to this Regulation;

(d) to order the controller or processor to bring processing operations into compliance with the provisions of this Regulation, where appropriate, in a specified manner and within a specified period;

(e) to order the controller to communicate a personal data breach to the data subject;

(f) to impose a temporary or definitive limitation including a ban on processing;

(g) to order the rectification or erasure of personal data or restriction of processing pursuant to Articles 16, 17 and 18 and the notification of such actions to recipients to whom the personal data have been disclosed pursuant to Article 17(2) and Article 19;

(h) to withdraw a certification or to order the certification body to withdraw a certification issued pursuant to Articles 42 and 43, or to order the certification body not to issue certification if the requirements for the certification are not or are no longer met;

(i) to impose an administrative fine pursuant to Article 83, in addition to, or instead of measures referred to in this paragraph, depending on the circumstances of each individual case;

(j) to order the suspension of data flows to a recipient in a third country or to an international organisation.

3. Each supervisory authority shall have all of the following authorisation and advisory powers:

(a) to advise the controller in accordance with the prior consultation procedure referred to in Article 36;

(b) to issue, on its own initiative or on request, opinions to the national parliament, the Member State government or, in accordance with Member State law, to other institutions and bodies as well as to the public on any issue related to the protection of personal data;

(c) to authorise processing referred to in Article 36(5), if the law of the Member State requires such prior authorisation;

(d) to issue an opinion and approve draft codes of conduct pursuant to Article 40(5);

(e) to accredit certification bodies pursuant to Article 43;

(f) to issue certifications and approve criteria of certification in accordance with Article 42(5);

(g) to adopt standard data protection clauses referred to in Article 28(8) and in point (d) of Article 46(2);

(h) to authorise contractual clauses referred to in point (a) of Article 46(3);

(i) to authorise administrative arrangements referred to in point (b) of Article 46(3);

(j) to approve binding corporate rules pursuant to Article 47.

4. The exercise of the powers conferred on the supervisory authority pursuant to this Article shall be subject to appropriate safeguards, including effective judicial remedy and due process, set out in Union and Member State law in accordance with the Charter.

5. Each Member State shall provide by law that its supervisory authority shall have the power to bring infringements of this Regulation to the attention of the judicial authorities and where appropriate, to commence or engage otherwise in legal proceedings, in order to enforce the provisions of this Regulation.

6. Each Member State may provide by law that its supervisory authority shall have additional powers to those referred to in paragraphs 1, 2 and 3. The exercise of those powers shall not impair the effective operation of Chapter VII.

Görev ile yetki arasındaki ilişki

GDPR m.58, denetim makamlarının yetkilerini üç ana grupta düzenler. Birinci fıkra araştırma, ikinci fıkra düzeltme, üçüncü fıkra ise izin verme ve danışma yetkilerini içerir.1 Bu yetkiler, m.57 ve Tüzüğün diğer hükümleriyle makama verilen görevlerin yerine getirilmesini sağlar.

Yetkinin varlığı, her olayda kullanılmasını zorunlu kılmaz. Denetim makamı uygulanacak tedbiri görevin konusu, ihlalin niteliği ve usul güvenceleri içinde belirleyecektir. Gerekçe 129, her tedbirin somut olayda uygun, gerekli ve orantılı olmasını ister.2

Araştırma yetkileri

Denetim makamı, görevleri için gereken bilgilerin veri sorumlusu, veri işleyen ve gerektiğinde temsilcileri tarafından sağlanmasını isteyebilir. Veri koruma denetimi yapabilir, sertifikasyonları gözden geçirebilir, olası ihlali muhatabına bildirebilir ve gerekli kişisel veriler ile bilgilere erişebilir.1

Makam ayrıca veri sorumlusu ve veri işleyenin iş yerlerine, veri işleme araçlarına ve donanımına erişebilir. Bu yetki Birlik ve üye devlet usul hukukuna uygun kullanılmalıdır.2 Gerekçe 129, ulusal hukukun önceden yargı izni gibi özel şartlar öngörebileceğini belirtir. Bilgi ve erişim talebi, yürütülen görevin gerektirdiği kapsamı aşamaz.3

Düzeltme yetkileri

Denetim makamı, henüz uygulanmamış bir işlemenin GDPR'ı ihlal etme ihtimali bulunduğunda veri sorumlusunu veya veri işleyeni uyarabilir. İhlal gerçekleşmişse kınama kararı verebilir.1 Uyarı gelecekteki işleme, kınama ise gerçekleşmiş ihlale yönelir.

Makam, ilgili kişi talebinin yerine getirilmesini veya işlemenin belirli bir biçimde ve sürede Tüzüğe uygun hale getirilmesini emredebilir. Veri ihlalinin ilgili kişiye bildirilmesi, verilerin düzeltilmesi ya da silinmesi, işlemenin sınırlandırılması ve alıcıların bu tedbirlerden haberdar edilmesi de emredilebilir.2

Geçici veya kesin işleme sınırlaması ile işleme yasağı en ağır düzeltme araçları arasındadır. Tedbirin kapsamı, ihlali gidermek için gerekenle sınırlı tutulmalıdır. Daha dar bir sınırlandırma yeterliyse bütün işleme faaliyetinin yasaklanması orantılı olmayabilir.3 Denetim makamı ayrıca sertifikasyonu geri alabilir ve üçüncü ülkeye ya da uluslararası kuruluşa veri akışını durdurabilir.4

İdari para cezası ve diğer tedbirler

Denetim makamı, m.83 uyarınca idari para cezasını m.58/2'deki başka bir tedbire ek olarak veya o tedbirin yerine uygulayabilir. Seçim her somut olayın şartlarına göre yapılacaktır.1 Para cezası ile düzeltme emri farklı amaçlara hizmet ediyorsa birlikte uygulanmaları mümkündür. Ancak birlikte uygulama da orantılı olmalıdır.

Gerekçe 148, hafif bir ihlalde veya para cezasının gerçek kişi üzerinde orantısız yük doğuracağı durumda para cezası yerine kınama verilebileceğini belirtir.2 Gerekçe 150 ise para cezasının diğer yetkileri veya başka yaptırımları ortadan kaldırmadığını açıklar.3 Para cezasının miktarı ve uygulanma şartları m.83 uyarınca ayrıca incelenecektir.

İzin verme ve danışma

GDPR m.58/3, denetim makamına ihlal gerçekleştikten sonra kullanılacak araçların yanında önleyici yetkiler de verir. Makam, m.36'daki ön danışma sürecinde veri sorumlusuna görüş verir. Ulusal hukuk gerektiriyorsa, veri sorumlusunun kamu yararına yürüttüğü bir görevin yerine getirilmesi amacıyla yaptığı ve m.36/5 kapsamına giren işlemeye önceden izin de verebilir.1

Makam parlamentoya, hükümete, diğer kurumlara ve kamuya kişisel verilerin korunmasıyla ilgili görüş sunabilir. Davranış kuralları, sertifikasyon, standart veri koruma hükümleri, belirli aktarım sözleşmeleri, idari düzenlemeler ve bağlayıcı şirket kuralları hakkında maddede sayılan onay veya kabul yetkilerini kullanır.2 Her yetkinin şartları, gönderme yapılan özel maddede ayrıca aranacaktır.3

Usul güvenceleri ve ek yetkiler

Denetim makamının m.58'deki yetkileri, Avrupa Birliği Temel Haklar Şartına uygun Birlik ve üye devlet hukukunda düzenlenen güvencelere tabi olarak kullanılmalıdır. Bu güvenceler etkili bir yargı yolunu ve adil usul güvencelerini içerir.1 Gerekçe 129, aleyhe bireysel tedbirden önce kişinin dinlenmesini, bağlayıcı kararın yazılı ve gerekçeli olmasını ve başvuru yolunun kararda gösterilmesini de arar.2

Üye devletler, denetim makamının GDPR ihlallerini yargı makamlarına taşıyabilmesini ve gerektiğinde dava açmasını veya davaya katılmasını kanunla sağlamalıdır.3 Ulusal kanun m.58/1-3'tekilere ek yetkiler de verebilir. Ancak bu ek yetkiler VII. Bölümdeki iş birliği ve tutarlılık düzeninin etkili işleyişini aksatamaz.4

KVKK ile karşılaştırma

KVKK m.22/1-b ve c, şikayetleri karara bağlama, ihlal iddiasını öğrendiğinde kendiliğinden inceleme yapma ve gerektiğinde geçici önlem alma görev ve yetkilerini Kişisel Verileri Koruma Kuruluna verir.1 İnceleme ve yaptırım usulü ise yalnız bu hükümle belirlenmemiştir. Bilgi ve belge isteme ile yerinde inceleme KVKK m.15/3'te, hukuka aykırılığın giderilmesine ve veri işlemenin ya da yurt dışına aktarımın durdurulmasına karar verme m.15/5 ve m.15/7'de, idari para cezaları ise m.18'de düzenlenmiştir.2 GDPR m.58 araştırma ve düzeltme araçlarını aynı maddede gruplandırırken KVKK bu araçları m.15, m.18 ve m.22 arasında paylaştırmıştır.

KVKK m.22/1-ç ila h, özel nitelikli kişisel veriler için yeterli önlemleri belirleme, Sicilin tutulmasını sağlama, düzenleyici işlem yapma ve kişisel veri içeren mevzuat taslakları hakkında görüş bildirme yetkilerini Kurula verir.3 Bu görevler GDPR m.58/3'teki izin verme ve danışma yetkileriyle bazı ortak konulara sahiptir. Ancak iki düzenlemedeki araçların kapsamı ve bağlı oldukları usuller aynı değildir. KVKK m.19-27'de GDPR m.58/4-6'daki usul güvencelerini, yargı mercilerine başvuruyu ve ek ulusal yetkileri birlikte karşılayan bir hüküm bulunmamaktadır.4

§ İlgili Kararlar 2

2021 1

Karar C-645/19 Sınır ötesi işlemede öncü olmayan denetim makamının dava yetkisi

Karşılaştırmalı hukuk kararları EU CJEU case law (CELLAR / SPARQL) 14 Mart 2024 Budapest Főváros IV. Kerület Újpest Önkormányzat Polgármesteri Hivatala v Nemzeti Adatvédelmi és Információszabadság Hatóság

Karar fihristi 698

Öne çıkan kaynaklar

159

29. Madde Çalışma GrubuOpinion 04/2016 on European Commission amendments proposals related to the powers of Data Protection Authorities in Standard Contractual Clauses and adequacy decisions - wp241

Kaynak fihristi159

📚 Kaynaklar