Madde 60

GDPR m.60, sınır ötesi işleme hakkında karar verecek baş denetim makamının diğer ilgili denetim makamlarıyla nasıl çalışacağını düzenler. Baş denetim makamı süreci yürütür, fakat ilgili makamların üzerinde yer alan bir üst makam değildir. İlgili makamlar bilgi edinme, görüş bildirme ve maddede öngörülen şartlarla karara itiraz etme yetkilerini korur.1

Maddenin birinci fıkrası, makamların uzlaşmaya varmak amacıyla çaba göstermelerini ve birbirlerine gerekli bilgileri iletmelerini öngörür. Karar taslağına yöneltilen ilgili ve gerekçeli itiraz çözülemezse m.60/4 ile m.65'teki uyuşmazlık çözümü yolu işletilecektir.2 Bu düzenleme, baş denetim makamına tek başına karar verme serbestisi tanımaz. Bununla birlikte uzlaşma yükümlülüğü, her görüş ayrılığının mutlaka anlaşmayla sonuçlanacağı anlamına da gelmez.

Tek durak mekanizması, sınır ötesi işleme hakkında birbiriyle çelişen ulusal kararların önlenmesine hizmet eder. Aynı zamanda şikayetin yapıldığı yerde incelenebilmesini ve ilgili kişinin kendi denetim makamıyla temasını korur.3 Bu iki yön birlikte değerlendirildiğinde m.60, yalnız yetki paylaşan bir hüküm değil, ortak kararın hazırlanmasına ilişkin bir usul hükmüdür.

Baş denetim makamı, ilgili denetim makamlarından karşılıklı yardım veya ortak operasyon talep edebilir. Talebin niteliğine göre m.61 veya m.62'deki özel usul uygulanacaktır.1 Bu imkan, makamlar arasındaki olağan bilgi paylaşımının yerini almaz.

Baş denetim makamı, konuyu inceledikten sonra karar taslağını gecikmeksizin diğer ilgili makamlara sunmalıdır. Karar taslağı, makamların görüş bildirebileceği kadar açık olmalı ve dosyanın değerlendirilmesi için gerekli bilgileri taşımalıdır. Baş denetim makamı, ilgili makamların görüşlerini karar taslağı hazırlanırken ve gerektiğinde taslak yeniden düzenlenirken gereği gibi dikkate alacaktır.2 İlgili makamların sürece katılması, taslak tamamlandıktan sonra yapılan şekli bir bildirimden ibaret değildir.

Görüşleri dikkate alma yükümlülüğü, baş denetim makamını her görüşe katılmaya mecbur bırakmaz. Görüş ayrılığı m.60/4'teki nitelikleri taşıyan bir itiraza dönüşürse baş denetim makamı ya itirazı kabul ederek yeni bir taslak sunacak ya da konuyu Avrupa Veri Koruma Kuruluna götürecektir.3

İlgili denetim makamı, karar taslağının kendisine sunulmasından itibaren dört hafta içinde itiraz edebilir. Her görüş ayrılığı bu sonucu doğurmaz. İtirazın karar taslağına yönelmesi ve GDPR m.4/24 anlamında ilgili ve gerekçeli olması gerekir. Buna göre itiraz, somut olayda Tüzüğün ihlal edilip edilmediği veya veri sorumlusu ya da veri işleyene yönelik öngörülen tedbirin Tüzüğe uygun olup olmadığı konularından birine dayanmalı ve taslağın ilgili kişilerin temel hak ve özgürlükleri ya da Birlik içinde kişisel verilerin serbest dolaşımı bakımından taşıdığı riskin önemini açıkça göstermelidir.1

Baş denetim makamı itirazı kabul ederse yeni karar taslağını ilgili makamlara sunar. Yeni taslağa itiraz süresi iki haftadır.2 Böylece ilk taslak için tanınan dört haftalık süre, yeniden düzenlenen taslak bakımından kısaltılmıştır.

Baş denetim makamı itirazı kabul etmezse veya itirazı ilgili ve gerekçeli bulmazsa konuyu m.65'teki uyuşmazlık çözümü için Avrupa Veri Koruma Kuruluna iletmelidir. Baş denetim makamı, bu halde itirazı yalnız kendi kararıyla etkisiz bırakarak nihai karar veremez.3

İlgili denetim makamları karar taslağına süresinde itiraz etmezse taslağı kabul etmiş sayılır ve karar onları bağlar. Baş denetim makamı, veri sorumlusu veya veri işleyenin ana kuruluşuna ya da tek kuruluşuna yönelik kararı kabul eder ve bildirir. Diğer ilgili makamlar ile Avrupa Veri Koruma Kurulu da bilgilendirilir.1

Şikayetin reddedildiği veya kabul edilemez bulunduğu hallerde kararı, şikayetin yapıldığı denetim makamı kabul eder ve ilgili kişiye bildirir. Veri sorumlusu da karardan haberdar edilir. Şikayetin kısmen reddedildiği, kısmen de veri sorumlusu veya veri işleyene yönelik işlem yapılmasını gerektirdiği hallerde ise iki ayrı karar verilir.2 Bu ayrım, ilgili kişinin kendi makamı önünde hukuki korunmasını sürdürürken işletmeye yönelen kararın baş denetim makamı tarafından alınmasını sağlar.

Kararı hangi makamın kabul edeceği, kararın maddi sonucuna göre belirlenir. Şikayetin reddi ile veri sorumlusu veya veri işleyene yükümlülük getiren kısım aynı makam adına tek kararda birleştirilemez.3

Veri sorumlusu veya veri işleyen, kendisine GDPR m.60/7 veya m.60/9 uyarınca bildirilen karara m.60/10 gereğince uymalı ve gerekli tedbirleri Birlik içindeki bütün kuruluşlarında ilgili işleme faaliyeti bakımından uygulamalıdır.1 Bu yükümlülük, kararı yalnız ana kuruluşun bulunduğu üye devlette sonuç doğuran bir işlem olmaktan çıkarır.

Kararın kapsamı, hakkında inceleme yapılan işleme faaliyetiyle sınırlıdır. Aynı işletme grubunun başka bir işleme faaliyeti, yalnız aynı veri sorumlusunca yürütüldüğü için kendiliğinden kararın kapsamına girmez.2 Hangi kuruluşların ve işlemelerin karardan etkilendiği, kararın gerekçesi ve hüküm kısmı birlikte değerlendirilerek belirlenecektir.

Veri sorumlusu veya veri işleyen, karara uymak için aldığı önlemleri baş denetim makamına bildirmelidir. Baş denetim makamı da bu bilgiyi diğer ilgili denetim makamlarına iletir.3 Böylece kararın sınır ötesi uygulanması yalnız işletmenin beyanına bırakılmamış, makamlar arasındaki bilgi akışına bağlanmıştır.

Olağan iş birliği usulü, ilgili kişilerin menfaatlerini korumak için gecikmeksizin harekete geçilmesi gereken istisnai halleri ortadan kaldırmaz. GDPR m.60/11, bu durumda m.66'daki acil usulün uygulanmasına imkan tanır.1 Acil usule başvurulması için yalnız makamlar arasında görüş ayrılığı bulunması yeterli değildir. GDPR m.66'da aranan istisnai şartlar ayrıca gerçekleşmelidir.

Makamlar m.60 kapsamında birbirlerine elektronik yollarla ve standartlaştırılmış bir format kullanarak bilgi verir. Bu şekil, karar taslaklarının, itirazların ve diğer usul belgelerinin bütün ilgili makamlara aynı düzen içinde iletilmesine hizmet eder.2 Elektronik iletişim kuralı, uzlaşma çabasını veya ilgili makamın görüşünün gereği gibi değerlendirilmesini ikame eden bir şekil şartı değildir.

GDPR m.60'ın baş denetim makamı ile diğer ilgili denetim makamları arasında kurduğu ortak karar usulünün KVKK'da doğrudan karşılığı bulunmaz. KVKK, Kişisel Verileri Koruma Kurumunu tek ulusal denetim yapısı olarak kurmuş ve Kurumun karar organını Kişisel Verileri Koruma Kurulu olarak belirlemiştir.1 Bu nedenle KVKK kapsamındaki bir şikayette farklı ulusal denetim makamlarının aynı taslak karar üzerinde uzlaşması veya birbirine itiraz etmesi söz konusu değildir.

KVKK m.13-15'te ilgili kişinin önce veri sorumlusuna başvurması, ardından şartları varsa Kurula şikayette bulunması ve Kurulun şikayet üzerine ya da resen inceleme yapması düzenlenmiştir.2 Şikayet usulünde veri sorumlusu, ilgili kişi ve Kurul arasında farklı aşamalar bulunsa da bu yapı GDPR m.60'taki baş denetim makamı ile ilgili makamlar arasındaki yetki paylaşımıyla aynı değildir.