Madde 65

GDPR m.65, Tüzüğün somut olaylarda doğru ve tutarlı uygulanmasını sağlamak üzere Avrupa Veri Koruma Kurulunun bağlayıcı karar vereceği üç uyuşmazlık grubunu düzenler.1 Bu yol, her denetim makamı görüş ayrılığı için başvurulabilecek genel bir itiraz mercii değildir.

Birinci grup, m.60/4 kapsamında karar taslağına ilgili ve gerekçeli itiraz edilmesine rağmen baş denetim makamının itirazı kabul etmemesi veya itirazı bu niteliklerden yoksun saymasıdır. İkinci grup, hangi ilgili denetim makamının veri sorumlusu veya veri işleyenin ana kuruluşu bakımından yetkili olduğu konusundaki çatışmadır. Üçüncü grup ise m.64/1'de görüş alınması zorunlu olduğu halde Kurula başvurulmaması veya Kurul görüşünün izlenmemesidir.2

GDPR m.65'teki bağlayıcı karar, makamlar arasındaki uyuşmazlığı çözer. Veri sorumlusu, veri işleyen veya şikayetçi bakımından sonuç doğuran nihai işlem, m.65/6 uyarınca yetkili denetim makamınca ayrıca kabul edilecektir.3

GDPR m.65/1-a kapsamındaki bağlayıcı karar, ilgili ve gerekçeli itirazın konusu olan bütün meseleleri kapsar. Kurul özellikle somut olayda Tüzüğün ihlal edilip edilmediğini inceleyebilir.1 Bununla birlikte uyuşmazlık çözümü, itirazla bağlantısı bulunmayan her hususun dosyaya eklenebileceği sınırsız bir yeniden inceleme yolu değildir.

İtirazın kapsamı belirlenirken yalnız sonuç talebine bakılmaz. İtirazın dayandığı hukuki ve maddi gerekçeler ile karar taslağında değiştirilmesi istenen kısım birlikte incelenecektir.2 Bu sınır, hem baş denetim makamının hangi konuda cevap vermesi gerektiğini hem de Kurulun bağlayıcı kararının hangi meseleleri çözebileceğini belirler.

Kurul, ilgili ve gerekçeli itirazın taşıdığı uyuşmazlığı karara bağlar. İtirazın m.4/24'te aranan nitelikleri taşıyıp taşımadığı konusunda baş denetim makamı ile ilgili makam anlaşamıyorsa bu nitelendirme de m.65/1-a kapsamındaki incelemeye dahildir.3

İlgili denetim makamları, hangi makamın ana kuruluş bakımından yetkili olduğu konusunda farklı görüşlere sahipse Kurul m.65/1-b uyarınca bağlayıcı karar verir. Bu uyuşmazlık, m.4/16'daki ana kuruluş tanımı ile m.56'daki baş denetim makamı yetkisinin somut olaya uygulanmasına ilişkindir.1

Yetki çatışmasının çözümü, daha sonra yürütülecek m.60 usulünün hangi makam tarafından yönetileceğini belirler. Kurulun bu konuda verdiği karar, yalnız coğrafi bir bağlantı tespiti değildir. Karar taslağını hazırlayacak ve ilgili makamlarla uzlaşma sürecini yürütecek baş denetim makamını belirler.

GDPR m.64/1 kapsamındaki görüş alınmamışsa veya Kurul görüşü izlenmemişse m.65/1-c uygulanır. Bu halde herhangi bir ilgili denetim makamı veya Komisyon konuyu Kurula götürebilir.2 Kurulun m.64 uyarınca verdiği görüş doğrudan bağlayıcı olmasa da görüş alma ve görüşten ayrılmayı gerekçelendirme yükümlülükleri bağlayıcıdır. Bu yükümlülüklere uyulmaması, m.65'te bağlayıcı karar verilmesine yol açabilir.3

Kurul, m.65/1 kapsamındaki bağlayıcı kararı konunun kendisine iletilmesinden itibaren bir ay içinde üyelerinin üçte iki çoğunluğuyla kabul eder. Konunun karmaşıklığı nedeniyle süre bir ay daha uzatılabilir. Karar gerekçeli olmalı, baş denetim makamı ile bütün ilgili denetim makamlarına iletilmelidir.1

İki aylık toplam süre içinde üçte iki çoğunluk sağlanamazsa Kurul, ikinci ayın bitiminden sonraki iki hafta içinde basit çoğunlukla karar verir. Oyların eşitliği halinde Başkanın oyu belirleyicidir.2 Bu ikinci aşama, çoğunluk sağlanamaması nedeniyle uyuşmazlığın kararsız kalmasını önler.

İlgili denetim makamları, konu Kurul önündeyken ve m.65/2-3'teki süreler dolmadan aynı mesele hakkında karar veremez.3 Bekleme yükümlülüğü, Kurulun bağlayıcı kararını ulusal kararlar verildikten sonra yapılan soyut bir değerlendirmeye dönüşmekten korur.

Kurul kararı baş denetim makamı ile diğer ilgili denetim makamlarını bağlar. Kurul Başkanı kararı bu makamlara gecikmeksizin bildirir ve Komisyonu bilgilendirir. Karar, yetkili makam m.65/6'daki nihai kararını bildirdikten sonra Kurulun internet sitesinde yayımlanır.1

Kurul kararının bildirilmesinden sonra baş denetim makamı veya duruma göre şikayetin yapıldığı denetim makamı, gecikmeksizin ve en geç bir ay içinde nihai kararını kabul eder. Nihai karar Kurul kararına dayanmalı, ona açıkça göndermede bulunmalı ve Kurul kararını ekinde taşımalıdır. Kurul kararı ile nihai denetim makamı kararı ayrı işlemlerdir. Veri sorumlusu, veri işleyen ve ilgili kişi bakımından somut sonuç doğuran karar, m.60/7-9 uyarınca kabul edilen nihai karardır.2

Kurul kararından doğrudan ve bireysel olarak etkilenen kişiler, TFEU m.263'teki şartlarla Kurul kararının iptalini isteyebilir. Bu şartları taşımayan şikayetçi ise nihai denetim makamı kararına karşı ulusal yargı yoluna başvuracaktır.3

GDPR m.65, farklı denetim makamları arasındaki uyuşmazlığı Avrupa Veri Koruma Kurulunun bağlayıcı kararıyla çözer. KVKK'da bu yapının doğrudan karşılığı bulunmaz. KVKK m.19/4 uyarınca Kurumun karar organı olan Kurul, ilgili kişilerin şikayetlerini karara bağlar ve ihlal iddiasını öğrendiğinde resen inceleme yapabilir.1

KVKK m.15/5, ihlal tespit edildiğinde Kurulun hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vermesini düzenler. Bu karar doğrudan veri sorumlusuna tebliğ edilir ve en geç otuz gün içinde yerine getirilir.2 GDPR m.65'te ise önce denetim makamlarını bağlayan Kurul kararı, ardından veri sorumlusu, veri işleyen veya ilgili kişi bakımından sonuç doğuran nihai ulusal makam kararı kabul edilir. Bu iki aşamalı makamlar arası yapı KVKK şikayet usulünde yer almaz.