GDPR İlgili Dibaceler 1 dibace
Recital 171
Directive 95/46/EC should be repealed by this Regulation. Processing already under way on the date of application of this Regulation should be brought into conformity with this Regulation within the period of two years after which this Regulation enters into force. Where processing is based on consent pursuant to Directive 95/46/EC, it is not necessary for the data subject to give his or her consent again if the manner in which the consent has been given is in line with the conditions of this Regulation, so as to allow the controller to continue such processing after the date of application of this Regulation. Commission decisions adopted and authorisations by supervisory authorities based on Directive 95/46/EC remain in force until amended, replaced or repealed.
Dibace 171
95/46/AT sayılı Direktif bu Tüzük ile yürürlükten kaldırılmalıdır. Bu Tüzük'ün uygulanma tarihinde hâlihazırda devam etmekte olan işleme faaliyetleri, bu Tüzük'ün yürürlüğe girdiği tarihten itibaren iki yıl içinde bu Tüzük'e uygun hale getirilmelidir. İşlemenin 95/46/AT sayılı Direktif uyarınca rızaya dayalı olarak gerçekleştirildiği hâllerde, veri sorumlusunun bu Tüzük'ün uygulama tarihten sonra bu tür işleme faaliyetine devam etmesine izin vermek amacıyla, rızanın verilme şekli bu Tüzük şartlarına uygun ise, veri öznesinin rızasının tekrar alınması gerekmez. 95/46/AT sayılı Direktif'e dayanılarak kabul edilen Komisyon kararları ve denetim makamları tarafından verilen izinler, değiştirilmediği, yenilenmediği veya yürürlükten kaldırılmadığı sürece yürürlükte kalmaya devam eder.
Direktifin yürürlükten kaldırılması
95/46/AT sayılı Direktif, Tüzüğün 94. maddesinin birinci fıkrası uyarınca 25 Mayıs 2018'de yürürlükten kaldırılmıştır. Bu tarih Tüzüğün uygulanmaya başladığı tarihle aynıdır.1 Böylece Direktifin kaldırılması ile Tüzüğün uygulanması arasında zaman bakımından boşluk doğmamıştır.
Eski atıfların karşılığı
Birlik hukuk tasarruflarında 95/46/AT sayılı Direktife yapılan atıflar GDPR'a yapılmış sayılır.1 Direktifin 29. maddesiyle kurulan Çalışma Grubuna yapılan atıflar da Avrupa Veri Koruma Kuruluna yönelir.2
Bu kural, Direktifteki her maddenin GDPR'da aynı numara ve içerikle karşılığı bulunduğu anlamına gelmez. İki düzenleme arasında bire bir karşılık bulunmadığında, atfın konusu ve amacı dikkate alınarak GDPR'daki en yakın hüküm belirlenecektir.3
Devam eden işleme ve rıza
Tüzüğün uygulanmaya başladığı tarihte devam eden işleme faaliyetleri, 25 Mayıs 2018 itibarıyla Tüzüğün şartlarına uygun hale getirilmeliydi.1 Daha önce 95/46/AT sayılı Direktif uyarınca alınmış rıza, verilme biçimi Tüzüğün şartlarını karşılıyorsa yeniden alınmak zorunda değildir. Eski rızanın yalnız Direktif döneminde hukuka uygun olması, bu tarihten sonra işlemeye devam etmek için yeterli değildir.2
Önceki karar ve izinler
95/46/AT sayılı Direktife dayanılarak kabul edilen Komisyon kararları ile denetim makamlarının verdiği izinler, değiştirilinceye, yenileninceye veya yürürlükten kaldırılıncaya kadar geçerliliğini korur.1 Yeterlilik kararları ile aktarım izinleri bakımından bu geçiş GDPR m.45/9 ve m.46/5'te ayrıca düzenlenmiştir.2
Bu süreklilik, eski tasarrufun hiçbir zaman gözden geçirilemeyeceği anlamına gelmez. Yetkili makam, ilgili tasarrufu GDPR'ın öngördüğü usule göre değiştirebilir, yenileyebilir veya kaldırabilir.
KVKK ile karşılaştırma
KVKK'daki geçiş, önceki bir kişisel veri koruma direktifinin yürürlükten kaldırılması üzerinden kurulmamıştır. Geçiş, Kanunun Geçici 1. maddesinde doğrudan düzenlenmiştir. Kanunun yayımından önce işlenmiş kişisel veriler için iki yıllık uyum süresi tanınmış, daha önce hukuka uygun alınan rızalar ise bir yıl içinde aksi yönde irade açıklanmadıkça Kanuna uygun kabul edilmiştir.1
KVKK m.32 ayrıca bazı maddelerin yayımı izleyen altı ay sonra, diğer maddelerin ise yayım tarihinde yürürlüğe girmesini öngörmüştür.2 Tüzüğün 94. maddesi ve gerekçe 171'deki geçiş ise 95/46/AT sayılı Direktifin kaldırılması, devam eden işlemelerin uyumu ve önceki Birlik tasarruflarının geçerliliği üzerine kuruludur.