Madde 19

6698 sayılı Kişisel Verilerin Korunması Kanununun (KVKK) 19. maddesinin birinci fıkrası, Kişisel Verileri Koruma Kurumunu kanunla verilen görevleri yerine getirmek üzere kurmuş ve Kuruma kamu tüzel kişiliği ile idari ve mali özerklik tanımıştır.1 Dördüncü fıkra, Kurumun Kurul ve Başkanlıktan oluştuğunu belirtmektedir. Kamu tüzel kişiliği Kuruma ait olduğundan, Kurul ile Başkanlığın ayrı tüzel kişilikleri bulunmamaktadır.2

Kurumun merkezi Ankara'dadır.3 Kişisel Verileri Koruma Kurumu, Anayasa m.123'te kamu tüzel kişileri için öngörülen kuruluş yollarından biri olan kanunla kurulmuştur.4 Anayasa m.123, Kurumun idari ve mali özerkliğinin kapsamını ayrıca düzenlememektedir. Özerkliğin kapsamı, KVKK ile Kuruma uygulanan diğer kanuni düzenlemelerin birlikte yorumlanmasıyla belirlenir.5

2008 tarihli Kanun Tasarısının 26. maddesi, ayrı bir Kurum yerine Kişisel Verileri Koruma Kurulunu öngörmüş ve Kurulun görev ve yetkilerini bağımsız olarak kullanacağını düzenlemiştir.1 Tasarıya göre sekretarya hizmetleri Başbakanlık tarafından yürütülecekti.2 Madde gerekçesi, bağımsız bir denetim organı kurulması gereğini 108 sayılı Sözleşme ile 95/46/AT sayılı Direktife dayandırmıştır.3

2014 tarihli Kanun Tasarısı, kamu tüzel kişiliğine sahip ayrı bir Kurum yerine Kurulu esas almış, Kurulu Adalet Bakanlığıyla ilişkilendirmiş ve genel bütçe içinde kendi bütçesiyle yönetileceğini öngörmüştür.4 Tasarının gerekçesinde Kurul, kişisel verilerin korunması alanındaki denetimi yürütecek bağımsız organ olarak gösterilmiştir.5

1/541 sayılı Kanun Tasarısının 19. maddesi, idari ve mali özerkliğe ve kamu tüzel kişiliğine sahip Kurum modelini benimsemiş ve Kurumun Kurul ile Başkanlıktan oluşacağını, karar organının ise Kurul olacağını düzenlemiştir.6 Madde gerekçesinde, Kurumun kamu gücü kullanarak düzenleme ve denetim görevlerini yerine getirecek, işlevsel bakımdan bağımsız bir yapı olarak kurulmasının amaçlandığı ve Başbakanlıkla ilişkili olacağı belirtilmiştir.7

Adalet Komisyonu, tasarının 19. maddesini aynen kabul etmiştir.8 7 Nisan 2016 tarihinde yayımlanan ilk kanun metni, tasarıdaki dört fıkrayı aynen taşımıştır.9

2008, 2014 ve 1/541 sayılı tasarılar, yürürlükteki 19. maddenin eski metinleri değil, farklı tarihlere ait ayrı yasama hazırlıklarıdır. Bu metinler, Kurul merkezli yapıdan kamu tüzel kişiliğine sahip Kurum modeline geçişi göstermektedir.10

6698 sayılı Kişisel Verilerin Korunması Kanununun (KVKK) 19. maddesinin birinci fıkrası, idari ve mali özerkliği Kurula veya Başkanlığa değil Kişisel Verileri Koruma Kurumuna tanımıştır.1

Kişisel Verileri Koruma Kurumu, 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanununa ekli (III) sayılı cetvelin 9. sırasında düzenleyici ve denetleyici kurumlar arasında yer almaktadır.2 Bu kurumlar, aynı kanunun 2. maddesinin üçüncü fıkrasında sayılan hükümlere tabidir.3 5018 sayılı Kanun, düzenleyici ve denetleyici kurum bütçesini merkezi yönetim bütçesini oluşturan bütçe türleri arasında saymakta ve bu bütçeyi (III) sayılı cetvelde yer alan her bir kurumun bütçesi olarak tanımlamaktadır.4

Bu hükümler birlikte değerlendirildiğinde mali özerklik, Kurumun 5018 sayılı Kanunun uygulama alanı dışında bulunduğu anlamına gelmez.5

Kanunun 19. maddesinin birinci fıkrası Kuruma idari ve mali özerklik tanımaktadır.1 Dördüncü fıkra ise Kurulu Kurumun karar organı olarak belirlemektedir.2 İlk hüküm Kurumun statüsünü, ikinci hüküm Kurum içindeki karar yetkisini düzenlemektedir. Kurumun özerkliği ile Kurulun görev bağımsızlığı bu nedenle aynı hukuki güvence değildir.

Doktrinde bir görüş, kamu tüzel kişiliği ile idari ve mali özerkliğin yanında Kurumun düzenleme ve denetim yetkilerine de dayanarak Kişisel Verileri Koruma Kurumunu bağımsız idari otorite olarak nitelendirmektedir.3

Kurulun yetkilerini bağımsız biçimde kullanması kanuni güvenceye bağlanmıştır.4 Buna karşılık doktrinde, Kurumun bağımsız bir yapı olarak öngörülmemesinin Avrupa Birliği tarafından eleştirildiği aktarılmaktadır.5 Kurul üyelerinin seçim usulünün tarafsızlık görünümü bakımından sorun doğurabileceği de belirtilmektedir.6

KVKK'nin 2016 yılında yayımlanan ilk metni, Kurumu Başbakanlıkla ilişkili olarak düzenlemişti.1 703 sayılı KHK'nin 163. maddesinin (a) bendi, ikinci fıkradaki Başbakanlık kaydını Cumhurbaşkanının görevlendireceği bakanla ilişki kurulacak biçimde değiştirmiştir.2 Kanunun yürürlükteki 19. maddesinin ikinci fıkrası, ilişkili bakanın adını belirtmemekte ve görevlendirme yetkisini Cumhurbaşkanına vermektedir.3

2018/1 sayılı Cumhurbaşkanlığı Genelgesine ekli listede Kişisel Verileri Koruma Kurumu Adalet Bakanlığıyla ilişkilendirilmiştir.4 Adalet Bakanlığının 2024-2028 Stratejik Planı da Kurumu Bakanlığın ilişkili kuruluşları arasında göstermektedir.5

Kanunun 19. maddesinin ikinci fıkrası, Kurum ile Cumhurbaşkanının görevlendireceği bakan arasındaki ilişkiyi kurmakta, ancak bu ilişkiye bağlı görev ve yetkileri ayrıca saymamaktadır.1 Bu nedenle ilişkili bakanın kimliği ve kullanabileceği görev ve yetkiler farklı normlara göre belirlenmektedir.

3046 sayılı Kanunun 19/A maddesi, 5018 sayılı Kanuna ekli (III) sayılı cetvelde yer alan kurumların Cumhurbaşkanlığı veya bir bakanlıkla ilişkilendirilebilmesine imkan tanımaktadır.2 Aynı maddenin ikinci cümlesi, özel kanun veya Cumhurbaşkanlığı kararnamesiyle bakana verilmiş görev ve yetkilerin ilişkili bakan tarafından kullanılacağını düzenlemektedir.3

Anayasa Mahkemesinin E.2018/117, K.2023/212 sayılı kararındaki inceleme, 3046 sayılı Kanunun 19/A maddesinin üçüncü cümlesinde yer alan ve genel denetim yetkisini (III) sayılı cetveldeki kurumlara genişleten ibareyle sınırlıdır.4 Mahkeme, dava konusu ibareyi ekleyen 703 sayılı KHK hükmünün 7142 sayılı Yetki Kanununun amaç ve kapsamını aştığına ve bu nedenle Anayasanın mülga 91. maddesine aykırı olduğuna karar vermiştir.5 İbare oyçokluğuyla iptal edilmiştir.6

AYM kararının 200. paragrafı davacıların düzenleyici ve denetleyici kurumların bağımsızlığına ilişkin iddiasını aktarmakta, Mahkemenin 201. paragrafta başlayan incelemesi ise 7142 sayılı Yetki Kanununun amaç ve kapsamıyla sınırlı kalmaktadır. Bu nedenle Mahkeme, Kurumun bağımsızlığını Anayasa m.2 veya m.133 yönünden esastan incelememiştir.7

Yürürlüğü ertelenmeyen iptal hükmü, kararın 4 Haziran 2024 tarihli Resmi Gazete'de yayımlandığı gün yürürlüğe girmiştir.8 Bu tarihten itibaren ilişkili bakan, genel denetim yetkisini Kurumun yalnız (III) sayılı cetvelde yer almasına dayanarak kullanamaz. Buna karşılık 3046 sayılı Kanunun 19/A maddesinin ilişkilendirmeyi düzenleyen birinci cümlesi ile özel düzenlemelerde bakana verilen görev ve yetkilere ilişkin ikinci cümlesi yürürlüktedir.9

Kişisel Verileri Koruma Kurumu, Kurul ve Başkanlıktan oluşmaktadır.1 Kurumun karar organı Kuruldur.2

Kamu tüzel kişiliği Kuruma aittir.3 Kurulun karar organı olması, Kurul kararlarını Kurumdan ayrı bir kamu tüzel kişisinin işlemi haline getirmez.4

Doktrinde, Kurulun karar organı olması ile Başkanlığın Kurum içindeki hizmet ve yürütme işlevi birbirinden ayrılmaktadır.5 Kanun, 19. maddede bu organ ayrımını kurmuş, Kurulun oluşumunu ve görevlerini, Başkanlığın teşkilatını ve yetkilerini ise 20 ila 25. maddelerde ayrıca düzenlemiştir.6