TBMM Madde Gerekçesi
Güncel metinYürürlükte
Maddeyle, Kanunla verilen görevleri yerine getirmek üzere, idari ve mali özerkliğe sahip ve kamu tüzel kişiliğini haiz Kişisel Verileri Koruma Kurumunun kuruluşu düzenlenmektedir. Avrupa Konseyinin 108 sayılı Sözleşmesi ve Avrupa Birliğinin 95/46/EC sayılı Direktifi, kişisel verilerin işlenmesine ilişkin ilkelerin uygulanmasını izlemek ve yönlendirmek üzere fonksiyonel olarak bağımsız bir şekilde görev yapacak otoritelerin oluşturulmasını öngörmektedir. Avrupa Birliği üyesi tüm ülkelerde veri koruma kurulları görevlerinde bağımsız otoriteler şeklinde yapılandırılmıştır. Sayılan uluslararası belgeler ve mukayeseli hukuk uygulamaları gözönüne alınmak suretiyle, Kişisel Verileri Koruma Kurumu kurulmuştur. Kurumun Başbakanlıkla ilişkili olduğu hüküm altına alınmaktadır.
2014 Tasarısı2014
Maddeyle, Kanunla ve diğer mevzuatla kişisel verilere ilişkin verilen görev ve yetkileri kendi sorumluluğu altında, bağımsız olarak yerine getiren ve kullanan, genel bütçe içinde kendi bütçesiyle yönetilen Kişisel Verileri Koruma Kurulunun kuruluşu düzenlenmektedir. Kurulun ilişkili olduğu bakanlık, Adalet Bakanlığı olarak belirlenmektedir.
2008 Tasarısı2008
Maddeyle, kişisel verileri kontrol edenleri denetlemek ve Kanunla verilen görevleri yapmak üzere Kişisel Verileri Koruma Kurulunun oluşturulması öngörülmektedir. Sözleşmenin 4 üncü maddesi her devletin Sözleşmede öngörülen ilkeleri iç hukuklarında yaşama geçirmesini zorunlu kılmıştır. Sözleşmeyi onaylayan devletler bu amaçla birer kurumsal yapı oluşturmuşlardır. Aynı şekilde Avrupa Komisyonunun söz konusu 95/46/EC sayılı Direktifinin 28 inci maddesinde üye devletlerin, kişisel verilerin işlenmesine ilişkin ilkelerin uygulanmasını izlemek ve yönlendirmek üzere bir veya bir kaç kamu kuruluşunu görevlendirmeleri gereğine işaret edilmiştir. Avrupa Birliği üyesi ülkelerin tümünün, bu alanda yasama veya yürütme organlarına karşı bağımsız bir şekilde görev yapacak kurullar oluşturduğu gözlenmiştir. Örneğin, Almanya'da, Federal Verileri Koruma Görevlisi (Bundesbeauftragter für Datenschutz), Avusturya'da Verilerin Korunması Komisyonu (Kommission für Datenschutz), İsveç'te Verileri Denetim Kurulu (Data Inspection Board), Fransa'da Enformatik ve Özgürlükler Milli Komitesi (Commission Nationale de 1 'Informatique et des Libertes), İngiltere'de Veri Koruma Komisyonu (Data Protection Commissioner) gibi kuruluşlar, milli kanunlar ve sözleşmelerde yer alan verilerin korunması ilkelerinin uygulanmasını izleyen ve yönlendiren bağımsız kuruluşlardır.
Kuruluş ve kamu tüzel kişiliği
6698 sayılı Kişisel Verilerin Korunması Kanununun (KVKK) 19. maddesinin birinci fıkrası, Kişisel Verileri Koruma Kurumunu kanunla verilen görevleri yerine getirmek üzere kurmuş ve Kuruma kamu tüzel kişiliği ile idari ve mali özerklik tanımıştır.1 Dördüncü fıkra, Kurumun Kurul ve Başkanlıktan oluştuğunu belirtmektedir. Kamu tüzel kişiliği Kuruma ait olduğundan, Kurul ile Başkanlığın ayrı tüzel kişilikleri bulunmamaktadır.2
Kurumun merkezi Ankara'dadır.3 Kişisel Verileri Koruma Kurumu, Anayasa m.123'te kamu tüzel kişileri için öngörülen kuruluş yollarından biri olan kanunla kurulmuştur.4 Anayasa m.123, Kurumun idari ve mali özerkliğinin kapsamını ayrıca düzenlememektedir. Özerkliğin kapsamı, KVKK ile Kuruma uygulanan diğer kanuni düzenlemelerin birlikte yorumlanmasıyla belirlenir.5
Kurumsal modelin gelişimi
2008 tarihli Kanun Tasarısının 26. maddesi, ayrı bir Kurum yerine Kişisel Verileri Koruma Kurulunu öngörmüş ve Kurulun görev ve yetkilerini bağımsız olarak kullanacağını düzenlemiştir.1 Tasarıya göre sekretarya hizmetleri Başbakanlık tarafından yürütülecekti.2 Madde gerekçesi, bağımsız bir denetim organı kurulması gereğini 108 sayılı Sözleşme ile 95/46/AT sayılı Direktife dayandırmıştır.3
2014 tarihli Kanun Tasarısı, kamu tüzel kişiliğine sahip ayrı bir Kurum yerine Kurulu esas almış, Kurulu Adalet Bakanlığıyla ilişkilendirmiş ve genel bütçe içinde kendi bütçesiyle yönetileceğini öngörmüştür.4 Tasarının gerekçesinde Kurul, kişisel verilerin korunması alanındaki denetimi yürütecek bağımsız organ olarak gösterilmiştir.5
1/541 sayılı Kanun Tasarısının 19. maddesi, idari ve mali özerkliğe ve kamu tüzel kişiliğine sahip Kurum modelini benimsemiş ve Kurumun Kurul ile Başkanlıktan oluşacağını, karar organının ise Kurul olacağını düzenlemiştir.6 Madde gerekçesinde, Kurumun kamu gücü kullanarak düzenleme ve denetim görevlerini yerine getirecek, işlevsel bakımdan bağımsız bir yapı olarak kurulmasının amaçlandığı ve Başbakanlıkla ilişkili olacağı belirtilmiştir.7
Adalet Komisyonu, tasarının 19. maddesini aynen kabul etmiştir.8 7 Nisan 2016 tarihinde yayımlanan ilk kanun metni, tasarıdaki dört fıkrayı aynen taşımıştır.9
2008, 2014 ve 1/541 sayılı tasarılar, yürürlükteki 19. maddenin eski metinleri değil, farklı tarihlere ait ayrı yasama hazırlıklarıdır. Bu metinler, Kurul merkezli yapıdan kamu tüzel kişiliğine sahip Kurum modeline geçişi göstermektedir.10
İdari ve mali özerklik
6698 sayılı Kişisel Verilerin Korunması Kanununun (KVKK) 19. maddesinin birinci fıkrası, idari ve mali özerkliği Kurula veya Başkanlığa değil Kişisel Verileri Koruma Kurumuna tanımıştır.1
Kişisel Verileri Koruma Kurumu, 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanununa ekli (III) sayılı cetvelin 9. sırasında düzenleyici ve denetleyici kurumlar arasında yer almaktadır.2 Bu kurumlar, aynı kanunun 2. maddesinin üçüncü fıkrasında sayılan hükümlere tabidir.3 5018 sayılı Kanun, düzenleyici ve denetleyici kurum bütçesini merkezi yönetim bütçesini oluşturan bütçe türleri arasında saymakta ve bu bütçeyi (III) sayılı cetvelde yer alan her bir kurumun bütçesi olarak tanımlamaktadır.4
Bu hükümler birlikte değerlendirildiğinde mali özerklik, Kurumun 5018 sayılı Kanunun uygulama alanı dışında bulunduğu anlamına gelmez.5
Özerklik ve görev bağımsızlığı
Kanunun 19. maddesinin birinci fıkrası Kuruma idari ve mali özerklik tanımaktadır.1 Dördüncü fıkra ise Kurulu Kurumun karar organı olarak belirlemektedir.2 İlk hüküm Kurumun statüsünü, ikinci hüküm Kurum içindeki karar yetkisini düzenlemektedir. Kurumun özerkliği ile Kurulun görev bağımsızlığı bu nedenle aynı hukuki güvence değildir.
Doktrinde bir görüş, kamu tüzel kişiliği ile idari ve mali özerkliğin yanında Kurumun düzenleme ve denetim yetkilerine de dayanarak Kişisel Verileri Koruma Kurumunu bağımsız idari otorite olarak nitelendirmektedir.3
Kurulun yetkilerini bağımsız biçimde kullanması kanuni güvenceye bağlanmıştır.4 Buna karşılık doktrinde, Kurumun bağımsız bir yapı olarak öngörülmemesinin Avrupa Birliği tarafından eleştirildiği aktarılmaktadır.5 Kurul üyelerinin seçim usulünün tarafsızlık görünümü bakımından sorun doğurabileceği de belirtilmektedir.6
İlişkili bakanın belirlenmesi
KVKK'nin 2016 yılında yayımlanan ilk metni, Kurumu Başbakanlıkla ilişkili olarak düzenlemişti.1 703 sayılı KHK'nin 163. maddesinin (a) bendi, ikinci fıkradaki Başbakanlık kaydını Cumhurbaşkanının görevlendireceği bakanla ilişki kurulacak biçimde değiştirmiştir.2 Kanunun yürürlükteki 19. maddesinin ikinci fıkrası, ilişkili bakanın adını belirtmemekte ve görevlendirme yetkisini Cumhurbaşkanına vermektedir.3
2018/1 sayılı Cumhurbaşkanlığı Genelgesine ekli listede Kişisel Verileri Koruma Kurumu Adalet Bakanlığıyla ilişkilendirilmiştir.4 Adalet Bakanlığının 2024-2028 Stratejik Planı da Kurumu Bakanlığın ilişkili kuruluşları arasında göstermektedir.5
İlişkililik ve yetki sınırı
Kanunun 19. maddesinin ikinci fıkrası, Kurum ile Cumhurbaşkanının görevlendireceği bakan arasındaki ilişkiyi kurmakta, ancak bu ilişkiye bağlı görev ve yetkileri ayrıca saymamaktadır.1 Bu nedenle ilişkili bakanın kimliği ve kullanabileceği görev ve yetkiler farklı normlara göre belirlenmektedir.
3046 sayılı Kanunun 19/A maddesi, 5018 sayılı Kanuna ekli (III) sayılı cetvelde yer alan kurumların Cumhurbaşkanlığı veya bir bakanlıkla ilişkilendirilebilmesine imkan tanımaktadır.2 Aynı maddenin ikinci cümlesi, özel kanun veya Cumhurbaşkanlığı kararnamesiyle bakana verilmiş görev ve yetkilerin ilişkili bakan tarafından kullanılacağını düzenlemektedir.3
Anayasa Mahkemesinin E.2018/117, K.2023/212 sayılı kararındaki inceleme, 3046 sayılı Kanunun 19/A maddesinin üçüncü cümlesinde yer alan ve genel denetim yetkisini (III) sayılı cetveldeki kurumlara genişleten ibareyle sınırlıdır.4 Mahkeme, dava konusu ibareyi ekleyen 703 sayılı KHK hükmünün 7142 sayılı Yetki Kanununun amaç ve kapsamını aştığına ve bu nedenle Anayasanın mülga 91. maddesine aykırı olduğuna karar vermiştir.5 İbare oyçokluğuyla iptal edilmiştir.6
AYM kararının 200. paragrafı davacıların düzenleyici ve denetleyici kurumların bağımsızlığına ilişkin iddiasını aktarmakta, Mahkemenin 201. paragrafta başlayan incelemesi ise 7142 sayılı Yetki Kanununun amaç ve kapsamıyla sınırlı kalmaktadır.7 Bu nedenle Mahkeme, Kurumun bağımsızlığını Anayasa m.2 veya m.133 yönünden esastan incelememiştir.
Yürürlüğü ertelenmeyen iptal hükmü, kararın 4 Haziran 2024 tarihli Resmi Gazete'de yayımlandığı gün yürürlüğe girmiştir.8 Bu tarihten itibaren ilişkili bakan, genel denetim yetkisini Kurumun yalnız (III) sayılı cetvelde yer almasına dayanarak kullanamaz. Buna karşılık 3046 sayılı Kanunun 19/A maddesinin ilişkilendirmeyi düzenleyen birinci cümlesi ile özel düzenlemelerde bakana verilen görev ve yetkilere ilişkin ikinci cümlesi yürürlüktedir.9
Kurum, Kurul ve Başkanlık
Kişisel Verileri Koruma Kurumu, Kurul ve Başkanlıktan oluşmaktadır.1 Kurumun karar organı Kuruldur.2
Kamu tüzel kişiliği Kuruma aittir.3 Kurulun karar organı olması, Kurul kararlarını Kurumdan ayrı bir kamu tüzel kişisinin işlemi haline getirmez.4
Doktrinde, Kurulun karar organı olması ile Başkanlığın Kurum içindeki hizmet ve yürütme işlevi birbirinden ayrılmaktadır.5 Kanun, 19. maddede bu organ ayrımını kurmuş, Kurulun oluşumunu ve görevlerini, Başkanlığın teşkilatını ve yetkilerini ise 20 ila 25. maddelerde ayrıca düzenlemiştir.6