Madde 20

6698 sayılı Kişisel Verilerin Korunması Kanununun (KVKK) 20. maddesi, maddede sayılan görevleri Kişisel Verileri Koruma Kurumuna vermektedir.1 Kurum, Kurul ve Başkanlıktan oluşmakta, Kurul ise Kurumun karar organı olarak görev yapmaktadır.2

Kanunun 20. maddesinde Kurumun görevleri, 22. maddesinde Kurulun görev ve yetkileri, 24. ve 25. maddelerinde ise Başkan ile Başkanlığın görevleri düzenlenmiştir. Bu nedenle Kuruma verilen bir görevin hangi organ veya görevli eliyle yerine getirileceği, yalnız 20. maddeye bakılarak değil, ilgili iş için Kurula, Başkana veya Başkanlığa görev veren özel hükümlerle birlikte belirlenecektir.3 Doktrinde de Kurum ile Kurul arasındaki görev ayrımı bu hükümler üzerinden açıklanmaktadır.4

Kanunda kamu tüzel kişiliği Kuruma tanınmış ve Kurumun Kurul ile Başkanlıktan oluştuğu belirtilmiştir. Kurulun karar organı olması, Kurul ile Kurum arasında iki ayrı kamu tüzel kişisi bulunduğu sonucunu doğurmaz.5

2008, 2014 ve 1/541 sayılı metinler, yürürlüğe giren 20. maddenin eski metinleri değil, kanun hazırlık sürecinin farklı aşamalarına ait tasarı metinleridir.1 Bu belgeler, Kurum ile Kurul arasındaki bugünkü görev ayrımının hazırlık sürecinde nasıl kurulduğunu göstermektedir.

2008 tarihli Kanun Tasarısının 31. maddesi, başvurular hakkında karar verme ve geçici önlem alma yetkileriyle gelişmeleri izleme, iş birliği yapma ve araştırma yürütme görevlerini aynı Kurul listesinde toplamıştı.2 Tasarının 38. maddesinde yıllık faaliyet raporunun içeriği, performans hedefleriyle uygulama sonuçlarının karşılaştırılması ve rapor ile Kurul kararlarının elektronik ortamda erişime açılması ayrıca düzenlenmişti.3

2014 tarihli Kanun Tasarısının 19. maddesi de denetim ve yaptırım yetkileriyle iş birliği, araştırma ve eğitim görevlerini Kurula vermişti.4 Buna karşılık 1/541 sayılı Kanun Tasarısında Kurumun genel görevleri 20. maddede, Kurulun görev ve yetkileri ise 22. maddede düzenlenmişti.5 Adalet Komisyonu, 20. maddenin görev ayrımına ilişkin içeriğini değiştirmeden kabul etmişti.6 Yürürlükteki 20. ve 22. maddelerde de bu ayrım korunmuştur.7

1/541 sayılı Kanun Tasarısının 20. madde gerekçesinde, Kurumun etkin ve verimli çalışabilmesi için hizmet alımı yapabilmesinin hükme bağlandığı belirtilmişti.8 Oysa Hükümetin teklif ettiği ve Adalet Komisyonunun kabul ettiği 20. madde metinlerinde hizmet alımını adıyla düzenleyen bir bent bulunmuyordu. Metin yalnız araştırma ve incelemelerin yapılmasına veya yaptırılmasına yer vermişti.9 Gerekçedeki açıklama ile madde metni arasındaki bu fark nedeniyle, gerekçenin son cümlesi genel bir hizmet alımı yetkisinin veya uygulanacak usulün dayanağı sayılamaz.10

Kanunun 20. maddesinin birinci fıkrasının (a) bendi, Kuruma görev alanındaki uygulamaları ve mevzuat gelişmelerini takip etme, değerlendirme ve önerilerde bulunma, araştırma ve inceleme yapma veya yaptırma görevi vermektedir.1 Doktrinde bu görevler, Kurumun kişisel verilerin korunması alanındaki gelişmeleri izlemesine ve ihtiyaç duyulan konularda araştırma yürütmesine ilişkin genel görevler olarak açıklanmaktadır.2

Kanunun 15. maddesi ile 22. maddesinin birinci fıkrasının (c) bendi, kişisel verilerin kanunlara uygun işlenip işlenmediğinin şikayet üzerine veya Kurulun bir ihlal iddiasını öğrenmesi durumunda resen incelenmesini ve gerektiğinde geçici önlem alınmasını düzenlemektedir.3 Kurumun 20. maddedeki genel araştırma görevi, bu incelemenin yerine geçemez.4 İnceleme sonucunda idari yaptırım kararı verilmesi gerekiyorsa yetki, 20. maddenin birinci fıkrasının (a) bendinden değil, Kurula yaptırım yetkisi veren 22. maddenin birinci fıkrasının (ğ) bendinden kaynaklanacaktır.5

Kanunun 20. maddesinin birinci fıkrasının (b) bendine göre Kurum, ihtiyaç duyulması halinde ve görev alanına giren konularda kamu kurum ve kuruluşları, sivil toplum kuruluşları, meslek örgütleri veya üniversitelerle iş birliği yapabilir.1 Doktrinde de ihtiyaç ve görev alanı şartları, Kurumun yurt içi iş birliği görevinin sınırları arasında gösterilmektedir.2

Bent, sayılan kurum ve kuruluşlarla iş birliği yapılmasını düzenlemekte, bu kuruluşlara emir veya bağlayıcı talimat verilmesine ilişkin bir yetki öngörmemektedir.3 Kurumun görev alanına girmeyen bir konu, yalnız iş birliği yapılmasıyla Kurumun görevi haline gelemez.4

Kanunun 20. maddesinin birinci fıkrasının (c) bendi, Kuruma kişisel verilerle ilgili uluslararası gelişmeleri izleme ve değerlendirme, görev alanındaki konularda uluslararası kuruluşlarla iş birliği yapma ve toplantılara katılma görevi vermektedir.1 Doktrinde bu görevler, Kurumun kişisel verilerin korunması alanındaki uluslararası gelişmeleri takip etmesi ve uluslararası kuruluşlarla iş birliği yürütmesi çerçevesinde açıklanmaktadır.2

Bent, izleme ve değerlendirme görevini kişisel verilerle ilgili gelişmelerle, uluslararası kuruluşlarla iş birliğini ise Kurumun görev alanına giren konularla sınırlandırmıştır.3 Toplantılara katılma görevi için ayrıca bir kuruluş veya konu listesi gösterilmemiştir. Bu nedenle görev, kişisel verilerle ilgili uluslararası gelişmelerin izlenmesi ve Kurumun görev alanındaki uluslararası iş birliğiyle birlikte değerlendirilecektir.4

Başkanlık, Kurulun yıllık faaliyetleri veya ihtiyaç duyulan konular hakkında rapor taslakları hazırlayarak Kurula sunar.1 Kurul, Kurumun performansı, mali durumu, yıllık faaliyetleri ve ihtiyaç duyulan konular hakkında hazırlanan rapor taslaklarını onaylar ve yayımlar.2 Kurum ise yıllık faaliyet raporunu Cumhurbaşkanlığına ve Türkiye Büyük Millet Meclisi İnsan Haklarını İnceleme Komisyonuna sunar.3 Bu hükümler raporlamaya ilişkin görevleri farklı aşamalarda düzenlemektedir. Bununla birlikte her hükümde anılan raporun kapsamı ve adı aynı değildir. Bu nedenle üç hükümde geçen raporların her durumda aynı belge olduğu sonucuna yalnız bu hükümlerden ulaşılamaz.4

Kanunun 2016 yılında yayımlanan ilk metninde Başbakanlık da raporun sunulacağı merciler arasında yer almaktaydı.5 703 sayılı Kanun Hükmünde Kararnamenin 163. maddesinin (b) bendi, Başbakanlığa rapor sunulmasına ilişkin ibareyi yürürlükten kaldırmıştır.6 Değişiklik, raporun yıllık niteliğine veya diğer iki mercie ilişkin düzenlemeye dokunmamıştır.7

1/541 sayılı Kanun Tasarısının gerekçesinde, yıllık faaliyet raporunun o tarihte öngörülen üç mercie sunulmasının Kurumun şeffaflığına ve hesap verebilirliğine yardımcı olacağı belirtilmişti.8

Doktrinde, faaliyet raporlarının sunulduğu mercilerin sınırlı tutulması, Kurul toplantılarındaki görüşmelerin kural olarak gizli olması ve yalnız gerekli görülen kararların kamuoyuna duyurulması birlikte değerlendirilmektedir. Bu görüşe göre kararların kural olarak yayımlanması, şeffaflığa ve uygulamanın gelişmesine katkı sağlayabilir.9

Kanunun 20. maddesinin birinci fıkrasının (d) bendi, Kurumun kanunlarla verilen diğer görevleri de yerine getirmesini öngörmektedir.1 Kanunun 22. maddesinin birinci fıkrasının (l) bendi ise kanunlarla Kurula verilen diğer görevler bakımından aynı yönde bir hüküm içermektedir.2 Başka bir kanunda öngörülen somut görev bakımından yetkili organ, görevi veren hükmün Kurumu mu yoksa Kurulu mu muhatap aldığına göre belirlenecektir.3

Doktrinde de başka kanunlarla Kuruma ek görev verilebileceği belirtilmektedir.4 Bununla birlikte 20. maddenin birinci fıkrasının (d) bendi, ek görevin konusunu ve sınırlarını kendisi belirlememektedir. Bu hususlar, Kuruma görev veren kanun hükmüne göre belirlenecektir.5 Başka bir kanundaki açık yetkilendirme saklı olmak üzere, yalnız bu bende dayanılarak yönetmelik veya idari işlemle Kuruma yeni bir görev verilemez.6