Madde 22

Kurum, Kurul ile Başkanlıktan oluşmaktadır. Kurul, Kurumun karar organıdır.1 KVKK'nın 20. maddesi Kurumun, 22. maddesi ise Kurulun görev ve yetkilerini düzenlemektedir.2

KVKK'nın 22. maddesinde birbirinden farklı işlemler aynı görev listesinde yer almaktadır. Şikayetin karara bağlanması, resen inceleme, düzenleyici işlem ve Kurumun yönetimine ilişkin kararlar aynı hukuki nitelikte değildir.3 Somut bir Kurul işleminin dayanağı belirlenirken yalnız 22. maddeye değil, ilgili bent ile bu bendin gönderme yaptığı hükme birlikte bakılmalıdır.4

Kurul, görev ve yetkilerini bağımsız olarak kullanmaktadır.5 Bağımsızlık, Kurulun kanunla bağlılığını ortadan kaldırmamaktadır. Kurul, temel hakları koruma görevine dayanarak kanunda gösterilmeyen bir inceleme, düzenleme veya yaptırım yetkisi kullanamaz.6

KVKK'nın 22/1-a bendi, kişisel verilerin temel hak ve özgürlüklere uygun işlenmesini sağlama görevini Kurula vermektedir.7 Bu genel görev, veri işleme bakımından ayrı bir hukuki sebep değildir. KVKK'nın 22/1-l bendi de yalnız kanunlarla verilen diğer görevleri kapsamaktadır. Yönetmelik, tebliğ veya rehber, bu bende dayanılarak Kurula yeni bir asli görev veremez.8

GDPR, denetim makamının görevlerini 57. maddede, araştırma ve düzeltme yetkilerini ise 58. maddede ayrı ayrı düzenlemektedir.9 Böylece denetim makamının görevi ile bu görevi yerine getirirken kullanabileceği araçlar birbirinden ayrılmaktadır. GDPR'ın 58. maddesinde yer alan belirli bir yetki, Türk hukukunda kanuni karşılığı bulunmadıkça Kurul tarafından kullanılamaz.10

İlgili kişinin hak ihlali iddiasıyla Kurula başvurabilmesi için kural olarak önce veri sorumlusuna başvuru yolunu tüketmesi gerekir. Veri sorumlusunun cevabını öğrenen veya süresinde cevap alamayan ilgili kişi, KVKK'nın 14. maddesindeki süreler içinde Kurula şikayette bulunabilir.1

Resen inceleme ise ilgili kişinin şikayet hakkından ayrı bir yetkiye dayanmaktadır. Kurul, ihlal iddiasını öğrendiğinde görev alanına giren konuda kendiliğinden inceleme başlatabilir.2

Kurul, 2021/1110 sayılı kararında CİMER üzerinden iletilen dilekçeyi ihbar olarak değerlendirmiştir. Dilekçe sahibinin kendi kişisel verileri işlenmemiş olsa da resen inceleme başlatılabileceğini kabul etmiştir.3

Kurul, 2023/134 sayılı kararda internet ve sosyal medyadaki haberler ile Kuruma iletilen şikayetlerden hareketle resen inceleme başlatmıştır.4 Bu iki kararda ihlal iddiasının şikayet dışında kalan kanallardan da öğrenilebileceği kabul edilmiştir. Bununla birlikte her bildirim, ihlalin gerçekleştiği veya idari yaptırım uygulanacağı anlamına gelmez. İnceleme açılması ile inceleme sonunda verilecek karar birbirinden ayrılmalıdır.5

İnceleme başladıktan sonra Kurul, görev alanıyla ilgili gördüğü bilgi ve belgeleri veri sorumlusundan, diğer gerçek ve tüzel kişilerden ve kamu kurumlarından isteyebilir. Devlet sırrı niteliğindeki bilgi ve belgeler bu istemin dışındadır. Kurul gerektiğinde yerinde inceleme de yapabilir. Bu araçlar, incelemenin konusuyla sınırlı kullanılmalıdır.1

Kurul, 2021/426 sayılı kararda veri ihlali bildiriminin ardından resen inceleme başlatmış, hizmet sağlayıcı nezdinde yerinde inceleme yapmış ve başka veri sorumlularından bilgi ile belge istemiştir.2 Karar, ihlal bildiriminin de Kurulun inceleme yetkisini harekete geçirebilecek bir bilgi kaynağı olduğunu göstermektedir.3

Kurul, 2022/13 sayılı kararda veri sorumlusuna yöneltilen savunma ile bilgi ve belge isteminin cevapsız kalmasına rağmen incelemeyi dosyada bulunan belgeler üzerinden sürdürmüştür.4 Cevap verilmemesi incelemeyi durdurmamıştır. Ancak bu durum, tek başına ihlalin varlığını kanıtlayan bir olgu olarak değerlendirilemez. Cevapsızlığın sonuca etkisi diğer delillerle birlikte belirlenecektir.5

Kurul, inceleme sonunda hukuka aykırılığın giderilmesine karar verirse bu karar gecikmeksizin ve en geç otuz gün içinde yerine getirilmelidir.6 İhlalin yaygın olduğunun belirlenmesi halinde ilke kararı alınabilir.7 Telafisi güç veya imkansız zararların doğması ve açık bir hukuka aykırılığın bulunması halinde veri işleme veya yurt dışına aktarım durdurulabilir.8 Bu araçlardan birinin şartlarının gerçekleşmesi, diğerinin de uygulanmasını zorunlu kılmaz.

Şikayet veya resen inceleme üzerine verilen kararın gerekçeli olması gerekir. Kararda taraflar, iddia, inceleme sonucu, hukuki dayanak ve ulaşılan sonuç gösterilmelidir.9 Gerekçe, kullanılan yetki ile somut olay arasında denetlenebilir bir bağ kurmalıdır.

Özel nitelikli kişisel verilerin işlenmesinde Kurulun görevi, KVKK'nın 6. maddesinin dördüncü fıkrası uyarınca yeterli önlemleri belirlemektir.1 İşleme şartlarından birinin bulunması, yeterli önlem yükümlülüğünü ortadan kaldırmaz. Kurul, önlem belirleme yetkisini kullanarak yeni bir işleme şartı koyamaz.2

Kurul, 2018/10 sayılı kararıyla özel nitelikli kişisel verilerin işlenmesinde alınacak yeterli önlemleri belirlemiş ve yayımlamıştır.3 Bu karar, 22/1-ç bendindeki yetkinin 6. maddedeki maddi kuralla birlikte kullanıldığı başlıca örnektir.

Yurt dışına aktarım bakımından yeterlilik kararını verme görevi doğrudan KVKK'nın 9. maddesinden kaynaklanmaktadır. Kurul bu kararı ülke, ülke içindeki belirli sektörler veya uluslararası kuruluşlar hakkında verebilir. Kurul Yönetmeliğinin yalnız yeterli korumaya sahip ülkelerin belirlenmesinden söz eden 7/1-h bendi, 7499 sayılı Kanundan sonraki görev alanının tamamını yansıtmamaktadır. Yetkinin kapsamı güncel 9. maddeye göre belirlenmelidir.4

KVKK'nın 22/1-e, f ve g bentleri Kurula üç ayrı düzenleme alanı vermektedir. Bunlar Kurulun görev alanı ve Kurumun işleyişi, veri güvenliği yükümlülükleri ile veri sorumlusu ve temsilcisinin görev, yetki ve sorumluluklarıdır.5 Kurul bu bentlere dayanarak kanundaki yükümlülüklerin nasıl uygulanacağını düzenleyebilir. Buna karşılık yeni bir statü veya asli yükümlülük, kanunda dayanağı bulunmadıkça ikincil düzenlemeyle kurulamaz.6

Veri güvenliği ile veri sorumlusu ve temsilcisine ilişkin ayrı bentler, 1/541 sayılı Kanun Tasarısının ilk metninde yer almamaktadır. Bu bentler Adalet Komisyonunda eklenmiştir. Bu nedenle Tasarının madde gerekçesi, sonradan eklenen iki bendin özel gerekçesi olarak kullanılamaz.7

Danıştay 10. Daire, E.2022/2807, K.2025/2018 sayılı kararında veri koruma görevlisi statüsünün kanunda düzenlenmediğini ve 22/1-e, f ve g bentlerinin bu statüyü, eğitim şartlarını ve belgelendirme düzenini kurmaya yeterli olmadığını kabul etmiştir. Daire, Personel Sertifikasyon Mekanizmasına İlişkin Usul ve Esaslar Hakkında Tebliğ ile 2021/1178 sayılı Belgelendirme Programını bu nedenle iptal etmiştir.8 Karşı oyda genel düzenleme yetkisinin yeterli olduğu savunulmuştur. Karar, temyiz yolu açık olmak üzere oy çokluğuyla verilmiştir. Bu nedenle Daire kararı olarak aktarılmalı, kesinleşmiş bir Danıştay İdari Dava Daireleri Kurulu kararı gibi sunulmamalıdır.9

Kurulun Çalışma Usul ve Esaslarına Dair Yönetmeliğin 18. maddesi, Yönetmelikte hüküm bulunmayan hallerde karar verme yetkisini yalnız ilgili mevzuat çerçevesinde tanımaktadır. Bu hüküm de kanunda bulunmayan bir yetkinin yönetmelikle kurulmasına dayanak olamaz.10

KVKK'nın 22/1-d bendi, Veri Sorumluları Sicilinin tutulmasını sağlamayı Kurula vermektedir. Sicili tutmak ise Başkanlığın görevidir. Sicile ilişkin bir işlemin hangi organa ait olduğu belirlenirken bu görev ayrımı gözetilmelidir.1

KVKK'nın 22/1-h bendi, başka kurum ve kuruluşların hazırladığı ve kişisel verilere ilişkin hüküm içeren mevzuat taslakları hakkında Kurulun görüş bildirmesini öngörmektedir. Bu görev, Kurula bağlayıcı onay veya veto yetkisi vermemektedir.2

Danıştay Onuncu Dairesi, E.2019/7049, K.2020/7089 sayılı kararında sağlık verilerine ilişkin düzenlemeyi Kurulun yeterli önlemleri belirlememesi ve taslak hakkında görüşünün alınmaması nedeniyle hukuka aykırı bulmuştur. Karşı oy, 22/1-h bendinden zorunlu görüş alma şartı çıkarılamayacağını savunmuştur.3

Danıştay Onuncu Dairesi, E.2019/7114, K.2020/7147 sayılı kararında başka bir düzenleme için alınan görüşü yeterli görmemiş, dava konusu düzenlemeye özgü Kurul görüşünün bulunmamasını hukuka aykırılık nedeni saymıştır. Karşı oyda bu kararda da görüş istemenin zorunlu olmadığı savunulmuştur.4 Her iki karar da Danıştay Onuncu Dairesine aittir. Bu değerlendirmeler İdari Dava Daireleri Kurulunun görüşü olarak aktarılamaz.

Danıştay İdari Dava Daireleri Kurulunun E.2025/1971, K.2025/2630 sayılı kararındaki karşı oy, sağlık verilerinin MBYS üzerinden aktarılmasına ilişkin düzenlemede Kurul görüşü bulunmamasını ayrıca ele almıştır. Çoğunluk ise kararını bu gerekçeye dayandırmamıştır. Karşı oyda ileri sürülen görüş, çoğunluk kararının sonucu gibi aktarılamaz.5

KVKK'nın 22/1-ğ bendi, Kurula yalnız kanunda öngörülen idari yaptırımlar hakkında karar verme yetkisi tanımaktadır. Kabahatler ile ceza aralıkları 18. maddede sayılmıştır.1 Bu nedenle her hukuka aykırılık doğrudan idari para cezasıyla sonuçlanamaz.2

Aykırılığın giderilmesine yönelik karar ile idari para cezası aynı hukuki sonuç değildir. Hukuka aykırılığın giderilmesine ilişkin karar 15. maddenin beşinci fıkrasına, para cezası ise ilgili kabahatin şartları gerçekleştiğinde 18. maddeye dayanacaktır.3 Kurul, somut olayda hangi hükmün ihlal edildiğini ve hangi yaptırım şartlarının oluştuğunu ayrı ayrı gerekçelendirmelidir.4

KVKK'nın 18. maddesinin üçüncü fıkrası, Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılacağını öngörmektedir.5 Bu özel kural, tazminat talebinin Kurul tarafından karara bağlanacağı anlamına gelmez.

KVKK'nın 14. maddesinin üçüncü fıkrası, kişilik hakları ihlal edilenlerin tazminat hakkını genel hükümlere göre saklı tutmaktadır.6 Kurul, şikayet incelemesi içinde tazminata hükmedemez.7 Para cezası, hukuka aykırılığın giderilmesine ilişkin karar ve tazminat talebi bu nedenle ayrı hukuki yollar içinde değerlendirilmelidir.

KVKK'nın 22/1-ı ila k bentleri, Kurumun stratejik planı, bütçe teklifi, faaliyet raporları ve taşınmaz işlemleri hakkında Kurulun vereceği kararları düzenlemektedir.1 Bu görevler kişisel bir şikayetin çözümüne değil, Kurumun yönetimine ilişkindir.2

Hazırlık, karar ve uygulama aşamaları aynı organda birleşmemektedir. Başkanlık stratejik plan taslağını hazırlamakta, Kurul planı karara bağlamakta, Başkan ise planın uygulanmasını sağlamaktadır.3 Başkanlık faaliyet raporu taslağını hazırlamakta, Kurul taslağı onaylayıp yayımlamaktadır.4 Başkan bütçe ile mali tabloları hazırlamakta, Kurul bütçe teklifini görüşüp karara bağlamaktadır.5

AYM, E.2016/125, K.2017/143 sayılı kararında 22. maddedeki görevlerin bir bölümünün idari işleyiş ve yönetime ilişkin olduğunu belirtmiştir. Mahkeme, bu nedenle bütün Kurul kararlarının kamuya duyurulmasının zorunlu olmadığı sonucuna ulaşmıştır.6

KVKK ile Kurul Yönetmeliği, bütün kararların değil, Kurulun gerekli gördüğü kararların kamuya duyurulmasını öngörmektedir.7 Bununla birlikte daha geniş ve düzenli yayım, Kurul uygulamasının izlenmesini ve öngörülebilirliğini güçlendirebilir.8 GDPR'ın 59. maddesinde denetim makamının kamuya açık yıllık faaliyet raporu hazırlaması farklı bir şeffaflık aracı olarak düzenlenmiştir.9