Madde 22

Kurum, Kurul ile Başkanlıktan oluşur. Kurul, Kurumun karar organıdır.1 KVKK'nın 20. maddesi Kurumun, 22. maddesi ise Kurulun görev ve yetkilerini düzenler.2

KVKK'nın 22. maddesi, birbirinden farklı işlemleri aynı görev listesinde toplar. Şikayetin karara bağlanması, resen inceleme, düzenleyici işlem ve Kurumun yönetimine ilişkin kararlar aynı hukuki nitelikte değildir.3 Somut bir Kurul işleminin dayanağı belirlenirken yalnız 22. maddeye değil, ilgili bent ile bu bendin bağlantılı olduğu hükme birlikte bakılmalıdır.4

Kurul, görev ve yetkilerini bağımsız olarak kullanır.5 Bağımsızlık, Kurulun kanunla bağlılığını ortadan kaldırmaz. Kurul, temel hakları koruma görevine dayanarak kanunda gösterilmeyen bir inceleme, düzenleme veya yaptırım yetkisi kullanamaz.6

KVKK'nın 22/1-a bendi, kişisel verilerin temel hak ve özgürlüklere uygun işlenmesini sağlama görevini Kurula verir.7 Bu genel görev, veri işleme bakımından ayrı bir hukuki sebep değildir. KVKK'nın 22/1-l bendi de yalnız kanunlarla verilen diğer görevleri kapsar. Yönetmelik, tebliğ veya rehber, bu bende dayanılarak Kurula yeni bir asli görev veremez.8

GDPR, denetim makamının görevlerini 57. maddede, araştırma ve düzeltme yetkilerini ise 58. maddede ayrı ayrı düzenler.9 Bu ayrım, denetim makamının görevi ile bu görevi yerine getirirken kullanabileceği araçların aynı şey olmadığını gösterir. GDPR'ın 58. maddesinde yer alan belirli bir yetki, Türk hukukunda kanuni karşılığı bulunmadıkça Kurul tarafından kullanılamaz.10

İlgili kişinin Kurula şikayette bulunabilmesi, kural olarak önce veri sorumlusuna başvurmasına ve cevabı öğrendiği veya süresinde cevap alamadığı tarihten itibaren KVKK'nın 14. maddesindeki süreye uymasına bağlıdır.1

Resen inceleme, ilgili kişinin şikayet hakkından ayrı bir başlangıç yoludur. Kurul, ihlal iddiasını öğrendiğinde görev alanına giren konuda kendiliğinden inceleme başlatabilir.2

Kurul, 2021/1110 sayılı kararında CİMER üzerinden iletilen dilekçeyi ihbar olarak değerlendirmiş ve dilekçe sahibinin kendi kişisel verileri işlenmemiş olsa da resen inceleme başlatılabileceğini kabul etmiştir.3

Kurul, 2023/134 sayılı kararda internet ve sosyal medyadaki haberler ile Kuruma iletilen şikayetlerden hareketle resen inceleme başlatmıştır.4

Bu iki karar, ihlal iddiasının şikayet dışında kalan kanallardan da öğrenilebileceğini gösterir. Her bildirim ihlalin gerçekleştiği veya idari yaptırım uygulanacağı anlamına gelmez. İncelemenin açılması ile inceleme sonunda verilecek karar bu nedenle birbirinden ayrılmalıdır.5

İnceleme başladıktan sonra Kurul, görev alanıyla ilgili gördüğü bilgi ve belgeleri veri sorumlusundan, diğer gerçek ve tüzel kişilerden ve kamu kurumlarından isteyebilir. Devlet sırrı niteliğindeki bilgi ve belgeler bu istemin dışındadır. Kurul gerektiğinde yerinde inceleme de yapabilir. Bu yetkiler, incelemenin konusuyla sınırlı kullanılmalıdır.1

Kurul, 2021/426 sayılı kararda veri ihlali bildiriminin ardından resen inceleme başlatmış, hizmet sağlayıcı nezdinde yerinde inceleme yapmış ve başka veri sorumlularından bilgi ile belge istemiştir.2 Karar, ihlal bildiriminin de Kurulun inceleme yetkisini harekete geçirebilecek bir bilgi kaynağı olduğunu gösterir.3

Kurul, 2022/13 sayılı kararda veri sorumlusuna yöneltilen savunma ile bilgi ve belge isteminin cevapsız kalmasına rağmen incelemeyi dosyada bulunan belgeler üzerinden sürdürmüştür.4 Cevap verilmemesi incelemeyi durdurmaz. Ancak bu durum, tek başına ihlalin varlığını kanıtlayan bir olgu olarak değerlendirilemez. Cevapsızlığın sonuca etkisi diğer delillerle birlikte belirlenmelidir.5

Kurul, inceleme sonunda hukuka aykırılığın giderilmesine karar verirse bu karar gecikmeksizin ve en geç otuz gün içinde yerine getirilmelidir.6 İhlalin yaygın olduğunun belirlenmesi halinde ilke kararı alınabilir.7 Telafisi güç veya imkansız zararların doğması ve açık bir hukuka aykırılığın bulunması halinde veri işleme veya yurt dışına aktarım durdurulabilir.8 Bu karar araçlarının koşulları ayrı ayrı incelenmelidir.

Şikayet veya resen inceleme üzerine verilen gerekçeli karar, tarafları, iddiayı, inceleme sonucunu, hukuki dayanağı ve ulaşılan sonucu göstermelidir. Gerekçe, kullanılan yetki ile somut olay arasında denetlenebilir bir bağ kurmalıdır.9

Özel nitelikli kişisel verilerin işlenmesinde Kurulun görevi, KVKK'nın 6. maddesinin dördüncü fıkrası uyarınca yeterli önlemleri belirlemektir.1 İşleme şartlarından birinin bulunması, yeterli önlem yükümlülüğünü ortadan kaldırmaz. Kurul, önlem belirleme yetkisini kullanarak yeni bir işleme şartı koyamaz.2

Kurul, 2018/10 sayılı kararıyla özel nitelikli kişisel verilerin işlenmesinde alınacak yeterli önlemleri belirlemiş ve yayımlamıştır.3 Bu karar, 22/1-ç bendindeki yetkinin 6. maddedeki maddi kuralla birlikte kullanıldığı bir örnektir.

Yurt dışına aktarım bakımından yeterlilik kararını verme görevi doğrudan KVKK'nın 9. maddesinden kaynaklanır. Kurul bu kararı ülke, ülke içindeki belirli sektörler veya uluslararası kuruluşlar hakkında verebilir. Kurul Yönetmeliğinin yalnız yeterli korumaya sahip ülkelerin belirlenmesinden söz eden 7/1-h bendi, 7499 sayılı Kanundan sonraki görev alanının tamamını yansıtmaz. Yetkinin kapsamı güncel 9. maddeye göre belirlenmelidir.4

KVKK'nın 22/1-e, f ve g bentleri Kurula üç ayrı düzenleme alanı verir. Bunlar Kurulun görev alanı ve Kurumun işleyişi, veri güvenliği yükümlülükleri ile veri sorumlusu ve temsilcisinin görev, yetki ve sorumluluklarıdır.5

Kurul bu bentlere dayanarak kanundaki yükümlülüklerin nasıl uygulanacağını düzenleyebilir. Buna karşılık yeni bir statü veya asli yükümlülük, kanunda dayanağı bulunmadıkça ikincil düzenlemeyle kurulamaz.6

Veri güvenliği ile veri sorumlusu ve temsilcisine ilişkin ayrı bentler, 1/541 sayılı Kanun Tasarısının ilk metninde yer almaz. Bu bentler Adalet Komisyonunda eklenmiştir. Bu nedenle Tasarının madde gerekçesi, sonradan eklenen iki bendin özel gerekçesi olarak kullanılamaz.7

Danıştay 10. Daire, E.2022/2807, K.2025/2018 sayılı kararında veri koruma görevlisi statüsünün kanunda düzenlenmediğini ve 22/1-e, f ve g bentlerinin bu statüyü, eğitim şartlarını ve belgelendirme düzenini kurmaya yeterli olmadığını kabul etmiştir. Daire, Personel Sertifikasyon Mekanizmasına İlişkin Usul ve Esaslar Hakkında Tebliğ ile 2021/1178 sayılı Belgelendirme Programını bu nedenle iptal etmiştir.8

Karşı oyda genel düzenleme yetkisinin yeterli olduğu savunulmuştur. Karar, temyiz yolu açık olmak üzere oy çokluğuyla verilmiştir. Bu nedenle karar, Daire kararı olarak aktarılmalı ve kesinleşmiş bir Danıştay İdari Dava Daireleri Kurulu kararı gibi sunulmamalıdır.9

Kurulun Çalışma Usul ve Esaslarına Dair Yönetmeliğin 18. maddesi, Yönetmelikte hüküm bulunmayan hallerde karar verme yetkisini yalnız ilgili mevzuat çerçevesinde tanımaktadır. Bu hüküm de kanunda bulunmayan bir yetkinin yönetmelikle kurulmasına dayanak olamaz.10

KVKK'nın 22/1-d bendi, Veri Sorumluları Sicilinin tutulmasını sağlamayı Kurula verir. Sicili tutmak ise Başkanlığın görevidir. Sicile ilişkin bir işlemin hangi organa ait olduğu belirlenirken bu görev ayrımı gözetilmelidir.1

KVKK'nın 22/1-h bendi, başka kurum ve kuruluşların hazırladığı ve kişisel verilere ilişkin hüküm içeren mevzuat taslakları hakkında Kurulun görüş bildirmesini öngörür. Bu görev, Kurula bağlayıcı onay veya veto yetkisi vermez.2

Danıştay 10. Daire, E.2019/7049, K.2020/7089 sayılı kararında sağlık verilerine ilişkin düzenlemeyi Kurulun yeterli önlemleri belirlememesi ve taslak hakkında görüşünün alınmaması nedeniyle hukuka aykırı bulmuştur. Karşı oy, 22/1-h bendinden zorunlu görüş alma şartı çıkarılamayacağını savunmuştur.3

Danıştay 10. Daire, E.2019/7114, K.2020/7147 sayılı kararında başka bir düzenleme için alınan görüşü yeterli görmemiş, dava konusu düzenlemeye özgü Kurul görüşünün bulunmamasını hukuka aykırılık nedeni saymıştır. Karşı oyda bu kararda da görüş istemenin zorunlu olmadığı savunulmuştur.4 Bu iki karar, Daire düzeyindeki kararlar olarak aktarılmalıdır.

Danıştay İdari Dava Daireleri Kurulunun E.2025/1971, K.2025/2630 sayılı kararındaki karşı oy, sağlık verilerinin MBYS üzerinden aktarılmasına ilişkin düzenlemede Kurul görüşü bulunmamasını ayrıca ele almıştır. Çoğunluk kararını bu gerekçeye dayandırmamıştır. Karşı oyda ileri sürülen görüş, çoğunluk kararının sonucu gibi aktarılamaz.5

KVKK'nın 22/1-ğ bendi, Kurula yalnız kanunda öngörülen idari yaptırımlar hakkında karar verme yetkisi tanır. Kabahatler ile ceza aralıkları 18. maddede sayılmıştır.1 Bu nedenle her hukuka aykırılık doğrudan idari para cezasıyla sonuçlanamaz.2

Hukuka aykırılığın giderilmesine ilişkin karar ile idari para cezası aynı hukuki sonuç değildir. Hukuka aykırılığın giderilmesine ilişkin karar 15. maddenin beşinci fıkrasına, para cezası ise ilgili kabahatin şartları gerçekleştiğinde 18. maddeye dayanır.3 Kurul, somut olayda hangi hükmün ihlal edildiğini ve hangi yaptırım şartlarının oluştuğunu ayrı ayrı gerekçelendirmelidir.4

KVKK'nın 18. maddesinin üçüncü fıkrası, Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılacağını öngörür. Bu özel kural, tazminat talebinin Kurul tarafından karara bağlanacağı anlamına gelmez.5

KVKK'nın 14. maddesinin üçüncü fıkrası, kişilik hakları ihlal edilenlerin tazminat hakkını genel hükümlere göre saklı tutar.6

Kurul, şikayet incelemesi içinde tazminata hükmedemez. Para cezası, hukuka aykırılığın giderilmesine ilişkin karar ve tazminat talebi bu nedenle ayrı hukuki yollar içinde değerlendirilmelidir.7

KVKK'nın 22/1-ı ila k bentleri, Kurumun stratejik planı, bütçe teklifi, faaliyet raporları ve taşınmaz işlemleri hakkında Kurulun vereceği kararları düzenler.1 Bu görevler kişisel bir şikayetin çözümüne değil, Kurumun yönetimine ilişkindir.2

Hazırlık, karar ve uygulama aşamaları aynı organda birleşmez. Başkanlık stratejik plan taslağını hazırlar, Kurul planı karara bağlar, Başkan ise planın uygulanmasını sağlar.3 Başkanlık faaliyet raporu taslağını hazırlar, Kurul taslağı onaylayıp yayımlar.4 Başkan bütçe ile mali tabloları hazırlar, Kurul bütçe teklifini görüşüp karara bağlar.5

AYM, E.2016/125, K.2017/143 sayılı kararında 22. maddedeki görevlerin bir bölümünün idari işleyiş ve yönetime ilişkin olduğunu belirtmiştir. Mahkeme, bu nedenle bütün Kurul kararlarının kamuya duyurulmasının zorunlu olmadığı sonucuna ulaşmıştır.6

KVKK ile Kurul Yönetmeliği, bütün kararların değil, Kurulun gerekli gördüğü kararların kamuya duyurulmasını öngörür.7 Bununla birlikte daha geniş ve düzenli yayım, Kurul uygulamasının izlenmesini ve öngörülebilirliğini güçlendirebilir.8 GDPR'ın 59. maddesinde denetim makamının kamuya açık yıllık faaliyet raporu hazırlaması farklı bir şeffaflık aracı olarak düzenlenmiştir.9