AB VE TÜRKİYE HUKUKU ÇERÇEVESİNDE ORTAK VERİ SORUMLULUĞUNUN KARŞILAŞTIRMALI ANALİZİ

Öz

Teknolojik gelişme ve dijital ekosistemlerin genişlemesi, kişisel veri işlemenin ölçeğini, hızını ve karmaşıklığını önemli ölçüde artırmıştır. Bu dönüşüm, “veri sorumlusu” kavramının hukuki anlamını yeniden şekillendirmiş ve özellikle Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) kapsamında modern “ortak veri sorumluluğu” anlayışını ön plana çıkarmıştır. Her ne kadar 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (KVKK/PDPL) ortak veri sorumlularına ilişkin açık bir düzenleme bulunmasa da, kamu ve özel sektör aktörlerinin işleme uygulamaları, birden fazla kişinin veri işleme amaç ve vasıtalarını birlikte belirlediğini göstermektedir. Bu nedenle, her iki hukuk sisteminde ortak veri sorumluluğunun hukuki niteliğini, şartlarını, yükümlülüklerini ve sorumluluk rejimini açıklığa kavuşturmak üzere kapsamlı bir karşılaştırmalı analiz gereklidir.Bu makale, üç bölümden oluşmaktadır. Birinci bölümde kişisel verilerin korunmasının tarihsel gelişimi, kişisel veri, özel nitelikli kişisel veri ve veri işleme gibi temel kavramlar ile hukuka uygun işlemeyi yönlendiren temel ilkeler incelenmektedir. İkinci bölümde ortak veri sorumluluğunun ortaya çıkışı, tanımı ve hukuki dayanağı; bu kavramı şekillendiren Avrupa Birliği Adalet Divanı’nın (ABAD/CJEU) Wirtschaftsakademie, Jehovah’s Witnesses ve Fashion ID gibi emsal kararları ışığında analiz edilmektedir. Üçüncü bölüm ise ortak veri sorumluluğunun sonuçlarına odaklanmakta; sorumluluk, tazminat, iç sorumluluk dağılımı ve Türk hukukunda müşterek sorumluluk ilkelerinin uygulanabilirliği değerlendirilmektedir.Karşılaştırmalı yaklaşım çerçevesinde, Türkiye’nin yorum farklılıklarını gidermek, hukuki öngörülebilirliği güçlendirmek ve uluslararası standartlarla uyum sağlamak amacıyla KVKK’ya ortak veri sorumluluğuna ilişkin açık hükümler eklemesi gerektiği ortaya konulmaktadır. Analiz ayrıca, ortak veri sorumluluğunun hem veri koruma seviyesini yükselttiğini hem de karmaşık dijital ortamlarda faaliyet gösteren kuruluşlara daha fazla yükümlülük getirdiğini göstermektedir.

Anahtar Kelimeler

• Kişisel veri
• ortak veri sorumlusu
• GDPR
• 6698 sayılı KVKK
• veri güvenliği
• sorumluluk.

A COMPARATIVE ANALYSIS OF JOINT DATA CONTROLLERSHIP UNDER EU AND TURKISH LAW

Öz

Technological development and the expansion of digital ecosystems have significantly increased the scale, speed and complexity of personal data processing. This evolution has reshaped the legal meaning of “data controller” and brought forward the modern notion of joint data controllership, particularly under the EU’s General Data Protection Regulation (GDPR). Although Turkish Personal Data Protection Law No. 6698 (PDPL) does not explicitly regulate joint data controllers, the processing practices of both public and private actors demonstrate that multiple entities frequently determine purposes and means together. Therefore, a comprehensive comparative analysis is necessary to clarify the legal nature, conditions, obligations and liability of joint data controllers under both legal systems. This article consists of three parts. Part I examines the historical evolution of personal data protection, basic concepts such as personal data, sensitive data and data processing, and core principles guiding lawful processing. Part II analyses the emergence, definition and legal basis of joint data controllership, including seminal Court of Justice of the European Union (CJEU) rulings—Wirtschaftsakademie, Jehovah’s Witnesses and Fashion ID—which shaped the concept. Part III investigates the consequences of joint data controllership, focusing on liability, compensation, internal allocation of responsibility, and the applicability of joint liability principles in Turkish law. Through this comparative approach, the article demonstrates that Turkey must incorporate explicit joint data controllership rules into the PDPL to close interpretive gaps, strengthen legal certainty, and align its framework with international standards. The analysis also highlights that joint data controllership serves both to enhance data protection and to impose more burdens on organisations operating in complex digital environments.

Anahtar Kelimeler

• Personal data
• joint data controller
• GDPR
• PDPL No. 6698
• data security
• liability.

Etik Beyan

It is hereby declared that scientific and ethical principles were ashered to in the conduct and writing of this study, and that all sources used have been properly cited. The author did not use any generative AI tool for data analysis, coding, interpretation, or the generation of research findings. The author reviewed and approved all revisions and takes full responsibility for the manuscript’s final content.

Kaynakça

1. Alsenoy, B. (2016). Liability under EU data protection law: From Directive 95/46 to the General Data Protection Regulation. Journal of Intellectual Property, Information Technology and E-Commerce Law, 7, 271–288.
2. Ardıç, Ş. (2018). Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi. Marmara Üniversitesi Hukuk Fakültesi Hukuk Araştırmaları Dergisi, 24(2), 748–752.
3. Atasoy, A. S. (2019). 6698 sayılı Kişisel Verilerin Korunması Kanunu ve GDPR kapsamında veri sorumlusu ve veri işleyen kavramları. İstanbul Hukuk Mecmuası, 77(2), 755.
4. Ayözger, Ç. (2019). Kişisel verilerin korunması hukuku: Elektronik haberleşme sektörüne ilişkin özel düzenlemeler dahil (2nd ed.). Beta Basım Yayın.
5. Ayrancı, H., Çolak, A., & Özcan, O. (2022). Kişisel Verilerin Korunması Kanunu şerhi. Yetkin Yayınları.
6. Başalp, N. (2019). Kişisel verilerin korunması hukukunda veri sorumlusu, veri işleyen ve ortak veri sorumlusu. Kişisel Verileri Koruma Dergisi, 1(1), 22–25.
7. Blume, P. (2013). Controller and processor: Is there a risk of confusion? International Data Privacy Law, 3(2), 140–145.
8. Bygrave, L. A. (2014). Data privacy law: An international perspective. Oxford University Press.

9. Colcelli, V. (2019). Joint controller agreement under GDPR. EU and Comparative Law Issues and Challenges Series, 3, 1030–1047.
10. Cordeiro, A. B. M. (2019). Civil liability for processing of personal data in the GDPR. European Data Protection Law Review, 5(4), 492–499.
11. Council of Europe. (1981). Convention for the Protection of Individuals with Regard to Automatic Processing of Personal Data (Convention 108).
12. Council of Europe. (2018). Convention 108+.
13. Court of Justice of the European Union. (2018). Case C-210/16, Wirtschaftsakademie, EU:C:2018:388.
14. Court of Justice of the European Union. (2018). Case C-25/17, Jehovah’s Witnesses, EU:C:2018:551.
15. Court of Justice of the European Union. (2019). Case C-40/17, Fashion ID, EU:C:2019:629.
16. Custers, B., & Gellert, R. (2012). Data protection as a fundamental right. Computer Law & Security Review, 28(3), 285–294.
17. Çekin, M. S. (2019). Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ışığında ortak veri sorumlusu kavramı ve hukuki sonuçları. Batider, 35(2), 48.
18. Çekin, M. S. (2022). Kişisel verilerin korunması hukuku (2nd ed.). On İki Levha Yayıncılık.
19. Çetin, S. (2020). Kişisel verilerin korunması hukukunda veri sorumlusu ve veri işleyen sıfatlarının belirlenmesi. Bilişim Hukuku Dergisi, 2(1), 15–31.
20. Data Protection Board. (n.d.). Data Protection Board decisions.
21. Dülger, M. V. (2016). Unutulma hakkı: Dijital hafızadan silinmeyi istemek. Terazi Hukuk Dergisi, 120.
22. Dülger, M. V. (2020). Kişisel verilerin korunması hukuku (3rd ed.). Hukuk Akademisi.
23. Eren, F. (2023). Borçlar hukuku genel hükümler (28th ed.). Yetkin Yayınları.
24. European Data Protection Board. (2021). Guidelines 07/2020.
25. European Parliament and Council. (1995). Directive 95/46/EC.
26. European Parliament and Council. (2016). Regulation (EU) 2016/679 (General Data Protection Regulation).
27. Evre, Ö. (2021). Veri taşınabilirliği hakkı ve Türk hukuku bakımından değerlendirilmesi. İstanbul Hukuk Mecmuası, 79(1), 140.
28. Finck, M. (2021). Cobwebs of control: The two imaginations of the data controller in EU law. International Data Privacy Law, 11(4), 333–347.
29. Fritz, G., & Paulus, N. (n.d.). CJEU rules on joint controllership: What does this mean for companies? Freshfields TQ Blog. Retrieved May 12, 2024.
30. Helvacı, S. (2021). Kişilik hakkı ve korunması. Legal Yayıncılık.
31. Hess, B. (n.d.). The unclaimed territory of the GDPR: Joint controllership and liability.
32. Ivanova, Y. (2020). Data controller, processor or a joint controller. In M. Tzanou (Ed.), Personal data protection and legal developments in the European Union.
33. Kadem, M. B. (2020). 6698 sayılı Kanun kapsamında ortak veri sorumlusu kavramı ve hukuki sorumluluk. Marmara Üniversitesi Hukuk Fakültesi Hukuk Araştırmaları Dergisi, 26(2), 1012–1052.
34. Kaya, İ. (2023). Kişisel Verilerin Korunması Kanunu ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) kapsamında ortak veri sorumluluğu [Master’s thesis, Hacettepe University].
35. Kılıç, A. G. (2020). Avrupa Birliği Adalet Divanı kararları ışığında ortak veri sorumluluğu. Hukuk Köprüsü, 18, 42–58.
36. Kılıçoğlu, A. (2020). Şahsiyet hakkına tecavüzden doğan sorumluluk. Turhan Kitabevi.
37. Knetsch, J. (2022). The compensation of non-pecuniary loss in GDPR infringement cases. Journal of European Tort Law, 13(2).
38. Kuner, C. (2007). European data protection law: Corporate compliance and regulation (2nd ed.). Oxford University Press.
39. Kuner, C., Bygrave, L. A., & Docksey, C. (Eds.). (2020). The EU General Data Protection Regulation (GDPR): A commentary. Oxford University Press.
40. Küzeci, E. (2020). Kişisel verilerin korunması (5th ed.). On İki Levha Yayınları.
41. Law No. 6698 on the Protection of Personal Data. (2016).
42. Lynskey, O. (2014). Deconstructing data protection. International and Comparative Law Quarterly, 63, 569. Personal Data Protection Board. (2020). Decision No. 2020/481.
43. Room, S. (2007). Data protection & compliance in context. The British Computer Society.
44. Tran, D., & Adde, L. (2019). Joint controller relationships: More prevalent than previously thought? Privacy & Data Protection, 19(8), 6–8.
45. Turkish Civil Code. (n.d.).
46. Turkish Penal Code, arts. 135–138. (n.d.).
47. Voigt, P., & von dem Bussche, A. (2017). The EU General Data Protection Regulation (GDPR): A practical guide. Springer.