Kişisel Verileri Koruma Kurulu'nun 'Veri Koruma Görevlisi' Sertifikasyonuna Dair Adalet Bakanı'na Soru Önergesi

Kişisel Verileri Koruma Kurumu’nun personel sertifikasyon mekanizmasına ilişkin usul ve esaslar hakkında tebliği 06.12.2021 tarihinde Resmi Gazete’de yayınlanarak yürürlüğe girmiştir. Bu tebliğin akabinde Kişisel Verileri Koruma Kurumu’nun web sitesinde veri koruma görevlisi belgelendirme programı ilan edilmiştir. Bu ilanın yapılmasına ilişkin kurumun kararının tarihi 25.11.2021, sayısı 2021/1178’dir. Bu programda kanunda yer almayan veri koruma görevlisi mesleği tebliğ ile ihdas edilmiştir. Ayrıca kimlerin bu görevi yapabileceği tebliğ ile bile değil, kurumun aldığı bir karar ile web sitesinde yayınlanan bir program ile tespit edilmiştir. Bu programın 7.2. maddesinde lisans mezunu herkesin başvurabileceği ve bu sertifikayı alabileceği düzenlenmiştir. Her ne kadar kurumun 10.12.2021 tarihinde kamuoyuna duyuru başlığı ile web sitesinde bu belgeye sahip kişilerin yapacaklarının tanımının olmadığı, tamamen gönüllülük esaslı bir belgelendirme olduğu açıklanmışsa da mevzuat ve kurum açıklamalarından yola çıkarak veri koruma görevlisinin ulusal ve uluslararası mevzuatı bilmesi ve uyum sürecini yönetmesi çıkarımı yapılabilmektedir. 1136 sayılı avukatlık kanununun münhasıran avukatların yapabileceği işleri düzenleyen 35. maddesi kanun işlerinde ve hukuki meselelerde sadece avukatların mütalaa verebileceğini açıkça düzenlemiş, aynı kanunun 63. maddesinin değişik 3. fıkrasında bu hususta avukatlar dışında faaliyette bulunanlar için 1 yıldan 3 yıla kadar hapis ve 1000 güne kadar adli para cezası gerektiren suç olarak düzenlenmiştir.

Bu bağlamda;

1- Veri koruma görevlisi kavramı Kişisel Verileri Koruma Kanunu’nda yer almıyorken bu meslek neden tebliğ ile tanımlanmıştır?

2- Avrupa Birliği Veri Koruma Tüzüğü olan GDPR’da bu mesleğin muadili olan DPO için bir sertifikasyon mevcut olmamasına rağmen kanuni dayanağı olmayan veri koruma görevlisi için neden sertifikasyon süreci öngörülmektedir?

3- Kurumun 10.12.2021 tarihli duyurusunda veri koruma görevlisinin GDPR 37. maddede düzenlenmiş olan DPO niteliğinde olmadığı söylenmiştir. Bu durumda ‘veri koruma görevlisi’ sertifikası alan kişilerin görev ve yetkisi nedir?

4- Avukatlık Kanunu’nun 35. ve 63. maddeleri uyarınca avukat olmayanların hukuki danışmanlık hizmeti vermesinin mümkün olmamasına rağmen KVKK’nın söz konusu tebliğinde bölüm ayrımı yapılmadan lisans mezunu kişilerin ‘veri koruma görevlisi’ sertifikası alabilmesine neden imkan sağlanmıştır?

5- Sertifikasyon sürecindeki eğitim ve sonrasındaki belgelendirme sınavı neden idare tarafından değil belgelendirme kuruluşları tarafından yapılacaktır?