KİŞİSEL VERİLERİ KORUMA KANUNU KAPSAMINDA YAPILAN DEĞİŞİKLİKLER
02/03/2024 tarih ve 32487 sayılı Resmi Gazete’de yayınlanan 7499 Sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun kapsamında yapılan değişiklikler aşağıdaki gibidir.
1. Özel Nitelikli Kişisel Verilerin İşlenme Şartları 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanununun 6 ncı maddesinin ikinci fıkrası yürürlükten kaldırılmış ve üçüncü fıkrası aşağıdaki şekilde değiştirilmiştir.
ESKİ HALİ
(2) Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır.
YENİ HALİ
(3) Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi;
(3) Birinci fıkrada sayılan saglık ve cinsel hayat dışındaki kişisel veriler, kanunlarda ongorulen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Saglık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu saglıgının korunması, koruyucu hekimlik, tıbbı teşhis, tedavi ve bakım hizmetlerinin yurutulmesi, saglık hizmetleri ile finansmanının planlanması ve yonetimi amacıyla, sır saklama yukumlulugu altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.
a) İlgili kişinin açık rızasının olması,
b) Kanunlarda açıkça öngörülmesi,
c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması, halinde mumkundur.
2. Kişisel Verilerin Yurt Dışına Aktarılması 6698 sayılı Kanunun 9 uncu maddesi aşağıdaki şekilde değiştirilmiştir.
ESKİ HALİ
YENİ HALİ
(1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz.
(2) Kişisel veriler, 5 inci maddenin ikinci fıkrası ile 6 ncı maddenin uçuncu fıkrasında belirtilen şartlardan birinin varlıgı ve kişisel verinin aktarılacagı yabancı ulkede;
a) Yeterli korumanın bulunması,
b) Yeterli korumanın bulunmaması durumunda Turkiye’deki ve ilgili yabancı ulkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhut etmeleri ve Kurulun izninin bulunması, kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir.
(3) Yeterli korumanın bulundugu ulkeler Kurulca belirlenerek ilan edilir.
(1) Kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.
(2) Yeterlilik kararı, Kurul tarafından verilir ve Resmı Gazete’de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların goruşunu alır. Yeterlilik kararı, en geç dort yılda bir degerlendirilir. Kurul, degerlendirme sonucunda veya gerekli gordugu diger hallerde, yeterlilik kararını ileriye etkili olmak uzere degiştirebilir, askıya alabilir veya kaldırabilir.
(3) Yeterlilik kararı verilirken oncelikle aşagıdaki hususlar dikkate alınır:
a) Kişisel verilerin aktarılacagı ulke, ulke içerisindeki sektorler veya uluslararası kuruluşlar ile Turkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.
(4) Kurul yabancı ulkede yeterli koruma bulunup bulunmadıgına ve ikinci fıkranın (b) bendi uyarınca izin verilip verilmeyecegine;
b) Kişisel verilerin aktarılacagı ulkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin aktarılacagı uluslararası kuruluşun tabi oldugu kurallar.
a)Turkiye’nin sozleşmeleri,
c) Kişisel verilerin aktarılacagı ulkede veya uluslararası kuruluşun tabi oldugu bagımsız ve etkin bir veri koruma
taraf
oldugu
uluslararası
b) Kişisel veri talep eden ulke ile Turkiye arasında veri aktarımına ilişkin karşılıklılık durumunu,
kurumunun varlıgı ile idari ve adli başvuru yollarının bulunması.
c) Her somut kişisel veri aktarımına ilişkin olarak, kişisel verinin niteligi ile işlenme amaç ve suresini,
ç) Kişisel verilerin aktarılacagı ulkenin veya uluslararası kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası sozleşmelere taraf veya uluslararası kuruluşlara uye olma durumu.
ç) Kişisel verinin aktarılacagı ulkenin konuyla ilgili mevzuatı ve uygulamasını,
d) Kişisel verinin aktarılacagı ulkede bulunan veri sorumlusu tarafından taahhut edilen onlemleri, degerlendirmek ve ihtiyaç duyması halinde, ilgili kurum ve kuruluşların goruşunu de almak suretiyle karar verir.
(5) Kişisel veriler, uluslararası sozleşme hukumleri saklı kalmak uzere, Turkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar gorecegi durumlarda, ancak ilgili kamu kurum veya kuruluşunun goruşu alınarak Kurulun izniyle yurt dışına aktarılabilir.
(6) Kişisel verilerin yurt dışına aktarılmasına ilişkin diger kanunlarda yer alan hukumler saklıdır.
d) Kişisel verilerin aktarılacagı ulkenin veya uluslararası kuruluşun, Turkiye’nin uye oldugu kuresel veya bolgesel kuruluşlara uye olma durumu. e)Turkiye’nin taraf oldugu uluslararası sozleşmeler.
(4)Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlıgı, ilgili kişinin aktarımın yapılacagı ulkede de haklarını kullanma ve etkili kanun yollarına başvurma imkanının bulunması kaydıyla, aşagıda belirtilen uygun guvencelerden birinin taraflarca saglanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir:
a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Turkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteligindeki meslek kuruluşları arasında yapılan uluslararası sozleşme niteliginde olmayan anlaşmanın varlıgı ve Kurul tarafından aktarıma izin verilmesi. b)Örtak ekonomik faaliyette bulunan teşebbus grubu bunyesindeki şirketlerin uymakla yukumlu oldukları, kişisel verilerin korunmasına ilişkin hukumler ihtiva eden ve Kurul tarafından onaylanan baglayıcı şirket kurallarının varlıgı. c)Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, ozel nitelikli kişisel veriler için alınan ek onlemler gibi hususları ihtiva eden standart sozleşmenin varlıgı. ç)Yeterli korumayı saglayacak hukumlerin yer aldıgı yazılı bir taahhutnamenin varlıgı ve Kurul tarafından aktarıma izin verilmesi.
(5)Standart sozleşme, imzalanmasından itibaren beş iş gunu içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.
(6)Veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve dorduncu fıkrada ongorulen uygun guvencelerden herhangi birinin saglanamaması durumunda, arızi olmak kaydıyla sadece aşagıdaki hallerden birinin varlıgı halinde yurt dışına kişisel veri aktarabilir:
a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.
b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sozleşmenin ifası veya ilgili kişinin talebi uzerine alınan sozleşme oncesi tedbirlerin uygulanması için zorunlu olması.
c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diger bir gerçek veya tuzel kişi arasında yapılacak bir sozleşmenin kurulması veya ifası için zorunlu olması. ç)Aktarımın ustun bir kamu yararı için zorunlu olması. d)Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması. e)Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden butunlugunun korunması için kişisel verilerin aktarılmasının zorunlu olması. f)Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların saglanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.
(7) Altıncı fıkranın (a), (b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetlerine uygulanmaz.
(8) Veri sorumlusu ve veri işleyenler tarafından, yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da bu Kanunda yer alan guvenceler saglanır ve bu madde hukumleri uygulanır.
(9) Kişisel veriler, uluslararası sozleşme hukumleri saklı kalmak uzere, Turkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar gorecegi durumlarda, ancak ilgili kamu kurum veya kuruluşunun goruşu alınarak Kurulun izniyle yurt dışına aktarılabilir.
(10) Kişisel verilerin yurt dışına aktarılmasına ilişkin diger kanunlarda yer alan hukumler saklıdır.
(11) Bu maddenin uygulanmasına ilişkin usul ve esaslar yonetmelikle duzenlenir.
3. İdari Para Cezaları 6698 sayılı Kanunun 18 inci maddesinin birinci fıkrasına aşağıdaki bent eklenmiş, ikinci fıkrası aşağıdaki şekilde değiştirilmiş, maddeye ikinci fıkrasından sonra gelmek üzere aşağıdaki fıkra eklenmiş ve diğer fıkra buna göre teselsül ettirilmiştir.
ESKİ HALİ
(1) Bu Kanunun;
YENİ HALİ
(1) Bu Kanunun;
a) 10 uncu maddesinde ongorulen aydınlatma a)10 uncu maddesinde ongorulen aydınlatma yukumlulugunu yerine getirmeyenler hakkında yukumlulugunu yerine getirmeyenler hakkında 5.000 Turk 5.000 Turk lirasından 100.000 Turk lirasına kadar, lirasından 100.000 Turk lirasına kadar,
b) 12 nci maddesinde ongorulen veri guvenligine b) 12 nci maddesinde ongorulen veri guvenligine ilişkin ilişkin yukumlulukleri yerine getirmeyenler yukumlulukleri yerine getirmeyenler hakkında 15.000 Turk hakkında 15.000 Turk lirasından 1.000.000 Turk lirasından 1.000.000 Turk lirasına kadar, lirasına kadar,
c) 15 inci maddesi uyarınca Kurul tarafından verilen
c) 15 inci maddesi uyarınca Kurul tarafından kararları yerine getirmeyenler hakkında 25.000 Turk verilen kararları yerine getirmeyenler hakkında lirasından 1.000.000 Turk lirasına kadar, 25.000 Turk lirasından 1.000.000 Turk lirasına kadar,
ç) 16 ncı maddesinde ongorulen Veri Sorumluları Siciline kayıt ve bildirim yukumlulugune aykırı hareket edenler
ç) 16 ncı maddesinde ongorulen Veri Sorumluları hakkında 20.000 Turk lirasından 1.000.000 Turk lirasına Siciline kayıt ve bildirim yukumlulugune aykırı kadar, hareket edenler hakkında 20.000 Turk lirasından 1.000.000 Turk lirasına kadar, idari para cezası d) 9 uncu maddenin beşinci fıkrasında öngörülen verilir. bildirim yükümlülüğünü yerine getirmeyenler
(2) Bu maddede ongorulen idari para cezaları veri hakkında 50.000 Türk lirasından 1.000.000 Türk sorumlusu olan gerçek kişiler ile ozel hukuk tuzel lirasına kadar idari para cezası verilir. kişileri hakkında uygulanır.
(2) Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.
Saygılarımızla,
BARIŞ ERDEM DANIŞMANLIK A.Ş.
