KİŞİSEL VERİLERİ KORUMA KANUNU KAPSAMINDA YAPILAN DEĞİŞİKLİKLER
02/03/2024 tarih ve 32487 sayılı Resmi Gazete’de yayınlanan 7499 Sayılı Ceza Muhakemesi Kanunu ile Bazı
Kanunlarda Değişiklik Yapılmasına Dair Kanun kapsamında yapılan değişiklikler aşağıdaki gibidir.
1. Özel Nitelikli Kişisel Verilerin İşlenme Şartları
24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanununun 6 ncı maddesinin ikinci fıkrası yürürlükten
kaldırılmış ve üçüncü fıkrası aşağıdaki şekilde değiştirilmiştir.
ESKİ HALİ
(2) Özel nitelikli kişisel verilerin, ilgilinin açık
rızası olmaksızın işlenmesi yasaktır.
YENİ HALİ
(3) Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak
bu verilerin işlenmesi;
(3) Birinci fıkrada sayılan saglık ve cinsel hayat
dışındaki kişisel veriler, kanunlarda ongorulen
hallerde ilgili kişinin açık rızası aranmaksızın
işlenebilir. Saglık ve cinsel hayata ilişkin kişisel
veriler ise ancak kamu saglıgının korunması,
koruyucu hekimlik, tıbbı teşhis, tedavi ve bakım
hizmetlerinin yurutulmesi, saglık hizmetleri ile
finansmanının planlanması ve yonetimi amacıyla,
sır saklama yukumlulugu altında bulunan kişiler
veya yetkili kurum ve kuruluşlar tarafından
ilgilinin açık rızası aranmaksızın işlenebilir.
a) İlgili kişinin açık rızasının olması,
b) Kanunlarda açıkça öngörülmesi,
c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak
durumda bulunan veya rızasına hukuki geçerlilik
tanınmayan kişinin, kendisinin ya da bir başkasının hayatı
veya beden bütünlüğünün korunması için zorunlu olması,
ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve
alenileştirme iradesine uygun olması,
d) Bir hakkın tesisi, kullanılması veya korunması için
zorunlu olması,
e) Sır saklama yükümlülüğü altında bulunan kişiler veya
yetkili kurum ve kuruluşlarca, kamu sağlığının korunması,
koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım
hizmetlerinin yürütülmesi ile sağlık hizmetlerinin
planlanması, yönetimi ve finansmanı amacıyla gerekli
olması,
f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal
hizmetler ve sosyal yardım alanlarındaki hukuki
yükümlülüklerin yerine getirilmesi için zorunlu olması,
1
g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf,
dernek ve diğer kâr amacı gütmeyen kuruluş ya da
oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun
olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere
açıklanmamak kaydıyla; mevcut veya eski üyelerine ve
mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli
olarak temasta olan kişilere yönelik olması,
halinde mumkundur.
2. Kişisel Verilerin Yurt Dışına Aktarılması
6698 sayılı Kanunun 9 uncu maddesi aşağıdaki şekilde değiştirilmiştir.
ESKİ HALİ
YENİ HALİ
(1) Kişisel veriler, ilgili kişinin açık rızası
olmaksızın yurt dışına aktarılamaz.
(2) Kişisel veriler, 5 inci maddenin ikinci fıkrası ile
6 ncı maddenin uçuncu fıkrasında belirtilen
şartlardan birinin varlıgı ve kişisel verinin
aktarılacagı yabancı ulkede;
a) Yeterli korumanın bulunması,
b) Yeterli korumanın bulunmaması durumunda
Turkiye’deki ve ilgili yabancı ulkedeki veri
sorumlularının yeterli bir korumayı yazılı olarak
taahhut etmeleri ve Kurulun izninin bulunması,
kaydıyla ilgili kişinin açık rızası aranmaksızın yurt
dışına aktarılabilir.
(3) Yeterli korumanın bulundugu ulkeler Kurulca
belirlenerek ilan edilir.
2
(1) Kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen
şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke
içerisindeki sektörler veya uluslararası kuruluşlar hakkında
yeterlilik kararı bulunması halinde, veri sorumluları ve veri
işleyenler tarafından yurt dışına aktarılabilir.
(2) Yeterlilik kararı, Kurul tarafından verilir ve Resmı
Gazete’de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili
kurum ve kuruluşların goruşunu alır. Yeterlilik kararı, en geç
dort yılda bir degerlendirilir. Kurul, degerlendirme
sonucunda veya gerekli gordugu diger hallerde, yeterlilik
kararını ileriye etkili olmak uzere degiştirebilir, askıya
alabilir veya kaldırabilir.
(3) Yeterlilik kararı verilirken oncelikle aşagıdaki hususlar
dikkate alınır:
a) Kişisel verilerin aktarılacagı ulke, ulke içerisindeki
sektorler veya uluslararası kuruluşlar ile Turkiye arasında
kişisel veri aktarımına ilişkin karşılıklılık durumu.
(4) Kurul yabancı ulkede yeterli koruma bulunup
bulunmadıgına ve ikinci fıkranın (b) bendi
uyarınca izin verilip verilmeyecegine;
b) Kişisel verilerin aktarılacagı ulkenin ilgili mevzuatı ve
uygulaması ile kişisel verilerin aktarılacagı uluslararası
kuruluşun tabi oldugu kurallar.
a)Turkiye’nin
sozleşmeleri,
c) Kişisel verilerin aktarılacagı ulkede veya uluslararası
kuruluşun tabi oldugu bagımsız ve etkin bir veri koruma
taraf
oldugu
uluslararası
b) Kişisel veri talep eden ulke ile Turkiye arasında
veri aktarımına ilişkin karşılıklılık durumunu,
kurumunun varlıgı ile idari ve adli başvuru yollarının
bulunması.
c) Her somut kişisel veri aktarımına ilişkin olarak,
kişisel verinin niteligi ile işlenme amaç ve suresini,
ç) Kişisel verilerin aktarılacagı ulkenin veya uluslararası
kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası
sozleşmelere taraf veya uluslararası kuruluşlara uye olma
durumu.
ç) Kişisel verinin aktarılacagı ulkenin konuyla ilgili
mevzuatı ve uygulamasını,
d) Kişisel verinin aktarılacagı ulkede bulunan veri
sorumlusu tarafından taahhut edilen onlemleri,
degerlendirmek ve ihtiyaç duyması halinde, ilgili
kurum ve kuruluşların goruşunu de almak suretiyle
karar verir.
(5) Kişisel veriler, uluslararası sozleşme hukumleri
saklı kalmak uzere, Turkiye’nin veya ilgili kişinin
menfaatinin ciddi bir şekilde zarar gorecegi
durumlarda, ancak ilgili kamu kurum veya
kuruluşunun goruşu alınarak Kurulun izniyle yurt
dışına aktarılabilir.
(6) Kişisel verilerin yurt dışına aktarılmasına
ilişkin diger kanunlarda yer alan hukumler saklıdır.
d) Kişisel verilerin aktarılacagı ulkenin veya uluslararası
kuruluşun, Turkiye’nin uye oldugu kuresel veya bolgesel
kuruluşlara uye olma durumu.
e)Turkiye’nin taraf oldugu uluslararası sozleşmeler.
(4)Kişisel veriler, yeterlilik kararının bulunmaması
durumunda, 5 inci ve 6 ncı maddelerde belirtilen şartlardan
birinin varlıgı, ilgili kişinin aktarımın yapılacagı ulkede de
haklarını kullanma ve etkili kanun yollarına başvurma
imkanının bulunması kaydıyla, aşagıda belirtilen uygun
guvencelerden birinin taraflarca saglanması halinde veri
sorumluları ve veri işleyenler tarafından yurt dışına
aktarılabilir:
a) Yurt dışındaki kamu kurum ve kuruluşları veya
uluslararası kuruluşlar ile Turkiye’deki kamu kurum ve
kuruluşları veya kamu kurumu niteligindeki meslek
kuruluşları arasında yapılan uluslararası sozleşme
niteliginde olmayan anlaşmanın varlıgı ve Kurul tarafından
aktarıma izin verilmesi.
b)Örtak ekonomik faaliyette bulunan teşebbus grubu
bunyesindeki şirketlerin uymakla yukumlu oldukları, kişisel
verilerin korunmasına ilişkin hukumler ihtiva eden ve Kurul
tarafından onaylanan baglayıcı şirket kurallarının varlıgı.
c)Kurul tarafından ilan edilen, veri kategorileri, veri
aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı
tarafından alınacak teknik ve idari tedbirler, ozel nitelikli
kişisel veriler için alınan ek onlemler gibi hususları ihtiva
eden standart sozleşmenin varlıgı.
ç)Yeterli korumayı saglayacak hukumlerin yer aldıgı yazılı
bir taahhutnamenin varlıgı ve Kurul tarafından aktarıma
izin verilmesi.
3
(5)Standart sozleşme, imzalanmasından itibaren beş iş
gunu içinde veri sorumlusu veya veri işleyen tarafından
Kuruma bildirilir.
(6)Veri sorumluları ve veri işleyenler, yeterlilik kararının
bulunmaması ve dorduncu fıkrada ongorulen uygun
guvencelerden
herhangi
birinin
saglanamaması
durumunda, arızi olmak kaydıyla sadece aşagıdaki
hallerden birinin varlıgı halinde yurt dışına kişisel veri
aktarabilir:
a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi
kaydıyla, aktarıma açık rıza vermesi.
b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir
sozleşmenin ifası veya ilgili kişinin talebi uzerine alınan
sozleşme oncesi tedbirlerin uygulanması için zorunlu
olması.
c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diger bir
gerçek veya tuzel kişi arasında yapılacak bir sozleşmenin
kurulması veya ifası için zorunlu olması.
ç)Aktarımın ustun bir kamu yararı için zorunlu olması.
d)Bir hakkın tesisi, kullanılması veya korunması için kişisel
verilerin aktarılmasının zorunlu olması.
e)Fiili imkansızlık nedeniyle rızasını açıklayamayacak
durumda bulunan veya rızasına hukuki geçerlilik
tanınmayan kişinin kendisinin ya da bir başkasının hayatı
veya beden butunlugunun korunması için kişisel verilerin
aktarılmasının zorunlu olması.
f)Kamuya veya meşru menfaati bulunan kişilere açık olan
bir sicilden, ilgili mevzuatta sicile erişmek için gereken
şartların saglanması ve meşru menfaati olan kişinin talep
etmesi kaydıyla aktarım yapılması.
(7) Altıncı fıkranın (a), (b) ve (c) bentleri, kamu kurum ve
kuruluşlarının kamu hukukuna tabi faaliyetlerine
uygulanmaz.
(8) Veri sorumlusu ve veri işleyenler tarafından, yurt dışına
aktarılan kişisel verilerin sonraki aktarımları ve uluslararası
kuruluşlara aktarımlar bakımından da bu Kanunda yer alan
guvenceler saglanır ve bu madde hukumleri uygulanır.
4
(9) Kişisel veriler, uluslararası sozleşme hukumleri saklı
kalmak uzere, Turkiye’nin veya ilgili kişinin menfaatinin
ciddi bir şekilde zarar gorecegi durumlarda, ancak ilgili
kamu kurum veya kuruluşunun goruşu alınarak Kurulun
izniyle yurt dışına aktarılabilir.
(10) Kişisel verilerin yurt dışına aktarılmasına ilişkin diger
kanunlarda yer alan hukumler saklıdır.
(11) Bu maddenin uygulanmasına ilişkin usul ve esaslar
yonetmelikle duzenlenir.
3. İdari Para Cezaları
6698 sayılı Kanunun 18 inci maddesinin birinci fıkrasına aşağıdaki bent eklenmiş, ikinci fıkrası aşağıdaki şekilde
değiştirilmiş, maddeye ikinci fıkrasından sonra gelmek üzere aşağıdaki fıkra eklenmiş ve diğer fıkra buna göre teselsül
ettirilmiştir.
ESKİ HALİ
(1) Bu Kanunun;
YENİ HALİ
(1) Bu Kanunun;
a) 10 uncu maddesinde ongorulen aydınlatma a)10
uncu
maddesinde
ongorulen
aydınlatma
yukumlulugunu yerine getirmeyenler hakkında yukumlulugunu yerine getirmeyenler hakkında 5.000 Turk
5.000 Turk lirasından 100.000 Turk lirasına kadar, lirasından 100.000 Turk lirasına kadar,
b) 12 nci maddesinde ongorulen veri guvenligine b) 12 nci maddesinde ongorulen veri guvenligine ilişkin
ilişkin yukumlulukleri yerine getirmeyenler yukumlulukleri yerine getirmeyenler hakkında 15.000 Turk
hakkında 15.000 Turk lirasından 1.000.000 Turk lirasından 1.000.000 Turk lirasına kadar,
lirasına kadar,
c) 15 inci maddesi uyarınca Kurul tarafından verilen
c) 15 inci maddesi uyarınca Kurul tarafından kararları yerine getirmeyenler hakkında 25.000 Turk
verilen kararları yerine getirmeyenler hakkında lirasından 1.000.000 Turk lirasına kadar,
25.000 Turk lirasından 1.000.000 Turk lirasına
kadar,
ç) 16 ncı maddesinde ongorulen Veri Sorumluları Siciline
kayıt ve bildirim yukumlulugune aykırı hareket edenler
ç) 16 ncı maddesinde ongorulen Veri Sorumluları hakkında 20.000 Turk lirasından 1.000.000 Turk lirasına
Siciline kayıt ve bildirim yukumlulugune aykırı kadar,
hareket edenler hakkında 20.000 Turk lirasından
1.000.000 Turk lirasına kadar, idari para cezası d) 9 uncu maddenin beşinci fıkrasında öngörülen
verilir.
bildirim
yükümlülüğünü
yerine
getirmeyenler
5
(2) Bu maddede ongorulen idari para cezaları veri hakkında 50.000 Türk lirasından 1.000.000 Türk
sorumlusu olan gerçek kişiler ile ozel hukuk tuzel lirasına kadar idari para cezası verilir.
kişileri hakkında uygulanır.
(2) Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde
öngörülen idari para cezaları veri sorumlusu, (d)
bendinde öngörülen idari para cezası veri sorumlusu
veya veri işleyen gerçek kişiler ile özel hukuk tüzel
kişileri hakkında uygulanır.
Saygılarımızla,
BARIŞ ERDEM DANIŞMANLIK A.Ş.
6
