KVKK – Yapılan Değişiklikler

Sirküler No: 2024 / 39

Tarih: 01.04.2024

7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanunun 12.03.2024 tarihinde Resmî Gazete'de yayımlanması ile Ceza Muhakemesi Kanunu, Ceza Kanunu, İcra ve İflas Kanunundaki değişikliklerin yanı sıra 6698 sayılı Kişisel Verilerin Korunması Kanununda (“KVKK" veya “Kanun") da değişiklikler ve yeni düzenlemeler kabul edilmiştir. İlgili Kanun ile KVKK'da yapılan değişikliklerin başlıcaları aşağıdaki gibidir:

7499 sayılı Kanunun 33, 34, 35 ve 36. maddeleri, 6698 sayılı Kanuna ilişkin değişiklikleri içermektedir. Bu kapsamda, 6698 sayılı Kanunun özel nitelikli kişisel verileri düzenleyen 6. maddesi, yurt dışı aktarımını düzenleyen 9. maddesi ve kabahatleri düzenleyen 18. maddesi değiştirilmiş ve geçici madde 3 eklenmiştir.

1.      KVKK'nın 6. maddesinin ikinci fıkrası yürürlükten kaldırılmış ve 3. fıkrası değiştirilmiştir.

Kanunun eski halinde olduğu gibi, kural olarak özel nitelikli kişisel verilerin işlenmesinin yasak olduğu düzenlenmiş ancak özel nitelikli kişisel verilerin işlenmesinin mümkün olduğu haller tahdidi olarak sayılmıştır. Buna göre;

Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi aşağıdaki hallerde mümkündür:

• İlgili kişinin açık rızasının olması,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
  
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması.
  
  

2.      KVKK'nın kişisel verilerin yurtdışına aktarılması ile ilgili maddesi 9. maddesi değiştirilmiştir. 

Buna göre;

Kişisel veriler, ilgilinin açık rızası ile veya Kanun'da belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.

Yeterlilik kararı, Kurul tarafından verilecek ve Resmî Gazete'de yayımlanacaktır. Yeterlilik kararı, en geç dört yılda bir değerlendirilecek ve değerlendirme sonucunda veya Kurul'un gerekli gördüğü diğer hallerde, yeterlilik kararı ileriye etkili olmak üzere değiştirebilecek, askıya alabilecek veya kaldırabilecektir.

Yeterlilik kararı verilirken; kişisel verilerin aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu,  Kişisel verilerin aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar,  Kişisel verilerin aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması, Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası kuruluşlara üye olma durumu,  Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye'nin üye olduğu küresel veya bölgesel kuruluşlara üye olma durumu, Türkiye'nin taraf olduğu uluslararası sözleşmeler gibi Kanunda belirlenmiş olan hususlar öncelikle dikkate alınacaktır.

Kişisel veriler, yeterlilik kararının bulunmaması halinde ilgili kişinin açık rızası ile veya açık rıza aranmaksızın Kanun'da sayılan işleme şartlarından en az birinin varlığı ve ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla ve bunlara ek olarak Kanun'da belirtilen uygun güvencelerden birinin (Kurul tarafından ilan edilen standart sözleşmenin varlığı, yeterli korumayı sağlayacak hükümlerin yer aldığı taahhütname vs.) taraflarca sağlanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilecektir.

Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.

KVKK, yeterlilik kararının bulunmaması ve Kanun'da öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla hangi hallerde yurt dışına kişisel veri aktarabileceğini de düzenlemiştir.

Yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da Kanunda yer alan güvenceler sağlanacak ve işbu 9. madde hükümleri uygulanacaktır.

Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye'nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.

Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.

İşbu 9. maddenin uygulanmasına ilişkin usul ve esasların düzenlendiği bir yönetmelik çıkarılacaktır.

KVKK'nın belirlemiş olduğu yazılı taahhütname ve buna istinaden verilecek kurul izni ise geçerliliğini aynen korumaktadır.

3.      KVKK'nın kabahatleri düzenleyen 18. maddesinde ekleme ve değişiklikler yapılmıştır. Buna göre;

• 9. madde kapsamına alınan standart sözleşmenin bildirilmesi yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası uygulanacak,
• KVKK kapsamında aydınlatma yükümlülüğünü yerine getirmeyenler, veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler, Kurul tarafından verilen kararları yerine getirmeyenler ve Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında düzenlenmiş olan idari para cezaları veri sorumlusu hakkında ve standart sözleşmenin bildirilmesi yükümlülüğüne aykırı hareket edenler hakkında düzenlenmiş olan idari para cezaları veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanacaktır.
• Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.
  
  

4.      KVKK'ya eklenen geçici madde 3 ile 01.06.2024 tarihi itibariyle sulh ceza hakimliklerinde görülmekte olan başvuruların bu hakimliklerce görülmeye devam edeceği düzenlenmiştir.

5.      İlgili Kanun değişiklikleri 01.06.2024 tarihinde yürürlüğe girecek olup 9. maddenin halihazırda mevcut birinci fıkrası 01.09.2024 tarihine kadar uygulanmaya devam edecektir.

Söz konusu Kanun değişikliğine ulaşmak için tıklayınız.

Bilgi edinmenizi rica ederiz.

​ 

Yukarıda yer verilen açıklamalarımız, konuya ilişkin genel bilgiler içermektedir. Rödl & Partner'a işbu dokümanın içeriğinden kaynaklanan veya içeriğine ilişkin olarak ortaya çıkan sonuçlardan dolayı herhangi bir sorumluluk iddiasında bulunulamaz.