7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun ile 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (“Kanun”) Yapılan Değişiklikler

7499 sayılı Kanun 12 Mart 2024 tarih ve 32487 sayılı Resmî Gazete’de yayımlandı. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda yapılan değişiklikler 1 Haziran 2024 tarihinden itibaren yürürlüğe girecektir.

Kanun’da yapılan değişiklikler ile; Kanun’un 6.,9. ve 18. maddelerinde özellikle yurt dışına veri aktarımı ve özel nitelikli kişisel verilerin işlenmesindeki şartlar açısından önemli yenilikler söz konusudur.

A.    Özel nitelikli kişisel verilerin işlenmesinde yeni veri işleme şartları aşağıdaki gibidir.

Öncelikle; Özel nitelikli kişisel veriler altındaki “sağlık ve cinsel hayata ilişkin veri” ile “diğer özel nitelikli kişisel veri” ayrımı kaldırılmış ve işlenme şartları için öngörülen hukuka uygunluk sebepleri genişletilmiştir. Bu minvalde özel nitelikli kişisel verilerin işlenmesi için aşağıdaki şartların varlığı aranmaktadır:

a.      İlgili kişinin açık rızasının olması,

b.     Kanunlarda açıkça öngörülmesi,

c.      Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

d.     İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,

e.      Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,

f.       Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,

g.      İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,

h.     Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması.

B. Yapılan değişiklik ile yeni eklenen yurt dışı veri aktarım yöntemleri ise aşağıdaki gibidir: 

a.      Aktarımın yapılacağı ülke hakkında Kurul’un yeterlilik kararı bulunması.

b.     Yeterlik kararının bulunmaması ancak ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkanının bulunması kaydıyla aşağıdaki şartlardan biri mevcut olmalıdır:

(i)              Yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi,

(ii)            Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı,

(iii)          Kurul tarafından ilan edilen standart sözleşmenin varlığı ve sözleşmenin akdedildiğine ilişkin olarak 5 (beş) iş günü içerisinde Kişisel Verileri Koruma Kurumu’na (“Kurum”) bildirim şartının sağlanması (bildirim yapılmaması haline özgü 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası uygulanması düzenlenmiştir), veya

(iv)           Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

Tek sefere mahsus, arızi veri aktarımları için ise bazı istisnalar belirlenmiştir. Diğer bir önemli husus ise sonraki aktarımlar bakımından da veri aktarım kurallarının geçerli olacağı belirtilmiştir.

Yurt dışına aktarıma ilişkin usul ve esasların ise çıkarılacak bir yönetmelik ile ayrıca düzenleneceği belirtilmektedir.

Kanun değişiklikleri 1 Haziran 2024 tarihinde yürürlüğe girecek olup 1 Eylül 2024’e kadar açık rızaya dayalı olarak gerçekleştirilen yurt dışına veri aktarım faaliyetlerinin yeni kurallara uygun hale getirilmesi gerekecektir. Bu durumda 1 Eylül 2024 tarihine kadar veri sorumluları açık rızaya dayalı olarak yurt dışına veri aktarımı yapabilecektir.

Bir başka değişle Kanun’un 9. maddesinin mevcut 1. fıkrası, maddenin değiştirilen haliyle birlikte 1 Eylül 2024 tarihine kadar uygulanmaya devam edecektir. Bu çerçevede, söz konusu geçiş sürecinde veri sorumluları ve işleyenlerin yeni düzenlemeler uyum sağlamak adına hazırlık çalışmalarını düzgünce yürütmesi uygun olacaktır.  

Bu kapsamda, kişisel verilerin yurt dışına aktarılmasından önce:

• Yurt dışına yapılan aktarımlar tespit edilmelidir.

• Aktarım yapılacak ülke ve/veya sektör için yeterlilik kararı olup olmadığını kontrol edilmelidir.

• Aktarım amaçları ve alıcının veri sorumlusu/veri işleyen niteliği belirlenmelidir.

• Aktarım tarafı ile standart sözleşme, bağlayıcı şirket kuralları ve taahhütname imzalanması müzakere edilmelidir. Bu kapsamda;

• Standart sözleşme imzalanması halinde beş iş günü içerisinde Kurum’a bildirim yapılmalıdır.

• Ortak ekonomik faaliyette bulunan teşebbüs grupları için Kurul onaylı bağlayıcı şirket kurullarının uygulanması değerlendirilebilir.

• Yeterli korumayı sağlayacak hükümlerin yer aldığı taahhütnamenin imzalanması ve Kurul’a izin için sunulması değerlendirilebilir.

C. Yapılan değişikliklere ek olarak Rekabet Kurumu kararlarında olduğu gibi Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından verilen idari para cezalarına karşı da idare mahkemelerinde dava açılması mümkün hale gelmiştir.  

Değişiklik Tebliği’nin tam metnine ulaşmak için lütfen tıklayınız.  

Menkü Özünlü Orakçıoğlu Avukatlık Ortaklığı