12 Mart 2024 tarihinde 32487 sayılı Resmî Gazetede Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun ("Kanun") yayımlandı. Yayımlanan bu Kanun ile 6698 Sayılı Kişisel Verilerin Korunması Kanununda ("KVKK") özel nitelikli kişisel verilerin işlenmesi, kişisel verilerin yurt dışına aktarılması, idari para cezaları ve itiraz merciine ilişkin önemli değişiklikler yapılmıştır.
İlgili Kanun ile KVKK'da aşağıdaki değişiklikler yapılmıştır:
- Özel nitelikli kişisel verilerin işlenmesi şartları için öngörülen hukuka uygunluk kriterleri genişletilmiştir. İlgili kişinin rızası, kanunlarda açıkça öngörülmesi, fiili imkansızlık hali, ilgili kişi tarafından kişisel verilerin alenileşmesi, bir hakkın tesisi, kullanılması veya korunması, sır saklama yükümlülüğü altında bulunan kişiler, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukukî yükümlülüklerin yerine getirilmesi için zorunlu olması gibi sebeplerin varlığı halinde özel nitelikli kişisel verilerin işlenmesi mümkün hale gelmiştir.
- Değişiklikten önce kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamamaktaydı. Değişiklikle birlikte kişisel veriler; KVKK'da düzenlenmiş olan kişisel verilerin işlenme şartlarından veya özel nitelikteki kişisel verilerin işlenme şartlarından birinin bulunması hâlinde ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması hâlinde yurt dışına aktarılabilecektir. Bu yeni düzenleme 1 Eylül 2024 tarihinden itibaren uygulanmaya başlayacaktır, bu tarihe kadar kişisel verilerin yurtdışına aktarımı için ilgili kişinin açık rızası da aranacaktır.
- Yeterlilik kararı Kişisel Verilerin Korunması Kurulu tarafından verilecektir ve Resmî Gazetede yayımlanacaktır. Yeterlilik kararı, en geç dört yılda bir değerlendirilecektir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere değiştirebilecek, askıya alabilecek veya kaldırabilecektir.
- Kişisel veriler, yeterlilik kararının bulunmaması durumunda; KVKK'da düzenlenmiş olan kişisel verilerin işlenme şartlarından veya özel nitelikteki kişisel verilerin işlenme şartlarından birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkanının bulunması kaydıyla, KVKK m. 9/4'te ayrıntılı şekilde belirtilen uygun güvencelerden birinin taraflarca sağlanması hâlinde yurt dışına aktarılabilecektir.
- Hem yeterlilik kararının bulunmaması hem de yukarıdaki uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece KVKK m 9/6'daki hallerden birinin varlığı hâlinde yurt dışına kişisel veri aktarabilecektir.
- Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilecektir. Bu bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idarî para cezası verilecektir.
- Kişisel Verileri Koruma Kurulu tarafından verilen idarî para cezalarına karşı idare mahkemelerinde dava açılabilecektir.
- Kanuna eklenen Geçici Madde 2'ye göre 1 Haziran 2024 tarihi itibarıyla sulh ceza hakimliklerinde görülmekte olan başvurular, bu hakimliklerce görülmeye devam edecektir.
- Yukarıdaki bu düzenlemeler 1 Haziran 2024 tarihinde yürürlüğe girecektir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
