Kişisel Verilerin Korunması Kanunu

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bireylerin kişisel verilerinin işlenmesi, saklanması ve korunması süreçlerini düzenleyen temel yasal çerçevedir. Bu kanun kapsamında kurumlar; veri güvenliğini sağlamak, kişisel verileri yalnızca hukuka uygun amaçlarla işlemek ve yetkisiz erişimlere karşı gerekli teknik-idari tedbirleri almakla yükümlüdür. Site ve tesis yönetimi alanında faaliyet gösteren işletmeler için KVKK, özellikle apartman, site, AVM ve kurumsal tesislerde yaşayan veya hizmet alan kişilerin bilgilerinin korunması açısından kritik bir öneme sahiptir.

SMC Yapısal Yönetim olarak sunduğumuz profesyonel site ve tesis yönetim hizmetlerinde KVKK uyumuna büyük önem veriyoruz. Aidat takip sistemleri, kamera kayıtları, personel bilgileri ve kat malikleri verilerinin tamamı yasal çerçevede korunarak işlenmektedir. Kurumsal yönetim süreçlerimizde şeffaflık, veri güvenliği ve mevzuata tam uyum ilkesiyle hareket ederek hem yöneticilere hem de sakinlere güvenli bir hizmet altyapısı sunuyoruz. Bu sayede hem yasal yükümlülükler yerine getirilir hem de modern ve güvenilir bir yönetim sistemi sağlanır.

Kişisel Verilerin Korunması Kanunu

            Kanun Numarası: 6698

            Onay Tarihi: 24/3/2016

            Resmi Gazete’de yayımlanma tarihi: 07/04/2016 (GG/AA/YYYY) Sayı: 29677

            Yayınlandığı Yer: Kanun : Sıra: 5 Cilt Numarası: 57

BİRİNCİ BÖLÜM

Amaç, Kapsam ve Tanımlar

Amaç

MADDE 1 – (1) Bu Kanunun amacı, kişisel verilerin işlenmesiyle ilgili olarak kişilerin temel hak ve özgürlüklerini, özellikle de gizlilik hakkını korumak ve kişisel verileri işleyen gerçek veya tüzel kişileri bağlayacak yükümlülükleri, ilkeleri ve usulleri belirlemektir.

Kapsam

MADDE 2 – (2) Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişilere ve bu verileri tamamen veya kısmen otomatik araçlarla veya veri dosyalama sisteminin bir parçası olan otomatik olmayan araçlarla işleyen gerçek veya tüzel kişilere uygulanır.

Tanımlar

MADDE 3 – (1) Bu Kanun amaçları için:

1. “Açık rıza”, özgürce verilmiş, belirli ve bilgilendirilmiş rıza anlamına gelir.
2. “Anonimleştirme”, kişisel verilerin, diğer verilerle eşleştirilse bile, tanımlanmış veya tanımlanabilir bir gerçek kişiyle ilişkilendirilmesini imkansız hale getirmek anlamına gelir.
3. “Başkan” ifadesi, Kişisel Veri Koruma Kurumu Başkanı anlamına gelir.

(ç) “Veri sahibi” (ilgili gerçek kişi) , kişisel verileri işlenen gerçek kişi anlamına gelir,

4. “Kişisel veri”, tanımlanmış veya tanımlanabilir bir gerçek kişiye ilişkin her türlü bilgiyi ifade eder.
5. “Kişisel verilerin işlenmesi”, kişisel veriler üzerinde tamamen veya kısmen otomatik veya otomatik olmayan yöntemlerle gerçekleştirilen ve bir veri dosyalama sisteminin parçası olan her türlü işlemi ifade eder; bunlar arasında toplama, kaydetme, saklama, koruma, değiştirme, uyarlama, açıklama, aktarma, geri alma, toplanmaya hazır hale getirme, sınıflandırma, kullanımının engellenmesi gibi işlemler yer alır.
6. “Kurul” ifadesi Kişisel Veri Koruma Kurulu anlamına gelir.
7. “Yetkili Kurum” ifadesi, Kişisel Veri Koruma Kurumu anlamına gelir.

(ğ) “Veri İşleyici”, veri sorumlusunun yetkilendirmesi üzerine onun adına kişisel verileri işleyen gerçek veya tüzel kişi anlamına gelir.

8. “Veri dosyalama sistemi”, kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği sistemi ifade eder.

(ı) “Veri Sorumlusu”, kişisel verilerin işlenmesinin amaçlarını ve yöntemlerini belirleyen ve veri dosyalama sisteminin kurulmasından ve yönetiminden sorumlu olan gerçek veya tüzel kişidir.

 

İKİNCİ BÖLÜM

Kişisel Verilerin İşlenmesi

Genel İlkeler

MADDE 4 – (1) Kişisel veriler yalnızca bu Kanunda veya diğer kanunlarda belirlenen usul ve esaslara uygun olarak işlenir.

(2) Kişisel verilerin işlenmesi kapsamında aşağıdaki ilkelere uyulacaktır:

a) Hukuka uygunluk ve adalet

b) Doğru olmak ve gerektiğinde güncel kalmak.

c) Belirtilen, açık ve meşru amaçlar doğrultusunda işleniyor olması.

ç) İşlenme amaçlarıyla ilgili, sınırlı ve orantılı olmaları.

d) İlgili mevzuatın öngördüğü süre boyunca veya kişisel verilerin işlenme amacına uygun olarak gerekli süre boyunca saklanması .

Kişisel verilerin işlenmesine ilişkin koşullar

MADDE 5 – (1) Kişisel veriler, ilgili kişinin açık rızası olmadan işlenemez.

(2) Kişisel veriler, veri sahibinin açık rızası alınmaksızın yalnızca aşağıdaki koşullardan birinin yerine getirilmesi halinde işlenebilir:

a) Bu, kanunlarda açıkça öngörülmüştür.

b) Kişinin kendisinin veya fiziksel engeli nedeniyle rızasını açıklayamayan ya da rızası hukuken geçerli sayılmayan başka bir kişinin canının veya fiziksel bütünlüğünün korunması için gerekli olması .

c) Sözleşmenin taraflarının kişisel verilerinin işlenmesi, sözleşmenin kurulması veya yerine getirilmesiyle doğrudan ilgili olması koşuluyla gereklidir.

ç) Veri sorumlusunun tabi olduğu yasal bir yükümlülüğe uyum için gereklidir.

d) Kişisel veriler, ilgili kişi tarafından bizzat kamuya açıklanmıştır.

e) Veri işleme, herhangi bir hakkın tesis edilmesi, kullanılması veya korunması için gereklidir.

f) Veri işleme, veri sorumlusunun meşru menfaatleri için gereklidir ; ancak bu işleme, veri sahibinin temel hak ve özgürlüklerini ihlal etmemelidir.

Özel kategorideki kişisel verilerin işlenmesine ilişkin koşullar

Madde 6 – (1) Irk, etnik köken, siyasi görüş, felsefi inanç, din, dini mezhep veya diğer inanç, görünüm, dernek, vakıf veya sendika üyeliği, sağlık, cinsel yaşam, suç mahkumiyetleri ve güvenlik önlemleri ile ilgili veriler ve biyometrik ve genetik veriler özel kategorideki kişisel veriler olarak kabul edilir.

(2) (Yürürlükten kaldırıldı: 2/3/2024 – Madde 7499/33)

(3) (Değişiklik: 2/3/2024 – Madde 7499/33) Özel kategorideki kişisel verilerin işlenmesi yasaktır. Ancak, bu tür işleme aşağıdaki koşullar altında izin verilir:

a) İlgili kişi açık rızasını vermiştir,

b) Bu, kanunlarda açıkça belirtilmiştir,

c) Kişinin kendisinin veya fiziksel engeli nedeniyle rızasını açıklayamayan ya da rızası hukuken geçerli sayılmayan başka bir kişinin canının veya fiziksel bütünlüğünün korunması için gerekli olması durumunda,

ç) Bu, ilgili kişi tarafından kamuya açık hale getirilmiş kişisel verilerle ilgilidir ve işleme, ilgili kişinin bu verileri kamuya açıklama niyetiyle tutarlıdır,

d) Herhangi bir hakkın tesis edilmesi, kullanılması veya korunması için gereklidir,

e) Kamu sağlığının korunması, koruyucu tıp, tıbbi teşhis, tedavi ve bakım hizmetleri ile gizlilik yükümlülüğüne tabi kişiler veya yetkili kamu kurum ve kuruluşları tarafından sağlık hizmetlerinin planlanması, yönetimi ve finansmanı için gereklidir.

f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki yasal yükümlülüklerin yerine getirilmesi için gereklidir.

g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulmuş vakıfların, derneklerin ve diğer kar amacı gütmeyen kuruluşların mevcut veya eski üyeleri ve iştirakçileri veya bu kuruluşlarla düzenli temas halinde olan kişilerle ilgiliyse, bu tür işlemenin söz konusu kuruluşları ve amaçlarını düzenleyen ilgili mevzuata uygun olması, kuruluşların faaliyet alanlarıyla sınırlı olması ve verilerin üçüncü taraflarla paylaşılmasını içermemesi koşuluyla.

(4) Kurul tarafından belirlenen uygun önlemler, özel kategorideki kişisel verilerin işlenmesinde de uygulanacaktır.

Kişisel verilerin silinmesi, yok edilmesi veya anonimleştirilmesi

MADDE 7 – Bu Kanun ve diğer ilgili kanunlar hükümlerine uygun olarak işlenmiş olsa bile , kişisel veriler , işleme nedenlerinin ortadan kalkması halinde, veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinir, imha edilir veya anonimleştirilir.

(2) Kişisel verilerin silinmesi, imha edilmesi veya anonimleştirilmesi ile ilgili diğer kanun hükümleri saklıdır.

(3) Kişisel verilerin silinmesi, imha edilmesi veya anonimleştirilmesine ilişkin usul ve esaslar tüzük yoluyla belirlenir.

Kişisel verilerin aktarılması

MADDE 8 – (1) Kişisel veriler, ilgili kişinin açık rızası olmadan aktarılamaz.

(2) Kişisel veriler, veri sahibinin açık rızası alınmaksızın, aşağıdaki koşullardan birinin mevcut olması halinde aktarılabilir:

a) Madde 5’in ikinci paragrafı,

b) Yeterli önlemler alınması şartıyla, Madde 6’nın üçüncü fıkrası.

(3) Kişisel verilerin aktarılmasına ilişkin diğer kanun hükümleri saklıdır.

Kişisel verilerin yurt dışına aktarılması

Madde 9 – (Değişiklik: 2/3/2024 – Madde 7499/34)

(1) Kişisel veriler, veri sorumluları ve veri işleyicileri tarafından, Madde 5 ve Madde 6’da belirtilen koşullardan birinin karşılanması ve aktarımın yapılacağı ülke, o ülkedeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması şartıyla yurt dışına aktarılabilir.

(2) Yeterlilik kararı Kurul tarafından verilir ve Resmi Gazete’de yayımlanır. Kurul, gerekli gördüğünde ilgili kurum ve kuruluşların görüşünü alabilir. Yeterlilik kararı en az dört yılda bir değerlendirilir. Kurul, değerlendirmeye dayanarak veya gerekli gördüğü diğer durumlarda, yeterlilik kararını geleceğe yönelik olarak değiştirebilir, askıya alabilir veya iptal edebilir.

(3) Yeterlilik kararı verilirken, öncelikle aşağıdaki unsurlar dikkate alınacaktır:

a) Türkiye ile kişisel verilerin aktarılacağı ülke, o ülkedeki sektörler veya uluslararası kuruluşlar arasında kişisel verilerin aktarılmasına ilişkin karşılıklılık durumu,

b) Kişisel verilerin aktarılacağı ülkenin ilgili mevzuatı ve uygulamaları ile veri aktarımını alan uluslararası kuruluşun kuralları,

c) Kişisel verilerin aktarılacağı veya uluslararası kuruluşun tabi olduğu ülkede bağımsız ve etkin bir veri koruma otoritesinin varlığı ve idari ve yargısal çözüm yollarının mevcut olması,

ç) Kişisel verilerin aktarılacağı ülke veya uluslararası kuruluşun, kişisel verilerin korunmasına ilişkin uluslararası sözleşmelere taraf olup olmadığı veya bu tür uluslararası kuruluşlara üye olup olmadığı.

d) Kişisel verilerin aktarılacağı ülke veya uluslararası kuruluşun, Türkiye’nin üye olduğu küresel veya bölgesel kuruluşlardaki üyelik durumu.

e) Türkiye’nin taraf olduğu uluslararası sözleşmeler.

(4) Yeterlilik kararının bulunmaması halinde, 5. ve 6. maddelerde belirtilen koşullardan birinin karşılanması ve veri sahiplerinin, aktarımın yapılacağı ülkede uygulanabilir haklarını ve etkili yasal çözüm yollarını koruması şartıyla, veri sorumluları ve veri işleyicileri tarafından kişisel veriler yurt dışına aktarılabilir; ancak aşağıdaki uygun güvencelerden birinin sağlanması şartıyla:

a) Yurtdışındaki kamu kurumları ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurumları ve kuruluşları veya kamu kurumu statüsündeki meslek kuruluşları arasında uluslararası sözleşme niteliğinde olmayan bir anlaşmanın bulunması ve bu anlaşmanın devredilmesinin Kurul tarafından onaylanması;

b) Ortak ekonomik faaliyetlerde bulunan şirketler grubundaki şirketlerin uymakla yükümlü olduğu, kişisel verilerin korunmasına ilişkin hükümler içeren ve Yönetim Kurulu tarafından onaylanmış bağlayıcı şirket kurallarının varlığı;

c) Kurul tarafından yayımlanmış, veri kategorileri, veri aktarımının amaçları, alıcılar ve alıcı grupları, veri ithalatçısı tarafından alınacak teknik ve organizasyonel önlemler ve özel kişisel veri kategorilerine ilişkin ek önlemler gibi bilgileri içeren standart bir sözleşmenin varlığı;

ç) Yeterli korumayı sağlamaya yönelik hükümler içeren yazılı bir taahhüdün varlığı ve Yönetim Kurulu’nun devir için onayı;

(5) Standart sözleşme, veri sorumlusu veya veri işleyicisi tarafından imzalanmasından sonraki beş iş günü içinde Kuruma bildirilecektir.

(6) Yeterlilik kararının bulunmaması ve dördüncü paragrafta belirtilen uygun güvencelerden birinin sağlanamaması durumunda, veri sorumluları ve veri işleyicileri, söz konusu aktarımın tesadüfi olması koşuluyla, kişisel verileri yurt dışına yalnızca aşağıda belirtilen koşullardan birinde aktarabilir:

a) İlgili kişi, olası riskler hakkında bilgilendirilmiş olması koşuluyla, veri aktarımına açıkça rıza göstermiştir;

b) Veri aktarımı, ilgili kişi ile veri sorumlusu arasında yapılan bir sözleşmenin yerine getirilmesi veya ilgili kişinin talebi üzerine alınan sözleşme öncesi önlemlerin uygulanması için gereklidir;

c) Veri sorumlusu ile veri sahibinin yararına olan başka bir gerçek veya tüzel kişi arasında bir sözleşmenin kurulması veya yerine getirilmesi için aktarım gereklidir;

ç) Transfer, kamu yararının ağır basması için gereklidir;

d) Kişisel verilerin aktarımı, herhangi bir hakkın tesis edilmesi, kullanılması veya korunması için gereklidir;

e) Kişisel verilerin aktarılması, kişinin kendisinin veya fiziksel engeli nedeniyle rıza veremeyen veya rızası hukuken geçerli sayılmayan başka bir kişinin yaşamının veya fiziksel bütünlüğünün korunması için gereklidir;

f) Aktarım, ilgili mevzuat uyarınca sicile erişim koşullarının karşılanması ve meşru menfaati olan kişinin aktarımı talep etmesi şartıyla, kamuya açık bir sicilden veya meşru menfaati olan kişilerin erişebileceği bir sicilden yapılır.

(7) Altıncı paragrafın (a), (b) ve (c) bentlerindeki hükümler, kamu kurumlarının ve kuruluşlarının kamu hukuku faaliyetlerine uygulanmaz.

(8) Veri sorumluları ve veri işleyicileri, bu Kanun kapsamında belirlenen güvencelerin yanı sıra bu Madde hükümlerinin, yurtdışına aktarılan kişisel verilerin ileriye dönük aktarımlarına ve uluslararası kuruluşlara aktarımlarına da uygulanmasını sağlamalıdır.

(9) Uluslararası sözleşme hükümlerine halel getirmeksizin, kişisel veriler, ancak Kurulun onayı ve ilgili kamu kurumunun veya kuruluşunun görüşü alındıktan sonra, Türkiye’nin veya veri sahibinin menfaatlerinin ciddi şekilde zarar göreceği hallerde yurt dışına aktarılabilir.

(10) Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanun hükümleri saklıdır.

(11) Bu Maddenin uygulanmasına ilişkin usul ve esaslar bir Tüzük ile düzenlenecektir.

ÜÇÜNCÜ BÖLÜM

Haklar ve Yükümlülükler

Veri Sorumlusunun Bilgilendirme Yükümlülüğü

MADDE 10 – (1) Kişisel veriler elde edildiği sırada, veri sorumlusu veya onun yetkilendirdiği kişi, veri sahiplerini aşağıdaki hususlar hakkında bilgilendirmekle yükümlüdür:

a) Veri sorumlusunun ve varsa temsilcisinin kimliği ,

b) Kişisel verilerin işlenmesinin amacı;

c) İşlenen kişisel verilerin kimlere ve hangi amaçlarla aktarılabileceği,

ç) Kişisel verilerin toplanma yöntemi ve yasal dayanağı,

d) Madde 11’de belirtilen diğer haklar.

Veri Sahibinin Hakları

MADDE 11 – (1) Herkes, kendisiyle ilgili veri sorumlusundan bilgi talep etme hakkına sahiptir;

a) Kişisel verilerinin işlenip işlenmediğini öğrenmek,

b) Kişisel verilerinin işlenip işlenmediğine dair bilgi talep etmek,

c) Kişisel verilerinin işlenmesinin amacını ve bu kişisel verilerin işlenip işlenmediğini öğrenmek.

Veriler , amaç doğrultusunda kullanılmaktadır .

ç) Kişisel verilerinin yurt içinde veya yurt dışında hangi üçüncü taraflara aktarıldığını bilmek,

d) Varsa, eksik veya hatalı verilerin düzeltilmesini talep etmek,

e) Madde 7’de belirtilen koşullar altında kişisel verilerinin silinmesini veya imha edilmesini talep etmek,

f) (d) ve (e) bentleri uyarınca gerçekleştirilen işlemlerin, kişisel verilerinin aktarıldığı üçüncü taraflara bildirilmesini talep etmek,

g) Yalnızca otomatik sistemler aracılığıyla işlenen verilerin analizi sonucunda, kişinin aleyhine bir sonucun ortaya çıkmasına itiraz etmek,

ğ) Kişisel verilerinin hukuka aykırı işlenmesinden kaynaklanan zararlar için tazminat talep etmek.

Veri güvenliğine ilişkin yükümlülükler

MADDE 12- (1) Veri sorumlusu, aşağıdaki amaçlar için uygun bir güvenlik düzeyi sağlamak üzere gerekli tüm teknik ve organizasyonel önlemleri almakla yükümlüdür:

a) Kişisel verilerin hukuka aykırı işlenmesinin önlenmesi,

b) Kişisel verilere yasa dışı erişimi önlemek,

c) Kişisel verilerin korunmasının sağlanması.

(2) Kişisel verilerin işlenmesi, veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından gerçekleştiriliyorsa, veri sorumlusu, birinci paragrafta belirtilen tedbirleri almakla bu kişilerle birlikte müteselsil olarak sorumludur.

(3) Veri sorumlusu, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla kendi kurumunda veya kuruluşunda gerekli denetimleri yapmak veya yaptırmakla yükümlüdür.

(4) Veri sorumluları ve veri işleyicileri, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak hiç kimseye açıklamayacak ve bu verileri kişisel verilerin işlendiği amaçtan başka bir amaçla kullanmayacaklardır. Bu yükümlülük, görev sürelerinin sona ermesinden sonra da devam edecektir .

(5) İşlenen verilerin başkaları tarafından hukuka aykırı yollarla elde edilmesi halinde, veri sorumlusu, veri sahibine ihlali bildirecek ve en kısa sürede Kurula haber verecektir. Gerekli durumlarda Kurul, söz konusu ihlali resmi internet sitesinde veya uygun gördüğü başka bir yolla duyurabilir.

DÖRDÜNCÜ BÖLÜM

Talep, Şikayet ve Veri Sorumluları Kaydı

Veri Sorumlusuna Talep

MADDE 13- (1) Veri sahibi, bu Kanunun uygulanmasına ilişkin taleplerini veri sorumlusuna yazılı olarak veya Kurul tarafından belirlenecek diğer yollarla iletir.

(2) Veri sorumlusu, talebin niteliğini dikkate alarak, talepteki işlemleri en kısa sürede ve en geç otuz gün içinde ve ücretsiz olarak sonuçlandıracaktır. Ancak, işlem ek bir maliyet gerektiriyorsa, Kurul tarafından belirlenen tarife üzerinden ücret alınabilir.

(3) Veri sorumlusu, talebi haklı gerekçelerle birlikte yerine getirecek veya reddedecek ve yanıtını veri sahibine yazılı veya elektronik yolla bildirecektir. Talepteki istek kabul edilirse, veri sorumlusu tarafından yerine getirilecektir. Talep, veri sorumlusunun hatası nedeniyle yapılmışsa, ücret veri sahibine iade edilecektir.

Kurula şikayet

MADDE 14 – (1) Talep reddedilirse, yanıt yetersiz bulunursa veya talep belirtilen süre içinde yanıtlanmazsa, veri sahibi, veri sorumlusunun yanıtını öğrendiği tarihten itibaren otuz gün içinde veya her halükarda talep tarihinden itibaren altmış gün içinde Kurula şikayette bulunabilir.

(2) 13. Madde uyarınca veri sorumlusuna yapılacak talep yoluyla çözüm yolunun tüketilmesinden önce şikayette bulunulamaz.

(3) Kişisel hakları ihlal edilenlerin genel hükümler uyarınca tazminat alma hakkı saklıdır.

Resen (kendi inisiyatifiyle) veya şikayet üzerine yapılan incelemenin usul ve prensipleri

MADDE 15 – (1) Kurul , şikayet üzerine veya iddia edilen ihlalden haberdar olması halinde resen, görevi kapsamındaki konularda gerekli incelemeyi yapar .

(2) 1/11/1984 tarihli ve 3071 sayılı Dilekçe Hakkının Kullanılması Hakkındaki Kanun’un 6. Maddesi uyarınca şartları karşılamayan bildirimler ve şikayetler incelenmeyecektir.

(3) Devlet sırrı niteliğindeki bilgi ve belgeler hariç olmak üzere, veri sorumlusu, Kurul tarafından talep edilen ve inceleme konusuyla ilgili bilgi ve belgeleri on beş gün içinde gönderecek ve gerektiğinde yerinde incelemeye olanak sağlayacaktır.

(4) Şikayet üzerine Kurul talebi inceler ve veri sahiplerine cevap verir. Şikayet tarihinden itibaren altmış gün içinde cevap verilmemesi halinde talep reddedilmiş sayılır.

(5) Şikayet üzerine veya resen yapılan inceleme sonucunda, bir ihlalin mevcut olduğu anlaşılan durumlarda, Kurul, tespit edilen ihlallerin ilgili veri sorumlusu tarafından giderilmesine karar verir ve bu kararı ilgili taraflara bildirir. Bu karar, gecikmeksizin ve en geç bildirimden sonra otuz gün içinde uygulanır.

(6) Şikayet üzerine veya resen yapılan inceleme sonucunda, ihlalin yaygın olduğu tespit edilirse, Kurul bu konuda bir karar alır ve bu kararı yayınlar. Kurul, karar almadan önce, gerekirse ilgili kurum ve kuruluşların görüşlerini de alabilir.

(7) Kurul, zararların tazmin edilmesinin zor veya imkansız olduğu durumlarda ve kanunun açıkça ihlal edilmesi halinde kişisel verilerin işlenmesini veya kişisel verilerin yurt dışına aktarılmasını durdurmaya karar verebilir.

Veri Sorumluları Sicili

MADDE 16 – (1) Kurulun gözetimi altında, Veri Kontrolörleri Sicili Cumhurbaşkanlığı tarafından tutulacak ve kamuya açık hale getirilecektir.

(2) Kişisel verileri işleyen gerçek veya tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kayıt yaptırmak zorundadır. Bununla birlikte, Kurul, işlenen verilerin niteliği ve miktarı, veri işlemenin kanunda öngörülmesi veya verilerin üçüncü şahıslara aktarılması gibi Kurul tarafından belirlenen objektif kriterleri dikkate alarak, Veri Sorumluları Siciline kayıt olma yükümlülüğünden muafiyet sağlayabilir.

(3) Veri Sorumluları Siciline kayıt başvurusu, aşağıdakileri içeren bir bildirimle yapılacaktır:

a) Veri sorumlusunun ve varsa temsilcisinin kimliği ve adresi,

b) Kişisel verilerin işleneceği amaç,

c) Verilere konu olan kişi(ler) ve bu kişilerin veri kategorilerine ilişkin açıklamalar,

ç) Kişisel verilerin aktarılabileceği alıcılar veya alıcı grupları,

d) Yurtdışına aktarılması öngörülen kişisel veriler,

e) Kişisel verilerin güvenliğine ilişkin alınan önlemler.

f) Kişisel verilerin işlenme amacına yönelik olarak gerekli olan azami saklama süresi.

(4) Üçüncü paragraf uyarınca verilen bilgilerde meydana gelen her türlü değişiklik derhal Cumhurbaşkanlığına bildirilecektir.

(5) Veri Sorumluları Siciline ilişkin diğer prosedürler ve ilkeler bir tüzük yoluyla belirlenecektir.

BEŞİNCİ BÖLÜM         

Suçlar ve Kabahatler

Suçlar

MADDE 17 – (1) Kişisel verilere ilişkin suçlara, 26/9/2004 tarihli ve 5237 sayılı Türk Ceza Kanunu’nun 135 ila 140. maddeleri uygulanır.

(2) Bu Kanunun 7. maddesine aykırı olarak kişisel verileri silmeyen veya anonimleştirmeyenler, 5237 sayılı Kanunun 138. maddesi uyarınca cezalandırılır.

Kabahatler

Madde 18

1) Bu Kanun amaçları doğrultusunda;

a) 10. maddede belirtilen bilgilendirme yükümlülüğünü yerine getirmeyenlere 5.000 ila 100.000 TL arasında idari para cezası uygulanacaktır;

b) Madde 12’de belirtilen veri güvenliği ile ilgili yükümlülüklerini yerine getirmeyenlere 15.000 ila 1.000.000 TL arasında idari para cezası uygulanacaktır;

c) 15. maddede belirtildiği üzere Kurul tarafından verilen kararlara uymayanlara 25.000 ila 1.000.000 TL arasında idari para cezası uygulanacaktır;

ç) 16. maddede belirtilen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüklerine aykırı hareket edenlere 20.000 ila 1.000.000 TL arasında idari para cezası uygulanacaktır;

d) (Eklenmiştir: 2/3/2024 – Madde 7499/35) Madde 9(5)’te belirtilen bildirim yükümlülüğünü yerine getirmeyenlere 50.000 ila 1.000.000 TL arasında idari para cezası uygulanacaktır.

(2) (Değişiklik: 2/3/2024 – Madde 7499/35) Birinci paragrafın (a), (b), (c) ve (ç) alt bentlerinde öngörülen idari para cezaları veri sorumlusuna uygulanır; (d) alt bendinde öngörülen para cezası ise veri sorumlusuna veya verileri işleyen özel hukuka tabi gerçek kişilere ve tüzel kişilere uygulanır.

(3) (Eklendi: 2/3/2024- Madde 7499/35) Kurul tarafından uygulanan idari para cezalarına idari mahkemelerde itiraz edilebilir.

(4) Birinci paragrafta belirtilen fiillerin kamu kurumları ve kuruluşları ile kamu kurumu statüsündeki meslek örgütlerinde işlenmesi halinde, ilgili kamu kurumları ve kuruluşlarında ve kamu kurumu statüsündeki meslek örgütlerinde çalışan memurlar ve diğer kamu görevlilerine, Kurulun bildirimi üzerine disiplin hükümleri uygulanacak ve sonuç Kurula bildirilecektir.

 

Geçiş Hükümleri

Geçici Madde 3 – (Eklenme Tarihi: 02/03/2024 – Madde 7499/36)

1. Kanunla yapılan değişiklikten önceki haliyle 9. maddenin birinci fıkrası, yürürlüğe giren değiştirilmiş haliyle birlikte 1/9/2024 tarihine kadar yürürlükte kalacaktır.
2. 1/6/2024 tarihi itibariyle ceza mahkemelerinde bekleyen başvurular, bu mahkemeler tarafından işleme alınmaya devam edecektir.

ALTINCI BÖLÜM

Kişisel Verileri Koruma Kurumu ve Kuruluşu

Kişisel Veri Koruma Kurumu

MADDE 19 – (1) Bu Kanun kapsamında kendisine verilen görevleri yerine getirmek üzere, kamu tüzel kişiliği olan ve idari ve mali özerkliğe sahip Kişisel Veri Koruma Kurumu kurulmuştur.

(2) Kurum, Cumhurbaşkanı tarafından görevlendirilen Bakana bağlıdır.

(3) Kurumun Genel Merkezi Ankara’dadır

(4) Otorite, Kurul ve Başkanlıktan oluşur. Otoritenin karar alma organı Kuruldur.

Yetkilinin Görevleri

MADDE 20 – (1) Kurumun görevleri aşağıdaki gibidir;

(a) Görev alanı dahilinde mevzuat ve uygulamalardaki son gelişmeleri takip etmek, değerlendirmeler ve tavsiyelerde bulunmak, araştırmalar ve incelemeler yürütmek veya bunların yürütülmesini sağlamak.

(b) Görev alanı dahilinde gerektiğinde kamu kurumları ve kuruluşları, sivil toplum örgütleri, meslek birlikleri veya üniversitelerle işbirliği yapmak.

(c) Kişisel verilerle ilgili en son uluslararası gelişmeleri takip etmek ve değerlendirmek; ve görev alanı dahilinde uluslararası kuruluşlarla işbirliği yapmak ve toplantılara katılmak.

(ç) Yıllık faaliyet raporunu Türkiye Cumhuriyeti Cumhurbaşkanlığına ve Türkiye Büyük Millet Meclisi İnsan Hakları Soruşturma Komitesine iletmek.

(d) Kanunlarca öngörülen diğer görevleri yerine getirmek.

Kişisel Veri Koruma Kurulu

MADDE 21 – (1) Kurul, bu kanun ve diğer mevzuat uyarınca kendisine verilen görev ve yetkileri bağımsız olarak ve kendi sorumluluğu altında yerine getirir ve kullanır. Hiçbir kurum, yetkili makam, ofis veya kişi, Kurula görev ve yetkileri kapsamına giren konularda emir ve talimat, tavsiye veya öneride bulunamaz.

(2) Kurul dokuz üyeden oluşur. Kurulun beş üyesi Türkiye Büyük Millet Meclisi tarafından, dört üyesi ise Türkiye Cumhuriyeti Cumhurbaşkanı tarafından seçilir.

(3) Kurul üyesi olmak için aşağıdaki şartların yerine getirilmesi gerekmektedir:

a) Kurumun görev alanına giren konularda bilgi ve deneyime sahip olmak.

b) 14/7/1965 tarihli ve 657 sayılı Kamu Görevlileri Kanunu’nun 48. maddesinin birinci fıkrasının (A) bendinin (1), (4), (5), (6) ve (7) numaralı bentlerinde belirtilen gerekli niteliklere sahip olmak.

c) Herhangi bir siyasi partiye üye olmamak.

ç) En az dört yıllık lisans derecesine sahip olmak.

d) (Yürürlükten kaldırıldı: 02/07/2018 – Kanun Hükmünde Kararname – Madde 703/163)

(4) (Yürürlükten kaldırıldı: 2/7/2018 – Kanun Hükmünde Kararname – Madde 703/163)

(5) Türkiye Büyük Millet Meclisi, Kurul üyelerini aşağıdaki usule göre seçecektir:

a) Siyasi parti gruplarının milletvekili sayısına oranla belirlenecek üye sayısının iki katı kadar kişi seçime aday gösterilecek ve Kurul üyeleri, Türkiye Büyük Millet Meclisi Genel Kurulu tarafından, her siyasi partiye tahsis edilen milletvekili sayısı esas alınarak bu adaylar arasından seçilecektir. Ancak, Türkiye Büyük Millet Meclisi’nde yapılacak seçimlerde kime oy verileceği konusunda siyasi parti grupları arasında hiçbir müzakere yapılmayacak ve hiçbir karar alınmayacaktır.

b) Kurul üyelerinin seçimi, adayların aday gösterilmesi ve açıklanmasından itibaren on gün içinde yapılır. Siyasi parti grupları tarafından aday gösterilen adaylar için birleşik oy pusulaları ayrı listeler halinde yayınlanır. Oylar, adayların isimlerinin karşısındaki ilgili yere işaret konularak verilir. İkinci paragraf uyarınca belirlenen siyasi parti grupları kotasından Kurula seçilecek üye sayısından fazla verilen oylar geçersiz sayılır.

c) Karar alma yeter sayısı sağlandığı takdirde, boş kadro sayısı kadar oy alan adaylar seçilmiş sayılır.

ç) Üyelerin görev sürelerinin bitiminden iki ay önce üyelik yenileme seçimleri yapılır; herhangi bir nedenle üyeliklerde boşluk oluşması halinde, boşluğun oluştuğu tarihten itibaren bir ay içinde seçim yapılır; veya boşluğun oluştuğu tarih Türkiye Büyük Millet Meclisi tatiline denk gelirse, aynı usul uygulanarak tatilin bitiminden itibaren bir ay içinde seçim yapılır. Bu seçimlerde, boş üyeliklerin siyasi parti gruplarına dağılımı, ilk seçimde siyasi parti gruplarının kontenjanlarından seçilen üye sayısı ve siyasi parti gruplarının mevcut oranları dikkate alınarak yapılır.

(6) Türkiye Cumhuriyeti Cumhurbaşkanı tarafından seçilen üyelerin görev süresinin sona ermesinden kırk beş gün önce veya herhangi bir nedenle görev süresinin sona ermesi halinde (…) ⁽¹⁾ Kurum, durumu on beş gün içinde Türkiye Cumhuriyeti Cumhurbaşkanlığına bildirir (…). Üyelerin görev süresinin sona ermesinden bir ay önce yeni bir seçim yapılır. Görev süresinin sona ermesinden önce bu üyeliklerde boşluk oluşması halinde, bildirim tarihinden itibaren on beş gün içinde seçim yapılır. ⁽¹⁾

(7) Kurul, kendi üyeleri arasından Kurul Başkanı ve İkinci Kurul Başkanını seçer. Kurul Başkanı aynı zamanda Kurumun Başkanıdır.

(8) Kurul üyelerinin görev süresi dört yıldır. Üyeler, görev sürelerinin sona ermesinden sonra yeniden seçilebilirler. Görev süresi herhangi bir nedenle sona ermeden önce görevi sona eren üyenin yerine seçilen kişi, kalan süreyi tamamlar.

(9) Kurul üyeleri, Yargıtay Birinci Başkanlık Kurulu önünde aşağıdaki yemini edeceklerdir: “Şerefim ve haysiyetim üzerine yemin ederim ki, görevlerimi Anayasa ve ilgili mevzuata uygun olarak mutlak tarafsızlık, doğruluk, adalet ve hakkaniyet duygusuyla yerine getireceğim.” Yargıtay’a yemin etme başvurusu, acil konular arasında sayılır.

(10) Özel bir kanunla aksi belirtilmedikçe, üyeler Kurul’daki resmi görevlerini yerine getirmekle ilgili olanlar dışında herhangi bir kamu veya özel görev üstlenemezler; derneklerde, vakıflarda, kooperatiflerde ve benzeri kuruluşlarda yönetici olarak görev yapamazlar; ticari faaliyetlerde bulunamazlar, serbest meslek sahibi olamazlar, hakem ve bilirkişi olarak görev yapamazlar. Bununla birlikte, Kurul üyeleri, birincil görevlerini engellemeyecek şekilde bilimsel yayınlar hazırlayabilir, konferanslar verebilir ve konferanslara katılabilir ve bunlarla ilgili telif hakları ve ücretler alabilirler.

(11) Üyelerin görevleriyle bağlantılı olarak işledikleri iddia edilen suçlara ilişkin soruşturmalar, 2/12/1999 tarihli ve 4483 sayılı Kamu Görevlileri ve Diğer Kamu Çalışanlarının Yargılanması Hakkında Kanun uyarınca yürütülecek ve soruşturma izni Türkiye Cumhurbaşkanı tarafından verilecektir. ⁽¹⁾

(12) 657 sayılı Kanun hükümleri, Kurul üyeleri hakkında yapılacak disiplin soruşturmaları ve kovuşturmalarda uygulanacaktır.

(13) Üyeler, görev sürelerinin sona ermesinden önce herhangi bir nedenle görevlerinden alınamazlar. Ancak, Kurul üyeleri aşağıdaki durumlarda Kurul kararıyla görevlerinden alınabilirler:

a) Seçimleri için gerekli şartları karşılamadıkları sonradan anlaşılıyor,

b) Görevleriyle bağlantılı olarak işledikleri suçlardan dolayı verilen mahkumiyet kararı kesinleşmiştir.

c) Tıbbi kurul raporuyla görevlerini yerine getiremeyecekleri tespit edilirse,

ç) Geçerli bir izin ve mazeret olmaksızın, on beş gün üst üste veya bir yıl içinde toplam otuz gün işe gelmedikleri tespit edilmiştir.

d) Bir ay içinde üç, bir yıl içinde ise on yönetim kurulu toplantısına herhangi bir izin veya mazeret göstermeden katılmadıkları tespit edilmiştir.

(14) Kurul üyesi olarak atananlar, Kuruldaki görev süreleri boyunca önceki görevlerinden uzaklaştırılırlar. Kamu görevlisi olarak istihdam edilme şartlarını yerine getirmemeleri koşuluyla, görevdeyken Kurul üyesi olarak atananlar, görev süreleri sona erdiğinde veya istifa etme isteklerini ifade edip bu konuda eski kurumlarına otuz gün içinde başvuruda bulunduklarında, bir ay içinde, kazanılmış pozisyon ve unvanlarına uygun görevlere atanırlar. Atama yapılana kadar, Kurum, kendilerine tahsis edilmiş olan ödemeleri yapmaya devam eder. Başka bir göreve atanana veya başka bir işte çalışmaya başlayana kadar, Kurum, kamu görevlisi olmamalarına ve görev süreleri yukarıda belirtildiği gibi sona eren Kurul üyelerine ödeme yapmaya devam eder; ve bu kapsamda yapılacak ödemeler üç ayı geçemez. Kişisel ve diğer haklar bakımından, Kurumda geçirilen süreler, önceki kurum veya kuruluşlarda geçirilmiş sayılır.

Yönetim Kurulunun görev ve yetkileri

MADDE 22 – (1) Kurulun görev ve yetkileri aşağıdaki gibidir:

a) Kişisel verilerin temel hak ve özgürlüklere uygun şekilde işlenmesini sağlamak.

b) Kişisel verilerin korunmasına ilişkin haklarının ihlal edildiğini iddia edenlerin şikayetlerini sonuçlandırmak.

c) Kişisel verilerin kanunlara uygun olarak işlenip işlenmediğini incelemek, şikayet üzerine veya iddia edilen ihlalden haberdar olması halinde resen inceleme yapmak ve gerekirse geçici önlemler almak.

ç) Özel kategorideki kişisel verilerin işlenmesi için gerekli olan uygun önlemleri belirlemek .

d) Veri Sorumluları Sicilinin güncel tutulmasını sağlamak .

e) Kurulun görev alanı ve Kurumun faaliyetleri ile ilgili konularda düzenleyici işlemleri yürütmek.

f) Veri güvenliğiyle ilgili yükümlülükleri belirlemek amacıyla düzenleyici bir işlem gerçekleştirmek.

g) Veri sorumlusunun ve temsilcisinin görev, yetki ve sorumluluklarına ilişkin konularda düzenleyici işlemleri yürütmek.

ğ) Bu Kanunda öngörülen idari yaptırımların uygulanmasına karar vermek.

h) Kişisel verilerle ilgili hükümler içeren diğer kurum veya kuruluşlar tarafından hazırlanan yasa taslakları hakkında görüş bildirmek.

ı) Kurumun Stratejik Planını sonuçlandırmak; Kurumun amacını, hedeflerini, hizmet kalitesi standartlarını ve performans kriterlerini belirlemek.

i) Kurumun amaç ve hedeflerine uygun olarak hazırlanan Stratejik Plan ve bütçe teklifini görüşmek ve karara bağlamak.

j) Kurumun performansı, mali durumu, yıllık faaliyetleri ve diğer konularla ilgili taslak raporları onaylamak ve yayınlamak.

k) Taşınmaz malların alım, satım ve kiralanmasına ilişkin tavsiyeleri görüşmek ve karara bağlamak.

l) Kanunlarda öngörülen diğer görevleri yerine getirmek.

Yönetim Kurulunun Çalışma İlkeleri

MADDE 23 – (1) Başkan, toplantıların tarihlerini ve gündemini belirler. Başkan, gerekirse Yönetim Kurulunu olağanüstü bir toplantıya çağırabilir.

 (2) Kurul, Başkan dahil olmak üzere en az altı üye ile toplanır ve toplam üye sayısının basit çoğunluğuyla karar alır. Kurul üyeleri çekimser oy kullanamazlar.

(3) Üyeler, kendileriyle, üçüncü dereceye kadar kan bağıyla akrabalarıyla ve ikinci dereceye kadar evlilik bağıyla akrabalarıyla, evlat edindikleri çocuklarıyla ve evlilikleri sona ermiş olsa bile eşleriyle ilgili konuları içeren toplantılara katılamaz ve oy kullanamazlar.

(4) Kurul üyeleri, görevleri sırasında ilgili kişiler ve üçüncü şahıslar hakkında öğrendikleri sırları, yasal olarak yetkilendirilmiş organlar dışında kimseye açıklamayacak ve bu sırları kendi menfaatleri için kullanmayacaklardır. Bu yükümlülük, görev sürelerinin sona ermesinden sonra da devam edecektir.

(5) Kurulda görüşülen konular tutanaklara kaydedilir. Kararlar ve varsa karşı oy gerekçeleri en geç 15 gün içinde yazılı olarak bildirilir. Kurul, gerekli gördüğü takdirde kararları kamuoyuna açıklayacaktır.

(6) Aksi kararlaştırılmadıkça, Kurul toplantılarındaki görüşmeler gizlidir.

(7) Kurulun çalışma usulleri ve esasları ile kararların ve diğer hususların yazım usulü bir tüzük ile düzenlenir.

Başkan

MADDE 24 – (1) Kurumun en üst düzey yetkilisi olan Başkan, hem Kurumun hem de Kurulun başı olarak, mevzuata, Kurumun amacına ve politikalarına, Stratejik Planına, performans kriterlerine ve hizmet kalitesi standartlarına uygun olarak Kurumun hizmetlerini düzenler ve yürütür ve hizmet birimleri arasında koordinasyonu sağlar.

(2) Başkan, Kurumun genel yönetiminden ve temsilinden sorumludur. Bu sorumluluk, Kurumun çalışmalarının düzenlenmesi, yürütülmesi, denetlenmesi, değerlendirilmesi ve gerektiğinde kamuoyuna duyurulması ile ilgili görev ve yetkileri içerir.

(3) Cumhurbaşkanının görevleri aşağıdaki gibidir;

a) Yönetim kurulu toplantılarına başkanlık etmek.

b) Kurul kararlarının bildirilmesini ve Kurul tarafından gerekli görüldüğünde kamuoyuna duyurulmasını sağlamak ve bunların uygulanmasını izlemek.

c) Başkan Yardımcısı, Daire Başkanları ve Kurum personelini atamak.

ç) Hizmet birimleri tarafından iletilen tavsiyeleri nihai hale getirmek ve Yönetim Kuruluna sunmak.

d) Stratejik Planın uygulanmasını sağlamak ve hizmet kalitesi standartlarına uygun insan kaynakları ve çalışma politikalarını oluşturmak.

e) Kurumun yıllık bütçesini ve mali tablolarını belirlenen stratejiler, yıllık amaçlar ve hedefler doğrultusunda hazırlamak.

f) Kurul ile hizmet birimleri arasında koordinasyonu sağlayarak, bunların tutarlı, verimli, disiplinli ve düzenli bir şekilde çalışmasını temin etmek.

g) Kurumun diğer kurumlarla ilişkilerini sürdürmek.

ğ) Cumhurbaşkanı adına imza atmaya yetkili personelin görev ve yetkilerinin kapsamını belirlemek.

h) Kurumun yönetimi ve işleyişiyle ilgili diğer görevleri yerine getirmek

(4) İkinci Başkan, Başkanın yokluğunda onun adına hareket etme yetkisine sahiptir.

Cumhurbaşkanlığının Yapısı ve Görevleri

MADDE 25 – (1) Başkanlık, Başkan Yardımcısı ve hizmet birimlerinden oluşur. Başkanlık, dördüncü paragrafta belirtilen görevleri, departmanlar olarak organize edilmiş hizmet birimleri aracılığıyla yerine getirir. Departman sayısı yediden fazla olamaz.

(2) Cumhurbaşkanı, idari görevlerinde kendisine yardımcı olmak üzere bir Başkan Yardımcısı atayacaktır.

(3) Başkan Yardımcısı ve Daire Başkanları, en az 4 yıllık lisans derecesine sahip ve kamu kurumlarında en az on yıl görev yapmış olanlar arasından Başkan tarafından atanır.

(4) Başkanlığın görevleri aşağıdaki gibidir:

a) Veri Sorumluları Sicilini tutmak.

b) Kurum ve Kurul için sekreterlik hizmetlerini yürütmek.

c) Kurumun taraf olduğu davalarda ve icra işlemlerinde Kurumu avukatlar aracılığıyla temsil etmek; bu işlemleri takip etmek veya takip ettirilmesini sağlamak ve hukuki hizmetleri yürütmek.

ç) Yönetim kurulu üyelerine ve kurum personeline yönelik personel ile ilgili hizmetleri yürütmek.

d) Mali hizmetler ve strateji geliştirme birimleri ile ilgili kanunlarda belirtilen görevleri yerine getirmek.

e) Kurumun faaliyetlerini yürütmek amacıyla bilgi sistemlerinin kurulmasını ve kullanılmasını sağlamak.

f) Kurumun yıllık faaliyetlerine veya gerekli görülen diğer konulara ilişkin raporlar hazırlamak ve bunları Yönetim Kuruluna sunmak.

g) Kurumun Stratejik Planını hazırlamak.

ğ) Kurumun personel politikasını belirlemek, personel için eğitim ve kariyer odaklı planlar hazırlamak ve uygulamak.

h) Personelle ilgili atama, nakil, disiplin, performans, terfi, emeklilik ve benzeri işlemleri yürütmek.

ı) Personel için etik ilkeleri belirlemek ve gerekli eğitimi sağlamak.

i) 10/12/2003 tarihli ve 5018 sayılı Kamu Mali Yönetimi ve Kontrolü Kanunu çerçevesinde satın alma, kiralama, bakım, onarım, inşaat, arşiv, sağlık ve sosyal konular ve benzeri konularda hizmetlerin yürütülmesi.

j) Kurumun taşınır ve taşınmaz mallarının kaydını tutmak

k) Yönetim Kurulu veya Başkan tarafından verilen diğer görevleri yerine getirmek.

(5) Hizmet birimleri ve bunların çalışma usulleri ve esasları, Kanunda belirtilen faaliyet alanı, görev ve yetkilere uygun olarak, yetkili makamın önerisi üzerine Türkiye Cumhuriyeti Cumhurbaşkanı tarafından yürürlüğe konulacak bir tüzükle belirlenir.

Kişisel Veri Koruma Uzmanları ve Yardımcı Uzmanlar

MADDE 26 – (1) Kişisel Veri Koruma Uzmanları ve Yardımcı Uzmanlar Kurum tarafından görevlendirilebilir. 657 sayılı Kanunun 41. maddesinin ek maddesi çerçevesinde Kişisel Veri Koruma Uzmanı olarak atanan uzmanlar ve yardımcı uzmanlar, yalnızca bir defaya mahsus olmak üzere ek bir kademe alırlar.

Personel ve Personel Haklarına İlişkin Hükümler

MADDE 27- (1) Kurum personeli, bu Kanunla düzenlenen hususlar hariç olmak üzere, 657 sayılı Kanuna tabidir.

(2) Kurum Başkanı ve Kurul üyeleri ile Kurum personeli, 27/6/1989 tarihli ve 375 sayılı Kanun Hükmünde Kararnamenin Ek Madde 11’inde belirtilen mali ve sosyal haklar kapsamında, aynı usul ve esaslar çerçevesinde, önceki personele ödenmesi belirlenen ücretleri alırlar. Önceki personele ödenen ücretler arasında, vergi ve diğer yasal kesintilerden muaf olanlar, Kanun uyarınca vergi ve kesintilerden de muaf tutulur.

(3) Kurum Başkanı ve Yönetim Kurulu üyeleri ile Kurum personeli, 31/5/2006 tarihli ve 5510 sayılı Sosyal Güvenlik ve Genel Sağlık Sigortası Kanunu’nun 4. maddesinin birinci fıkrasının (c) bendine tabidir. Kurum Başkanı ve Yönetim Kurulu üyeleri ile Kurum personeli, emeklilik açısından önceki personelle eşit sayılır.

5510 sayılı Kanun’un 4. maddesinin birinci fıkrasının (c) bendine göre sigortalıyken Başkan ve Yönetim Kurulu üyesi olarak atanan personel arasında, görev süresi sona eren veya istifa etme isteğini ifade edenlerin kazanılmış hakları, emeklilikleri, kademeleri ve basamakları belirlenirken bu görevlerdeki görev süreleri dikkate alınacaktır. 5510 sayılı Kanun’un Geçici 4. Maddesi kapsamına girenlerin görevdeyken ilgili görev süresi, pozisyon ve temsil tazminatının ödenmesi gereken süre olarak kabul edilecektir. 5510 sayılı Kanun’un 4. maddesinin birinci fıkrasının (a) bendine göre sigortalıyken Başkan ve Yönetim Kurulu üyesi olarak atananların önceki kurum ve kuruluşlardan ayrılması, kıdem tazminatı veya işten çıkarma tazminatı almayı gerektirmeyecektir. Bu durumda, kıdem tazminatı veya fazlalık tazminatına hak kazandıran görev süresi, Başkan ve Yönetim Kurulu üyesi olarak geçirilen hizmet sürelerine eklenecek ve emeklilik ikramiyesi ödenecek süre olarak kabul edilecektir.

(4) Merkezi hükümete bağlı kamu idarelerinde, sosyal güvenlik kurumlarında, yerel yönetimlerde, yerel yönetimlere bağlı idarelerde, yerel idari birliklerde, döner sermaye işletmelerinde, kanunla kurulan fonlarda, kamu kuruluşlarında, sermayesinin %50’sinden fazlası kamuya ait olan kuruluşlarda, kamu ekonomik işletmelerinde, devlete ait ekonomik işletmelerde ve bunlara bağlı dernek ve kuruluşlarda çalışan memurlar ile diğer kamu görevlileri, kendi kurumlarının onayıyla Kuruma görevlendirilebilirler; hakimler ve savcılar, maaşları, ödenekleri, bunların artışları, tazminatları ve diğer sosyal ve mali hakları ve yardımları kendi kurumları tarafından ödenmek şartıyla, kendi onaylarıyla görevlendirilebilirler. Kurumun bu konudaki talepleri, ilgili kurum ve kuruluşlar tarafından öncelikli olarak sonuçlandırılacaktır. Buna göre görevlendirilen personel ücretli izinli sayılacaktır. Bu izin süresince personelin hakları ve kamu hizmetiyle olan bağları korunacak, bu izin süresi terfi ve emeklilikte dikkate alınacak ve herhangi bir ek işleme gerek kalmaksızın zamanında terfi ettirilecektir. Bu Madde kapsamında görevlendirilenlerin Kurumda geçirdikleri süreler, kendi kurumlarında geçirdikleri süreler olarak kabul edilecektir. Buna göre görevlendirilen personel sayısı, Kişisel Veri Koruma Uzmanları ve Kişisel Veri Koruma Asistan Uzmanları için toplam kadro sayısının yüzde onunu geçemez ve görev süresi iki yılı aşamaz. Ancak, gerekli görüldüğünde bu süre bir yıllık dönemler halinde uzatılabilir.

(5) Kurumda istihdam edilecek personele ilişkin unvanlar ve kadro sayıları ekli Tablo (I)’de sunulmuştur. Unvan ve kademe değişiklikleri; yeni unvanların eklenmesi ve boş kadroların iptali, toplam kadro sayısını aşmamak ve 13/12/1983 tarihli 190 sayılı Genel Kadrolar ve Usuller Hakkındaki Kanun Hükmünde Kararnamenin ekli tablolarında yer alan unvanlarla sınırlı olmak kaydıyla, Kurulun kararıyla yapılacaktır.

YEDİNCİ BÖLÜM

Çeşitli

Muafiyetler

MADDE 28 (1) Bu Kanun hükümleri aşağıdaki durumlarda uygulanmaz:

a) Kişisel veriler, veri sahibinin veya onunla aynı konutta birlikte yaşayan aile üyelerinin tamamen kişisel faaliyetleri kapsamında, üçüncü şahıslara açıklanmaması ve veri güvenliği ile ilgili yükümlülüklere uyulması şartıyla, gerçek kişiler tarafından işlenir.

b) Kişisel veriler resmi istatistikler için işlenir ve araştırma, planlama ve istatistik gibi amaçlar için anonimleştirilir.

(c) Kişisel veriler, ulusal savunma, ulusal güvenlik, kamu güvenliği, kamu düzeni, ekonomik güvenlik, gizlilik hakkı veya kişisel hakların ihlal edilmemesi veya işlemin suç teşkil etmemesi koşuluyla, sanatsal, tarihi, edebi veya bilimsel amaçlarla veya ifade özgürlüğü kapsamında işlenir.

(ç) Kişisel veriler, ulusal savunma, ulusal güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin sağlanması amacıyla kanunla yetkilendirilmiş ve görevlendirilmiş kamu kurumları ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbarat faaliyetleri kapsamında işlenir.

(d) Kişisel veriler, soruşturma, kovuşturma, adli veya icra işlemleriyle ilgili olarak adli makamlar veya icra makamları tarafından işlenir.

(2) Bu Kanunun amacına ve temel ilkelerine uygun ve orantılı olması koşuluyla, veri sorumlusunun bilgilendirme yükümlülüğüne ilişkin 10. Madde, tazminat talep etme hakkı hariç olmak üzere veri sahibinin haklarına ilişkin 11. Madde ve Veri Sorumluları Siciline kayıt olma yükümlülüğüne ilişkin 16. Madde, kişisel verilerin işlenmesinin aşağıdaki hallerinde uygulanmaz:

a) Suç işlenmesinin önlenmesi veya suç soruşturması için gereklidir.

b) Veri sahibinin bizzat kamuya açık hale getirdiği veriler üzerinde gerçekleştirilir.

c) Kanunla kendilerine verilen yetki doğrultusunda, görevlendirilmiş ve yetkilendirilmiş kamu kurum ve kuruluşları ile kamu meslek örgütleri tarafından yürütülecek denetim veya düzenleme görevlerinin, disiplin soruşturması ve kovuşturmasının yerine getirilmesi için gereklidir,

ç) Devletin bütçe, vergi ve mali konularla ilgili ekonomik ve mali çıkarlarının korunması için gereklidir.

Kurumun Bütçesi ve Gelirleri

MADDE 29 – (1) Kurumun bütçesi, 5018 sayılı Kanunda öngörülen usul ve esaslara uygun olarak hazırlanır ve kabul edilir.

(2) Kurumun gelirleri aşağıdaki gibidir;

a) Genel bütçeden sağlanan Hazine hibeleri.

b) Kurumun taşınır ve taşınmaz mallarından elde edilen gelirler.

c) Alınan bağışlar ve hibeler.

ç) Gelirlerin kullanımından elde edilen gelirler.

d) Diğer gelirler.

Değiştirilen ve Eklenen Hükümler

MADDE 30 – (5018 sayılı ve 10/12/2003 tarihli Kanun ile ilgilidir ve bu Kanuna eklenmiştir)

(2) – (5) – (5237 sayılı ve 26/9/2004 tarihli Kanunla ilgilidir ve buna eklenmiştir)

(6) (Bu, 7/5/1987 tarihli ve 3359 sayılı Kanunla ilgilidir ve buna eklenmiştir)

(7) (Bu, Sağlık Bakanlığı ve Bağlı Kuruluşlarının Teşkilatı ve Sorumlulukları ile ilgili olup, 11/10/2011 tarihli ve 663 sayılı Kanun Hükmünde Kararname ile bağlantılıdır ve buraya eklenmiştir)

Yönetmelik

MADDE 31 – (1) Bu Kanunun uygulanmasına ilişkin yönetmelikler Yetkili Makam tarafından yürürlüğe konur.

Geçiş Hükümleri

GEÇİCİ MADDE 1- (1) Kurul üyeleri, bu Kanunun yayımlanmasından itibaren altı ay içinde, Madde 21’de belirtilen usule göre seçilir ve Başkanlığın teşkilat yapısı kurulur.

(2) Veri sorumluları, Kurul tarafından belirtilen ve duyurulan süre içinde Veri Sorumluları Siciline kayıt yaptırmakla yükümlüdür.

(3) Bu Kanunun yayımlanma tarihinden önce işlenen kişisel veriler, yayımlanma tarihinden itibaren iki yıl içinde bu Kanun hükümlerine uygun hale getirilecektir. Bu Kanun hükümlerine uygun olmadığı tespit edilen kişisel veriler derhal silinecek, imha edilecek veya anonimleştirilecektir. Bununla birlikte, bu Kanunun yayımlanma tarihinden önce usulüne uygun olarak alınan onaylar, bir yıl içinde aksi yönde bir niyet beyanı yapılmadığı sürece, bu Kanun hükümlerine uygun kabul edilecektir.

(4) Bu Kanun ile öngörülen tüzükler, bu Kanunun yayımlandığı tarihten itibaren bir yıl içinde yürürlüğe konulacaktır.

(5) Bu Kanunun kamu kurum ve kuruluşlarında uygulanmasına ilişkin koordinasyonu sağlamak üzere üst düzey bir yönetici atanacak ve bu Kanunun yayımlandığı tarihten itibaren bir yıl içinde Cumhurbaşkanlığına bildirilecektir.

(6) Birinci seçilen Başkan, İkinci Başkan ve oylama ile belirlenen iki üyenin görev süresi altı yıldır; kalan beş üyenin görev süresi ise dört yıldır.

(7) Kurumun bütçesi tahsis edilene kadar;

a) Kurumun harcamaları Başbakanlık bütçesinden karşılanacaktır.

b) Kurumun görevlerini yerine getirebilmesi için gerekli tüm destek hizmetleri (mekan, ekipman, mobilya ve donanım gibi) Başbakanlık tarafından sağlanacaktır.

(8) Kurumun hizmet birimleri tam olarak faaliyete geçene kadar Kurumun sekreterlik hizmetleri Başbakanlık ofisi tarafından yürütülecektir.

GEÇİCİ MADDE 2 – (Eklenme tarihi: 28/11/2017 – Madde 7061/120)

(1) Türkiye’de veya yurtdışında Yüksek Öğretim Kurulu tarafından akreditasyonu tanınmış olan Siyasal Bilimler, İktisat ve İdari Bilimler Fakülteleri, Hukuk ve İşletme Fakülteleri veya Mühendislik Fakültelerinin Elektronik veya Elektrik ve Elektronik Mühendisliği, Elektronik ve İletişim Mühendisliği, Bilgisayar Mühendisliği, Bilgi Sistemleri Mühendisliği bölümlerinden 4 yıllık lisans programından mezun olanlar; 657 Sayılı Kanun’un 36. maddesinin (A) fıkrasının (11) numaralı bendinde belirtilen görevlerde yıllık izinler hariç iki yıldan fazla hizmet etmiş olanlar, yabancı dil yeterlilik sınavında en az 70 puan almış olanlar ve 40 yaşından küçük olanlar Kişisel Veri Koruma Uzmanı olarak görevlendirilebilir. Bu konuda görevlendirilecek personel sayısı on beşi geçemez.

Yürürlüğe giriş

MADDE 32 – (1) Bu Kanun amaçları için;

a) 8, 9, 11, 13, 14, 15, 16, 17 ve 18. maddeler, yayımlandıkları tarihten itibaren altı ay sonra yürürlüğe girer.

b) Diğer maddeler yayımlandığı tarihte yürürlüğe girer.

Uygulama

MADDE 33 – (1) Bu kanunun hükümleri Bakanlar Kurulu tarafından uygulanır.

KAYNAK: Mevzuat.gov.tr