6698 Sayılı Kişisel Verilerin Korunması Kanununda Yapılan Değişiklikler

12.03.2024 tarih ve 32487 sayılı Resmi Gazete'de yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanununa ilişkin değişiklikler, 01.06.2024 tarihinde yürürlüğe girecektir. Bültenimizde söz konusu kanun hakkında yapılan değişiklikleri özetle sizlere aktarmak isteriz.

1-ÖZEL NİTELİKLİ KİŞİSEL VERİNİN İŞLENME ŞARTLARINA İLİŞKİN DEĞİŞİKLİKLER

Mevcut durumda sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler yalnızca Kişisel Verilerin Korunması Kanununun 6.maddesinde sayılan hallerin varlığı halinde açık rıza aranmaksızın işlenebilirken diğer özel nitelikli kişisel veriler kanunlarda öngörülen hâllerde ,ilgili kişinin açık rızası aranmaksızın işlenebilmekteydi. Kanun ile yapılan değişiklik ile birlikte sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler ile diğer özel nitelikli kişisel veriler arasındaki ayrım kaldırılmış olup tüm özel nitelikli kişisel verilerin işlenme şartları genişletilerek hüküm altına alınmıştır.

Kanun değişikliği ile özel nitelikli kişisel verilerin;

a- İlgili kişinin açık rızasının olması,

b- Kanunlarda açıkça öngörülmesi,

c- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

d- İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,

e- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,

f- Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,

g- İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,

h- Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak,

faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması,

durumları sayılarak kişisel verilerin işlenebileceği haller belirtilmiştir. Söz konusu düzenlemeler ile birlikte kişisel verilerin işlenme şartları için öngörülen hukuka uygunluk sebepleri Kanun ile yapılan değişiklik kapsamında genişletilmiştir.

Ayrıca yapılan değişiklikler ile birlikte çalışanların sağlık verilerinin işveren tarafından işlenmesi gibi pek çok zorunlu işleme süreci için artık açık rıza alınmasına gerek kalmamakla birlikte çalışma hayatı için gerekli olan iş sağlığı ve güvenliği ile ilgili istisnalar getirilmesi de büyük önem arz etmektedir.

2-KİŞİSEL VERİLERİN YURT DIŞINA AKTARIMINA İLİŞKİN DEĞİŞİKLİKLER

Yapılan değişiklik ile birlikte yurt dışına aktarım sistematiğinde önemli değişiklikler meydana gelmiş olup KVKK'nın 9. maddesi aşağıdaki şekilde değiştirilmiştir :

Kişisel veriler, KVKK'nın 5. ve 6. maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, uluslararası kuruluş veya ülke içerisindeki sektörler hakkında yeterlilik kararı bulunması halinde, veri sorumluları veya veri işleyenler tarafından yurt dışına aktarılabilecektir.

Burada önem arz eden durum ise mevcut hükümden farklı olarak yabancı ülkenin tamamı yerine, o ülke içerisindeki bir sektör veya uluslararası kuruluş özelinde de yeterlilik kararı verilebilmesine imkan tanınmaktadır

Yeterlilik kararı ise Kurul tarafından verilecek olup söz konusu kurulun ihtiyaç duyması halinde ilgili kurum ve kuruşlardan görüş almak suretiyle yeterlilik kararının en geç dört yılda bir değerlendirmesi yapılacaktır. Bu süre zarfında Kurul tarafından verilen yeterlilik kararının değerlendirilmemesi durumunda yeterlilik kararı ise geçerliliğini korumaya devam edecektir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde yeterlilik kararını ileriye etkili olmak üzere değiştirebilecek, askıya alabilecek veya kaldırabilecektir.

Yeterlilik kararı verilirken öncelikle aşağıdaki hususlar dikkate alınır:

- Kişisel verilerin aktarılacağı ülke, ülke içerisindeki sektörel veya uluslararası kuruluşlar ile Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.

- Kişisel verilerin aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin aktarılacağı uluslararası kuruluşun tabi olduğu kurallar.

- Kişisel verilerin aktarılacağı ülkede veya uluslararası kuruluşun tabi olduğu bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari veya adli başvuru yollarının bulunması.

- Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası kuruluşlara üye olma durumu

- Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye'nin üye olduğu küresel veya bölgesel kuruluşlara üye olma durumları dikkate alınacaktır.

3-KABAHATLER KAPSAMINDAKİ DEĞİŞİKLİKLER

KVKK'nın 9. maddesi ile kişisel verilerin yurt dışına aktarılması konusundaki anlayış kapsamında bir değişikliğe gidilmiş olup yeterlilik kararının bulunmaması durumunda belirtilen uygun güvencelerden biri olarak belirtilen “Kurul tarafından ilan edilen hususları ihtiva eden standart sözleşmenin varlığı.” uyarınca düzenlenen standart sözleşmenin akdedildiğine ilişkin olarak 5 (beş) iş günü içerisinde Kurum'a bildirim yapılması gerekmektedir.

KVKK'nın “Kabahatler” başlıklı 18. maddesi kapsamında yapılan değişiklik ile işbu bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezasına hükmolunacağı düzenlenmiş olup değişiklikten önce KVKK'nın 18/2. maddesi uyarınca idari para cezaları yalnızca veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanmakta iken yapılan değişiklik ile bildirim yükümlülüğüne ilişkin olarak öngörülen idari para cezasının veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanacağı düzenlenmiştir.

4-KURUL KARARLARINA KARŞI BAŞVURULACAK MAHKEMEDE DEĞİŞİKLİKLER

Kurulca verilen idari para cezası kararlarına karşın sulh ceza hâkimliğine başvuru yerine idare mahkemelerine dava açılması imkânı getirilmiştir. Her ne kadar bu düzenleme 1 Haziran 2024 tarihinde yürürlüğe girecekse de bu tarih itibarıyla sulh ceza hâkimlikleri önünde bulunan dosyalar, sulh ceza hâkimliklerce görülmeye devam edecek ve nihai karara bağlanacaktır.

- Bülten içeriği genel bilgilendirme amacıyla hazırlanmıştır. Eğer uyum ve hukuki danışmanlık konularında daha fazla bilgi edinmek veya uyum süreçlerine dahil olmak isterseniz, hukukçunuza danışınız.