KİŞİSEL VERİLERİN KORUNMASI KANUNU
Kanun Numarası: 6698
Kabul Tarihi: 24/3/2016
Yayımlandığı Resmî Gazete: Tarih : 7/4/2016Sayı: 29677
Yayımlandığı Düstur: Tertip : 5 Cilt: 57
BİRİNCİ BÖLÜM
Amaç, Kapsam ve Tanımlar
Amaç
MADDE 1- (1) Bu Kanunun amacı, kişisel verilerin işlenmesinde başta özel hayatıngizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyengerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.
Kapsam
MADDE 2- (1) Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile buverileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçasıolmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.
Tanımlar
MADDE 3- (1) Bu Kanunun uygulanmasında;
a) Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyleaçıklanan rızayı,
b) Anonim hâle getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbirsurette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâlegetirilmesini,
c) Başkan: Kişisel Verileri Koruma Kurumu Başkanını,
ç) İlgili kişi: Kişisel verisi işlenen gerçek kişiyi,
d) Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,
e) Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan yada herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla eldeedilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yenidendüzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi,sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen hertürlü işlemi,
f) Kurul: Kişisel Verileri Koruma Kurulunu,
g) Kurum: Kişisel Verileri Koruma Kurumunu,
ğ) Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişiselverileri işleyen gerçek veya tüzel kişiyi,
h) Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiğikayıt sistemini,
ı) Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, verikayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,
ifade eder.
İKİNCİ BÖLÜM
Kişisel Verilerin İşlenmesi
Genel ilkeler
MADDE 4- (1) Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usulve esaslara uygun olarak işlenebilir.
(2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:
a) Hukuka ve dürüstlük kurallarına uygun olma.
b) Doğru ve gerektiğinde güncel olma.
c) Belirli, açık ve meşru amaçlar için işlenme.
ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadarmuhafaza edilme.
Kişisel verilerin işlenme şartları
MADDE 5- (1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.
(2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızınkişisel verilerinin işlenmesi mümkündür:
a) Kanunlarda açıkça öngörülmesi.
b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veyarızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veyabeden bütünlüğünün korunması için zorunlu olması.
c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla,sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, verisorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Özel nitelikli kişisel verilerin işlenme şartları
MADDE 6- (1) Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini,mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı,cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik vegenetik verileri özel nitelikli kişisel veridir.
(2) (Mülga:2/3/2024-7499/33 md.)
(3) (Değişik:2/3/2024-7499/33 md.) Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi;
a) İlgili kişinin açık rızasının olması,
b) Kanunlarda açıkça öngörülmesi,
c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması,
halinde mümkündür.
(4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenenyeterli önlemlerin alınması şarttır.
Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi
MADDE 7- (1) Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmişolmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerresen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veyaanonim hâle getirilir.
(2) Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkindiğer kanunlarda yer alan hükümler saklıdır.
(3) Kişisel verilerin silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkinusul ve esaslar yönetmelikle düzenlenir.
Kişisel verilerin aktarılması
MADDE 8- (1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz.
(2) Kişisel veriler;
a) 5 inci maddenin ikinci fıkrasında,
b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında,
belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızınaktarılabilir.
(3) Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.
Kişisel verilerin yurt dışına aktarılması
MADDE 9- (Değişik:2/3/2024-7499/34 md.)
(1) Kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.
(2) Yeterlilik kararı, Kurul tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.
(3) Yeterlilik kararı verilirken öncelikle aşağıdaki hususlar dikkate alınır:
a) Kişisel verilerin aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.
b) Kişisel verilerin aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar.
c) Kişisel verilerin aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması.
ç) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası kuruluşlara üye olma durumu.
d) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye’nin üye olduğu küresel veya bölgesel kuruluşlara üye olma durumu.
e) Türkiye’nin taraf olduğu uluslararası sözleşmeler.
(4) Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir:
a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.
b) Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.
c) Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.
ç) Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.
(5) Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.
(6) Veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir:
a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.
b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.
c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.
ç) Aktarımın üstün bir kamu yararı için zorunlu olması.
d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.
e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.
f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.
(7) Altıncı fıkranın (a), (b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz.
(8) Veri sorumlusu ve veri işleyenler tarafından, yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da bu Kanunda yer alan güvenceler sağlanır ve bu madde hükümleri uygulanır.
(9) Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.
(10) Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.
(11) Bu maddenin uygulanmasına ilişkin usul ve esaslar yönetmelikle düzenlenir.
ÜÇÜNCÜ BÖLÜM
Haklar ve Yükümlülükler
Veri sorumlusunun aydınlatma yükümlülüğü
MADDE 10- (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veyayetkilendirdiği kişi, ilgili kişilere;
a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
b) Kişisel verilerin hangi amaçla işleneceği,
c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,
d) 11 inci maddede sayılan diğer hakları,
konusunda bilgi vermekle yükümlüdür.
İlgili kişinin hakları
MADDE 11- (1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;
a) Kişisel veri işlenip işlenmediğini öğrenme,
b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıpkullanılmadığını öğrenme,
ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesiniisteme,
e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yokedilmesini isteme,
f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncükişilere bildirilmesini isteme,
g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiylekişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlindezararın giderilmesini talep etme,
haklarına sahiptir.
Veri güvenliğine ilişkin yükümlülükler
MADDE 12- (1) Veri sorumlusu;
a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
c) Kişisel verilerin muhafazasını sağlamak,
amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik veidari tedbirleri almak zorundadır.
(2) Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişitarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bukişilerle birlikte müştereken sorumludur.
(3) Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerininuygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.
(4) Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanunhükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Buyükümlülük görevden ayrılmalarından sonra da devam eder.
(5) İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesihâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul,gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka biryöntemle ilan edebilir.
DÖRDÜNCÜ BÖLÜM
Başvuru, Şikâyet ve Veri Sorumluları Sicili
Veri sorumlusuna başvuru
MADDE 13- (1) İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarakveya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir.
(2) Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa süredeve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyetigerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir.
(3) Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabınıilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Başvuruda yer alan talebin kabuledilmesi hâlinde veri sorumlusunca gereği yerine getirilir. Başvurunun veri sorumlusununhatasından kaynaklanması hâlinde alınan ücret ilgiliye iade edilir.
Kurula şikâyet
MADDE 14- (1) Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veyasüresinde başvuruya cevap verilmemesi hâllerinde; ilgili kişi, veri sorumlusunun cevabınıöğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içindeKurula şikâyette bulunabilir.
(2) 13 üncü madde uyarınca başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz.
(3) Kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklıdır.
Şikâyet üzerine veya resen incelemenin usul ve esasları
MADDE 15- (1) Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumundaresen, görev alanına giren konularda gerekli incelemeyi yapar.
(2) 1/11/1984 tarihli ve 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanunun 6ncı maddesinde belirtilen şartları taşımayan ihbar veya şikâyetler incelemeye alınmaz.
(3) Devlet sırrı niteliğindeki bilgi ve belgeler hariç; veri sorumlusu, Kurulun, incelemekonusuyla ilgili istemiş olduğu bilgi ve belgeleri on beş gün içinde göndermek vegerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır.
(4) Şikâyet üzerine Kurul, talebi inceleyerek ilgililere bir cevap verir. Şikâyettarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır.
(5) Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin varlığınınanlaşılması hâlinde Kurul, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafındangiderilmesine karar vererek ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin veen geç otuz gün içinde yerine getirilir.
(6) Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin yaygın olduğununtespit edilmesi hâlinde Kurul, bu konuda ilke kararı alır ve bu kararı yayımlar. Kurul, ilkekararı almadan önce ihtiyaç duyması hâlinde, ilgili kurum ve kuruluşların görüşlerini dealabilir.
(7) Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılıkolması hâlinde, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına kararverebilir.
Veri Sorumluları Sicili
MADDE 16- (1) Kurulun gözetiminde, Başkanlık tarafından kamuya açık olarak VeriSorumluları Sicili tutulur.
(2) Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce VeriSorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veriişlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulcabelirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri SorumlularıSiciline kayıt zorunluluğuna istisna getirilebilir.
(3) Veri Sorumluları Siciline kayıt başvurusu aşağıdaki hususları içeren bir bildirimleyapılır:
a) Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri.
b) Kişisel verilerin hangi amaçla işleneceği.
c) Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındakiaçıklamalar.
ç) Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları.
d) Yabancı ülkelere aktarımı öngörülen kişisel veriler.
e) Kişisel veri güvenliğine ilişkin alınan tedbirler.
f) Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.
(4) Üçüncü fıkra uyarınca verilen bilgilerde meydana gelen değişiklikler derhâlBaşkanlığa bildirilir.
(5) Veri Sorumluları Siciline ilişkin diğer usul ve esaslar yönetmelikle düzenlenir.
BEŞİNCİ BÖLÜM
Suçlar ve Kabahatler
Suçlar
MADDE 17- (1) Kişisel verilere ilişkin suçlar bakımından 26/9/2004 tarihli ve 5237sayılı Türk Ceza Kanununun 135 ila 140 ıncı madde hükümleri uygulanır.
(2) Bu Kanunun 7 nci maddesi hükmüne aykırı olarak; kişisel verileri silmeyen veyaanonim hâle getirmeyenler 5237 sayılı Kanunun 138 inci maddesine göre cezalandırılır.
Kabahatler
MADDE 18- (1) Bu Kanunun;
a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenlerhakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar,
b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerinegetirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar,
c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenlerhakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar,
ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirimyükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türklirasına kadar,
d) (Ek:2/3/2024-7499/35 md.) 9 uncu maddenin beşinci fıkrasında öngörülen bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar,
idari para cezası verilir.
(2) (Değişik:2/3/2024-7499/35 md.) Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.
(3) (Ek:2/3/2024-7499/35 md.) Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.
(4) Birinci fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumuniteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirimüzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileriile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplinhükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.
ALTINCI BÖLÜM
Kişisel Verileri Koruma Kurumu ve Teşkilat
Kişisel Verileri Koruma Kurumu
MADDE 19- (1) Bu Kanunla verilen görevleri yerine getirmek üzere, idari ve maliözerkliğe sahip ve kamu tüzel kişiliğini haiz Kişisel Verileri Koruma Kurumu kurulmuştur.
(2) Kurum Cumhurbaşkanının görevlendireceği bakan ile ilişkilidir.
(3) Kurumun merkezi Ankara’dadır.
(4) Kurum, Kurul ve Başkanlıktan oluşur. Kurumun karar organı Kuruldur.
Kurumun görevleri
MADDE 20- (1) Kurumun görevleri şunlardır:
a) Görev alanı itibarıyla, uygulamaları ve mevzuattaki gelişmeleri takip etmek,değerlendirme ve önerilerde bulunmak, araştırma ve incelemeler yapmak veya yaptırmak.
b) İhtiyaç duyulması hâlinde, görev alanına giren konularda kamu kurum vekuruluşları, sivil toplum kuruluşları, meslek örgütleri veya üniversitelerle iş birliği yapmak.
c) Kişisel verilerle ilgili uluslararası gelişmeleri izlemek ve değerlendirmek, görevalanına giren konularda uluslararası kuruluşlarla iş birliği yapmak, toplantılara katılmak.
ç) Yıllık faaliyet raporunu Cumhurbaşkanlığına, Türkiye Büyük Millet Meclisi İnsanHaklarını İnceleme Komisyonuna (…) sunmak.
d) Kanunlarla verilen diğer görevleri yerine getirmek.
Kişisel Verileri Koruma Kurulu
MADDE 21- (1) Kurul, bu Kanunla ve diğer mevzuatla verilen görev ve yetkilerinikendi sorumluluğu altında, bağımsız olarak yerine getirir ve kullanır. Görev alanına girenkonularla ilgili olarak hiçbir organ, makam, merci veya kişi, Kurula emir ve talimat veremez,tavsiye veya telkinde bulunamaz.
(2) Kurul, dokuz üyeden oluşur. Kurulun beş üyesi Türkiye Büyük Millet Meclisi, dörtüyesi Cumhurbaşkanı tarafından seçilir.
(3) Kurula üye olabilmek için aşağıdaki şartlar aranır:
a) Kurumun görev alanındaki konularda bilgi ve deneyim sahibi olmak.
b) 14/7/1965 tarihli ve 657 sayılı Devlet Memurları Kanununun 48 inci maddesininbirinci fıkrasının (A) bendinin (1), (4), (5), (6) ve (7) numaralı alt bentlerinde belirtilennitelikleri taşımak.
c) Herhangi bir siyasi parti üyesi olmamak.
ç) En az dört yıllık lisans düzeyinde yükseköğrenim görmüş olmak.
d) (Mülga: 2/7/2018-KHK-703/163 md.)
(4) (Mülga: 2/7/2018-KHK-703/163 md.)
(5) Türkiye Büyük Millet Meclisi, Kurula üye seçimini aşağıdaki usulle yapar:
a) Seçim için, siyasi parti gruplarının üye sayısı oranında belirlenecek üye sayısınınikişer katı aday gösterilir ve Kurul üyeleri bu adaylar arasından her siyasi parti grubuna düşenüye sayısı esas alınmak suretiyle Türkiye Büyük Millet Meclisi Genel Kurulunca seçilir.Ancak, siyasi parti gruplarında, Türkiye Büyük Millet Meclisinde yapılacak seçimlerde kimeoy kullanılacağına dair görüşme yapılamaz ve karar alınamaz.
b) Kurul üyelerinin seçimi, adayların belirlenerek ilanından sonra on gün içindeyapılır. Siyasi parti grupları tarafından gösterilen adaylar için ayrı ayrı listeler hâlinde birleşikoy pusulası düzenlenir. Adayların adlarının karşısındaki özel yer işaretlenmek suretiyle oykullanılır. Siyasi parti gruplarının ikinci fıkraya göre belirlenen kontenjanlarından Kurulaseçilecek üyelerin sayısından fazla verilen oylar geçersiz sayılır.
c) Karar yeter sayısı olmak şartıyla seçimde en çok oyu alan boş üyelik sayısı kadaraday seçilmiş olur.
ç) Üyelerin görev sürelerinin bitiminden iki ay önce; üyeliklerde herhangi bir sebepleboşalma olması hâlinde, boşalma tarihinden veya boşalma tarihinde Türkiye Büyük MilletMeclisi tatilde ise tatilin bitiminden itibaren bir ay içinde aynı usulle seçim yapılır. Buseçimlerde, boşalan üyeliklerin siyasi parti gruplarına dağılımı, ilk seçimde siyasi partigrupları kontenjanından seçilen üye sayısı ve siyasi parti gruplarının hâlihazırdaki oranıdikkate alınmak suretiyle yapılır.
(6) Cumhurbaşkanı (…) tarafından seçilen üyelerden birinin görev süresininbitiminden kırk beş gün önce veya herhangi bir sebeple görevin sona ermesi hâlinde durum,on beş gün içinde Kurum tarafından, Cumhurbaşkanlığına (…)6 bildirilir. Üyelerin görevsüresinin dolmasına bir ay kala yeni üye seçimi yapılır. Bu üyeliklerde, görev süresi dolmadanherhangi bir sebeple boşalma olması hâlinde ise bildirimden itibaren on beş gün içinde seçimyapılır.
(7) Kurul, üyeleri arasından Başkan ve İkinci Başkanı seçer. Kurulun Başkanı,Kurumun da başkanıdır.
(8) Kurul üyelerinin görev süresi dört yıldır. Süresi biten üye yeniden seçilebilir.Görev süresi dolmadan herhangi bir sebeple görevi sona eren üyenin yerine seçilen kişi,yerine seçildiği üyenin kalan süresini tamamlar.
(9) Seçilen üyeler Yargıtay Birinci Başkanlık Kurulu huzurunda “Görevimi Anayasayave kanunlara uygun olarak, tam bir tarafsızlık, dürüstlük, hakkaniyet ve adalet anlayışı içindeyerine getireceğime, namusum ve şerefim üzerine yemin ederim.” şeklinde yemin ederler.Yargıtaya yemin için yapılan başvuru acele işlerden sayılır.
(10) Kurul üyeleri özel bir kanuna dayanmadıkça, Kuruldaki resmî görevlerininyürütülmesi dışında resmî veya özel hiçbir görev alamaz, dernek, vakıf, kooperatif ve benzeriyerlerde yöneticilik yapamaz, ticaretle uğraşamaz, serbest meslek faaliyetinde bulunamaz,hakemlik ve bilirkişilik yapamazlar. Ancak, Kurul üyeleri, asli görevlerini aksatmayacakşekilde bilimsel amaçlı yayın yapabilir, ders ve konferans verebilir ve bunlardan doğacak telifhakları ile ders ve konferans ücretlerini alabilirler.
(11) Üyelerin görevleri sebebiyle işledikleri iddia edilen suçlara ilişkin soruşturmalar2/12/1999 tarihli ve 4483 sayılı Memurlar ve Diğer Kamu Görevlilerinin YargılanmasıHakkında Kanuna göre yapılır ve bunlar hakkında soruşturma izni Cumhurbaşkanı tarafındanverilir.
(12) Kurul üyeleri hakkında yapılacak disiplin soruşturması ve kovuşturmasında 657sayılı Kanun hükümleri uygulanır.
(13) Kurul üyelerinin süreleri dolmadan herhangi bir nedenle görevlerine sonverilemez. Kurul üyelerinin;
a) Seçilmek için gereken şartları taşımadıklarının sonradan anlaşılması,
b) Görevleriyle ilgili olarak işledikleri suçlardan dolayı haklarında verilenmahkûmiyet kararının kesinleşmesi,
c) Görevlerini yerine getiremeyeceklerinin sağlık kurulu raporuyla kesin olarak tespitedilmesi,
ç) Görevlerine izinsiz, mazeretsiz ve kesintisiz olarak on beş gün ya da bir yıldatoplam otuz gün süreyle devam etmediklerinin tespit edilmesi,
d) Bir ay içinde izinsiz ve mazeretsiz olarak toplam üç, bir yıl içinde toplam on Kurultoplantısına katılmadıklarının tespit edilmesi,
hâllerinde Kurul kararıyla üyelikleri sona erer.
(14) Kurul üyeliğine seçilenlerin Kurulda görev yaptıkları sürece önceki görevleri ileolan ilişikleri kesilir. Kamu görevlisi iken üyeliğe seçilenler, memuriyete giriş şartlarınıkaybetmemeleri kaydıyla, görev sürelerinin sona ermesi veya görevden ayrılma isteğindebulunmaları ve otuz gün içinde eski kurumlarına başvurmaları durumunda atamaya yetkilimakam tarafından bir ay içinde mükteseplerine uygun bir kadroya atanır. Atamagerçekleşinceye kadar, bunların almakta oldukları her türlü ödemelerin Kurum tarafındanödenmesine devam olunur. Bir kamu kurumunda çalışmayanlardan üyeliğe seçilip yukarıdabelirtilen şekilde görevi sona erenlere herhangi bir görev veya işe başlayıncaya kadar, almaktaoldukları her türlü ödemeler Kurum tarafından ödenmeye devam edilir ve bu şekilde üyeliğisona erenlere Kurum tarafından yapılacak ödeme üç ayı geçemez. Bunların Kurumdageçirdiği süreler, özlük ve diğer hakları açısından önceki kurum veya kuruluşlarındageçirilmiş sayılır.
Kurulun görev ve yetkileri
MADDE 22- (1) Kurulun görev ve yetkileri şunlardır:
a) Kişisel verilerin, temel hak ve özgürlüklere uygun şekilde işlenmesini sağlamak.
b) Kişisel verilerle ilgili haklarının ihlal edildiğini ileri sürenlerin şikâyetlerini kararabağlamak.
c) Şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen görev alanına girenkonularda kişisel verilerin kanunlara uygun olarak işlenip işlenmediğini incelemek vegerektiğinde bu konuda geçici önlemler almak.
ç) Özel nitelikli kişisel verilerin işlenmesi için aranan yeterli önlemleri belirlemek.
d) Veri Sorumluları Sicilinin tutulmasını sağlamak.
e) Kurulun görev alanı ile Kurumun işleyişine ilişkin konularda gerekli düzenleyiciişlemleri yapmak.
f) Veri güvenliğine ilişkin yükümlülükleri belirlemek amacıyla düzenleyici işlemyapmak.
g) Veri sorumlusunun ve temsilcisinin görev, yetki ve sorumluluklarına ilişkindüzenleyici işlem yapmak.
ğ) Bu Kanunda öngörülen idari yaptırımlara karar vermek.
h) Diğer kurum ve kuruluşlarca hazırlanan ve kişisel verilere ilişkin hüküm içerenmevzuat taslakları hakkında görüş bildirmek.
ı) Kurumun; stratejik planını karara bağlamak, amaç ve hedeflerini, hizmet kalitestandartlarını ve performans kriterlerini belirlemek.
i) Kurumun stratejik planı ile amaç ve hedeflerine uygun olarak hazırlanan bütçeteklifini görüşmek ve karara bağlamak.
j) Kurumun performansı, mali durumu, yıllık faaliyetleri ve ihtiyaç duyulan konularhakkında hazırlanan rapor taslaklarını onaylamak ve yayımlamak.
k) Taşınmaz alımı, satımı ve kiralanması konularındaki önerileri görüşüp kararabağlamak.
l) Kanunlarla verilen diğer görevleri yerine getirmek.
Kurulun çalışma esasları
MADDE 23- (1) Kurulun toplantı günlerini ve gündemini Başkan belirler. Başkangereken hâllerde Kurulu olağanüstü toplantıya çağırabilir.
(2) Kurul, başkan dâhil en az altı üye ile toplanır ve üye tam sayısının saltçoğunluğuyla karar alır. Kurul üyeleri çekimser oy kullanamaz.
(3) Kurul üyeleri; kendilerini, üçüncü dereceye kadar kan ve ikinci dereceye kadarkayın hısımlarını, evlatlıklarını ve aralarındaki evlilik bağı kalkmış olsa bile eşleriniilgilendiren konularla ilgili toplantı ve oylamaya katılamaz.
(4) Kurul üyeleri çalışmaları sırasında ilgililere ve üçüncü kişilere ait öğrendiklerisırları bu konuda kanunen yetkili kılınan mercilerden başkasına açıklayamazlar ve kendiyararlarına kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.
(5) Kurulda görüşülen işler tutanağa bağlanır. Kararlar ve varsa karşı oy gerekçelerikarar tarihinden itibaren en geç on beş gün içinde yazılır. Kurul, gerekli gördüğü kararlarıkamuoyuna duyurur.
(6) Aksi kararlaştırılmadıkça, Kurul toplantılarındaki görüşmeler gizlidir.
(7) Kurulun çalışma usul ve esasları ile kararların yazımı ve diğer hususlaryönetmelikle düzenlenir.
Başkan
MADDE 24- (1) Başkan, Kurul ve Kurumun başkanı sıfatıyla Kurumun en üst amiriolup Kurum hizmetlerini mevzuata, Kurumun amaç ve politikalarına, stratejik planına,performans ölçütlerine ve hizmet kalite standartlarına uygun olarak düzenler, yürütür vehizmet birimleri arasında koordinasyonu sağlar.
(2) Başkan, Kurumun genel yönetim ve temsilinden sorumludur. Bu sorumluluk,Kurum çalışmalarının düzenlenmesi, yürütülmesi, denetlenmesi, değerlendirilmesi vegerektiğinde kamuoyuna duyurulması görev ve yetkilerini kapsar.
(3) Başkanın görevleri şunlardır:
a) Kurul toplantılarını idare etmek.
b) Kurul kararlarının tebliğini ve Kurulca gerekli görülenlerin kamuoyunaduyurulmasını sağlamak ve uygulanmalarını izlemek.
c) Başkan Yardımcısını, daire başkanlarını ve Kurum personelini atamak.
ç) Hizmet birimlerinden gelen önerilere son şeklini vererek Kurula sunmak.
d) Stratejik planın uygulanmasını sağlamak, hizmet kalite standartları doğrultusundainsan kaynakları ve çalışma politikalarını oluşturmak.
e) Belirlenen stratejilere, yıllık amaç ve hedeflere uygun olarak Kurumun yıllık bütçesiile mali tablolarını hazırlamak.
f) Kurul ve hizmet birimlerinin uyumlu, verimli, disiplinli ve düzenli bir biçimdeçalışması amacıyla koordinasyonu sağlamak.
g) Kurumun diğer kuruluşlarla ilişkilerini yürütmek.
ğ) Kurum Başkanı adına imzaya yetkili personelin görev ve yetki alanını belirlemek.
h) Kurumun yönetim ve işleyişine ilişkin diğer görevleri yerine getirmek.
(4) Kurum Başkanının yokluğunda İkinci Başkan, Başkana vekalet eder.
Başkanlığın oluşumu ve görevleri
MADDE 25- (1) Başkanlık; Başkan Yardımcısı ve hizmet birimlerinden oluşur.Başkanlık, dördüncü fıkrada sayılan görevleri daire başkanlıkları şeklinde teşkilatlananhizmet birimleri aracılığıyla yerine getirir. Daire başkanlıklarının sayısı yediyi geçemez.
(2) Başkan tarafından, Kuruma ilişkin görevlerinde yardımcı olmak üzere bir BaşkanYardımcısı atanır.
(3) Başkan Yardımcısı ve daire başkanları; en az dört yıllık yükseköğretim kurumumezunu, on yıl süreyle kamu hizmetinde bulunan kişiler arasından Başkan tarafından atanır.
(4) Başkanlığın görevleri şunlardır:
a) Veri Sorumluları Sicilini tutmak.
b) Kurumun ve Kurulun büro ve sekretarya işlemlerini yürütmek.
c) Kurumun taraf olduğu davalar ile icra takiplerinde avukatlar vasıtasıyla Kurumutemsil etmek, davaları takip etmek veya ettirmek, hukuk hizmetlerini yürütmek.
ç) Kurul üyeleri ile Kurumda görev yapanların özlük işlemlerini yürütmek.
d) Kanunlarla mali hizmet ve strateji geliştirme birimlerine verilen görevleri yapmak.
e) Kurumun iş ve işlemlerinin yürütülmesi amacıyla bilişim sisteminin kurulmasını vekullanılmasını sağlamak.
f) Kurulun yıllık faaliyetleri hakkında veya ihtiyaç duyulan konularda raportaslaklarını hazırlamak ve Kurula sunmak.
g) Kurumun stratejik plan taslağını hazırlamak.
ğ) Kurumun personel politikasını belirlemek, personelin kariyer ve eğitim planlarınıhazırlamak ve uygulamak.
h) Personelin atama, nakil, disiplin, performans, terfi, emeklilik ve benzeri işlemleriniyürütmek.
ı) Personelin uyacağı etik kuralları belirlemek ve gerekli eğitimi vermek.
i) 10/12/2003 tarihli ve 5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanunuçerçevesinde Kurumun ihtiyacı olan her türlü satın alma, kiralama, bakım, onarım, yapım,arşiv, sağlık, sosyal ve benzeri hizmetleri yürütmek.
j) Kuruma ait taşınır ve taşınmazların kayıtlarını tutmak.
k) Kurul veya Başkan tarafından verilen diğer görevleri yapmak.
(5) Hizmet birimleri ile bu birimlerin çalışma usul ve esasları, bu Kanunda belirtilenfaaliyet alanı, görev ve yetkilere uygun olarak Kurumun teklifi üzerine Cumhurbaşkanıncayürürlüğe konulan yönetmelikle belirlenir.
Kişisel Verileri Koruma Uzmanı ve uzman yardımcıları
MADDE 26- (1) Kurumda, Kişisel Verileri Koruma Uzmanı ve Kişisel VerileriKoruma Uzman Yardımcısı istihdam edilebilir. Bunlardan 657 sayılı Kanunun ek 41 incimaddesi çerçevesinde Kişisel Verileri Koruma Uzmanı kadrosuna atananlara bir defayamahsus olmak üzere bir derece yükseltilmesi uygulanır.
Personele ve özlük haklarına ilişkin hükümler
MADDE 27- (1) Kurum personeli, bu Kanunla düzenlenen hususlar dışında 657 sayılıKanuna tabidir.
(2) Kurul Başkan ve üyeleri ile Kurum personeline 27/6/1989 tarihli ve 375 sayılıKanun Hükmünde Kararnamenin ek 11 inci maddesi uyarınca belirlenmiş emsali personelemali ve sosyal haklar kapsamında yapılan ödemeler aynı usul ve esaslar çerçevesinde ödenir.Emsali personele yapılan ödemelerden vergi ve diğer yasal kesintilere tabi olmayanlar buKanuna göre de vergi ve diğer kesintilere tabi olmaz.
(3) Kurul Başkan ve üyeleri ile Kurum personeli 31/5/2006 tarihli ve 5510 sayılıSosyal Sigortalar ve Genel Sağlık Sigortası Kanununun 4 üncü maddesinin birinci fıkrasının(c) bendi hükümlerine tabidir. Kurul Başkan ve üyeleri ile Kurum personeli emeklilik haklarıbakımından da emsali olarak belirlenen personel ile denk kabul edilir. 5510 sayılı Kanunun 4üncü maddesinin birinci fıkrasının (c) bendi kapsamında sigortalı iken Kurul Başkanı veüyeliklerine atananlardan bu görevleri sona erenler veya bu görevlerinden ayrılma isteğindebulunanların bu görevlerde geçen hizmet süreleri kazanılmış hak aylık, derece vekademelerinin tespitinde dikkate alınır. Bunlardan bu görevleri sırasında 5510 sayılı Kanunungeçici 4 üncü maddesi kapsamına girenlerin bu görevlerde geçen süreleri makam tazminatı iletemsil tazminatı ödenmesi gereken süre olarak değerlendirilir. Kamu kurum ve kuruluşlarında5510 sayılı Kanunun 4 üncü maddesinin birinci fıkrasının (a) bendi kapsamında sigortalı ikenKurul Başkanı ve üyeliklerine atananların, önceki kurum ve kuruluşları ile ilişiklerininkesilmesi kendilerine kıdem tazminatı veya iş sonu tazminatı ödenmesini gerektirmez. Budurumda olanların kıdem tazminatı veya iş sonu tazminatı ödenmesi gereken hizmet süreleri,Kurul Başkanı ile Kurul üyeliği olarak geçen hizmet süreleri ile birleştirilir ve emeklilikikramiyesi ödenecek süre olarak değerlendirilir.
(4) Merkezi yönetim kapsamındaki kamu idarelerinde, sosyal güvenlik kurumlarında,mahallî idarelerde, mahallî idarelere bağlı idarelerde, mahallî idare birliklerinde, dönersermayeli kuruluşlarda, kanunlarla kurulan fonlarda, kamu tüzel kişiliğini haiz kuruluşlarda,sermayesinin yüzde ellisinden fazlası kamuya ait kuruluşlarda, iktisadi devlet teşekkülleri vekamu iktisadi kuruluşları ile bunlara bağlı ortaklıklar ve müesseselerde görevli memurlar ilediğer kamu görevlileri kurumlarının muvafakati, hâkimler ve savcılar ise kendilerininmuvafakati ile aylık, ödenek, her türlü zam ve tazminatlar ile diğer mali ve sosyal hak veyardımları kurumlarınca ödenmek kaydıyla geçici olarak Kurumda görevlendirilebilir.Kurumun bu konudaki talepleri, ilgili kurum ve kuruluşlarca öncelikle sonuçlandırılır. Buşekilde görevlendirilen personel, kurumlarından aylıklı izinli sayılır. Bu personelin izinlioldukları sürece memuriyetleri ile ilgileri ve özlük hakları devam ettiği gibi, bu süreleryükselme ve emekliliklerinde de hesaba katılır ve yükselmeleri başkaca bir işleme gerekduyulmadan süresinde yapılır. Bu madde kapsamında görevlendirilenlerin, Kurumdageçirdikleri süreler, kendi kurumlarında geçirilmiş sayılır. Bu şekilde görevlendirilenlerinsayısı Kişisel Verileri Koruma Uzmanı ve Kişisel Verileri Koruma Uzman Yardımcısı toplamkadro sayısının yüzde onunu aşamaz ve görevlendirme süresi iki yılı geçemez. Ancak ihtiyaçhâlinde bu süre bir yıllık dönemler hâlinde uzatılabilir.
(5) Kurumda istihdam edilecek personele ilişkin kadro unvan ve sayıları ekli (I) sayılıcetvelde gösterilmiştir. Toplam kadro sayısını geçmemek üzere 13/12/1983 tarihli ve 190sayılı Genel Kadro ve Usulü Hakkında Kanun Hükmünde Kararnamenin eki cetvellerde yeralan kadro unvanlarıyla sınırlı olmak kaydıyla unvan ve derece değişikliği yapma, yeni unvanekleme ve boş kadroların iptali Kurul kararıyla yapılır.
YEDİNCİ BÖLÜM
Çeşitli Hükümler
İstisnalar
MADDE 28- (1) Bu Kanun hükümleri aşağıdaki hâllerde uygulanmaz:
a) Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkinyükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynıkonutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.
b) Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma,planlama ve istatistik gibi amaçlarla işlenmesi.
c) Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini,ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suçteşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğükapsamında işlenmesi.
ç) Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzeniniveya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamukurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetlerkapsamında işlenmesi.
d) Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkinolarak yargı makamları veya infaz mercileri tarafından işlenmesi.
(2) Bu Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla verisorumlusunun aydınlatma yükümlülüğünü düzenleyen 10 uncu, zararın giderilmesini talepetme hakkı hariç, ilgili kişinin haklarını düzenleyen 11 inci ve Veri Sorumluları Siciline kayıtyükümlülüğünü düzenleyen 16 ncı maddeleri aşağıdaki hâllerde uygulanmaz:
a) Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması içingerekli olması.
b) İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
c) Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamukurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veyadüzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekliolması.
ç) Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletinekonomik ve mali çıkarlarının korunması için gerekli olması.
Kurumun bütçesi ve gelirleri
MADDE 29- (1) Kurumun bütçesi, 5018 sayılı Kanunda belirlenen usul ve esaslaragöre hazırlanır ve kabul edilir.
(2) Kurumun gelirleri şunlardır:
a) Genel bütçeden yapılacak hazine yardımları.
b) Kuruma ait taşınır ve taşınmazlardan elde edilen gelirler.
c) Alınan bağış ve yardımlar.
ç) Gelirlerinin değerlendirilmesinden elde edilen gelirler.
d) Diğer gelirler.
Değiştirilen ve eklenen hükümler
MADDE 30- (1) (10/12/2003 tarihli ve 5018 sayılı Kanun ile ilgili olup yerineişlenmiştir.)
(2) ila (5) - (26/9/2004 tarihli ve 5237 sayılı Kanun ile ilgili olup yerine işlenmiştir.)
(6) (7/5/1987 tarihli ve 3359 sayılı Sağlık Hizmetleri Temel Kanunu ile ilgili olupyerine işlenmiştir.)
(7) (11/10/2011 tarihli ve 663 sayılı Sağlık Bakanlığı ve Bağlı KuruluşlarınınTeşkilat ve Görevleri Hakkında Kanun Hükmünde Kararname ile ilgili olup yerineişlenmiştir.)
Yönetmelik
MADDE 31- (1) Bu Kanunun uygulanmasına ilişkin yönetmelikler Kurum tarafındanyürürlüğe konulur.
Geçiş hükümleri
GEÇİCİ MADDE 1- (1) Bu Kanunun yayımı tarihinden itibaren altı ay içinde 21 incimaddede öngörülen usule göre Kurul üyeleri seçilir ve Başkanlık teşkilatı oluşturulur.
(2) Veri sorumluları, Kurul tarafından belirlenen ve ilan edilen süre içinde VeriSorumluları Siciline kayıt yaptırmak zorundadır.
(3) Bu Kanunun yayımı tarihinden önce işlenmiş olan kişisel veriler, yayımı tarihindenitibaren iki yıl içinde bu Kanun hükümlerine uygun hâle getirilir. Bu Kanun hükümlerineaykırı olduğu tespit edilen kişisel veriler derhâl silinir, yok edilir veya anonim hâle getirilir.Ancak bu Kanunun yayımı tarihinden önce hukuka uygun olarak alınmış rızalar, bir yıl içindeaksine bir irade beyanında bulunulmaması hâlinde, bu Kanuna uygun kabul edilir.
(4) Bu Kanunda öngörülen yönetmelikler bu Kanunun yayımı tarihinden itibaren biryıl içinde yürürlüğe konulur.
(5) Bu Kanunun yayımı tarihinden itibaren bir yıl içinde, kamu kurum vekuruluşlarında bu Kanunun uygulanmasıyla ilgili koordinasyonu sağlamak üzere üst düzey biryönetici belirlenerek Başkanlığa bildirilir.
(6) İlk seçilen Başkan, İkinci Başkan ve kura ile belirlenen iki üye altı yıl; diğer beşüye ise dört yıl görev yapar.
(7) Kuruma bütçe tahsis edilene kadar;
a) Kurumun giderleri Başbakanlık bütçesinden karşılanır.
b) Kurumun hizmetlerini yerine getirmesi amacıyla bina, araç, gereç, mefruşat vedonanım gibi gerekli tüm destek hizmetleri Başbakanlıkça sağlanır.
(8) Kurumun hizmet birimleri faaliyete geçinceye kadar sekretarya hizmetleriBaşbakanlık tarafından yerine getirilir.
GEÇİCİ MADDE 2- (Ek:28/11/2017-7061/120 md.)
(1) En az dört yıllık lisans öğrenimi veren siyasal bilgiler, iktisadi ve idari bilimler,iktisat, hukuk ve işletme fakültelerinden, mühendislik fakültelerinin elektronik, elektrik-elektronik, elektronik ve haberleşme, bilgisayar, bilişim sistemleri mühendisliğibölümlerinden ya da bunlara denkliği Yükseköğretim Kurulu tarafından kabul edilen yurt içive yurt dışındaki yükseköğrenim kurumlarından mezun olanlardan; mesleğe özel yarışmasınavı ile girilen ve belirli süreli meslek içi eğitimden ve özel bir yeterlik sınavından sonra657 sayılı Kanunun 36 ncı maddesinin “Ortak Hükümler” başlıklı bölümünün (A) fıkrasının(11) numaralı bendinde belirtilen unvanlara ilişkin kurumların merkez teşkilatlarına aitkadrolara atanmış ve bu kadrolarda aylıksız izin süreleri hariç en az iki yıl bulunmuş olanlarile öğretim üyesi kadrolarında bulunanlar, Yabancı Dil Bilgisi Seviye Tespit Sınavından en azyetmiş puan almış olmak ve atama tarihi itibarıyla kırk yaşından gün almamış olmakkaydıyla, bu maddenin yürürlüğe girdiği tarihten itibaren bir yıl içinde Kişisel VerileriKoruma Uzmanı olarak atanabilirler. Bu şekilde atanacakların sayısı on beşi geçemez.
GEÇİCİ MADDE 3- (Ek:2/3/2024-7499/36 md.)
(1) 9 uncu maddenin bu maddeyi ihdas eden Kanunla değiştirilmeden önceki birinci fıkrası, maddenin yürürlüğe giren değişik haliyle birlikte 1/9/2024 tarihine kadar uygulanmaya devam olunur.
(2) 1/6/2024 tarihi itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvurular, bu hâkimliklerce görülmeye devam olunur.
Yürürlük
MADDE 32- (1) Bu Kanunun;
a) 8 inci, 9 uncu, 11 inci, 13 üncü, 14 üncü, 15 inci, 16 ncı, 17 nci ve 18 inci maddeleriyayımı tarihinden altı ay sonra,
b) Diğer maddeleri ise yayımı tarihinde,
yürürlüğe girer.
Yürütme
MADDE 33- (1) Bu Kanun hükümlerini Bakanlar Kurulu yürütür.
