??letmeler KVKK A??s?ndan H?zl? Aksiyonlar Almal?

Liva Sefer Privacy & Compliance Counsel | Lawyer | ISO 27001 LA | LLM Candidate

6698 say?l? Ki?isel Verilerin Korunmas? Kanunu (“KVKK”), 12 Mart 2024 tarihli ve 32487 say?l? Resm? Gazete’de yay?mlanan Ceza Muhakemesi Kanunu ile Baz? Kanunlarda De?i?iklik Yap?lmas?na ?li?kin Kanun ile birtak?m de?i?ikliklere u?rad?.

?KVKK Reform Yasas? olarak adland?r?lan de?i?iklik esas?nda d?rt maddeyi? i?ermektedir. Yurtd???na aktar?m, ?zel nitelikli ki?isel veriler, idari para cezalar? ve ge?ici madde hükümleri ?u ?ekilde ?zetlenebilir:

?1. ?zel nitelikli ki?isel verilerin i?lenme ko?ullar? geni?letilmi?tir.

2.?Ki?isel verilerin yurt d???na aktar?lmas? i?in farkl? bir düzenleme getirilmi?, a??k r?za istisna olarak kabul edilmi?tir.

3.?Ki?isel verilerin yurt d???na aktar?lmas? durumunda, veri i?leyenler ile veri sorumlular? aras?nda müteselsil sorumluluk kabul edilmi? ve idari para cezalar? getirilmi?tir.

4.?Kurul'un kararlar?na kar?? tek bir idari yarg? yolunun belirlenmesi sa?lanm??t?r.

??ZEL N?TEL?KL? K???SEL VER?LERE ?L??K?N DE????KL?KLER

?Ki?ilerin ?rk?, etnik k?keni, siyasi dü?üncesi, felsefi inanc?, dini, mezhebi veya di?er inan?lar?, k?l?k ve k?yafeti, dernek, vak?f ya da sendika üyeli?i, sa?l???, cinsel hayat?, ceza mahk?miyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik veriler, ?zel nitelikli ki?isel veri kapsam?na girer. Bu tür verilerin i?lenmesi esasen Kanun ile yasaklanm??t?r. Ancak yeni düzenleme ile bu ?zel nitelikli veriler, a?a??daki hukuki temellere dayanarak i?lenebilecektir:

?1-A??k r?za

2-?Kanunlarda a??k?a ?ng?rülme: ?rne?in; 5352 say?l? Adli Sicil Kanunu uyar?nca ceza mahkumiyeti verilerinin i?lenmesi, 5490 say?l? Nüfus Hizmetleri Kanunu’nun 41. maddesi uyar?nca biyometrik verilerin i?lenmesi vb.

3-Fiili imkans?zl?k

4-?Alenile?tirme: Acil durumlarda kullan?lmak üzere herkes?e bilinir bir alana kan grubu ve gerekli sa?l?k bilgilerinin yerle?tirilmesi bu duruma ?rnek olarak g?sterilebilir. Fakat her halükarda alenile?tirme i?leminin hukuka uygun ger?ekle?tirilmesi gerekmektedir. Yapay zeka vb. sistemler ile yap?lan i? kolu i?lemlerinde ilgili hukuki sebebin dayanak olarak g?sterilmesinin de ?nü a??lm??t?r.

5-?Bir hakk?n tesisi, kullan?lmas? veya korunmas? i?in zorunluluk

6-? S?r saklama yükümlülüg?ü alt?nda bulunan ki?iler veya yetkili kurum ve kurulu?lar taraf?ndan i?leme: Sa?l?k Bakanl??? ve her türlü sa?l?k kurulu?unun ve Sosyal Güvenlik Kurumu’nun veri i?lemesi bu kapsamda de?erlendirilebilecektir.

7-?I?stihdam, i? sag?l?g?? ve güvenlig?i, i? ve sosyal güvenlik veya sosyal hizmetler ile sosyal yard?m alan?ndaki hukuki yükümlülükler i?in i?leme: Veri sorumlular?n?n ?al??anlar i?e ba?larken veya devaml?l?k sürecinde ald??? sa?l?k raporlar? art?k bu hukuki sebep kapsam?nda de?erlendirilecektir. Bu hukuki sebebin yaln?zca ?? Hukuku’nun ?izdi?i ?er?evede de?erlendirilmesi gerekmektedir.

8-?Siyasi, felsefi, dini veya sendikal ama?larla kurulan vak?f, dernek veya dig?er kar amac? gütmeyen kurulu? ya da olu?umlara ili?kin ?zel i?leme sebebi: Kar amac? gütmeyen kurulu?lar ile siyasi partilerin veri i?lemesi kolayla?t?r?lm??t?r.

?Tüm bu verilerin i?lenmesiyle ilgili olarak, Kurul taraf?ndan belirlenen yeterli ?nlemlerin al?nmas? gereklili?i korundu?undan dolay?, teknik ve idari tedbirler konusunda herhangi bir de?i?iklik olmam??t?r.

?YURT DI?I AKTARIMA ?L??K?N DE????KL?KLER

?Yurt d???na veri aktar?m?yla ilgili yeni düzenleme ile birlikte kademeli ve alternatif bir aktar?m rejimi olu?turulmu?tur. Kanun, ki?isel verilerin yurt d???na aktar?labilmesi i?in ü? farkl? y?ntemi ?ng?rmektedir:

1.?Yeterlilik karar?na dayal? aktar?m

2.?Uygun güvencelere dayal? aktar?m

3.?Ar?zi durumlara ?zel aktar?m

???Yeterlilik Karar?na Dayal? Aktar?m

Yeni düzenleme, ki?isel verilerin KVKK'n?n 5. ve 6. maddelerinde belirtilen ko?ullardan birinin varl??? ve aktar?m?n yap?laca?? ülke, uluslararas? kurulu? veya ülke i?indeki sekt?rler hakk?nda yeterlilik karar? al?nmas? durumunda, veri sorumlular? ve veri i?leyenler taraf?ndan yurt d???na aktar?labilece?ini ifade etmektedir. Bu yeni düzenleme, bir ülke, uluslararas? kurulu? veya ülke i?indeki sekt?rler hakk?nda ayr? ayr? yeterlilik karar? verilmesine olanak tan?maktad?r.

??Veri ??leyenlerin de Sorumlu Tutuldu?u Düzenleme

KVKK Reform Yasas?, veri i?leyenlerin ki?isel verilerin yurt d???na aktar?lmas? sürecinde bir akt?r olarak tan?mlanmas?n? ve bu durumun beraberinde sorumluluk getirmesini sa?lam??t?r. Yasan?n bir hükmü olarak, ki?isel verilerin yurt d???na aktar?lmas?na y?nelik yeni bir idari para cezas? getirilmi?tir. Bu cezan?n muhatab? sadece veri sorumlular? de?il, ayn? zamanda veri i?leyenlerdir.

???Yeterlilik Karar?na ?li?kin Esaslar Korunmu?tur

Yeni düzenlemeye g?re, yeterlilik karar? Kurul taraf?ndan verilecek ve bu karar Resmi Gazete'de yay?mlanacakt?r. Kurul, gerekti?inde ilgili kurum ve kurulu?lar?n g?rü?lerini alabilir. Ayr?ca, yeterlilik karar?n?n en ge? d?rt y?lda bir de?erlendirilece?i belirtilmi?tir. Kurul, bu d?rt y?ll?k süre dolmadan yeterlilik karar?n? g?zden ge?irebilir, de?i?tirebilir, ask?ya alabilir veya kald?rabilir.

Yeterlilik karar? verilirken ?ncelikle a?a??daki hususlar dikkate al?nacakt?r:

1.Ki?isel verilerin aktar?laca?? ülke, ülke i?indeki sekt?rler veya uluslararas? kurulu?lar ile Türkiye aras?ndaki ki?isel veri aktar?m?na ili?kin kar??l?kl?l?k durumu.

2.?Ki?isel verilerin aktar?laca?? ülkenin ilgili mevzuat? ve uygulamas? ile ki?isel verilerin aktar?laca?? uluslararas? kurulu?un tabi oldu?u kurallar.

3.Ki?isel verilerin aktar?laca?? ülkede veya uluslararas? kurulu?un tabi oldu?u ba??ms?z ve etkin bir veri koruma kurumunun varl??? ile idari ve adli ba?vuru yollar?n?n bulunmas?.

4.?Ki?isel verilerin aktar?laca?? ülkenin veya uluslararas? kurulu?un, ki?isel verilerin korunmas?yla ilgili uluslararas? s?zle?melere taraf veya uluslararas? kurulu?lara üye olma durumu.

5.Ki?isel verilerin aktar?laca?? ülkenin veya uluslararas? kurulu?un, Türkiye'nin üye oldu?u küresel veya b?lgesel kurulu?lara üye olma durumu.

6.Türkiye'nin taraf oldu?u uluslararas? s?zle?meler.

??Yeterlilik Karar? Bulunmamas? Durumunda A??k R?zaya Gitmeksizin Güvencelere Dayal? Aktar?m

Yeterlilik karar? bulunmamas? durumunda, ki?isel verilerin yurt d???na aktar?labilmesi i?in uygun güvencelerin varl??? ko?uluyla da aktar?m ger?ekle?tirilebilir. Yeterlilik karar? bulunmamas? halinde, ilgili ki?inin aktar?m?n yap?laca?? ülkede haklar?n? kullanabilme ve etkili kanun yollar?na ba?vurma imkan?n?n bulunmas? ?art?yla, veri sorumlular? ve veri i?leyenler taraf?ndan yurt d???na aktar?m mümkün hale gelir.

Yeni rejimde, yurt d???na ki?isel verilerin aktar?lmas?nda veri sorumlular?n?n yan? s?ra veri i?leyenlerin de temel birer akt?r olarak kabul edilmesi nedeniyle, veri i?leyenlere uygun güvencelere dayal? olarak ki?isel verilerin yurt d???na aktar?lma imkan? sa?lanm??t?r. Güvencelere dayal? aktar?m i?in her durumda ü? ?n ko?ul aran?r:

1.KVKK'n?n 5. ve 6. maddelerinde belirtilen ko?ullardan birinin varl??? gereklidir.

2.?lgili ki?inin haklar?n?n aktar?m?n yap?laca?? ülkede kullan?labilmesi mümkün olmal?d?r.

3. Aktar?m?n yap?laca?? ülkede ki?isel verilerin korunmas?na ili?kin etkili kanun yollar?na ba?vurma imkan? bulunmal?d?r.

Bu hükümler zorunludur ve di?er alt ko?ullarla birlikte g?zetilmelidir.

? ?n ko?ullar?n sa?lanmas? ve yurt d???ndaki kamu kurum ve kurulu?lar? veya uluslararas? kurulu?lar ile Türkiye'deki kamu kurum ve kurulu?lar? veya kamu kurumu niteli?indeki meslek kurulu?lar? aras?nda yap?lan uluslararas? s?zle?me niteli?inde olmayan anla?man?n varl??? ve KVKK Kurulu taraf?ndan bu aktar?ma izin verilmesi durumunda, güvencelere dayal? yurt d???na ki?isel veri aktar?m?

Güvencelere dayal? yurt d???na ki?isel veri aktar?m?n?n yap?labilece?i ilk durum, yurt d???ndaki kamu kurum ve kurulu?lar? veya uluslararas? kurulu?lar ile Türkiye'deki kamu kurum ve kurulu?lar? veya kamu kurumu niteli?indeki meslek kurulu?lar? aras?nda yap?lan uluslararas? s?zle?me niteli?inde olmayan anla?man?n varl??? ve KVKK Kurulu taraf?ndan bu aktar?ma izin verilmesi halidir. ?

??Ba?lay?c? ?irket Kurallar?

Kurul taraf?ndan onaylanm?? ba?lay?c? ?irket kurallar?n? haiz bir i?letme grubunun Türkiye'deki ?irketinden, ayn? grubun yabanc? ülkedeki ?irketine KVK Kurulu'ndan ayr?ca izin al?nmaks?z?n veri aktar?lmas? mümkün olacakt?r.

???n ko?ullar?n sa?lanmas? ve standart s?zle?melerin kullan?lmas? durumunda, güvencelere dayal? yurt d???na ki?isel veri aktar?m? yap?lmas?

KVKK'n?n yeni 9. maddesinin d?rdüncü f?kras? uyar?nca, Kurul taraf?ndan ilan edilen standart s?zle?menin varl??? durumunda, ki veri kategorileri, veri aktar?m?n?n amac?, al?c? ve al?c? gruplar?, veri al?c?s? taraf?ndan al?nacak teknik ve idari tedbirler, ?zel nitelikli ki?isel veriler i?in al?nan ek ?nlemler gibi hususlar? i?erir, güvencelere dayal? yurt d???na ki?isel veri aktar?m? mümkün olacakt?r. Standart s?zle?meler, ki?isel verilerin s?zle?me hukukuyla korunmas?n? sa?layan ?zel ara?lard?r. Ki?isel veriyi Türkiye’den aktaracak taraf ile ki?isel verilerin al?naca?? taraf, KVKK'n?n ?ng?rdü?ü ve yaz?l? s?zle?meye yans?t?lan yükümlülükleri müzakere eder ve ard?ndan bir karar verir. Yurt d???ndaki taraf, bu yükümlülükleri yerine getirebilece?ini, ki?isel verilerin bulundu?u ülkede de Türkiye'deki gibi korunaca??n? taahhüt edebilir ve bu bilgileri do?rulayabilirse, bu y?ntemle bir veri aktar?m süreci ba?lat?labilir.

KVKK'n?n yeni 9. maddesine eklenen be?inci f?kraya g?re, standart s?zle?melerin imzalanmas?ndan itibaren 5 i? günü i?inde veri sorumlusu veya veri i?leyen taraf?ndan KVK Kurulu'na bildirilmesi gerekmektedir. Bu bildirimin zaman?nda yap?lmamas? yapt?r?ma tabidir ve 18. maddenin birinci f?kras?na eklenen (d) bendiyle, bu bildirim yükümlülü?ünü yerine getirmeyenler hakk?nda 50.000 Türk Liras?ndan 1.000.000 Türk Liras?na kadar idari para cezas? verilir.

?Yeni yurt d???na ki?isel veri aktar?m rejiminde en ?ok uygulama alan? bulacak aktar?m türü standart s?zle?melere dayal? olan aktar?m ?eklidir. Bu güvenceye dayal? aktar?m durumunda KVK Kurulu’ndan ?nceden izin almaks?z?n, do?rudan aktar?m ger?ekle?tirilebilir. S?zle?menin imzalanmas?ndan itibaren be? i? günü i?erisinde KVK Kurumu’na bu s?zle?menin bildirilmesi gerekmektedir.

? Kurulu’a yaz?l? taahhütname sunma usulü

Güvencelere dayal? yurt d???na ki?isel veri aktar?m? yap?labilme ?artlar?ndan biri, yeterli korumay? sa?layacak hükümlerin yer ald??? yaz?l? bir taahhütname ve bu aktar?ma KVK Kurulu taraf?ndan izin verilmesidir. Yeterli korumay? sa?layacak hükümlerin yer ald??? yaz?l? bir taahhütname ve KVK Kurulu taraf?ndan aktar?ma izin verilmesi durumunda, yeterlilik karar? bulunmayan bir ülkeye ki?isel veri aktar?labilir. Bu aktar?m türü, 9. maddenin ilk halinde de yer alan bir aktar?m türüdür. ü? ?n ko?ula ilaveten, mevcut aktar?m usulü, iki alt ko?ul getirilerek muhafaza edilmi?tir.

?Yeterlilik karar? bulunmamas? ve KVKK'n?n 9. maddesinin d?rdüncü f?kras?nda ?ng?rülen uygun güvencelerden birinin sa?lanamad??? baz? istisnai durumlarda; ar?zi olmak kayd?yla, yani tek veya birka? seferlik ve sürekli olmayacak ?ekilde, yurt d???na veri aktar?lmas?na imkan sa?lanmaktad?r.

???A??k r?zaya dayal? yurt d???na ki?isel veri aktar?m? ar?zi durumlarla s?n?rland?r?lm?? ve a??k r?za veren ki?ilere muhtemel riskler hakk?nda bilgilendirme unsuru eklenmi?tir.

?Ar?zi durumlarda, ki?isel verilerin yurt d???na aktar?labilmesi i?in ilgili ki?inin muhtemel riskler konusunda bilgilendirilmesi ?art?yla a??k r?za vermesi gerekmektedir. KVKK'n?n 9. maddesinde düzenlenen a??k r?za kavram? yeniden tan?mlanm?? ve kapsam? daralt?lm??t?r. Bu, KVKK Reformu'nun en ?nemli de?i?ikliklerinden biridir.

?Ki?isel verilerin bir yeterlilik karar? veya güvencelere dayal? olarak aktar?lamamas? durumunda, ilgili ki?inin hukuki durumu ve riskler konusunda bilgilendirilmesi zorunludur.

??DAR? PARA CEZALARINA ?L??K?N DE????KL?KLER

?Standart s?zle?melere ili?kin bildirim yükümlülü?üne ayr?ca bir yapt?r?m getirilmi?tir. KVKK'n?n 18. maddesinin birinci f?kras?na eklenen (d) bendi ile, standart s?zle?melere ili?kin 5 i? günü i?erisinde bildirim yükümlülü?ünü yerine getirmeyenler hakk?nda 50.000 Türk liras?ndan 1.000.000 Türk liras?na kadar idari para cezas? uygulanmas? ?ng?rülmü?tür.

?KVKK'daki yükümlülüklerin ve ?zellikle idari para cezalar?n?n muhatab? temelde veri sorumlular?d?r. Ancak, KVKK Reform Yasas? ile bu hususta ?nemli bir istisna getirilmi?tir. Standart s?zle?menin imzaland???n? Kurul’a bildirme yükümlülü?ü, veri sorumlusu ve veri i?leyene yüklenmi? bir g?revdir. Taraflar aras?nda yap?lacak bir anla?ma uyar?nca, standart s?zle?meyi bildirme yükümlülü?ünün bir tarafa b?rak?lmas? mümkündür. Ancak, bu s?zle?mesel yükümlülü?ün taraflardan biri taraf?ndan yerine getirilmemesi, kanuni sorumlulu?u ortadan kald?rmaz.

?YARGI YOLUNA ?L??K?N DE????KL?KLER

?KVKK’n?n 18. maddesine eklenen ü?üncü f?kra ile “Kurulca verilen idari para cezalar?na kar??, idare mahkemelerinde dava a??labilir.” hükmü getirilmi?tir. Kurul taraf?ndan verilen idari para cezalar?n?n mahiyeti g?z ?nünde bulundurularak, bu kararlar?n idari yarg? mercilerince denetlenebilmesi sa?lanm??t?r. Bu sayede, idari para cezalar?na kar?? hukuki bir ba?vuru ve itiraz mekanizmas? olu?turulmu?tur.

Jurcom olarak i?letmelerin KVKK Reformu ge?i?ini en etkin ?ekilde ger?ekle?tirebilmeleri i?in bir uyum program? haz?rlad?k. Uyum program? ile ilgili bilgi almak i?in bize ula?abilirsiniz.

#kvkk #reform #jurcom #regulasyon #direktif #kisiselveri #mahremiyet #yasa #grc #riskyonetimi #yonetisim