Konu : 12 Mart 2024 tarihli Resmî Gazete’de yayımlanan “Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun” ile 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK veya Kanun”)’nda yapılan değişiklikler.
Tarih : 12 Mart 2024
- GİRİŞ
7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun 12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete’de yayımlanmıştır. Yapılan bu değişiklik ile KVKK’da önemli ve uygulamada etkisi büyük ölçüde hissedilecek düzenlemeler getirilmiştir.
KVKK’da yapılan değişiklikler kapsamında, uygulamada meydana gelen ihtiyaçların giderilmesi, veri sorumlularının yaşadığı somut problemlere cevap verilebilmesi, tıkanan işlemlerin çözüme kavuşturulabilmesi ve Avrupa Birliği Genel Veri Koruma Tüzüğü’ne (“GDPR”) uyum sağlanabilmesi amacıyla KVKK’nın hâlihazırda yürürlükte olan özel nitelikli kişisel verilerin işlenmesine (Madde 6), yurt dışına veri aktarımı yapılmasına (Madde 9), kabahatlere ilişkin hükümlerinde (Madde 18) değişiklik yapılmış ve bir geçiş süresi yaratılması için ise geçici bir madde (Geçici Madde 3) öngörülmüştür.
Değişiklik, iki aşamalı bir geçiş öngörmektedir. Buna göre; açık rızaya dayalı yurt dışına veri aktarımı düzenlemeleri 9. Maddenin bu Kanunla değiştirilmeden önceki birinci fıkrası, maddenin yürürlüğe giren değişik haliyle birlikte 1 Eylül 2024 tarihine kadar uygulanmaya devam olunacak kalan düzenlemeler ise 1 Haziran 2024’te yürürlüğe girecektir.
- KVKK’DA MEYDANA GELEN DEĞİŞİKLİKLER
- ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI (Madde 6)
| (Eski) KVKK Madde 6 | (Yeni) KVKK Madde 6 |
| Özel nitelikli kişisel verilerin işlenme şartları
MADDE 6 – (1) Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
(2) Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır.
(3) Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.
(4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır. |
Özel nitelikli kişisel verilerin işlenme şartları
MADDE 6- (1) Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
(2) (Mülga fıkra)
(3) Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi;
a) İlgili kişinin açık rızasının olması,
b) Kanunlarda açıkça öngörülmesi,
c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması, halinde mümkündür.
|
Kanun’un 6. maddesi özel nitelikli kişisel verilerin işlenme şartlarını düzenlemektedir. Değişiklik ile; ilgili kişinin açık rızası olmadan özel nitelikli kişisel verilerin işlenemeyeceği düzenlemesi iptal edilmiştir.
Yapılan değişiklik ile maddenin 3. fıkrasında özel nitelikli verilerin işlenmesi yasaklanmış ancak bu yasağa oldukça kapsamlı istisnalar getirilmiştir. Değişiklik sonrasında özel nitelikli kişisel veriler sadece aşağıdaki şartlardan birinin varlığı halinde işlenebilecektir:
- İlgili kişinin açık rızası,
- Kanunlarda açıkça öngörülmesi,
- Fiili imkânsızlıkla rızasını açıklayamayacak durumda olan veya rızası hukuken geçerli olmayacak kişinin kendisinin/başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
- İlgili kişinin özel nitelikli kişisel verisinin alenileştirilmiş olması,
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
- Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
- İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
- Siyasi, felsefi, dini, sendikal amaçlarla kurulan vakıf, dernek ve kâr amacı gütmeyen kuruluş ya da oluşumların, mevzuata ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve 3. kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine veyahut bunlarla temasta olan kişilere yönelik olması.
Değişiklik ile işleme şartlarına ek olarak, 6. maddenin sağlık ve cinsel hayata ilişkin özel nitelikli verilerin diğer özel nitelikli verilerden ayrılarak düzenlenmesine ilişkin 3. fıkrası değiştirilerek sağlık ve cinsel hayat ayrımı ortadan kaldırılmış, bu bağlamda özel nitelikli kişisel verilerin işlenmesine ilişkin şartlar da genişletilmiştir.
- KİŞİSEL VERİLERİN YURT DIŞINA AKTARILMASI (Madde 9)
| (Eski) KVKK Madde 9 | (Yeni) KVKK Madde 9 |
| Kişisel verilerin yurt dışına aktarılması
MADDE 9- (1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz.
(2) Kişisel veriler, 5 inci maddenin ikinci fıkrası ile 6 ncı maddenin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede;
a) Yeterli korumanın bulunması,
b) Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması, kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir.
(3) Yeterli korumanın bulunduğu ülkeler Kurulca belirlenerek ilan edilir.
(4) Kurul yabancı ülkede yeterli koruma bulunup bulunmadığına ve ikinci fıkranın (b) bendi uyarınca izin verilip verilmeyeceğine;
a) Türkiye’nin taraf olduğu uluslararası sözleşmeleri,
b) Kişisel veri talep eden ülke ile Türkiye arasında veri aktarımına ilişkin karşılıklılık durumunu,
c) Her somut kişisel veri aktarımına ilişkin olarak, kişisel verinin niteliği ile işlenme amaç ve süresini,
ç) Kişisel verinin aktarılacağı ülkenin konuyla ilgili mevzuatı ve uygulamasını,
d) Kişisel verinin aktarılacağı ülkede bulunan veri sorumlusu tarafından taahhüt edilen önlemleri, değerlendirmek ve ihtiyaç duyması hâlinde, ilgili kurum ve kuruluşların görüşünü de almak suretiyle karar verir.
(5) Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir. |
Kişisel verilerin yurt dışına aktarılması
MADDE 9- (1) Kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.
(2) Yeterlilik kararı, Kurul tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.
(3) Yeterlilik kararı verilirken öncelikle aşağıdaki hususlar dikkate alınır:
a) Kişisel verilerin aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.
b) Kişisel verilerin aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar.
c) Kişisel verilerin aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması.
ç) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası kuruluşlara üye olma durumu.
d) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye’nin üye olduğu küresel veya bölgesel kuruluşlara üye olma durumu.
e) Türkiye’nin taraf olduğu uluslararası sözleşmeler.
(4) Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir:
a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi
b) Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.
c) Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.
ç) Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.
(5) Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.
(6) Veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir:
a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.
b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.
c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.
ç) Aktarımın üstün bir kamu yararı için zorunlu olması.
d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.
e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.
f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.
(7) Altıncı fıkranın (a), (b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz.
(8) Veri sorumlusu ve veri işleyenler tarafından, yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da bu Kanunda yer alan güvenceler sağlanır ve bu madde hükümleri uygulanır.
(9) Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.
(10) Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.
(11) Bu maddenin uygulanmasına ilişkin usul ve esaslar yönetmelikle düzenlenir. |
Yeni düzenleme ile Kanun’un 9.maddesi tamamen değiştirilerek ilgili kişilerin açık rızasına binaen yurt dışına veri aktarımı öncelikli hukuka uygunluk sebebi olmaktan çıkartılmış, yurt dışına veri aktarımı sistematiği değiştirilmiştir. Kanun değişikliği ile kişisel verilerin yurt dışına aktarımı için üç alternatif öngörülmüştür. Bu alternatifler aşağıdaki şekildedir:
2.2.1.Yeterlilik Kararına Dayalı Veri Aktarımı
Değişiklik ile “yeterlilik kararı” kavramı getirilmiştir. Buna göre Kişisel Verileri Koruma Kurul’u (“Kurul”) en geç dört yılda bir Resmî Gazete’de yeterlilik kararı verdiği
(i) ülke,
(ii) uluslararası kuruluş veya
(iii) sektörü yayınlayacak, böylece veri sorumluları ve veri işleyenler hakkında yeterlilik kararı verilen ülke, kuruluş veya sektörlere veri aktarımı gerçekleştirebileceklerdir.
Hakkında yeterlilik kararı verilecek ülke, uluslararası kuruluş veya sektörlerin nasıl belirleneceği Kanun’da açık şekilde düzenlenmiştir. Kurul tarafından yeterlilik kararının verilmesinde etkili olacak unsurlar aşağıdaki şekildedir:
- Karşılıklılık,
- Veri aktarımı yapılacak ülkenin mevzuatı ile uluslararası kuruluşun tabi olduğu kurallar,
- Veri aktarımı yapılacak ülkenin Türkiye’nin üye olduğu küresel/bölgesel kuruluşlara üyelik hali,
- Taraf olunan uluslararası sözleşmeler.
Bu düzenleme ile kişisel verilerin yurt dışına aktarılması hususunda, GDPR ile paralel şekilde veri sorumlusuna ek olarak veri işleyenlerin de yurt dışına kişisel veri aktarmasına imkân tanınmıştır.
2.2.2.Uygun Güvencelere Dayalı Aktarım
Uygun güvencelere dayalı aktarım, yeterlilik kararının bulunmadığı durumlar açısından öngörülen bir alternatif olarak düzenlenmiştir. Buna göre, yeterlilik kararının bulunmadığı hallerde uygun güvencelerin mevcut olması halinde kişisel veriler yurt dışına aktarılabilecektir. Uygun güvencelere dayalı aktarım prosedürünü işletebilmek için üç ön koşulun varlığı gerekmektedir:
- Kanun’un 5. ve 6. maddelerinde belirtilen şartların (Kişisel verilerin ve özel nitelikli kişisel verilerin işlenme şartlarının) varlığı,
- İlgili kişinin haklarının aktarımın yapılacağı ülkede de kullanılabilmesinin mümkün olması,
- Aktarım yapılacak ülkede kişisel verilerin korunmasına ilişkin etkili kanun yollarının varlığı.
Üç ön koşulun sağlandığı durumda aşağıda sayılan uygun güvencelerden birinin veri aktaran ve veri aktarılan taraflarca sağlanması sonucu yurtdışına veri aktarımı mümkün kılınmıştır:
- Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya bu nitelikteki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.
- Ortak ekonomik faaliyetteki teşebbüs grubu bünyesindeki şirketlerin kişisel verilerin korunması hükümleri içeren ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı,
- Kurul tarafından ilan edilen veri kategorileri, veri aktarım amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı,
- Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.
Kurul tarafından içeriği düzenlenerek ilan edilen standart sözleşmenin uygun güvence kapsamında sayılması için veri sorumlusu veya veri işleyen tarafından sözleşmenin imzalanmasını takiben beş iş günü içerisinde Kurul’a bildirimde bulunulması gerekmektedir. Yine değişiklik ile bildirim yükümlülüğün yerine getirilmemesi durumunda idari para cezası yaptırımı düzenlenmiştir.
2.2.3.Arızi Durumlara Dayalı Aktarım
Yeni düzenleme ile yeterlilik kararının olmadığı ve uygun güvencelerin de sağlanamadığı durumlarda aşağıda sıralanan istisnai durumlardan birinin varlığı halinde ve geçici olmak kaydıyla yurt dışına kişisel veri aktarımı mümkün kılınmıştır:
- İlgili kişinin riskler konusunda bilgilendirilmesi şartıyla aktarıma açık rıza gösterilmesi,
- İlgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması,
- Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.
- Aktarımın üstün bir kamu yararı için zorunlu olması,
- Bir hakkın tesisi, kullanılması, korunması için kişisel verilerin aktarılmasının zorunlu olması,
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızası hukuken geçerli olmayacak ilgili kişinin kendisinin ya da başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
- Kamuya veya meşru menfaati bulunan kişilere açık olan sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talebinin söz konusu olması
Son olarak belirtmek gerekir ki değişiklik ile düzenlenen 9.maddenin uygulanmasına ilişkin usul ve esaslar çıkarılacak olan yönetmelik ile belirlenecek olup söz konusu yönetmeliğin yayımlanması ile kişisel verilerin yurt dışına aktarımı hususuna yönelik prosedürlerin daha da aydınlatılması beklenmektedir. Ayrıca bu maddenin eski halinde yer alan ve ilgili kişi rızası olmadan yurtdışı veri aktarımını yasaklayan birinci fıkrası, maddenin yürürlüğe giren değişik haliyle birlikte 1 Eylül 2024 tarihine kadar uygulamaya devam edecektir.
2.3.KABAHATLER (Madde 18)
Değişiklik ile Kanun’un kabahatleri düzenleyen 18. maddesinde de düzenleme yapılmıştır. Bu düzenleme ile getirilen değişiklikler aşağıdadır:
- Standart sözleşmenin imzalanmasını takiben beş iş günü içerisinde Kişisel Verileri Koruma Kurumu’na bildirilmemesi halinde Kurul tarafından veri sorumlusu veya veri işleyenler aleyhine 50.000 Türk lirasından 1.000.000 Türk lirasına idari para cezası verilecektir.
- Kurul’ca verilecek idari para cezalarına karşı kanun yolu idare mahkemelerinde olarak belirlenmiştir.
Düzenleme öncesinde Kurul’un kararlarına karşı ikili bir denetim uygulaması mevcuttu. Kurul’un idari para cezası kararlarına karşı itiraz yolu sulh ceza mahkemeleri (adli yargı), idari para cezası kararları dışında kalan kararlar bakımından (Talimatlandırma gibi) idare mahkemeleri iken yeni düzenleme ile bu husus değiştirilmiş ve Kurul’un kararlarına karşı tek itiraz merci olarak idare mahkemeleri belirlenmiştir.
- SONUÇ
12 Mart 2024 tarihli Resmi Gazete’de yayımlanan “Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun” ile KVKK’da radikal değişiklikler yapıldığını söyleyebiliriz. Bu değişiklik ile Kanun’un GDPR ile uyumlu hale getirilmesi ve kanunu uygulanmasındaki sorunların önüne geçilmesi amaçlanmıştır.
Yapılan düzenlemede yukarıda detaylıca açıklandığı üzere altı çizilmesi gereken önemli iki husus mevcuttur. Bunlardan ilki özel nitelikli kişisel verilerin işlenme şartlarının genişletilmesi iken ikincisi kişisel verilerin yurt dışına aktarılmasına ilişkin yeni prosedürlerin getirilmesidir.
Kanun değişikliklerinin uygulamaya dönük en büyük etkisinin, açık rıza işleme şartına dayalı olarak özel nitelikli kişisel veri işleyen ve yurt dışına veri aktarımı yapan veri sorumlularının kişisel veri işleme prosedürlerini tekrar gözden geçirme zorunluluğu olacağı kanaatindeyiz.
Değişikliklerin yürürlük tarihi 9. Maddenin ilk fıkrasına getirilen istisna hariç olmak üzere 1 Haziran 2024 olarak belirlenmiştir.
