8. Yargı Paketi - KVKK Değişiklikleri
Uzun zamandır basında da yer bulan 8. Yargı Paketi olarak adlandırılan, 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun ("Kanun") 02.03.2024 tarihinde TBMM tarafından kabul edilmiş, 12.03.2024 tarih 32487 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Kanun ile Ceza Muhakemesi Kanunu başta olmak üzere, İcra ve İflas Kanunu, Hukuk Muhakemeleri Kanunu, Türk Ceza Kanunu, Kişisel Verilerin Korunması Kanunu gibi birçok kanunda değişiklik yapılmıştır.
Kişisel Verilerin Korunması Kanunu'nda ise özel nitelikli kişisel verilerin işlenmesi, kişisel verilerin yurt dışına aktarılması ve idari para cezalarına ilişkin değişiklikler yapılmıştır.
8. Yargı Paketi ile Kişisel Verilerin Korunması Kanunu'nda Yapılan Değişiklikler Nelerdir?
Kanun ile getirilen değişiklikler aşağıdaki gibidir:
Özel nitelikli kişisel verilerin işlenmesine ilişkin hükümler değiştirilmiştir.
Yeni düzenlemeyle birlikte; özel nitelikli kişisel verilerin kendi içinde yaratılan "sağlık ve cinsel hayata ilişkin" olan ve olmayan ayrımı kaldırılmış, tüm özel nitelikli kişisel verileri kapsayacak surette işleme nedenleri öngörülmüş, özel nitelikli verilerin işlenmesi yolları genişletilmiş ve Kanun ile gelen hallerin varlığı durumunda özel nitelikli verilerin işlenebilmesinin önü açılmıştır.
Böylelikle tüm özel nitelikli kişisel verilerin işlenmesinde açık rıza hukuki işleme sebebi muhafaza edilerek özel nitelikli olan ve olmayan kişisel verilerin benzer hukuki işleme sebeplerine uygun olarak işlenmesi öngörülmüştür.
6.maddenin önceki hali ve değişiklerle birlikte yeni hali aşağıdaki gibidir:
8. Yargı Paketi - KVKK 6.Madde Değişiklikleri
Kişisel verilerin yurt dışına aktarılmasında yeni düzenlemeler getirilmiştir.
Yapılan düzenleme ile; kişisel veriler, 5'inci ve 6'ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında Kişisel Verileri Koruma Kurul'u tarafından verilecek yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilecektir.
Yeterlilik kararının bulunmaması, ancak 5'inci ve 6'ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla; madde ile düzenlenen uygun güvencelerden birinin taraflarca sağlanması halinde kişisel veriler veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilecektir.
Bu güvenceler de yoksa arızi olmak kaydıyla; yani süreklilik arz etmeyecek şekilde hangi hallerde verilerin yurt dışına aktarılabileceği de ilgili maddede düzenlenmiştir. Buna göre veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir:
a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.
b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.
c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.
ç) Aktarımın üstün bir kamu yararı için zorunlu olması.
d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.
e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.
f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.
Mevcut durumda Kişisel Verileri Koruma Kurulu'nun yurt dışı veri aktarımına ilişkin yönetmelik çıkarması ve standart sözleşme hükümlerini belirlemesi beklenmektedir. Kanuna eklenen geçici madde ile kişisel verilerin açık rıza ile aktarılabilmesine yönelik uygulama 01.09.2024 tarihine kadar uzatıldığından bu tarihe kadar kişisel veriler açık rıza ile yurt dışına aktarılabilecektir.
Kabahatler ve idari para cezalarına ekleme yapılmıştır.
Kanun Değişikliği ile birlikte veri sorumluları ve veri işleyenlerin yurt dışı aktarımı için imzalayabilecekleri standart sözleşmeleri 5 iş günü içerisinde Kurum'a bildirme yükümlülüğü getirilmiştir. Bu yükümlülüğe aykırı davranılması halinde Kurul tarafından veri sorumluları veya veri işleyenler hakkında 50.000 TL'den 1.000.000 TL'ye kadar idari para cezası verileceği yeni düzenleme ile hüküm altına alınmıştır.
Gerçekleşen değişiklik ile 2024 yılı idari ceza tutarlarının güncel hali aşağıdaki gibidir:
KVKK İdari Para Cezaları 2024
Yargı yoluna yönelik değişikliklerde ise özetle; Kurul kararlarının denetimi açısından daha etkin bir usul oluşturulması amaçlanarak ilgili maddenin üçüncü fıkrasına eklenen hüküm ile, Kurul tarafından verilen idari para cezalarına dair kararların idari yargı yolu tarafından denetlenmesi sağlanmıştır. Belirtmek gerekir ki, 01.06.2024 tarihi itibariyle sulh ceza hakimlikleri nezdinde görülmekte olan başvurular, bu hakimliklerce görülmeye devam edecektir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.