Anasayfa Yazılar ISO 27001 Bilgi Güvenliği Yönetim Sistemi Kişisel Verilerin Korunması Kanunu Tasarısı
Kişisel Verilerin Korunması Kanunu Tasarısı PDF Yazdır e-Posta
CISSP tarafından yazıldı   
Cumartesi, 01 Ağustos 2009 07:50

BİRİNCİ KISIM
Genel Hükümler
BİRİNCİ BÖLÜM
Amaç, Kapsam ve Tanımlar

Amaç
MADDE 1- (1) Bu Kanunun amacı; kişisel verilerin işlenmesinde kişinin dokunulmazlığı, maddi ve manevi varlığı ile temel hak ve özgürlükleri korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin uyacakları esas ve usulleri düzenlemektir.

Kapsam
MADDE 2- (1)Bu Kanun hükümleri, kişisel verileri işlenen gerçek ve tüzel kişiler ile bu verileri tamamen veya kısmen, otomatik olan veya olmayan yollarla herhangi bir veri kütüğüne dahil olacak şekilde işleyen gerçek ve tüzel kişiler hakkında uygulanır.
(2) Bu Kanun hükümleri, kişisel verilerin gerçek kişiler tarafından sadece kişisel veya birlikte oturanlarla ilgili faaliyetlerine ilişkin olarak işlenmesi halinde uygulanmaz.

Tanımlar
MADDE 3- (1) Bu Kanunda geçen;
a) Kişisel veri: Belirli veya kimliği belirlenebilir gerçek ve tüzel kişilere ilişkin bütün bilgileri,
b) İlgili kişi: Hakkında kişisel veri işlenen gerçek ve tüzel kişileri,
c) Kişisel verilerin işlenmesi: Kişisel verilerin otomatik olan veya olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, silinmesi veya yok edilmesi, yeniden düzenlenmesi, açıklanması veya başka bir şekilde elde edilebilir hale getirilmesi, üçüncü kişilere aktarılması, kullanılmasının sınırlanması amacıyla işaretlenmesi veya tasniflenmesi veya kullanılmasının engellenmesi gibi bu veriler üzerinde gerçekleştirilen bir işlem ya da işlemler bütününü,
ç) Anonim hale getirme: Kişisel verilerin, belirli veya kimliği belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek veya kaynağı belirlenemeyecek hale getirilmek suretiyle işlenmesini,
d) Veri kütüğü: Gerçek ve tüzel kişilere ilişkin belirli bir kritere göre kişisel verilere ulaşımı kolaylaştıracak şekilde yapılandırılmış herhangi bir kişisel veri grubunu,
e) Veri kütüğü sahibi: Kişisel verilerin işlenmesinin amaç ve metodlarını tek başına veya başkaları ile birlikte belirleyen gerçek ve tüzel kişileri,
f) Kişisel verileri işleyen: Veri kütüğü sahibi adına, bu verileri işleyen gerçek ve tüzel kişileri
g) Üçüncü kişi: Veri kütüğü sahibi ile kişisel verileri işleyen ve bunların doğrudan talimatı altında bulunan kişilerin dışında kalan ve kişisel veri işleyen gerçek ve tüzel kişi ile kişi topluluğunu, kamu kurum veya kuruluşunu,
h) Alıcı: Kişisel verileri belirli bir soruşturma çerçevesinde alan makamlar hariç olmak üzere, üçüncü kişi olsun veya olmasın verinin açıklandığı herhangi bir gerçek veya tüzel kişi ile kişi topluluğunu, kamu kurum veya kuruluşunu
ı) Kurum: Kişisel Verileri Koruma Kurumunu,
i) Başkanlık: Kişisel Verileri Koruma Başkanlığını,
j) Kurul: Kişisel Verileri Koruma Kurulunu,
k) Başkan: Kişisel Verileri Koruma Kurul ve Kurum Başkanını,
l) Sicil: Veri Kütüğü Sicilini,
ifade eder.


İKİNCİ BÖLÜM
Kişisel Verilerin İşlenmesi

Kanunîlik ilkesi
MADDE 4- (1) Kişisel veriler, ancak, bu kanunda ve diğer kanunlarda öngörülen hâllerde işlenebilir.

Kişisel verilerin işlenmesine ilişkin ilkeler
MADDE 5- (1) Kişisel verilerin;
a) Hukuka ve dürüstlük kurallarına uygun olarak işlenmesi,
b) Belirli, açık ve meşru amaçlar için toplanması ve bu amaçlara aykırı olarak yeniden işlenmemesi,
c) Toplandıkları amaçla bağlantılı, yeterli ve orantılı olması,
ç) Doğru olması ve gerektiğinde güncellenmesi,
d) İlgili kişilerin kimliklerini belirtecek biçimde ve kaydedildikleri veya yeniden işlenecekleri amaç için gerekli olan süre kadar muhafaza edilmesi zorunludur.
(2) Kişisel veriler, ilgili mevzuatta yeniden işlenme amacına yönelik yeterli koruma tedbirleri getiren düzenlemenin bulunması veya kişisel verileri kontrol eden tarafından bu yönde gerekli tedbirlerin alınması şartıyla tarihî, istatistikî veya bilimsel amaçlarla yeniden işlenebilir veya birinci fıkranın (d) bendinde öngörülenden daha uzun bir süre saklanabilir.

Hukuka uygunluk sebepleri
MADDE 6- (1) Kişisel veriler ancak ilgili kişinin açık rızasıyla işlenebilir.
(2) Kanunlarda öngörülen yükümlülüklerin yerine getirilmesi dışında, ilgili kişinin bir itirazda bulunması hâlinde veri işlenemez.
(3) Aşağıdaki hâllerde de hukuka uygunluk sebeplerinin bulunduğu kabul edilir:
a) Kanunun öngördüğü bir zorunluluk dolayısıyla, kamu yararına veya resmi olarak verilmiş bir görevin yerine getirilmesi amacıyla veri işlenmesi,
b) Kişisel verilerin, ilgili kişinin rızasını açıklayamayacak durumda olması hâlinde kendisinin veya başkasının hayatını veya beden bütünlüğünü korumak amacıyla işlenmesi,
c) Bir sözleşmenin kurulması ve ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesi,
ç) İlgili kişiler tarafından açıklanmış olması veya açık sicillerde mevcut bilgiler olması sebebiyle herkesçe bilinen kişisel verilerin işlenmesi.
d) Veri kütüğü sahibinin kendi haklı çıkarları için, ilgili kişinin temel hak ve özgürlükleri ile meşru çıkarlarına zarar vermediği sürece, veri işlemesinin zorunlu olması

Özel niteliği olan kişisel veriler
MADDE 7- (1) Kişilerin ırk, siyasî düşünce, felsefî inanç, din, mezhep veya diğer inançları; dernek, vakıf ve sendika üyeliği, sağlık ve özel yaşamları ve hür türlü mahkûmiyetleri ile ilgili kişisel veriler işlenemez.
(2) Birinci fıkrada belirtilen kişisel verilerin, özel hayatın ve aile hayatının gizliliğinin korunmasını sağlayacak yeterli önlemlerin alınması şartıyla, aşağıda sayılan hallerde işlenmesi mümkündür:
a) Kanunla yasaklanmayan hallerde kişinin yazılı rızasının alınması,
b) Hukukî veya fiilî nedenlerle rızasını açıklayamayacak durumda bulunan bir kişinin kendisinin veya bir başkasının hayatı veya beden bütünlüğünün idamesi için veri işlemenin zorunlu olması,
c) İlgili kişiye yeterli koruma imkânının sağlanması şartıyla, veri kütüğü sahibinin, bu Kanunla veya diğer kanunlarla tanınan hak ve yetkileri kullanabilmesi veya yükümlülükleri yerine getirebilmesi için veri işlemenin zorunlu olması,
ç) Vakıf, dernek, sendika ve siyasi partilerce, kuruluş amaçlarına ve tâbi oldukları mevzuata uygun ve faaliyet alanlarıyla sınırlı olmak şartıyla, üye ve mensuplarına yönelik ve ilgili kişinin rızası olmadan üçüncü kişilere açıklanmamak kaydıyla veri işlenmesi,
d) İlgili kişi tarafından alenen açıklanmış olan veriler hakkında olması,
e) Hukuken bir hakkı tesis, kullanma veya korunması için veri işlemenin zorunlu olması,
f) Koruyucu hekimlik, tıbbî teşhis, tedavi, bakım veya sağlık hizmetlerinin yürütülmesi amacıyla kişisel verilerin;
1. Sağlık kurumları,
2. Sigorta şirketleri,
3. Sosyal güvenlik kurumları,
4. İşyeri sağlık birimi oluşturmakla yükümlü işverenler,
5. Sağlıkla ilgili okul ve üniversiteler
tarafından ilgili kanunlara uygun olarak, hukuken veya meslek kurallarına göre sır saklama yükümlülüğü altında bulunan sağlık personeli veya eşdeğer seviyede sır saklama yükümlülüğü altındaki bir başka kişinin gözetimi altında işlenmesi.
(3) Özel hayatın ve aile hayatının gizliliğine dokunmamak şartıyla, temel kamu yararlarının gerektirmesi hâlinde, ilgili mevzuatta yeterli koruma tedbiri bulunması kaydıyla, Kurul, özel niteliği olan kişisel verilerin işlenmesine karar verebilir.
(4) Suçun soruşturulmasına, koruma ve kontrol tedbirlerine ve ceza mahkûmiyetlerine ilişkin özel nitelikteki kişisel veriler, ilgili kanunlarda yeterli koruma tedbiri bulunması kaydıyla, yetkili mercilerin kontrolü altında işlenebilir. Ancak, ceza mahkûmiyetlerine ilişkin sicil sadece Adalet Bakanlığı’nın kontrolü altında tutulabilir.
(5) İdarî nitelikteki yaptırımlar ve özel hukuk alanındaki mahkeme kararlarına ilişkin veriler de resmî mercilerin kontrolü altında işlenebilir.
(6) Vatandaşlık kimlik numarası veya benzeri karakteristik işaretlerin işlenme usul ve esaslarını belirlemek amacıyla yapılacak yönetmeliklerde Kurumun görüşü alınır.

Kişisel verilerin üçüncü kişilere aktarılması
MADDE 8- (1) Aşağıda sayılan haller dışında kişisel veriler üçüncü kişilere aktarılamaz:
a) Aktarmayı isteyen gerçek ve tüzel kişilerin belirli bir olayda kanundan doğan bir görevini yerine getirmesi için bu bilgiye ihtiyaç duyması,
b)Bu Kanunun 6 ncı maddesinin üçüncü fıkrasının (a) ilâ (d) bentlerinde sayılan hâllerin gerçekleşmesi.
(2) Millî güvenliğin ve millî savunmanın sağlanması, suçun önlenmesi veya soruşturulması amacıyla yapılan istihbarî faaliyetlerle ilgili olarak kanundan doğan bir görevin yerine getirilmesi için gerekli olması hâlinde de kamu kurum ve kuruluşlarınca kişisel veriler ilgili kamu kurum ve kuruluşuna aktarılabilir.
(3) Kamu kurum veya kuruluşları, kamu yararı, sır saklama yükümlülüğü, ilgili kişinin meşru menfaati veya kişisel verilere ilişkin özel koruma kurallarının varlığından bahisle kişisel verilerin üçüncü kişilere aktarılmasını reddedebilir, sınırlandırabilir veya şarta bağlayabilir.
(4) Kamu kurum veya kuruluşlarının görev alanlarıyla ilgili konularda yapacakları talep üzerine, gizlilik esaslarına göre görev yapan personelin bilgileri hariç olmak üzere, kişilerin nüfus kayıt örnekleri ve adresleri bildirilir.

Kişisel verilerin anonim hale getirilmesi veya yok edilmesi
MADDE 9- (1) İhtiyaç duyulmayan kişisel veriler, koruma tedbiri veya ispat amacıyla muhafazasının gerekli olmadığı durumlarda, anonim hâle getirilir veya yok edilir.
(2) Verilerin anonim hale getirilmesi veya yok edilmesine ilişkin usul ve esaslar Kurulca, ilgili kamu kurum ve kuruluşları ile diğer özel hukuk tüzel kişilerinin görüşleri alınarak çıkarılacak yönetmelikte gösterilir.
(3) Diğer kanun hükümleri saklıdır.

Verilerin araştırma, plânlama ve istatistik amacıyla kullanılması
MADDE 10- (1) Kişisel veriler, araştırma, plânlama ve istatistik gibi amaçlarla anonim hale getirilmesi kaydıyla işlenebilir. Bu suretle elde edilen veriler ve sonuçlar üçüncü kişilere aktarılabilir veya yayımlanabilir.


İKİNCİ KISIM
İlgili Kişinin Hakları, Yurtdışına Veri Aktarımı

BİRİNCİ BÖLÜM
Aydınlatma Yükümlülüğü,İlgili Kişinin Hakları

Aydınlatma yükümlülüğü
MADDE 11- (1) Kişisel verilerin elde edilmesi sırasında veri kütüğü sahibi, ilgili kişilere;
a) Veri kütüğü sahibi ve varsa temsilcisinin kimliği,
b) Kişisel verilerin hangi amaçla işleneceği,
c) Kişisel verilerin kimlere aktarılabileceği,
ç) Veri toplamanın yöntemi, hukukî sebebi ve muhtemel sonuçları,
d) Kişisel verileri öğrenme hakkı,
e) Düzeltme hakkı,
konusunda bilgi vermekle yükümlüdür.
(2) Kişisel verilerin, ilgili kişi dışındaki kaynaklardan edinilmesi hâlinde de ilgili kişiye yukarıdaki bilgilerle birlikte işleme konu olan veri kategorileri hakkında bilgi verilir.
(3) Kişisel verilerin istatistikî, tarihi veya bilimsel araştırma yapmak üzere işlenmesi amacıyla, başka bir veri kütüğünden edinilmesinde; ilgili kişiye bilgi verilmesinin imkânsız olması veya büyük güçlükler yaratması veya verilerin kayıt ve aktarılmasının açıkça kanunla öngörüldüğü hallerde birinci fıkra hükmü uygulanmaz.

İlgili kişinin hakları
MADDE 12- (1) Herkes, veri kütüğü sahibine başvurarak; kendisiyle ilgili kişisel veri kaydedilip kaydedilmediğini öğrenmek, kaydedilmişse bunları talep etmek, verinin muhtevasının eksik veya gerçeğe aykırı olması hâlinde bunların düzeltilmesini, hukuka aykırı olması hâlinde ise silinmesini, yok edilmesini veya aktarımının engellenmesini ve buna göre yapılacak işlemlerin verilerin açıklandığı üçüncü kişilere bildirilmesini istemek hakkına sahiptir.
(2) Bu talep karşısında veri kütüğü sahibi;
a) 1. Veri kütüğündeki ilgili kişiye ait bilgilerin ve işlenen bilgi türlerinin tamamını,
2. Veri işlemenin hukukî dayanağını ve amacını,
3. Hangi tür kişisel verilerin üçüncü kişilere aktarılabileceği ve aktarılacak kişilerin kimliklerini,
bildirmekle
b) 1. Verinin muhtevasının eksik veya gerçeğe aykırı olması hâlinde düzeltmekle,
2. Hukuka aykırı olması hâlinde silmek, yok etmek ve üçüncü kişilere aktarımını engellemekle,
3. Uygulanması imkansız olmamak veya büyük güçlükler yaratmamak kaydıyla (a) bendinin (1) ve (2) nci alt bentlerine göre yapılan işlemleri, verilerin açıklandığı üçüncü kişilere bildirmekle yükümlüdür.
(3) Bu maddede sayılan haklar, aşağıda sayılan hallerde sınırlandırılabilir:
a) Milli güvenliğin korunması, milli savunmanın gerçekleştirilmesi, suçun önlenmesi veya istihbarat amacıyla yapılan faaliyetlerle ilgili olarak kanundan doğan bir görevin yerine getirilmesi,
b) Ceza soruşturması veya kovuşturmasına zarar verilmesinin engellenmesi.

Başvuru usulü
MADDE 13- (1) 12 nci maddeye göre başvurular, yazılı olarak yapılır. Veri kütüğü sahibi talep hakkında başvuru tarihinden itibaren onbeş iş günü içinde cevap vermek zorundadır.
(2) İlgili kişi talebine cevap verilmediği, cevabın olumsuz olduğu veya yeterli olmadığı iddiasıyla yirmi gün içinde Kurula itiraz edebilir. Kurul, 41 inci madde çerçevesinde başvuru hakkında üç ay içerisinde karar verir.
(3) Başvurunun yapıldığı veri kütüğü sahibi, erişimine olanak sağladığı bilgi veya belgeler için başvuru sahibinden erişimin gerektirdiği maliyet tutarı kadar, Kurul tarafından her yıl Ocak ayında belirlenecek miktarda bir ücret talep edebilir.


İKİNCİ BÖLÜM
Yurtdışına veri aktarımı ve tedbirler

Yurtdışına bilgi aktarımı
MADDE 14- (1) Kişisel veriler, ancak kişilik haklarının korunması açısından verinin istendiği yabancı ülkede eşdeğer ve etkin koruma bulunuyorsa yurtdışına aktarılabilir.
(2) Verinin istendiği ülkede eşdeğer ve etkin bir koruma olmasa dahi;
a) İlgili kişinin açık rızasının bulunması,
b) İlgili kişi ile veri kütüğü sahibi arasında bir sözleşmenin yapılması, sözleşme öncesi ilişkinin yürütülmesi veya sözleşmenin ifası için aktarımın gerekli olması,
c) Temel kamu yararının bulunması, veya bir hakkın tespiti, icrası veya korunması için aktarımın gerekli veya kanun gereği zorunlu olması,
ç) Veri konusu kişinin hayatı veya beden bütünlüğünün idamesi için aktarımın zorunlu olması,
d) Veri aktarımının, ilgili mevzuatın aradığı şartları yerine getirmek koşuluyla kamunun veya ilgisini ispat eden herkesin erişimine açık bulunan sicillerden yapılması,
hallerinde kişisel veriler yurtdışına aktarılabilir.
(3) Yabancı ülkede bulunan veri kütüğü sahibinin, eşdeğer ve uygun bir korumayı yazılı olarak taahhüt etmesi ve Kurulun izninin bulunması halinde kişisel veriler yurt dışına aktarılabilir. Ancak, gecikmesinde sakınca bulunan veya telafisi güç veya imkansız zararların doğması ihtimali bulunan hallerde, veri kütüğü sahibi kişisel verileri yurt dışına aktarabilir. Bu halde veri kütüğü sahibi, durumu yirmi dört saat içerisinde Kurula bildirir. Kurul, veri aktarımının bu Kanun hükümlerine uygun olup olmadığı hususunda inceleme yaparak bir karar verir.
(4) Kurul, yurtdışına bilgi aktarımında:
a) Taraf olduğumuz uluslararası anlaşmaları,
b) Veri talep eden ülkeyle ülkemiz arasında veri aktarımına ilişkin fiili karşılıklılık durumunu,
c) Her somut veri transferine ilişkin olarak, verinin niteliği, işlenme amaç ve süresini,
ç) Verinin transfer edileceği ülke ve bu ülkede uygulanan konuyla ilgili kanunları,
d) Koruma tedbirleri ve verinin transfer edileceği ülkede bulunan veri kütüğü sahibi tarafından yeterli önlemlerin alınıp alınmadığını,
değerlendirmek suretiyle karar verir.

Kişisel verilerin işlenmesine ilişkin tedbirler
MADDE 15- (1) Veri kütüğü sahibi, kişisel verilerin, tedbirsizlikle veya hukuka aykırı amaçlarla yok edilmesini, kaybolmasını, değiştirilmesini, yetkisiz olarak açıklanmasını veya aktarılmasını ve başka şekillerdeki tüm hukuka aykırı işlenmelerini önlemek için, korunacak verinin niteliği, teknolojik imkânlar ve uygulama maliyetine göre uygun teknik ve idarî tedbirleri almak zorundadır.
(2) Verilerin, veri kütüğü sahibi adına başka bir işleyen tarafından işlenmesi halinde, veri kütüğü sahibinin, işleyenin yeterli teknik ve idarî tedbirleri temin etmesini bir sözleşme veya hukukî tasarrufla yazılı olarak yükümlü tutması zorunludur.
(3) Veri kütüğü sahibi, işleyenin veya onun kontrolü altında olup da verilere ulaşma imkanı olan kişilerin:
a) Kanunla öngörülen haller dışında, yalnızca veri kütüğü sahibinin talimatları doğrultusunda veri işlemesini
b) Birinci fıkrada belirtilen yükümlülükleri yerine getirmesini, ikinci fıkrada belirtilen şekilde sağlar.

ÜÇÜNCÜ KISIM
Sicil
BİRİNCİ BÖLÜM
Sicil, Sicile Kayıt ve Ön İnceleme

Veri kütüğü sicili
MADDE 16- (1) Kurum tarafından bir Veri Kütüğü Sicili tutulur.
(2) Kişisel verileri işleyen gerçek ve tüzel kişiler, veri kütüğü kurmadan önce sicile kaydolmak zorundadır.
(3) Sicil kamuya açık olarak tutulur.

Sicile kayıt başvurusu
MADDE 17- (1) Sicile kayıt başvurusu aşağıdaki hususları içeren bir bildirimle yapılır:
a) Veri kütüğü sahibi veya varsa temsilcisinin kimlik ve adres bilgileri,
b) Kişisel veri işlemenin amaçları,
c) Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar,
ç) Verilerin açıklanabileceği alıcılar veya alıcı grupları,
d) Üçüncü ülkelere aktarımı öngörülen veriler,
e) 15inci madde uyarınca alınan tedbirlere ilişkin genel açıklama.
(2) Yukarıda sayılan bilgilerde yapılan değişiklikler yıl sonunda toplu olarak yeniden kuruma bildirilir.

Bildirimin istisnaları:
MADDE 18- (1) Aşağıdaki hallerde sicile bildirim zorunluluğu yoktur:
a) Kişilerin temel hak ve özgürlüklerini olumsuz yönde etkilemeyecek nitelikte veri işlenmesi,
b) Veri işlemenin kamuya bilgi verilmesi amacıyla tutulan ve yasal çıkarı bulunan herkesin incelemesine açık bir sicil için yapılması
c) Veri işlemenin altıncı maddenin ikinci fıkrasının (ç) bendinde belirtilen amaçlarla yapılması
ç) Veri koruma denetim kuruluşunun görevlendirilmiş olması
(2) Birinci fıkranın (a) bendinde belirtilen veriler veya veri kategorileri, veri işlemenin amaçları, ilgili kişilerin dahil olduğu kategoriler, alıcılar veya alıcı kategorileri ile verilerin saklama süreleri Kurum tarafından çıkartılacak bir tebliğ ile açıkça belirtilir.

Ön inceleme
MADDE 19- (1) Kurum, veri konusu kişilerin, kişiliklerine, temel hak ve özgürlüklerine yönelik risk taşıma ihtimali olan ve bu kanunun dördüncü maddesinde belirtilen niteliklere uygun olmayan ve altı ve yedinci maddelerinde belirtilen koşulları taşımayan veri işlemelerini belirlemek üzere, ilgili veri işlemeleri başlamadan önce bir ön inceleme yapar.
(2) Ön inceleme, Kurum tarafından, veri kütüğü sahibi veya varsa temsilcisi tarafından sicile kayıt başvurusundan itibaren en geç bir ay içinde yapılır. Ön inceleme sonuçlanmadan veri işlemesi yapılamaz.

İKİNCİ BÖLÜM
Veri Koruma Denetim Kuruluşu ve Bildirim

Veri koruma denetim kuruluşu
MADDE 20- (1) Veri kütüğü sahipleri, bu Kanun hükümlerinin uygulanmasını sağlamak üzere bağımsız denetim kuruluşu görevlendirebilirler. Bu kuruluşlar, kendilerini atayan veri kütüğü sahibi tarafından bu Kanunun uygulanmasını, herhangi bir talimat almaksızın denetlerler ve bu amaçla, 16 ve devamı maddelerinde belirtilen sicili tutarlar.
(2) Denetleme kuruluşları, ilgili kişilerin şikayet ve talepleri nedeniyle öğrendikleri bilgileri, o kişilerin rızası olmadıkça, gizli tutmakla yükümlüdür. Kuruluşlar, çalışmaları hakkında hazırladıkları yıllık raporları her yıl Ekim ayı sonuna kadar Kuruma sunarlar.
(3) Veri kütüğü sahibi, kuruluşun görevini yapabilmesi için gerekli imkanları sağlamakla yükümlüdür. Bağımsız denetleme kuruluşlarının kuruluş ve çalışma esasları ile niteliği bir Tüzükle düzenlenir.
Kuruma bildirim
MADDE 21- (1) Bağımsız denetim kuruluşunun göreve başlayabilmesi için veri kütüğü sahibi tarafından Kuruma bildirimde bulunulması zorunludur. Kurum ayrı bir bağımsız denetim kuruluşu sicili tutar. Kurumun bu kanundan doğan görev ve yetkileri saklıdır.

 

ÜÇÜNCÜ BÖLÜM
İstisnalar ve Meslek Kuralları

İstisnalar
MADDE 22- (1) Bu Kanunun 6, 11, 16, 17 ve 19 uncu maddeleri aşağıda sayılan haller bakımından uygulanmaz:
a) Milli güvenliğin korunması, milli savunmanın gerçekleştirilmesi veya bu amaçla yapılan istihbarî faaliyetlerin yürütülmesi,
b) Kamu düzeninin korunması,
c) Suçun önlenmesi için gerekli olması, suç veya meslek ahlak kurallarını ihlâl eden eylemlerin soruşturulması veya kovuşturulması,
ç) Bütçe, vergi ve mâli konulara ilişkin olarak devletin önemli ekonomik veya malî çıkarlarının gerektirmesi,
d) (b), (c) ve (ç) bentlerinde belirtilen konularda, resmî mercilerin izleme, denetleme veya düzenleme görevlerinin gerektirmesi.
(2) Bu Kanunun 12 nci maddesinde belirtilen haklar, kişisel verilerin özellikle belli bir kişiye ilişkin tedbir veya karar alınmasına yönelik kullanılmadığı ve ilgili kişinin özel yaşamının gizliliğinin ihlal edilmesi riskinin bulunmadığı hallerde, ilgili mevzuatta yeterli koruma tedbiri bulunması kaydıyla, bilimsel araştırma veya istatistik oluşturma amaçları ile sınırlanabilir.

Gazetecilik amacıyla kişisel verilerin işlenmesi
MADDE 23- (1) Yayın sahipleri veya temsilcileri ile bunların çalışanları tarafından sadece gazetecilik amacıyla veri işlenmesi halinde bu Kanunun 5, 15 ve 24 üncü maddeleri uygulanır.
(2) Birinci fıkrada belirtilen kişisel verilerin işlenmesi fiilleri, ancak düşünceyi açıklama ve yayma hürriyeti sınırları çerçevesinde, yayın sahipleri veya temsilcileri ve bunların çalışanlarının enformasyon ihtiyaçlarının karşılanması için gerekli olması halinde hukuka uygun sayılır.

Kişisel verilerin işlenmesi bakımından meslekî davranış kuralları
MADDE 24- (1) Veri kütüğü sahiplerinin bağlı oldukları meslek birlikleri tarafından, değişik sektörlerin özellikleri dikkate alınarak, kişisel verilerin işlenmesiyle ilgili kuralların yerinde uygulanabilmesini temin etme amacıyla hazırlanan mesleki davranış kuralları, bu Kanuna uygunluğunun denetimi için, Kuruma sunularak görüşü alınır. Kurum yapacağı denetimde ilgili kişiler veya temsilcilerinin de görüşlerine başvurur.

Kişisel verilerin silinmesi veya yok edilmesi
MADDE 25- (1) 22 nci maddenin birinci fıkrasında sayılan haller saklı kalmak üzere, bu Kanunda yer alan genel ilkeleri taşımayan kişisel veriler silinir veya yok edilir.
(2) Kişisel verilerin silinmesi veya yok edilmesinin esas ve usulleri Kurumca çıkarılacak yönetmelikle belirlenir.

 

 

 


DÖRDÜNCÜ KISIM
Kurum ve Kurul
BİRİNCİ BÖLÜM
Kurum ve Kurulun Kuruluş ve Görevleri

Kuruluş
MADDE 26- (1) Bu Kanunla verilen görevleri yapmak üzere, kamu tüzel kişiliğini haiz, idarî ve malî özerkliğe sahip Kişisel Verileri Koruma Kurumu kurulmuştur.
(2) Kurum Başbakanlığın ilişkili kuruluşudur.

Kurum teşkilâtı
MADDE 27- (1) Kurum, Kişisel Verileri Koruma Kurulu ile Kişisel Verileri Koruma Kurumu Başkanlığından oluşur.
(2) Kurum, yetkilerini bağımsız olarak kullanır. Kurumun merkezi Ankara’dadır, gerekli gördüğü yerlerde şube açabilir.
(3) Kurum, görevleri ile ilgili konularda tüm kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden her türlü bilgi ve belgeyi isteyebilir. Tüm kurum ve kuruluşlar ile gerçek ve tüzel kişiler, söz konusu isteğe cevap vermek ve Kurumun görevlilerine gereken kolaylığı göstermekle yükümlüdürler.

Kurulun oluşumu
MADDE 28- (1) Kurul, Yargıtay ve Danıştay Genel Kurullarının yapacakları seçimle, kendi kurumlarında görevli birinci sınıfa ayrılmış hâkim ve savcılar arasından önerecekleri birer, Yükseköğretim Kurulunun kendi üyesi olmayan ve hukuk fakültelerinde ceza hukuku, idare hukuku ve anayasa hukuku alanlarında profesör veya doçent unvanına sahip öğretim üyeleri arasından göstereceği bir, Türkiye Barolar Birliğinin baro başkanı seçilme yeterliliğine sahip avukatlar içinden göstereceği bir, Türkiye Bilimsel ve Teknolojik Araştırma Kurumunun Bilim Kurulu üyeleri arasından göstereceği bir, Adalet Bakanının bu Bakanlıkta idarî görevlerde çalışan birinci sınıfa ayrılmış hâkim ve savcılar arasından göstereceği bir ve Bakanlar Kurulunca re’sen seçilecek üç kişi olmak üzere dokuz üyeden oluşur.
(2) Hâkim ve savcılar hariç, üyelerin yükseköğrenim görmüş, öğretim kurumlarında en az on yıl öğretim üyeliği yapmış veya kamu hizmetinde en az on yıl fiilen çalışmış olmaları şarttır.
(3) Kurul üyeliğine önerilen adayların muvafakatleri aranır.
(4) Kurul Başkanını Bakanlar Kurulu atar. Başkan vekili, Kurul tarafından yapılacak bir seçimle kendi üyeleri arasından üye tamsayısının salt çoğunluğuyla seçilir.

Görev süreleri
MADDE 29- (1) Kurul üyelerinin görev süresi altı yıldır. Görev süresi bitenler yeniden seçilemez.
(2) Başkanlık ve üyelikler görev süreleri dolmadan herhangi bir sebeple boşaldığı takdirde, boşalan yerlere bir ay içinde 28 inci madde hükümlerine göre, seçim ve atama yapılır. Bu şekilde atanan kişiler yerine atandıklarının süresini tamamlar ve bu şekilde atananlardan iki yıl veya daha az süreyle görev yapanlar bir defalığına tekrar atanabilir.
(3) Kurul Başkan ve üyelerinin görev süreleri dolmadan görevlerine son verilemez. Ancak atanmaları için gerekli şartları taşımadığı anlaşılan, görevleri ile ilgili olarak işledikleri suçlardan dolayı haklarında verilen mahkûmiyet kararı kesinleşen Kurul Başkan ve üyeleri süreleri dolmadan Başbakanın onayı ile görevden alınır. Bu durumda en geç bir ay içinde üye veya başkan seçimi veya ataması yapılır.
(4) Kurul Başkanının, kurulda görev yaptığı sürece önceki görevleriyle olan ilişkileri kesilir. Kurul başkanlığına kamu görevlisi iken atananlar görevlerinin sona erdiği tarihi izleyen otuz gün içinde eski kurumlarına başvurmaları halinde ilgili Bakan veya atamaya yetkili diğer makamlar tarafından mükteseplerine uygun bir kadroya atanır. Bu durumda Kurumda geçirdikleri süreler tabi oldukları Kanun hükümlerine göre hizmetlerinde değerlendirilir. Akademik ünvanların kazanılması için gerekli şartlar saklıdır.
Yemin
MADDE 30-(1) Kurul üyeleri, Yargıtay Birinci Başkanlık Kurulu huzurunda, “Üstlendiğim görevi Anayasa ve kanunlar gereğince tam bir dikkat, dürüstlük ve tarafsızlıkla yürüteceğime namusum ve şerefim üzerine yemin ederim.” şeklinde yemin ederler. Yemin için yapılan başvuru Yargıtay’ca acele işlerden sayılır. Kurul üyeleri, yemin etmedikçe göreve başlayamaz.

Kurulun çalışma esasları
MADDE 31- (1) Kurul görevini yaparken bağımsızdır. Hiçbir organ, makam, merci ve kişi Kurulun kararını etkilemek amacıyla emir ve talimat veremez.
(2) Kurul ayda en az iki defa olmak üzere, gerekli hallerde başkanın veya başkanın bulunmadığı durumlarda başkan vekilinin çağrısı üzerine, başkan dahil en az yedi üye ile toplanır ve üye tam sayısının salt çoğunluğuyla karar alır. Kurul üyeleri çekimser oy kullanamaz.
(3) Başkan ve üyeler kendilerini, üçüncü dereceye kadar kan ve ikinci dereceye kadar kayın hısımlarını, evlatlıklarını ve aralarındaki evlilik bağı kalkmış olsa bile eşlerini ilgilendiren kararlarla ilgili toplantı ve oylamaya katılamaz.
(4) Bu maddede belirtilen haller dışında bir nedenle bir takvim yılında üç toplantıya katılmayan üyeler üyelikten çekilmiş sayılır.
(5) Kurul tarafından alınan kararların yürütülmesi başkana, yokluğunda vekiline aittir.

Kurulun görev ve yetkileri
MADDE 32- (1) Kurulun görev ve yetkileri şunlardır:
a) Kişilik hakları ihlâl edilenlerin başvuruları hakkında karar vermek,
b) İlgili kişi bakımından telâfisi güç veya imkânsız bir zararın doğması ihtimalinin bulunması halinde geçici önlemler almak,
c) Kişisel verilerin işlenmesine ilişkin konularda düzenleyici işlemler tesis etmek,
ç) Yabancı ülkelere veri aktarımı konusunda tereddüt bulunması hâlinde karar vermek,
d) Başkanın sunduğu önerileri karara bağlamak,
e) Türkiye Büyük Millet Meclisi Başkanlığına Kurul faaliyetleri hakkında yıllık rapor hazırlamak,
f) Kurumun yıllık çalışma raporu ve programı ile denetim raporunu onaylamak,
g) Kurumun yıllık hesapları ile yıllık bütçe teklifini onaylamak,
h) Kanunlarda verilen diğer görevleri yerine getirmek,


İKİNCİ BÖLÜM
Kurum Başkanlığı, Hizmet Birimleri ve Görevleri

Kurum Başkanlığı
MADDE 33- (1) Kişisel Verileri Koruma Kurumu Başkanlığı, Başkan ve iki başkan yardımcısı ile hizmet birimlerinden oluşur.
(2) Başkanlığa ilişkin görevlerde Başkana yardımcı olmak üzere, Kurum başkanının önerisi ve Kurulun kararı ile iki başkan yardımcısı görevlendirilir.
Başkan
MADDE 34- (1) Kurul başkanı kurumun da başkanı olup, Kurumun genel yönetim ve temsilinden sorumludur. Bu sorumluluk, kurumun çalışmalarının genel çerçevede düzenlenmesi, değerlendirilmesi ve gerektiğinde kamuya duyurulması görev ve yetkilerini kapsar.
(2) Başkanın bulunmadığı hallerde Başkan vekili Başkana vekalet eder.

Başkanın görev ve yetkileri
MADDE 35- (1) Başkanın görev ve yetkileri şunlardır:
a) Kurumu temsil etmek,
b) Kurula başkanlık etmek,
c) Kişisel Verileri Koruma Kurulunun belirlediği ilke, usul ve öncelikler doğrultusunda Kurumu yönetmek ve itâ amirliği yapmak,
ç) Kurula sunulmak üzere Kurumun yıllık faaliyet raporu ve programı ile bütçesini hazırlamak ve Kurula sunmak,
d) Kurum bütçesinin uygulanmasını, gelirlerin toplanmasını, giderlerin yapılmasını sağlamak,
e) 48 inci maddede belirtilen denetim sonuçlarına ilişkin raporu hazırlamak,
f) Sicilin tutulmasını sağlamak,
g) Yurt içi ve yurt dışında verilerin korunması makamları ile işbirliği yapmak,
h) Kurul tarafından hazırlanan yıllık faaliyet raporunu Türkiye Büyük Millet Meclisi Başkanlığına sunmak,
ı) Veri koruma hukuku alanındaki gelişmeleri takip etmek ve bunların uygulanması için gerekli önlemleri almak,
i) İhtiyaç duyulan alanlarda ulusal ve uluslararası kurum ve kuruluşlarla işbirliği içinde araştırma ve teknik yardım projeleri hazırlamak, geliştirmek ve yürütmek,
j) Veri koruması ile ilgili konularda diğer ülkelerle ve uluslararası kuruluşlarla işbirliğini sağlamak ve uluslararası toplantılar düzenlemek,
k) Kurum Başkan yardımcılarını, atamaları yapılmak üzere Kurula önermek,
l) Kurum personelini atamak.

Hizmet birimleri
MADDE 36- (1) Kurumun hizmet birimleri, Kurum görev ve yetkilerinin gerektirdiği sayıda daire başkanlıkları şeklinde teşkilâtlanmış ana hizmet birimleri, danışma birimleri ve yardımcı birimlerden oluşur.
(2) Başkanlığın
a) Ana hizmet birimleri ;
1. Sicil ve İnceleme Daire Başkanlığı,
2. Mevzuat ve Dış İlişkiler Daire Başkanlığı,
b) Danışma birimi, Hukuk Müşavirliği,
c) Yardımcı hizmet birimi, Destek Hizmetleri Daire Başkanlığından oluşur.
(3) Kurumda, Başkana yardımcı olmak üzere, ihtiyaca göre sayıları beşi geçmemek üzere müşavir görevlendirilebilir.

 

Ana hizmet birimlerinin görevleri
MADDE 37- (1) Sicil ve İnceleme Daire Başkanlığı, sicilin tutulması ve sicile kayıt işlemlerinden sorumlu olup, aynı zamanda bu Kanunun uygulanmasıyla ilgili şikayet ve başvuru işlemlerini inceleyip Kurula sunmak üzere rapor hazırlar.
(2) Mevzuat ve Dış İlişkiler Daire Başkanlığının görevleri şunlardır:
a) Veri koruma hukuku alanındaki gelişmeleri takip etmek ve bunların uygulanması için gerekli önlemleri almak
b) Kendi görev alanına giren konularda yurt içi ve yurt dışında ilgili kurum ve kuruluşlarla işbirliği yapmak,
c) Kurula sunulmak üzere Kurumun yıllık faaliyet raporunu hazırlamak,
ç) İhtiyaç duyulan alanlarda ulusal ve uluslararası kurum ve kuruluşlarla işbirliği içinde araştırma ve teknik yardım projeleri hazırlamak, geliştirmek ve yürütmek.
d) Veri koruması ile ilgili konularda diğer ülkelerle ve uluslararası kuruluşlarla işbirliğini sağlamak ve uluslararası toplantılar düzenlemek.

Danışma biriminin görevleri
MADDE 38- (1) Hukuk Müşavirliğinin görevleri şunlardır:
a) Başkan, Başkanlık birimleri ve bakanlıklar tarafından gönderilen kanun, tüzük ve yönetmelik tasarıları ile diğer hukukî konular hakkında görüş bildirmek.
b) Başkanlığın menfaatlerini koruyucu, anlaşmazlıkları önleyici hukukî tedbirleri zamanında almak, anlaşma ve sözleşmelerin bu esaslara uygun olarak yapılmasına yardımcı olmak.
c) Başkanlığı, taraf olduğu davalarda temsil etmek
ç) Başkan tarafından verilecek görevleri yapmak.

Yardımcı hizmet biriminin görevleri
MADDE 39- (1) Destek Hizmetleri Daire Başkanlığının görevleri şunlardır:
a) Başkanlığın insan gücü politikası ve plânlaması konusunda çalışmalar yapmak ve tekliflerde bulunmak.
b) Başkanlık personelinin atama, nakil, sicil, terfi, ücret, emeklilik ve benzeri özlük işlemlerini yürütmek.
c) Başkanlığın eğitim plânını hazırlamak, uygulamak ve değerlendirmek.
ç) Program kapsamındaki kurum ve kuruluşlara yönelik eğitim programları hazırlamak ve uygulamak.
d) Başkan tarafından verilecek benzeri görevleri yapmak.
e) Başkanlığın ihtiyacı olan her türlü yapım, satın alma, kiralama, bakım ve onarım, arşiv, sağlık ve benzeri idarî ve malî hizmetleri yürütmek.
f) Taşınır ve taşınmaz mal kayıtlarını tutmak.
g) Başkanlık sivil savunma ve seferberlik hizmetlerini plânlamak ve yürütmek.
h) Başkan tarafından verilecek diğer görevleri yapmak


ÜÇÜNCÜ BÖLÜM
Şikâyet ve inceleme usulü

Şikâyet başvurusu
MADDE 40- (1) Bu Kanunun uygulanmasından kaynaklanan şikâyetler dilekçeyle şikâyet konusu işlemin yapıldığı veya öğrenildiği tarihten itibaren altmış gün içinde Kuruma yapılır. Kurul şikâyeti üç ay içinde inceler. Ancak hukukî veya fiili sebeplerle bu süre içerisinde incelemenin sonuçlandırılamaması hâlinde süre, bir defaya mahsus olmak üzere üç ay daha uzatabilir. Şikâyetin 12 nci maddenin üçüncü fıkrasına veya 22 nci maddenin birinci fıkrasının (a) bendinde sayılan hallere ilişkin olmadığı ya da (c) bendinde belirtilen görevlerin yerine getirilmesini engellemediği sürece, işlem sonucunu ilgililere tebliğ eder.
(2) Şikâyet başvurusunda bulunanlar, şikâyet konusunda Kurulca verilen kararın kendilerine tebliğinden itibaren altmış gün içinde idare mahkemelerinde dava açabilirler. Kişilik hakları ihlal edilenlerin, genel hükümlere göre zararını tazmin hakkı saklıdır.

İnceleme usul ve esasları
MADDE 41-(1) Kurul, re’sen veya ilgili tarafların başvurusu üzerine bu Kanunun uygulanması ile ilgili konuları inceler.
(2) Veri kütüğü sahibi, Kurulun istemi üzerine, inceleme konusuyla ilgili bilgi ve belgeleri onbeş gün içinde göndermek ve yerinde inceleme yapılmasına imkan sağlamakla yükümlüdür.
(3) İnceleme sonucunda bu Kanun hükümlerinin ihlâl edildiğinin anlaşılması hâlinde, Kurul, veri kütüğü sahibinden bu Kanun hükümlerine uygun olarak kişisel verilerin işlenmesini ister. Bu istem, derhal yerine getirilir.
(4) Veri kütüğü sahibi kamu tüzel kişisi ise, Kurul, ilgili kamu tüzel kişisinden verilerin bu Kanun hükümlerine uygun olarak işlenmesini ister. Bu istem, en geç otuz gün içinde yerine getirilir.
(5) 22 nci maddenin birinci fıkrasının (a) ve (c) bentlerinde sayılan hallerde Kurul, üyelerinden birini ilgili kurumda incelemelerde bulunmak üzere görevlendirir. Görevlendirilen üye, inceleme sonucunda Kurula sözlü olarak bilgi verir.
(6) Kurul, telafisi güç veya imkansız zararların doğması ihtimali ve açıkça hukuka aykırılık halinde ilgili kişi hakkında veri işlenmesinin veya yurt dışına aktarımının durdurulmasına karar verebilir.

DÖRDÜNCÜ BÖLÜM
Kurul Başkan ve Üyelerinin Yükümlükleri, Uzman Yardımcılığı ve Uzmanlık
Başkan ve üyelerin görev alma yasağı, malî hakları ve sır saklama yükümlülüğü
MADDE 42- (1) Kurul Başkanı, bilimsel amaçlı yayın, ders ve konferans gibi etkinlikler hariç olmak üzere herhangi bir kanuna dayanmayan resmî veya özel hiçbir görev alamaz, dernek, vakıf, kooperatif ve benzeri yerlerde yöneticilik yapamaz, ticaretle uğraşamaz, serbest meslek faaliyetinde bulunamaz.
(2) Kurul başkanına en yüksek devlet memuru için belirlenen her türlü ödemeler dahil malî ve sosyal haklar tutarında aylık ücret ödenir. En yüksek devlet memuruna ödenenlerden vergi ve diğer yasal kesintilere tâbi olmayanlar, bu Kanuna göre de vergi ve diğer kesintilere tâbi olmaz.

 

(3) Kurul üyelerine ve Başkana vekâlet ettiği sürece Başkan vekiline 10/02/1954 tarihli ve 6245 sayılı Harcırah Kanunu hükümleri saklı kalmak kaydıyla fiilen görev yaptıkları her gün için uhdesinde kamu görevi bulunup bulunmadığına bakılmaksızın (3000) gösterge rakamının memur aylık katsayısı ile çarpımı sonucu bulunacak miktarda huzur hakkı ödenir. Bu ödemelerde damga vergisi hariç herhangi bir kesinti yapılmaz.
(4) Kurul başkan ve üyeleri ile Kurumun her türlü personeli, çalışmaları ve denetlemeleri sırasında ilgililere ve üçüncü kişilere ait öğrendikleri sırları bu konuda kanunen yetkili kılınan mercilerden başkasına açıklayamazlar ve kendi yararlarına kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

Kurum personelinin atanması ve malî hakları
MADDE 43- (1) Kurumun başkan yardımcıları, daire başkanları, başkanlık müşavirleri ve meslek personeli kadro karşılığı sözleşmeli statüde istihdam edilir. Kurum personeli ücret, malî ve sosyal haklar dışında 657 sayılı Devlet Memurları Kanununa tâbidir.

Emeklilik ve hizmet sürelerinin değerlendirilmesi
MADDE 44- (1) Kurul başkanı ile kurum personeli 5434 sayılı Türkiye Cumhuriyeti Emekli Sandığı hükümlerine tâbidir. Emeklilik ve diğer bakımlardan kurul başkanı bakanlık müsteşarı, başkan yardımcıları genel müdür, daire başkanları genel müdür yardımcısı, başkanlık müşaviri bakanlık müşaviri ile denk statüde kabul edilir. Kurul başkanlığında geçirilen süreler makam, temsil ve hâkim ve savcılar ile bu meslekten sayılanlar için yüksek hâkimlik tazminatı ödenmesini gerektiren görevlerde geçmiş sayılır.
(2) Emeklilik açısından kurum meslek personeline, kazanılmış hak aylık dereceleri itibariyle karşılık gelen Başbakanlık uzman ve uzman yardımcıları için tespit edilen ek gösterge ve makam tazminatı uygulanır.

Kişisel verileri koruma uzman yardımcılığına atanma
MADDE 45- (1) Kişisel verileri koruma uzman yardımcılığına atanabilmek için 657 sayılı Devlet Memurları Kanununun 48 inci maddesinde sayılan şartlara ilâve olarak aşağıdaki nitelikler aranır:
a) En az dört yıllık yükseköğretim kurumlarından veya bunlara denkliği yetkili makamlarca kabul edilen yurt dışındaki yükseköğretim kurumlarından mezun olmak,
b) Yapılacak yarışma ve yeterlik sınavında başarılı olmak,
c) Sınavın yapıldığı yılın Ocak ayının ilk günü itibariyle otuz yaşını doldurmamış olmak.

Kişisel verileri koruma uzmanlığı
MADDE 46- (1) 45 inci maddeye göre kişisel verileri koruma uzman yardımcılığına atananlar, en az üç yıl çalışması, olumlu sicil alması, konuları ile ilgili hazırlayacakları uzmanlık tezinin Kurul tarafından kabul edilmesi, açılacak meslekî yeterlilik sınavında başarılı olması, Kamu Personeli Yabancı Dil Bilgisi Seviye Tespit sınavından en az (C) düzeyinde yabancı dil puanı alması halinde “Kişisel Verileri Koruma Uzmanı” ünvanını alırlar.
(2) Kişisel verileri koruma uzmanlığı sınavında iki kez başarılı olamayanlar diğer kamu kurum ve kuruluşlarındaki öğrenim durumlarına uygun kadrolara atanmak üzere Devlet Personel Başkanlığına bildirilir.
(3) Kişisel verileri koruma uzman yardımcılığı sınavı ile kişisel verileri koruma uzmanlığı sınavının şekil ve uygulama esasları yönetmelikle düzenlenir.


BEŞİNCİ BÖLÜM
Kurumun Bütçesi, Yıllık Faaliyet Raporu ve Muafiyet

Kurumun gelirleri
MADDE 47- (1) Kurumun bütçesi 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanununun üçüncü maddesinin birinci fıkrasının (c) bendinde belirtilen cetvel için öngörülen usul ve esaslara göre hazırlanır ve kabul edilir.
(2) Kurumun gelirleri şunlardır:
a) Her yıl Kurum adına konulacak ödenek,
b) İdarî para cezalarının yarısı
c)Yayın gelirleri,
ç)Kuruma ait taşınır ve taşınmaz mallardan elde edilen gelirler,
d)Yukarıda sayılan gelirlerin nemalandırılması suretiyle elde edilecek gelirler.

Kurum giderleri ve malları
MADDE 48- (1) Kurumun harcamaları, Kurul kararıyla yürürlüğe giren yıllık bütçeye göre yapılır.
(2) Kurumun yıllık hesapları ile harcamalarına ilişkin işlemler, 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunu ile 832 sayılı Sayıştay Kanunu çerçevesinde denetlenir. Kurum, denetleme sonuçlarıyla ilgili gerekli tedbirleri alır. Denetim sonuçları ile bunlara ilişkin işlemleri ve alınan tedbirleri gösterir bir rapor, Kurumun yıllık faaliyet raporu ile birlikte Türkiye Büyük Millet Meclisine sunulur.
(3) Kurumun para, evrak ve her çeşit malları Devlet malı hükmündedir. Kurulun başkan ve üyeleri ile diğer personeli görevleriyle bağlantılı olarak işledikleri suçlar ile bunlara karşı işlenen suçlardan dolayı sorumluluk bağlamında 26/09/2004 tarihli ve 5237 sayılı Türk Ceza Kanunu uygulamasında kamu görevlisi sayılırlar.

Yıllık faaliyet raporu
MADDE 49- (1) Kurum, faaliyetlerine ilişkin olarak her yılın Mart ayı sonuna kadar bir önceki yıla ait kararları, yaptığı düzenlemeleri ile bunların ekonomik ve sosyal etkilerini analiz eden bir faaliyet raporu hazırlar. Faaliyet raporu, ayrıca, kurumun performans hedefleri ile uygulama sonuçlarının karşılaştırılmasını ve değerlendirilmesini de içerir.
(2) Yıllık faaliyet raporu, kurul kararları ve ikincil düzenlemeler kurumun internet sayfasında yayınlanır.


BEŞİNCİ KISIM
Çeşitli Hükümler
BİRİNCİ BÖLÜM
Soruşturma ve Kovuşturma Hükümleri

Kişisel verilerin hukuka aykırı olarak işlenmesi
MADDE 50- (1) Hukuka aykırı olarak üçüncü fıkrada belirtilenler dışında kişisel verileri işleyen kişi, Türk Ceza Kanununun 135 inci maddesinin birinci fıkrasına göre cezalandırılır.
(2) Birinci fıkrada yazılı fiilin, bu Kanunun 6 ncı maddesinde düzenlenen özel niteliği olan kişisel veriler hakkında işlenmesi hâlinde de birinci fıkrada belirtilen cezaya hükmolunur.
(3) Hukuka aykırı olarak kişisel verileri açıklayan, yayan, bir başkasına veren, aktaran veya ele geçiren kişi Türk Ceza Kanununun 136 ncı maddesine göre cezalandırılır.
(4) Yukarıdaki fıkralarda belirtilen fiillerin Türk Ceza Kanunun 137 nci maddesinde belirtilen şekilde işlenmesi halinde ceza, aynı maddeye göre tayin edilir.
(5) 25 inci maddeye aykırı hareket edenler Türk Ceza Kanununun 138 inci maddesine göre cezalandırılırlar.

Verilerin korunması ve yok edilmesi görevinin ihmali
MADDE 51- (1) Kanuna uygun olarak veri kütüğüne işlenmekle beraber bunların muhafazalarında veya kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmek yükümlülüğünde ihmalleri görülenler, Türk Ceza Kanununun 138 inci maddesine göre cezalandırılırlar.

Tüzel kişiler hakkında güvenlik tedbiri uygulanması
MADDE 52- (1) Bu Kanunda tanımlanan suçların bir tüzel kişinin faaliyeti çerçevesinde işlenmesi halinde, ilgili tüzel kişi hakkında Türk Ceza Kanununun tüzel kişilere özgü güvenlik tedbirlerine hükmolunur.

İdarî para cezaları
MADDE 53- (1) Bu Kanunun;
a) 11, 12, 15, 19, 27 nci maddesinin üçüncü fıkrası, 41 ve 42 nci maddesinin birinci fıkrasında öngörülen yükümlülüklere aykırı hareket edenlere beşbin Türk Lirası,
b) 16, 21 ve 24 üncü maddelerinde öngörülen yükümlülüklere aykırı hareket edenlere onbin Türk Lirası,
idarî para cezası verilir.
(2) Bu Kanuna göre idarî para cezaları Kurul tarafından verilir.
(3) Bu maddedeki fiillerden özel hukuk tüzel kişileri de sorumludur.

Ceza soruşturması ve kovuşturması
MADDE 54- (1) 2/12/1999 tarihli ve 4483 sayılı Memurlar ve Diğer Kamu Görevlilerinin Yargılanması Hakkında Kanun uyarınca görev sebebiyle işlenen suçlar dolayısıyla soruşturma izni yetkisi, Başkan ve üyeler hakkında Başbakan, Kurumun diğer personeli hakkında Başkan, yokluklarında ise başkan vekili tarafından kullanılır.
(2) Özel kanun hükümleri saklıdır.

Disiplin soruşturması
MADDE 55- (1) Kişisel Verileri Koruma Kurumunda çalışanlar hakkında genel hükümler uygulanır.

İKİNCİ BÖLÜM
Son Hükümler

Yönetmelik
MADDE 56- (1) Kurum:
a) Yabancı ülkelere bilgi aktarımının esas ve usullerini,
b) Sicilin tutulmasına ilişkin esas ve usulleri,
c) Kurulun çalışma esas ve usullerini,
ç) Kişisel verilerin anonim hale getirilmesi veya yok edilmesine ilişkin esas ve usulleri,
d) Kişisel verileri koruma uzman yardımcılığı sınavı ile kişisel verileri koruma uzmanlığı sınavının şekil ve uygulama esaslarını,
e) 5inci maddenin ikinci fıkrasında öngörülen tarihî, istatistik veya bilimsel amaçlarla yeniden veri işlenebilmesi için gerekli tedbirleri,
f) Bu Kanunun uygulanmasına ilişkin sair hususları,
Kanunun yürürlük tarihinden itibaren altı ay içinde, ilgili kurum ve kuruluşların görüşlerini alarak çıkartacağı yönetmeliklerle düzenler.

GEÇİCİ MADDE 1- (1) Kişisel verileri işleyen kamu kurum veya kuruluşları ile gerçek ve özel hukuk tüzel kişileri, Kurum tarafından çıkarılacak yönetmeliğin yürürlüğe girmesinden sonra üç ay içinde Sicile kayıt başvurusunda bulunmak zorundadırlar. Kurum tarafından çıkarılacak yönetmeliğin yürürlüğe girdiği tarihten itibaren bir yıl süreyle 19 uncu maddenin ikinci fıkrası uygulanmaz.

GEÇİCİ MADDE 2- (1) Kurumun kuruluşu, personel giderleri, araç gereç ve her türlü sair ihtiyaçlarının karşılanması için Başbakanlık bütçesine yeterli ödenek aktarılır.

GEÇİCİ MADDE 3- (1) Ekli (1) sayılı listede yer alan kadrolar ihdas edilerek 190 sayılı Genel Kadro ve Usulü Hakkında Kanun Hükmünde Kararnameye bağlı (I) sayılı Cetvelin ilgili bölümüne eklenmiştir.

GEÇİCİ MADDE 4- (1) Kanunun yürürlüğe girdiği tarihten itibaren iki ay içinde 28inci maddede sayılan kurum, kuruluş ve kurullar belirledikleri üyeleri Bakanlar Kuruluna bildirir. Aynı süre içinde Bakanlar kurulu kendi üyelerini belirler.
(2) Kurulun göreve başlamasından itibaren ikinci, üçüncü, dördüncü yılın sonunda, Başkan hariç üyelerinden, önceki ad çekmede görevi sona erip de tekrar seçilenler dışında ad çekme yoluyla belirlenen ikişer üyenin görevi sona erer. Boşalan üyeliklere aynı usulle seçim yapılır. Ad çekme suretiyle üyeliği sona eren üyeler bir kere daha seçilebilir. Bu şekilde atanan kişiler, yerine atandıklarının süresini tamamlar ve bu şekilde atananlardan iki yıl veya daha az süreyle görev yapanlar bir defalığına tekrar atanabilir.

GEÇİCİ MADDE 5- (1) Kurul, oluşumundan itibaren bir yıl içinde, Kanunun 45 ve 46 ncı maddelerindeki şartlar aranmaksızın toplam uzman sayısının beşte birini geçmemek üzere, en az dört yıllık yükseköğretim kurumlarından veya bunlara denkliği kabul edilen yurt dışındaki yükseköğretim kurumlarından mezun olup, İngilizce, Fransızca veya Almanca dillerinden birinden Kamu Personeli Yabancı Dil Sınavından en az (C) seviyesinde puan alan ve en az beş yıl kamu kurumlarında çalışmış olan kamu görevlilerinden bir defaya mahsus olmak üzere Kurumda çalışmak üzere uzman atayabilir.

Yürürlük
MADDE 57- (1) Bu Kanun hükümleri 1 Ocak 2008 tarihinde yürürlüğe girer.

Yürütme
MADDE 58- (1) Bu Kanun hükümlerini Bakanlar Kurulu yürütür.

 

 

 


GENEL GEREKÇE

Kişisel verilerin korunması, çağımızda, insan hakları kavramı ve korunması bilincinin gittikçe gelişmesine paralel olarak önemini arttırmaktadır. Bu nedenle bir ülkenin mevzuatında değişik düzenlemeler içinde yer alan farklı hükümlerin, bu konuya özgü felsefeden yoksun olması halinde kişisel verilerin korunması konusunda artan ihtiyaca cevap vermesi mümkün olmamaktadır. Bunun öncelikli sebebi, söz konusu hükümlerin başlı başına yetersiz olmalarından ziyade; bu hükümlerin hukuk sisteminde yer almasının, kişisel verilerin korunması amacı ile değil, ancak her bir hükmün ilgili olduğu sahalarda zamanının ihtiyaçlarına cevap vermesi amacı ile düzenlemiş olmasıdır. Bundan dolayı hemen tüm modern hukuk sistemlerinde olduğu gibi, Ülkemizde de kişisel verilerin korunması amacına yönelik münhasır bir kanunun yürürlüğe girmesi kaçınılmaz hale gelmiştir.
Tasarı, kişisel verilerin korunması bakımından gerekli olan tüm hususlarda çerçeve niteliğinde ilkeleri belirlemekte ve öngördüğü bağımsız Kurul ile de bu ilkelerin uygulanmasının izlenmesini temin etmektedir.
Kişisel verilerin korunması konusunda genel ilkelerin, çerçeve bir kanunla hukukumuza dahil olmasının önemli bir gelişme olduğu ortadadır. Ancak bir çerçeve kanundan beklenen fayda, doğal olarak bu kanunda belirtilen ilkelerin ilgili mevzuata uyumlu şekilde yansıtılması halinde sağlanabilir. Bu nedenle, bir yandan oluşturulacak bağımsız Kurumun sözü geçen mevzuatın bir kısmını hazırlaması, diğer yandan ilgili diğer tüm kamu kurum ve kuruluşlarının, kendi sahalarında gecikmeksizin harekete geçerek kanunda saptanan ilkelerin ışığı altında gerekli yasal düzenlemeleri hazırlamaları gerekmektedir.
Tasarı hükümleri, inceleyen kamu kurum ve kuruluşları tarafından, kendi sahalarında kişisel verilerin korunması ile ilgili ihtiyacın hemen tespit edilebilmesini sağlayacak şekilde hazırlanmıştır. Bu nedenle, örneğin sağlık alanında Sağlık Bakanlığının, iletişim ve ulaşım alanında Ulaştırma Bakanlığının, turizm alanında Turizm Bakanlığının, ekonomik hayatla ilgili Sanayi ve Ticaret Bakanlığının, maliye ve vergi konuları ile ilgili olarak Maliye Bakanlığının, yargı ile ilgili olarak Adalet Bakanlığının, nüfus işlemleri ve kolluk faaliyetleri ile ilgili olarak İçişleri Bakanlığının vakit kaybetmeden bu kanuna uygun mevzuatı hazırlamaları yararlı olacaktır. Burada örnek kabilinden sayılan bu ihtimaller sınırlayıcı değildir.
Ayrıca farklı sektörlerde yer alan mesleklerin, var olan mesleki davranış kurallarına kişisel verilerin korunması bakımından gerekli değişiklikleri getirmeleri ya da eğer henüz hiç düzenleme yapılmamışsa kişisel verilerin korunması bakımından mesleki davranış kurallarını belirlemeleri, sistemin bütünlüğü açısından önem taşıyacaktır. Ancak bu düzenlemeler yapılırken, Tasarıda belirlenen ilkelerin dikkate alınması gerekmektedir.
Günümüzde geleneksel yöntemlerin yanı sıra, verilerin bilgisayar gibi elektronik ortamlarda işlenerek bunların, veri bankalarında depo edilmesi çok yaygınlaşmıştır. Bilgi çağı olarak nitelendirilen çağımızda, bir taraftan kişisel verilerin işleme tabi tutulmasını kolaylaştırmak ve bunları ilgililerin yararlanmasına sunmak zorunlu olduğu kadar, bunu yaparken kişiliğin, temel hak ve hürriyetlerin korunması da çok önemli bir sorun olarak ortaya çıkmaktadır.
Kişisel verilerin elektronik olarak işlenmesi, kişilere olduğu kadar özel ve kamu sektörüne de büyük yararlar sağlamaktadır. Bu şekilde mal ve hizmetler, daha kolay üretilebildiği gibi kişilerin veri işleme yoluyla tespit edilmiş tercihlerine bakılarak, bireylere ucuz ve sür’atle sunulabilmektedir. Elektronik veri işleme sistemleri keza, sağlık, sosyal güvenlik, eğitim, vergi, kamu düzeni ve güvenliği gibi alanlarda da benzer yararlar sağlamaktadır. Bu nedenle, mal ve hizmetlerin daha iyi, ucuz ve sür’atle sunulabilmesi için, verileri elektronik ortamlarda işleyen sistemler, gerek özel ve gerek kamu sektöründe hızla yaygınlaşmıştır.
Kişisel veri kütüğü sistemleri iki grup açısından önem arz etmektedir:
- Bunlardan birincisini kişisel veri sicillerini kullananlar oluşturmaktadır. Yukarıda da belirtildiği gibi, mal ve hizmetlerin ihtiyaca uygun bir şekilde üretimi ve dağıtımı için bu tür sicillerden yararlanılması zorunlu hale gelmiştir. Bu sicillerden yararlananların, ihtiyaçları olan kişisel verileri işlemeleri engellenmemeli, aksine kolaylaştırılmalı, ancak ilkelere bağlanmalıdır.
- Diğer grubu ise, hakkında kişisel veri işlenen gerçek ve tüzel kişiler oluşturmaktadır. Elektronik bilgi işlem sistemlerinde zorunlu olarak kişiler hakkında kişisel veriler işlenmektedir. Kişisel veriler sınırsız olarak gelişigüzel toplandığı, denetimsiz olarak açıklandığı, yetkisiz kişilerin eline geçtiği takdirde kötüye kullanılarak kişilik hakları ihlal edilebilecektir. Bu nedenle kişisel veri sicillerinin bu tür sakıncaları giderecek şekilde kurulması, faaliyet göstermesi ve denetim altına alınması zorunlu hale gelmiştir.
Tasarı, bu iki grubun çıkarlarını koruyarak dengelemek ve kişilik hakları ile temel hak ve hürriyetleri korumak amacıyla hazırlanmıştır.
Mevzuatımızda kişilik hakkının korunmasına ilişkin hükümler Türk Medeni Kanununda yer almaktadır. Türk Medeni Kanununun 24 üncü maddesine göre hukuka aykırı olarak kişilik hakkına saldırılan kimse, saldırıda bulunanlara karşı korunmasını isteyebilir. Ayrıca 26/9/2004 tarihli ve 5237 sayılı Türk Ceza Kanununun 135 ve devamı maddelerinde kişisel verilerin hukuka aykırı olarak kaydedilmesi üçüncü kişilere verilmesi, yayılması fiilleri yaptırım altına alınmış bulunmaktadır. Aynı şekilde, Türkiye’nin 1954 yılında onayladığı Avrupa İnsan Hakları Sözleşmesinin 8 inci maddesinde, herkesin özel ve aile hayatına, meskenine ve muhaberatına saygı gösterilmesini isteme hakkı olduğu belirtilmiştir.
Kişisel verilerin korunması konusu somut olarak ilk defa İktisadi İşbirliği ve Kalkınma Teşkilatı (OECD) tarafından 1980 yılında ele alınmıştır. OECD tarafından kabul edilen ve bu Tasarıda da dikkate alınan rehber ilkeler, birbirini tamamlayıcı nitelikte olup özetle aşağıda gösterilmiştir.
1) Kişisel veri toplanması ve işlenmesinin sınırlı olması ve ilkelere bağlılığı:
-Bu ilke ile kişisel verilerin toplanması ve işlenmesinin sınırları olması ve verilerin hukuka uygun, meşru yollarla ve mümkün olduğunca veri konusu kişinin bilgisi veya rızası ile elde edilmesinin gerekliliği vurgulanmıştır. Tasarı ile kişisel verilerin, toplanması ve işlenmesi konusunda belirtilen ilkelere uyulmuştur.
2) Kişisel veride kalite ilkesi:
Bu ilke ile, kişisel verilerin işlenmesiyle ilgili gerekli nitelikler vurgulanmaktadır. Buna göre, kişisel verilerin güncel tutulması, tam ve doğru olması, kullanılacağı amaçla bağlantılı ve bu amacın gerekleriyle sınırlı olması şartlarına işaret edilmektedir. Tasarının kişisel verilerin işlenmesine ilişkin ilkelerin belirlendiği 4 üncü maddesi kapsamlı düzenleme tarzı ile aranan şartları karşılamıştır.
3) Kişisel veri toplama ve işlenmesinde amacın belirginliği ilkesi:
Kişisel verilerin toplanmasından önce, bu verilerin toplanmasının amaçlarının belli olması, sonraki kullanımların da bu amaçlarla sınırlı tutulması gereğine değinilmektedir. Toplanma amacının değişebileceği her durumda da, söz konusu değişen amaçların aynı şekilde belirgin olması gerektiği belirtilmektedir.
4) Amaca uygun kullanım ilkesi:
Yukarıda sözü geçen ilke ile doğrudan bağlantılı olan bu ilke gereğince; veri konusu kişinin rızası veya kanunun yetki verdiği haller hariç olmak üzere, kişisel verilerin toplandığı ve işlendiği amaçlar dışında kullanılmaması, elde edilebilir hale getirilmemesi veya açıklanmaması öngörülmektedir.
5) Kişisel verilerin korunması için gereken tedbirlerin alınması ilkesi:
Bu ilke ile kişisel verilerin, yetkisiz olarak erişilmesi, imhası, kullanılması, değiştirilmesi veya açıklanması ya da kaybolması gibi risklere karşı uygun güvenlik tedbirleriyle korunması gerektiğine dikkat çekilmektedir. Tasarının 15 inci maddesi ile kişisel verilerin işlenmesinin güvenliği bakımından tedbir alınması yükümlülüğü getirilmiştir.
6) Açıklık ilkesi:
Kişisel verilerle ilgili olarak yürütülen politikalar ile uygulamalar ve gelişmeler hakkında genel bir açıklık politikası bulunması gereği vurgulanmaktadır. Tasarının 11 inci maddesinde düzenlenen veri konusu kişilerin bilgilendirilmesi ve 12 nci maddedeki veri konusu kişinin bilgiye erişim hakkının yanı sıra, 16 ncı maddesinde, kurum tarafından tutulacak Kurum Sicili düzenlenmektedir. Bu Sicile tescil edilecek konular ayrıntılı düzenlenmiş olup, sicilin kamuya açık olduğu hükmü getirilmiştir. 95/46/AT sayılı Avrupa Topluluğu Direktifi’nin 28 inci maddesinin ikinci fıkrasında da buna paralel bir düzenleme bulunmaktadır.
7) Kişisel veri konusu kişinin bireysel katılımı ilkesi:
Kişinin, veri kütüğü sahibinden, onunla ilgili veri olup olmadığına dair bilgi edinmeye; anlayabileceği bir şekilde, makul yollarla, tatbik ediliyorsa aşırı olmayan bir ücretle, makul süre için kendisine ilişkin veriler konusunda bilgilendirilmeye; bilgi edinme ve bilgilendirilme talepleri reddedilirse sebeplerini öğrenmeye, bu gibi reddedilmelere karşı itiraz veya kanun yollarına başvurabilmeye; kendisine ilişkin verilere itiraz edebilme ve haklı itirazı halinde bu verileri sildirmeye, düzeltmeye, eksik ise tamamlatmaya ve değiştirmeye hakkı olması gerektiği vurgulanmaktadır.
8) Sorumlu tutulabilirlik ilkesi:
Buna göre veri kütüğü sahibinin, yukarıda belirtilen prensiplere uyulması için getirilen tedbir ve yaptırımlara uymasını temin edecek şekilde sorumlu tutulması sağlanmalıdır. Tasarının, ‘‘Kişisel verilerin işlenmesine ilişkin ilkeler" başlığını taşıyan 4 üncü maddesinden başlamak üzere muhtelif bazı maddelerinde, veri kütüğü sahipleri, getirilen prensiplere uymakla yükümlü tutulmuştur. Bu yükümlülüklerini yerine getirmeyen veri kütüğü sahipleri idarî, hukukî ve cezaî yaptırımlara tâbi olacaktır.
Diğer taraftan, ana amacı üye ülkeler arasında hukuk birleştirilmesi ve uyumu olan Avrupa Konseyi, daha sonra da bir sözleşme hazırlanmak üzere bu alandaki çalışmalarını sürdürmüştür. Bu bağlamda çok gelişmiş telekomünikasyon araçlarıyla gerçekleştirilen, ülkeler arasındaki hızlı sınır ötesi bilgi akışı karşısında, kişilik haklarının korunmasında üye devletler milli mevzuatının yetersiz kalması, bu alanda bir uluslararası sözleşme hazırlanmasını zorunlu kılmıştır. “Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması”na ilişkin 108 sayılı Sözleşme, 28 Ocak 1981 tarihinde imzaya açılmış ve aynı tarihte Konsey üyesi diğer devletlerle birlikte Türkiye tarafından da imzalanmıştır. Ancak, söz konusu Sözleşmenin 4 üncü maddesi gereğince, Sözleşmenin onaylanabilmesi için, imzalayan devletin, Sözleşmede öngörülen ilkeler çerçevesinde bir yasa kabul etmesi zorunludur. Tasarı ile aynı zamanda söz konusu sözleşmede öngörülen yükümlülük de yerine getirilmektedir.
Sözleşme, bir taraftan Konseye üye çeşitli ülkelerde bireylerin kişiliklerinin yeknesak bir düzeyde korunmasını sağlamış, diğer taraftan da sınır ötesi veri akışının standartlarını belirlemiştir. Öyle ki, Sözleşmenin 12 nci maddesine göre, bir devlet verilerin korunması konusunda bunların eşdeğer düzeyde korunmasına ilişkin mevzuatı bulunmayan diğer bir devlete sınır ötesi veri aktarımını yasaklayabilir. Nitekim bu bağlamda Türkiye’de yasal düzenleme bulunmamasının sonuçları uygulamada da görülmeye başlanmıştır. Örneğin, adli yardım anlaşmalarının uygulanması çerçevesinde, başta Almanya olmak üzere, Konseye üye diğer devletler, Türk mahkemelerince yapılan kişiler hakkındaki adres tespiti, istinabe gibi istemleri, Türkiye’nin konuya ilişkin eşdeğer koruma mevzuatı bulunmadığı için geri çevirmektedirler. Aynı şekilde, bu durum Avrupa Birliği ile gerçekleştirilen gümrük birliği çerçevesinde, Türkiye ile Avrupa Birliği üyesi devletler gümrük idareleri arasındaki bilgi akışını da olumsuz yönde etkilemektedir.
Tasarının hazırlanmasında Avrupa Konseyinin anılan Sözleşmesindeki ilke ve standartlar da göz önüne alınmıştır.
Öte yandan, Avrupa Konseyinin anılan Sözleşmesinin hazırlık çalışmalarına Avrupa Birliği de kurum olarak aktif bir şekilde katılmış ve önemli katkılarda bulunmuştur. Avrupa Birliği daha sonra da konuya ilişkin çalışmalarını sürdürmüş ve üyelerinin verilerin korunması mevzuatı arasındaki farklılık ve çelişkileri gidererek uyum sağlamak üzere, 95/46/EC sayılı Direktif yürürlüğe girmiş ve bununla bütün üye ülkelerdeki bireylerin gizliliğinin üst düzeyde korunması ve kişisel verilerin Avrupa Birliği içerisinde özgür dolaşımını sağlayacak açık ve kalıcı bir düzenleme yapılması amaçlanmıştır. Avrupa Birliği ile Türkiye arasında gümrük birliği kurulmasından sonra 10- 11 Aralık 1999 tarihlerinde gerçekleştirilen Avrupa Birliği Helsinki Zirvesi sonucunda Türkiye’nin tam üye adayı olarak kabul edilmiş olmasıyla tam üyeliğe yönelik katılım süreci çerçevesinde bir çok alanda mevzuat uyumu çalışmaları yapıldığından, verilerin korunmasına ilişkin yasa çalışmalarında da, Birlik mevzuatı ile Türk mevzuatı arasında uyum sağlamanın yerinde olacağı düşünülmüş ve bu amaçla çalışmalarda söz konusu direktif de göz önünde tutulmuştur. Ayrıca, kişisel verilerin korunması konusunda ilgili kanunun hazırlanması, Ülkemizin Katılım Ortaklığı Belgesine cevap olarak hazırladığı 2003 Ulusal Programında taahhüt ettiği yükümlülüklerdendir. Böylece Tasarı, Avrupa Birliği ile olan mevzuat uyum çalışmalarımız bakımından önemli bir ihtiyacı karşılamaktadır.
Avrupa Konseyi geçen sürede ayrıca, Sözleşmede yer alan bu ilkeleri etkin bir şekilde yaşama geçirmek için yoğun çalışmalar yapmış ve Bakanlar Konseyi bu maksatla çeşitli sektörlerde uygulanacak ilkeleri belirleyen aşağıdaki tavsiye kararlarını da kabul etmiştir: Tıbbi veri bankaları (1981), bilimsel araştırma ve istatistik (1983), doğrudan pazarlama (1985), sosyal güvenlik (1986), polis (suç) kayıtları (1987), istihdama ilişkin veriler (1989), elektronik ödeme ve ilgili işlemler ( 1990), verilerin kamu kuruluşlarınca üçüncü kişilere açıklanması (1991), kişisel verilerin telekomünikasyon alanında ve özellikle telefon servislerinde korunması (1995), tıbbi verilerin korunması (1997), istatistik amaçlı toplanan ve işlenen kişisel verilerin korunması (1997), internette özel hayatın gizliliğinin korunması (1999), sigorta sektöründe kişisel verilerin korunması (2002).
Konseye üye gelişmiş sanayi devletlerinden çoğu, bu tavsiye kararlarını takiben, özel olarak yasaları bulunduğu halde, konuları bu kez sektör bazında yeniden düzenlemişlerdir. Tasarıda, söz konusu tavsiye kararları göz önüne alınmakla beraber, sektörel bazda bir yaklaşımın Tasarının hacmini çok genişleteceği düşünülerek bu yöntem benimsenmemiştir. Bu bağlamda, tavsiye kararlarında yer alan ilkelerin, ilgili kurum, kuruluş ve meslek birlikleri tarafından, Kurumun da görüşü alınarak hazırlanacak düzenlemeler de yer alabileceği değerlendirilmiştir.
Tasarı, kişisel verileri işleme tabi tutulan kişiler ile bu verileri işleme tabi tutan kamu kurum veya kuruluşları ile gerçek ve özel hukuk tüzel kişilerini kapsamına almıştır. Söz konusu kişisel veriler geleneksel dosyalama yöntemiyle işlenebileceği gibi, otomatik işleme de tabi tutulabilir. Her iki yöntem de Tasarı kapsamındadır.
Tasarı , beş kısımdan oluşmaktadır.
Birinci kısımda; Tasarının amaç ve kapsamı belirlenmiş ve Tasarıda kullanılan çoğu teknik ağırlıklı terimlerin tanımları yapılmış, kişisel verilerin niteliğine ilişkin ilkeler, kişisel verilerin işlenmesinde hukuka uygunluk sebepleri, özel niteliği olan kişisel veriler ve kişisel verilerin üçüncü kişilere aktarılması konuları düzenlenmiştir.
İkinci kısımda; veri konusu kişinin bilgilendirilmesi, bilgiye erişme hakkı, veri konusu kişinin itiraz hakkı, kişisel verilerin işlenmesinde tedbirler, kişisel verilerin yabancı ülkelere ve üçüncü kişilere aktarılması düzenlenmiştir.
Üçüncü kısımda; Kurum Sicili ve Kuruma bildirim ve ön inceleme konuları ile özel denetim kuruluşları, kanuna istisna getiren hükümler, mesleki davranış kuralları, kişisel verilerin silinmesi ve yok edilmesi konuları düzenlenmiştir.
Tasarının dördüncü kısmıyla; Kurum ve Kurulun kuruluş ve görevleri, teşkilat yapısı düzenlenmiştir. Kurumun teşkilatı, sekreterya hizmeti gören icra organı niteliğindeki “Kurum Başkanlığı” ile karar organı olarak “Kişisel Verileri Koruma Yüksek Kurulu” ve hizmet birimlerinden oluşmaktadır.
Bu bölümde ayrıca Kurumun, veri kütüğü sahipleriyle ilişkilerine dair hükümlere yer verilmiştir.
Kişisel verilerin, kamu kurum veya kuruluşlarınca veya gerçek ve özel hukuk tüzel kişileri tarafından işlenmesi dolayısıyla kişilik hakları ihlal edilenlerin şikayetleri konusunda Kişisel Verileri Koruma Yüksek Kurulu karar verecektir. Herhalde, kişilik hakları ihlal edilen bireyin tazminat hakkı saklı tutulmuştur.
Tasarının muhtelif maddelerinde; veri kütüğü sahibi yanında, “veya temsilcisi” ifadesi kullanılmıştır. Burada sözü edilen “temsilci”, Direktifin 4 üncü maddesine göre; kişisel verilerin işlenmesine Direktif hükümleriyle uyumlu olarak kabul edilen ulusal hukuk kurallarının uygulanması koşullarından biri olan veri kütüğü sahibinin Topluluk topraklarında yerleşik olmadığı durumlarda, kişisel verinin işlenmesi amacıyla, ilgili üye devlet egemenlik alanında bulunan ekipmandan, otomatik veya otomatik olmayan yollarla kişisel veri işlenmesi için yararlanması halinde, kendisine “temsilci” sıfatıyla ataması gereken kişidir. Söz konusu durumda, kullanılacak ekipmandan sadece Topluluk topraklarına geçiş amacıyla yararlanılmaması gereği de maddede ayrıca öngörülmüştür. Bu hallerde, atanacak temsilci, ilgili üye devlet sınırları içinde yerleşmiş olmalıdır. Temsilci atanması, kişisel verileri kontrol eden hakkında başlatılmış veya başlatılması muhtemel yasal işlemleri etkilemeyecektir. Kişisel verileri kontrol eden kişiye temsilci atanması, halihazırda Avrupa Birliğine üye olan ülkeleri ilgilendiren bir husustur. Ülkemiz açısından ise Birliğe tam üye olunduğunda yerine getirilecek bir koşul olmakla birlikte, ileride doğması muhtemel uyum sorununun önlenmesi ve konuyla ilgili gereken tüm hazırlıkların tamamlanarak üyeliğe hazır olunması hususları gözetilerek Tasarıda yer alması öngörülmüştür.
Sözleşmenin 10 uncu maddesinde, onaylayan devletlerin Sözleşmede öngörülen ilkelerin gereken şekilde uygulanabilmesini sağlamak üzere, iç hukuklarında etkin yaptırımlar öngörmeleri belirtilmiştir. Aynı şekilde, söz konusu 95/46/EC sayılı Avrupa Topluluğu Direktifinin 11 inci Bölümünde, üye devletler, ilkelerin ihlâli halinde yaptırımlar uygulamaya davet edilmektedir. Nitekim, mevzuatı incelenen devletlerde, kişilik hakları ihlalinin ağırlık derecesine göre, para veya hürriyeti bağlayıcı cezalar verildiği gözlenmiştir. Bu düşüncelerle, Tasarıda, ihlalin ağırlık derecesine göre idari para cezaları ile ayrıca hapis ve para cezaları öngörülmüştür.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 


MADDE GEREKÇELERİ


MADDE 1- Maddeyle Kanunun amacı belirlenmektedir. Amaç, kişisel verilerin işlenmesini disiplin altına almak ve Anayasanın 17 nci maddesinde ifade edilen kişinin dokunulmazlığı, maddi ve manevi varlığı ile temel hak ve özgürlüklerinin korunmasıdır. Bu korumayı sağlayacak kuruluşlar ile uygulanacak ilke ve yöntemler Tasarıda düzenlenmiştir.

MADDE 2- Maddeyle, kişisel verileri işleme tâbi tutulan gerçek ve tüzel kişiler ile bu verileri işleme tâbi tutan kamu kurum veya kuruluşları ile gerçek ve özel hukuk tüzel kişileri Tasarı kapsamına alınmaktadır. Bu konuda, özel sektör ile kamu sektörü bakımından getirilen özel hükümler dışında ayırım yapılmadığından, öngörülen usul ve esaslar her iki sektöre de uygulanacaktır. Aynı şekilde kişisel verilerin otomatik veya geleneksel dosyalama yöntemleriyle işlenmesinin de önemi yoktur.
Her ne kadar Avrupa Komisyonunun 95/46 sayılı Direktifinde sadece gerçek kişilere ilişkin kişisel verilerin direktif kapsamında korunacağı ifade edilmişse de, yine Avrupa Komisyonunun 2002/58 sayılı Direktifiyle tüzel kişilere ait kişisel verilerin de koruma kapsamına dahil edileceği belirtilmektedir. Nitekim Haziran 2003 tarihli İtalyan Veri Koruma Kanununun “Tanımlar” başlıklı dördüncü maddesinin birinci fıkrasının (b) bendinde kişisel veri “gerçek veya tüzel kişilere” ait veriler olarak tanımlanmıştır.
Maddenin ikinci fıkrasıyla, kişisel verilerin, gerçek kişiler tarafından sadece kişisel veya birlikte oturanlarla ilgili faaliyetlerine ilişkin olarak işlenmesi kapsam dışı bırakılmıştır.

MADDE 3- Maddede, Tasarıda kullanılan deyim ve terimlerin tanımlarına yer verilmiştir.
Tasarı kapsamına giren kişisel veriler, sadece bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan bilgiler değil, aynı zamanda kişinin aklî, psikolojik, fizikî, kültürel, ekonomik, sosyal ve sair özelliklerine ilişkin verilerdir.
Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesini ifade eder. Yani verilerin; kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıması veya kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm halleri kapsar. İsim, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi veriler dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel verilerdir.
İlgili kişi (data subject) tanımı, hakkında kişisel veri işlenen gerçek ve tüzel kişileri ifade etmektedir. Yukarıda da belirtildiği gibi Avrupa Birliğinin son direktifleri doğrultusunda veri konusu kişi kapsamına tüzel kişiler de dahil edilmiştir.
Kişisel verilerin işlenmesi tanımı; geniş bir alanı kapsamaktadır. Buna göre verilerin toplanmasından başlayarak tüm işlem türleri tanım kapsamı altına alınmaktadır. Kişisel verilerin, bilgisayar gibi otomasyon sistemlerinin kullanıldığı yöntemlerle işlenmesi gibi, otomatik sistemler kullanılmadan elden işlenmesi hali de tanım kapsamına dahil olacaktır.
Veri kütüğü, gerçek veya tüzel kişilere ilişkin belli bir kritere göre kişisel verilere ulaşımı kolaylaştıracak şekilde yapılandırılmış herhangi bir kişisel veri grubunu ifade etmektedir. Buna göre kişisel verilerin; örneğin herhangi bir kuruluşta, o kuruluşun faaliyetini sürdürmek için düzenli olarak tuttuğu dosyalama sisteminin bir parçası olması gerekmektedir. Ayrıca bu dosyalama sistemi kişilere ilişkin herhangi bir kritere göre yapılandırılmış olmalıdır. Yine bu dosyanın halen ulaşılabilir olması gerekmektedir. Buna göre, bir dosyanın üzerinde herhangi bir kişinin ad ve soyadı veya kimlik numarası bulunması halinde, bu dosya tanım kapsamına dahil olacağı gibi, örneğin kredi borcunu ödemeyenler gibi bir kritere göre oluşturulacak dosyalama sistemi de tanım kapsamına girecektir.
Veri kütüğü sahibi ise, kişisel verilerin işlenmesinin amaç ve metotlarını tek başına veya başkaları ile birlikte belirleyen gerçek ve tüzel kişileri ifade etmektedir. Bu kişiler, verilerin saklanması ve kullanılmasını (işlenmesini) kontrol eden ve bundan sorumlu olan tüccarlar gibi gerçek kişiler olabileceği gibi, kamu kurumları veya dernek ve vakıflar gibi tüzel kişiler de olabilir. Grup şirketlerde ise, gruba dahil olan her şirket ayrı ayrı veri kütüğü sahibi olarak kabul edilecektir.
Kişisel verileri işleyenler, veri kütüğü sahibi adına verileri işleyen gerçek ve tüzel kişilerdir. Bu kişiler verileri işlemekte ancak, kişisel veriler üzerinde kontrol yetkisi ve sorumluluk veri kütüğü sahibine ait bulunmaktadır. Veri işleyenlere örnek olarak; muhasebeciler, acenteler gibi başkası adına veri işleyen kurumlar sayılabilir. Herhangi bir gerçek veya tüzel kişi aynı zamanda hem veri kütüğü sahibi, hem de veri işleyen olabilir. Örneğin bir muhasebe şirketi kendi personeliyle ilgili tuttuğu verilere ilişkin olarak veri kütüğü sahibi sayılırken, müşterisi olan şirketlere ilişkin tuttuğu veriler bakımından ise kişisel verileri işleyen olarak kabul edilecektir. Ancak veri kütüğü sahibi ile işçi işveren ilişkisi içerisinde olan veya doğrudan talimatı altında bulunan kişiler kişisel verileri işleyen olarak kabul edilmeyecektir.
Üçüncü kişi; ilgili kişi bakımından, veri kütüğü sahibi ile kişisel veri işleyen ve bunların doğrudan talimatı altında bulunan kişilerin dışında kalan ve kişisel veri işleyen gerçek ve tüzel kişiler ile kamu kurum veya kuruluşunu ifade etmektedir.

MADDE 4- Maddeyle kişisel verilerin işlenebilmesi için genel bir kural öngörülmektedir. Buna göre kişisel verilerin işlenmesi bu kanunla ve diğer kanunlarda öngörülen hallerle sınırlandırılmak suretiyle, bireylerin özel hayatlarının korunması ve verilerin işlenmesinde keyfiliğin önüne geçilebilmesi amaçlanmaktadır.

MADDE 5- Maddenin birinci fıkrası, kişisel verilerin işlenmesine ilişkin temel ilkeleri düzenleyen en önemli hükümdür. “Kişisel Verilerin Otomatik İşleme Tâbi Tutulması Karşısında Bireylerin Korunmasına İlişkin 108 sayılı Sözleşmenin 5 inci maddesine göre, onaylayan devletlerin söz konusu temel ilkeleri iç hukuklarında yaşama geçirmek yükümlülüğü bulunmaktadır. Maddeyle Sözleşmeye ve 95/46 EC sayılı Avrupa Topluluğu Direktifinin 6 ncı maddesine uygun olarak kişisel verilerin işlenmesiyle ilgili genel ilkeler belirlenmiştir. Bu fıkrada belirlenen ilkeler, diğer maddelerde sözü geçen bütün veri işlemelerinde dikkate alınacaktır. Kişisel verilerin kamunun yararlanmasına açık olduğu veya ilgili kişinin veri işlenmesine itirazının bulunmadığı hallerde dahi, bu fıkrada belirtilen koşulların varlığı aranacaktır.
Birinci fıkranın (a) ve (b) bentlerine göre kişisel verilerin hukuka ve dürüstlük kurallarına uygun olarak işlenmesi, verilerin belirli, açık ve meşru amaçlar için toplanması ve bu amaçlara aykırı olarak yeniden işlenmemesi gerekir. Buna göre veri kütüğü sahibi, veri işleme amacını açık ve kesin olarak belirlemeli ve bu amaç meşru olmalı, yine bu amaç ilgili kişiler tarafından biliniyor olmalıdır. Ayrıca veri kütüğü sahipleri, oluşturulacak sicile kaydolurken, veri işleme amaçlarını da açıkça belirteceklerdir. Belirttikleri bu amaçlar dışında başka amaçlarla veri işleyen veri kütüğü sahipleri ise bu fiillerinden dolayı sorumlu olacaklardır. Aynı zamanda bu verilerin, belirlenen amaçlara aykırı olarak üçüncü kişilere açıklanmaması gerekir.
(c) bendine göre, veri kütüğü sahipleri tarafından işleme tâbi tutulan kişisel veriler, toplandıkları amaçla bağlantılı, yeterli ve orantılı olmalıdır. Buna göre, işlenen kişisel verilerin, belirlenen amaçların gerçekleştirilmesi için yeterli olması, amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılması gerekmektedir. Yine, olası kullanıma olanak yaratılması için verilerin toplanması yasak olacaktır.
(ç) bendine göre, işlenen veriler doğru olmalı ve gerektiğinde güncellenmelidir. Kişisel verilerin doğru ve güncel olması, ilgili kişilere ait kişisel verilerin özellikle üçüncü kişilere aktarımı neticesinde ilgili kişilerin zarara uğramaları durumunda önem kazanmaktadır. Bu halde verileri doğru olarak tutmayan veya güncellemeyen veri kütüğü sahibi, ilgili kişilerin uğradıkları zararlar nedeniyle sorumlu olacaktır.
(d) bendine göre, verilerin ilgili kişilerin kimliklerini belirtecek biçimde ve kaydedildikleri veya yeniden işlenecekleri amaç için gerekli olan süre kadar muhafaza edilmesi zorunludur. Buna göre, veri kütüğü sahiplerinin, verilerin saklanma sürelerini açıkça belirlemeleri, gerekmektedir. Herhangi bir veri, daha fazla saklanması için geçerli bir sebep yoksa silinecek veya yok edilecektir. Gelecekte kullanma ihtimali gerekçesiyle veri saklanamaz.
Maddenin ikinci fıkrasıyla, birinci fıkranın (d) bendine istisnalar getirilmektedir. Buna göre, sadece tarihi, istatistiki veya bilimsel amaçlarla, kişisel veriler (d) bendinde öngörülenden daha uzun bir süre saklanabilecektir.

MADDE 6- Kural olarak kişisel verilerin ilgili kişinin açık rızası ve maddede sayılan istisnalar dışında işlenmesi yasaktır. 95/46 EC sayılı Avrupa Birliği Direktifinin ikinci maddesinin (h) bendinde rızanın tanımı yapılmıştır. Buna göre rıza beyanı, ilgili kişinin kendisiyle ilgili veri işlenmesi fiiline, özgürce ve konuyla ilgili yeterli bilgi sahibi olarak verdiği ve sadece o işlemle sınırlı onay beyanıdır. Buna göre ilgili kişi, kendisine ait verilerin işlenmesini kabul etmektedir. Yine direktifin yedinci maddesine göre rıza, ilgili kişi tarafından “tereddüde yer bırakmayacak şekilde” verilmiş olmalıdır.
Maddenin birinci fıkrasındaki hükmün doğal sonucu olarak; kanunlarda öngörülen yükümlülüklerin yerine getirilmesi dışında, ilgili kişinin bir itirazda bulunması halinde veri işlenemeyecektir.
Maddenin son fıkrasında ise, birinci fıkranın diğer istisnaları sayılmıştır.

MADDE 7- Maddeyle özel niteliği olan kişisel veriler sayılmakta ve genel kural olarak bu verilerin işlenemeyeceği düzenlenmektedir. Buna göre kişilerin ırk, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançları, dernek, vakıf veya sendika üyeliği, sağlık ve özel yaşamları ve her türlü mahkûmiyetleri ile ilgili veriler özel niteliği olan kişisel veri olarak kabul edilmektedir. Bu veriler, başkalarınca öğrenilmeleri halinde özellikleri gereği ilgili kişinin mağduriyetine yol açabilecek ve ayrımcılık tehlikesini oluşturacak nitelikte hassas verilerdir. Özel nitelikteki verilere dolaylı da olsa erişim imkanı veren veriler de madde kapsamında yerini almaktadır. Çünkü bu şekilde kişinin siyasî görüşü, dinî veya felsefî inancına ilişkin bilgiler bu verilerden elde edilebilecektir.
Maddenin ikinci fıkrasıyla işlem yasağına bir kısım istisnalar getirilmektedir.
(a) bendinde, ilgili kişinin özel nitelikteki verilerinin, hiçbir tereddüde yer bırakmayacak şekildeki rıza beyanının bulunması ve bu rıza beyanının yazılı olarak gerçekleştirilmesi hâlinde işlenmesine izin verilmektedir.
(b) bendine göre, ilgili kişinin hukukî veya fiilî nedenlerle rızasını açıklayamayacak durumda bulunduğu hallerde, kendisinin veya bir başkasının hayatı veya beden bütünlüğünün korunması için veri işleminin zorunlu olması durumunda hassas verileri işlenebilecektir.
(c) bendiyle, veri kütüğü sahiplerinin bu Kanunla veya diğer kanunlarla tanınan hak ve yetkilerini kullanabilmesi veya yükümlülüklerini yerine getirebilmesi için veri işlemenin zorunlu olması halinde veri işlemeleri düzenlenmektedir. Ancak bu halde veri kütüğü sahibinin ilgili kişiye yeterli koruma imkânı sağlaması gerekmektedir. Örneğin; sağlık konularına ilişkin olmak üzere Umumî Hıfzıssıha Kanunu ile özel nitelikteki kişisel verilerin işlenebilme olanağı ihdas edilmişse Sağlık Bakanlığı veya ilgili bir başka kuruluş bu verileri işleyebilecektir.
(ç) bendinde, vakıf, dernek, sendika ve siyasi partiler gibi kamuya yararlı kurum ve kuruluşlar tarafından özel nitelikli kişisel verilerin işlenmesi düzenlenmektedir. Buna göre bu verilerin, ilgili kuruluşların kuruluş amaçlarına, tâbi oldukları mevzuata uygun, faaliyet alanlarıyla sınırlı ve üyelerine yönelik olarak işlenmesi, ilgili kişilerin rızası olmadan üçüncü kişilere açıklanmaması gerekmektedir.
(d) bendine göre ilgili kişi tarafından alenen açıklanmış olan özel nitelikteki verilerin işlenmesi de istisnalardan biri olarak kabul edilmiştir. Çünkü ilgili kişi tarafından alenen açıklanan, böylelikle herkes tarafından bilinen bu tür verilerin işlenmesinde, korunması gereken hukuki yararın ortadan kalktığı kabul edilmektedir. Yine de ikinci fıkrada belirtildiği şekilde, bu halde dahi kişinin özel alanı ve temel hak ve özgürlükleri korunmalıdır.
(e) bendiyle, özel niteliği olan kişisel verilerin bir hakkın tesisi, kullanılması veya savunması için zorunlu olması durumu istisnalar arasında sayılmıştır. Bu bentte kastedilen işlemler yargılama faaliyetleri veya adlî işlemler nedeniyle yerine getirilen işlemlerdir.
(f) bendiyle tıbbi tedbirler çerçevesinde özel nitelikte verilerin işlenmesi düzenlenmektedir. Buna göre bu verilerin, koruyucu hekimlik, tıbbi teşhis, tedavi, bakım veya sağlık hizmetlerinin yürütülmesi için gerekli olması gerekmekte ayrıca bu verilerin, hukuken veya meslek kurallarına göre sır saklama yükümlülüğü altında bulunan sağlık personeli veya eşdeğer seviyede sır saklama yükümlülüğü altındaki kişilerin gözetimi altında işlenmesi gerekmektedir.
Maddenin üçüncü fıkrasıyla, Kişisel Verileri Koruma Kurumuna, özel nitelikteki verileri işleme yasağını daraltabilecek bir düzenleme yapma imkanı tanınmaktadır. Ancak bunun için temel kamu yararının bulunması ve yeterli koruma tedbirlerinin tespit edilmesi gerekmektedir.
Maddenin diğer fıkralarıyla da işlem yasağına bir takım istisnalar getirilmektedir.

MADDE 8- Maddeyle kişisel verilerin üçüncü kişilere aktarımının koşulları belirlenmektedir. Her ne kadar verilerin üçüncü kişilere aktarılması, 3. maddede yapılan “kişisel verilerin işlenmesi” tanımına dahil olsa da, konuyla ilgili oluşabilecek tereddütlerin giderilmesi bakımından açıkça düzenlenmesinin yararlı olacağı değerlendirilmiştir.
Birinci fıkranın (a) bendine göre, aktarma talebinde bulunan gerçek ve tüzel kişilerin belirli bir olayda kanundan doğan görevini yerine getirmesi için bu bilgiye ihtiyaç duyması halinde kişisel veriler, üçüncü kişiye aktarılabilecektir.
(b) bendiyle Tasarının 6. maddesinin (a) ilâ (d) bentleri arasında sayılan hallerde de verilerin üçüncü kişilere aktarılabileceği kabul edilmektedir. Zira 6. maddede sayılan haller genel hukuka uygunluk sebepleri olup 3. maddede yapılan “kişisel verilerin işlenmesi” tanımı gereği verilerin üçüncü kişilere aktarılmasında da geçerli olacaktır.
İkinci fıkraya göre, millî güvenliğin korunması, milli savunmanın gerçekleştirilmesi, suçun önlenmesi veya soruşturulması amacıyla yapılan istihbarî faaliyetlerle ilgili olarak kanundan doğan bir görevin yerine getirilmesi halinde kamu kurum ve kuruluşları tarafından aktarım mümkün olabilecektir. Bu şekilde maddede bahsi geçen konularda görev yapan kolluk ve istihbarat birimlerinin kanundan kaynaklanan görevlerini yerine getirebilmeleri imkanı sağlanmaktadır.
Maddenin ikinci fıkrasında kamu kurum veya kuruluşlarının kamu yararı, sır saklama yükümlülüğü, ilgili kişinin meşru menfaati veya kişisel verilere ilişkin özel koruma kurallarının varlığından bahisle kişisel verilerin, üçüncü kişilere aktarılmasını reddetmesini, sınırlamasını veya şarta bağlamasını mümkün kılan bir düzenleme getirilmiştir. Bu halde Kurul, fıkrada belirtilen hallerin varlığını değerlendirecektir.
Maddenin üçüncü fıkrasına göre; kamu kurum veya kuruluşlarının görev alanlarıyla ilgili konularda yapacakları talep üzerine, gizlilik esaslarına göre görev yapan personelin bilgileri hariç olmak üzere, kişilerin nüfus kayıt örnekleri ve adresleri bildirilebilecektir.

MADDE 9- Maddede, kişisel verilerin anonim hale getirilmesi veya yok edilmesi ile ilgili hükümlere yer verilmiştir. Örneğin, İsviçre Veri Koruma Kanununun 2 nci maddesinde de aynı konu düzenlenmiştir.
Verilerin anonim hale getirilmesi veya yok edilmesi konusunda usul ve esasların Kurulca çıkarılacak yönetmelikte gösterilmesi madde ile hüküm altına alınmıştır.

MADDE 10- Maddeyle kişisel verilerin işlenmesinde hukuka uygunluk sebeplerinden birisi olarak kabul edilen bir düzenleme yapılmaktadır. Buna göre kişisel veriler, araştırma, planlama ve istatistik gibi amaçlarla anonim hale getirilmesi kaydıyla işlenebilecek ve aynı zamanda bu suretle elde edilen veriler üçüncü kişilere aktarılabilecek veya yayınlanabilecektir.

MADDE 11- Maddeyle, Direktifin 10 uncu maddesi düzenlemesi esas alınmak suretiyle, kişisel verilerin elde edilmesinde veri kütüğü sahibinin aydınlatma yükümlülüğü düzenlenmiştir. Düzenleme ile kişisel verileri işleyen veri kütüğü sahibi; kendisinin veya varsa temsilcisinin kimliği, işleme amacı, verilerin kimlere aktarılabileceği, veri toplamanın yöntemi, hukuki sebebi ve muhtemel sonuçları hakkında ilgili kişiyi bilgilendirir. Ayrıca verilerin daha sonraki kullanımları hakkında da ilgili kişiye bilgi verilmeli, böyle bir kullanıma izin verip vermeyeceği konusunda iradesi alınmalıdır. Yine eğer veri kütüğü sahibi, kişisel verileri daha sonraki bir zamanda, elindeki mevcut verileri elde ettiği esnada belirtmediği bir amaç için kullanacaksa, bununla ilgili olarak ilgili kişiye bilgi vermeli ve bu konudaki rızasını almalıdır. Bu sayede veri kütüğü sistemi sahibi veri korumasında önemli kriterler olan şeffaflık ve ilgili kişinin açık rızasını elde etmeyi gerçekleştirmiş olacaktır.
Maddenin (d) ve (e) bentlerinde, veri toplanması sırasında, ilgili kişilerin kişisel verileri öğrenme hakkı ve verilerin gerçeğe aykırı olması veya güncel olmaması halinde ise düzeltme hakkının olduğu belirtilmiştir.
Kişisel verilerin, veri kütüğü sahibi tarafından, ilgili kişi dışındaki başka kaynaklardan elde edilmesi halinde ise yukarıda sayılan bilgilerle birlikte işleme konu olan veri kategorileri hakkında da bilgi verilmesi gerekmektedir.
İkinci fıkraya göre, kişisel verilerin istatistikî, tarihî veya bilimsel araştırma yapılması amacıyla, başka bir veri kütüğünden edinilmesinde, ilgili kişiye bilgi verilmesinin imkansız olması yada bu bilgilerin verilmesinde büyük güçlükler bulunması veya verilerin aktarılmasının açıkça kanunla öngörüldüğü hallerde, veri kütüğü sahipleri birinci fıkrada sayılan yükümlülüklerden muaf tutulmaktadır.
MADDE 12- Maddeyle, ilgili kişinin hakları düzenlenmiştir. İlgili kişi kendisiyle ilgili kişisel veri kaydedilip kaydedilmediğini öğrenme, bunları isteme, verinin muhtevasının eksik veya gerçeğe aykırı olması hallerinde bunların düzeltilmesini, hukuka aykırı olması halinde silinmesini, yok edilmesini veya aktarımının engellenmesini isteme hakkına sahiptir. İlgili kişi aynı zamanda talebi doğrultusunda yapılan işlemlerin, verilerin açıklandığı üçüncü kişilere bildirilmesini isteme hakkına sahiptir.
Ayrıca bilgi edinmedeki aralıkların uygun olup olmadığının değerlendirilmesi ise verilerin niteliğine göre yapılacaktır. Yine toplanan verilerin doğrudan pazarlama amacıyla kullanılması da öngörülüyorsa, bu konuda da ilgili kişiye itiraz hakkı tanınması ve konuyla ilgili bilgi verilmesi gerekmektedir.
Veri kütüğü sahibi, kendisinden talepte bulunulması halinde, ilgili kişiye ait bilgileri, bunların işlenmesinin hukuki dayanağını ve amacını, hangi tür işlemlerin üçüncü kişilere aktarılabileceğini ve aktarılacak kişilerin kimliklerini bildirmek zorundadır. Verilerin kaynağının açıklanmasında genel bir ifade yeterli olmayacak, bilginin kaynağı somut olarak açıklanacaktır. Özellikle verilerin otomatik yollarla işlenmesinde ilgili kişilerin teknik bilgiden yoksun olma ihtimali gözetilerek, kişilerin anlayabileceği şekilde bilgi verilmesi gerekmektedir.
Veri kütüğü sahibi bu verilerin muhtevasının eksik veya gerçeğe aykırı olması hallerinde düzeltmekle, hukuka aykırı olması halinde silmek, yok etmek veya ilgili kişi hakkında veri işlemesini durdurmak ve üçüncü kişilere aktarımını engellemekle yükümlü olacaktır. Verilerin yok edilmesi, otomatik olmayan yollarla veri işlenmesi halinde ilgili evrakların imhası, otomatik yollarla veri işlenmesi halinde verilerin veya ilgili kişiyle doğrudan ilişkilendirilmeyi sağlayacak bilgilerin kayıtlı olduğu CD, disket, USB disk, hard disk gibi araçlardan silinmesi veya diğerlerinden ayrıştırılarak yok edilmesi şeklinde gerçekleştirilecektir.
Maddenin üçüncü fıkrasıyla, ilgili kişilerin maddede sayılan haklarını kullanmalarına ilişkin olarak istisnalar getirilmektedir. Buna göre ilgili kurumlar, maddede sayılan hakların kullanılması halinde bu fıkranın birinci bendinde belirtilen görevlerin yerine getirilmesi veya yürütülen ceza soruşturmaları veya kovuşturmalarının akıbetinin tehlikeye düşmesi durumunda ilgili kişilerin bu hakları kullanmalarını sınırlayabileceklerdir.
MADDE 13- Maddenin birinci fıkrasında 12 nci maddeye göre kullanılacak başvuru hakkının usulü gösterilmektedir.
İkinci fıkrada ise, birinci fıkraya göre yapılan başvurulara, ilgili veri kütüğü sahiplerinin hiç veya yeterli cevap vermemesi nedeniyle başvurulacak itiraz yolu belirtilmektedir.
Üçüncü fıkrayla, 4982 sayılı Bilgi Edinme Hakkı Kanunu paralelinde, başvurudan kaynaklanan masrafların karşılanmasına yönelik bir düzenleme öngörülmektedir.
MADDE 14- Maddeyle, Direktifin 25 ve 26 ncı maddeleri dikkate alınarak, kişisel verilerin yurt dışına aktarımı düzenlenmektedir. Kural olarak, kişisel verilerin Türkiye dışındaki bir ülkeye aktarılabilmesi için yabancı ülkede de, Ülkemizdekine eşdeğer ve etkin bir korumanın bulunması gerekecektir. Veri kütüğü sahipleri ilgili ülkede yeterli düzeyde koruma olup olmadığını kontrol etmek zorundadır. Bu değerlendirme, işleme konu verinin niteliği, veri işlemenin amacı ve işleme süresi, verinin aktarıldığı ülkenin konuyla ilgili genel ve özel düzenlemeleri ile uygulanan güvenlik tedbirleri dikkate alınarak yapılacaktır.
Maddenin ikinci fıkrasıyla bu kuralın istisnaları düzenlenmektedir. Üçüncü fıkraya göre, kişilerin özel hayatlarının gizliliği ile temel hak ve hürriyetlerin korunmasına ilişkin yeterli tedbirlerin, yabancı ülkede bulunan veri kütüğü sahibi tarafından yazılı olarak taahhüt edilmesi durumunda, ilgili veriler Kurulun izniyle aktarılabilecektir.
Son fıkrayla göre ise Kurulun üçüncü fıkraya göre karar alırken dikkate alması gereken kriterler belirlenmektedir.
MADDE 15- Maddeyle Sözleşmenin yedinci ve Direktifin 17 nci maddesine uygun olarak kişisel verilerin işlenmesine ilişkin alınacak teknik ve idarî tedbirler düzenlenmiştir.
Maddede kişisel verileri kontrol edenlerin ve onlar adına işleyenlerin, kişisel verilerin işlenmesinde uygun teknik ve idari tedbirleri almak zorunda oldukları belirtilmiştir. Bu tedbirler, teknolojinin ulaştığı en üst düzey ve uygulanma maliyeti de dikkate alınarak, korunacak verinin niteliğine ve işlenmeden kaynaklanabilecek risklere karşı uygun bir güvenlik seviyesi sağlamalıdır. Bu idarî tedbirler arasında kişisel verilerin korunması konusunda uygun idarî personel istihdam edilmesi de bulunmaktadır.
Maddenin ikinci fıkrasına göre, verilerin veri kütüğü sahibi adına başka bir işleyen tarafından işlenmesi halinde, iki taraf arasında bir sözleşme veya hukukî bir tasarrufla yazılı olarak birinci fıkrada belirtilen yükümlülüklerin yerine getirilmesinin garanti altına alınması gerekmektedir. Bu halde veri işleyenler, ancak veri kütüğü sahibinin talimatları doğrultusunda veri işleyebileceklerdir.
MADDE 16- Maddeyle, Kurum tarafından, kişisel veri işleyen veri kütüğü sahiplerinin tescil edileceği bir sicilin oluşturulması öngörülmektedir. Kişisel veri işleyen gerçek kişiler ile kamu ve özel hukuk tüzel kişileri, veri kütüğünü kurmadan önce bu sicile kaydolmak zorundadırlar. Ancak 22 nci maddede sayılan istisnalar saklıdır. Söz konusu sicilin içeriği, aynı zamanda kayıt başvurusunda verilecek olan bildirim içeriğinde bulunan ve 17 nci maddede belirtilen bilgilerden oluşacaktır.
MADDE 17- Maddede veri kütüğü sahipleri tarafından sicile kayıt esnasında bildirilecek hususlar sayılmıştır. Ayrıca söz konusu bilgilerde meydana gelen değişikliklerin, yıl sonunda toplu olarak kuruma bildirilmesi öngörülmektedir.
MADDE 18- Direktifin 18 inci maddesine uygun olarak hangi hallerde bildirim zorunluluğunun bulunmadığı düzenlenmiştir. Bu şekilde kurumun aşırı bir iş yüküyle karşılaşmasının engellenmesi amaçlanmaktadır.
MADDE 19- Maddede, Direktifin 20 nci maddesi göz önüne alınarak Kurumun, veri konusu kişilerin kişiliklerine, temel hak ve hürriyetlerine yönelik risk taşıması ihtimali olan ve bu Kanunun 4 üncü maddesinde belirtilen niteliklere uygun olmayan ve 6 ve 7nci maddelerinde belirtilen koşulları taşımayan veri işlenmelerini belirlemek üzere, bu işlenmeler başlamadan önce ön inceleme yapması konusu ve buna ilişkin usul düzenlenmiştir. Kural olarak, ön inceleme sonuçlanmadan kişisel veri işlemesinin yapılamayacağı esası getirilmiştir.
Maddeyle kişilerin temel hak ve özgürlüklerine önemli ölçüde zarar verebilecek işlemelerin önceden tespit edilerek engellenmesi amaçlanmaktadır. Buna göre işlenen verinin niteliği, işleme amacı, verinin dahil olduğu kategori ve ortaya çıkacak sonuçlar değerlendirilecektir.
MADDE 20- Maddeyle özellikle veri kütüğü sahibi tüzel kişilere, bu Kanunda bahsi geçen veri koruma kurallarının kendi kurumlarında etkin bir şekilde uygulanmalarını sağlamak ve bir iç denetim mekanizması kurmalarını mümkün kılmak amacıyla bağımsız bir veri denetim kuruluşu görevlendirme imkânı verilmektedir. Aynı zamanda ilgili veri kütüğü sahipleri, 16 ve devamı maddelerinde belirtilen bildirim külfetinden kurtulacaklardır.
Maddeye göre, bu Kanunun hedeflediği veri koruma standartlarının yerine getirilmesi için, söz konusu denetim kuruluşlarının kendilerini atayan veri kütüğü sahibinden talimat almaksızın, bağımsız olarak görevlerini yerine getirmeleri öngörülmektedir. Buna göre denetim kuruluşları 16 ve devamı maddelerinde öngörülen sicili tutacaklar ve yaptıkları çalışmalar hakkında hazırlayacakları raporları her yıl Mart ayı sonuna kadar Kuruma sunacaklardır.
Hâlen mevcut bir bağımsız denetim kuruluşu olmamakla birlikte, söz konusu düzenlemenin geleceğe yönelik olarak, özellikle büyük şirketler veya şirket gruplarına veri koruma prosedürlerini daha etkin ve kolay bir şekilde yerine getirme imkanını sağlayacağı öngörülmektedir.
MADDE 21- Maddeyle 20 nci maddede belirtilen denetim kuruluşunun görevine başlayabilmesi için Kuruma bildirimde bulunulmasının zorunlu olduğu belirtilmiş, bu kuruluşlar veya veri kütüğü sahipleri tarafından yapılabilecek suistimallerin engellenmesi için, Kurumun bu Kanundan doğan yetki ve görevleri saklı tutulmuştur.
MADDE 22- Maddede, Direktifin 13 üncü maddesi göz önüne alınarak genel kurallara getirilen istisnalara bentler halinde yer verilmiştir. Buna göre birinci fıkrada bentler halinde sayılan durumlarda bu Kanunun; hukuka uygunluk sebepleri, aydınlatma yükümlülüğü, veri kütüğü sicili, sicile kayıt ve ön inceleme konularıyla ilgili maddeleri uygulanmayacaktır.
Özellikle belli bir kişiye ilişkin tedbir veya karar alınmasına yönelik kullanılmadığı ve veri konusu kişinin özel yaşamının gizliliğinin ihlal edilmesi riskinin kesinlikle bulunmadığı hallerde, 12 nci maddede belirtilen haklar, ilgili mevzuatta yeterli koruma tedbirleri bulunması kaydıyla, bilimsel araştırma yapma veya istatistik oluşturma amaçları ile kanunla sınırlandırılabilecektir.
Direktifin 13 üncü maddesi, yukarıda sayılan istisnaların tanınması bakımından üye ülkelere imkân tanımakta olup, üye ülkelerin büyük çoğunluğu, kendi veri koruma kanunlarında bu tip istisnaî düzenlemelere yer vermişlerdir.
MADDE 23- Maddeyle, 22 nci maddede sayılan istisnalar dışında, gazetecilik amacıyla kişisel veri işlenmesi durumunda bir kısım istisnalar öngörülmektedir. Buna göre, maddede belirtilen veri kütüğü sahipleri, sadece gazetecilik amacıyla veri işlemeleri halinde bu Kanunun; kişisel verilerin işlenmesi ilkeleri, verilerin korunması için alınacak tedbirler ile mesleki davranış kurallarının hazırlanması konularına ilişkin maddelerine tâbi olacaklardır.
Maddenin ikinci fıkrasıyla, birinci fıkrada tanınan muafiyetin sınırları tespit edilmektedir.
MADDE 24- Maddede kişisel verilerin işlenmesi bakımından meslekî davranış kuralları düzenlenmiştir. Direktifin 27 nci maddesi göz önüne alınmış olup, değişik sektörlerde farklı özelliklere sahip mesleklere yönelik olarak, kişisel verilerin işlenmesi bakımından hazırlanan veya değiştirilen mes1ekî davranış kurallarına ilişkin düzenleme taslakları hakkında Kurumdan görüş alınması öngörülmüştür.
MADDE 25- Madde, Sözleşmenin de öngördüğü genel bir ilkeyi tekrarlamaktadır. Bu hükümle artık ihtiyaç duyulmayan kişisel verilerin silinmesi veya yok edilmesi konusu düzenlenmektedir.
Ayrıca, silinme veya yok edilmenin hangi yöntemlerle gerçekleştirileceği konusunda Kurumca, her sektörün özellikleri göz önünde tutularak özel kuralları içerecek yönetmelik çıkarılması olanağı tanınmıştır.
MADDE 26- Maddeyle, kişisel verileri kontrol edenleri denetlemek ve bu Kanunla verilen görevleri yapmak üzere tüzel kişiliği haiz, idarî ve malî özerkliğe sahip Kişisel Verileri Koruma Kurumunun kurulması öngörülmektedir.
Sözleşmenin 4 üncü maddesi her devletin Sözleşmede öngörülen ilkeleri iç hukuklarında yaşama geçirmesini zorunlu kılmıştır. Sözleşmeyi onaylayan devletler bu amaçla birer kurumsal yapı oluşturmuşlardır. Aynı şekilde Avrupa Komisyonunun söz konusu 95/46/EC sayılı Direktifinin 28 inci maddesinde üye devletlerin, kişisel verilerin işlenmesine ilişkin ilkelerin uygulanmasını izlemek ve yönlendirmek üzere bir veya bir kaç kamu kuruluşunu görevlendirmeleri gereğine işaret edilmiştir.
Avrupa Birliği üyesi ülkelerin tümünün, bu alanda yasama veya yürütme organlarına karşı özerk ve bağımsız bir şekilde görev yapacak kurullar oluşturduğu gözlenmiştir. Örneğin, Almanya’da, Federal Verileri Koruma Görevlisi (Bundesbeauftragter für Datenschutz), Avusturya’da Verilerin Korunması Komisyonu (Kommission für Datenschutz), İsveç’te Verileri Denetim Kurulu (Data Inspection Board), Fransa’da Enformatik ve Özgürlükler Milli Komitesi (Commission Nationale de 1 ‘Informatique et des Libertes), İngiltere’de Veri Koruma Komisyonu (Data Protection Commissioner) gibi kuruluşlar, milli kanunlar ve sözleşmelerde yer alan verilerin korunması ilkelerinin uygulanmasını izleyen ve yönlendiren bağımsız kamu kurum ve kuruluşlarıdır.

MADDE 27- Maddenin birinci fıkrasında Kurumun teşkilât yapısı düzenlenmektedir. İkinci fıkrasıyla, Kurumun bu Kanundan kaynaklanan görevlerini yerine getirebilmesi için haiz olacağı yetkiler sayılmakta ve diğer gerçek ve tüzel kişilere Kurumun taleplerini yerine getirme sorumluluğu yüklenmektedir. Aksi halde Kurumun görevlerini gereği gibi yerine getiremeyecek olmasının ötesinde, böyle bir Kurumun kurulmuş olmasının da bir anlamı kalmayacaktır.
MADDE 28- Maddede Kurulun oluşum biçimi, Kurul üyeliklerine seçileceklerde aranan nitelikler belirtilmiştir. Kurul, esasen kişilik haklarının korunması amacıyla veri koruma kurallarının etkin ve doğru bir şekilde uygulanmasını gözetmekle görevli olacağından, Kurul üyelerinin daha çok hukukçular arasından seçilmesi yoluna gidilmiş, bununla birlikte konunun teknik bilgi gerektirmesi nedeniyle TÜBİTAK ve Bakanlar Kurulu tarafından da üye tayin edilmesine imkan tanınmıştır.
Ayrıca, Kurul üye adaylarında, asgari nitelikler tespit edilerek konularında uzman kişilerin Kurula seçilmesi öngörülmüştür.
Kişisel Verileri Koruma Kurulu, Tasarıda öngörülen hükümlerin, kişisel veri sicillerini kontrol eden kamu kurum veya kuruluşlarınca uygulanmasını izleyip denetleyecek, ayrıca kendiliğinden veya başvuru üzerine herhangi bir konuyu inceleyerek açıklığa kavuşturacaktır. İnceleme sonucunda kanun hükümlerinin ihlal edildiğinin anlaşılması halinde, Kurul, sorumlu kamu kurum veya kuruluşlarından kişisel verilerin işlenme tarzında değişiklik yapılmasını veya işlemeyi sona erdirmesini ve gerekiyorsa silinmesini ya da yok edilmesini isteyecek, ayrıca ilgili kamu kurum veya kuruluşlarının bağlı olduğu Bakanlık veya Başbakanlığa da bu konuda bilgi verecektir.

MADDE 29- Maddeyle Kurul üyelerinin görev süreleri, üyeliğin sona ermesi halinde yeni üye seçimi ve yapılacak işlemler düzenlenmektedir.
Maddenin dördüncü fıkrasıyla sadece Kurul başkanının önceki görevleriyle olan ilişkisinin kesilmesi öngörülmüştür.
MADDE 30- Maddeyle Kurul üyelerinin edecekleri yemin usulü düzenlenmiştir.
MADDE 31- Maddeyle, diğer üst kurullardakine paralel bir şekilde, Kurulun çalışma esasları düzenlenmektedir.
MADDE 32- Maddede Kurulun görev ve yetkileri sayılmıştır.
MADDE 33- Maddede Başkanlığın oluşum biçimi düzenlenmekte, buna göre Başkanlık, Başkan, Başkan yardımcıları ile hizmet birimlerinden oluşturulmaktadır.
MADDE 34- Başkanın statüsü ile başkana vekâlet hususu düzenlenmektedir.
MADDE 35- Maddede başkanın görev ve yetkileri sayılmıştır.
MADDE 36- Maddeyle Kurumun hizmet birimleri, diğer ülkelerdeki benzer kurumların yapılanması kısmen örnek alınarak düzenlenmiş ve ana hizmet birimi olarak “Sicil ve İnceleme Daire Başkanlığı” ile “Mevzuat ve Dış İlişkiler Daire Başkanlığı” öngörülmüştür.
MADDE 37- Maddede ana hizmet birimlerinin görevleri sayılmıştır.
MADDE 38- Maddede danışma biriminin görevleri sayılmıştır.
MADDE 39- Maddeyle yardımcı hizmet birimlerinin görevleri belirlenmiştir.
MADDE 40- Maddede şikâyet başvurusunun usulü gösterilmektedir. Buna göre ilgili kişiler, şikâyet konusu işlemin yapıldığı veya öğrenildiği tarihten itibaren altmış gün içinde Kuruma şikayette bulunabileceklerdir.
MADDE 41- Maddede, Kurumun şikâyetleri inceleme usulü ve bu inceleme neticesinde yapacağı işlemler ile veri kütüğü sahibinin Kurum incelemesi ile ilgili olarak yükümlülükleri düzenlenmektedir.
Maddenin son fıkrasıyla Kurula, geçici tedbir mahiyetinde veri işlenmesini veya yurt dışına veri aktarımını engelleme imkânı tanınmaktadır.
MADDE 42- Maddeyle, başkan ve üyelerin görev alma yasağı, malî hakları ve sır saklama yükümlülüğü konularında diğer üst kurullarda yapılan düzenlemelere paralel hükümler öngörülmüştür.
MADDE 43- Maddede, Kurum personelinin atanması ve malî hakları düzenlenmiştir.
Bu bağlamda, Kurumun üstlendiği çok özel görevlerin niteliği ve gereği icabı, Türkiye Bilimsel ve Teknik Araştırma Kurumu, Sermaye Piyasası Kurulu, Kamu İhale Kurumu gibi kurumlarda olduğu gibi, sözleşmeli personel istihdamına olanak sağlanmıştır.
MADDE 44- Maddeyle, Kurul başkan ve üyeleri ile kurum personelinin emeklilik ve hizmet sürelerinin değerlendirilmesine ilişkin esaslar belirlenmiştir.
MADDE 45- Maddede, kişisel verileri koruma uzman yardımcılığına atanma konusu düzenlenmiştir.
MADDE 46- Maddenin birinci fıkrasında, kişisel verileri koruma uzmanı unvanının alınabilmesi için gerekli şartlar sayılmakta, ikinci fıkrada ise bu ünvanı alamayanların durumlarına uygun bir kadroya atanmak üzere Devlet Personel Başkanlığına bildirilmesi öngörülmektedir.
MADDE 47- Maddede Kurumun bütçesinin hazırlanması ve kabul edilmesi düzenlenmekte ve gelirleri sayılmaktadır
MADDE 48- Maddede Kurumun harcama usulü ile bu harcamaların denetimi usulü belirlenmektedir.
MADDE 49- Maddenin birinci fıkrasında yıllık faaliyet raporu düzenlenmiştir. Buna göre, Kurum, açıklık ilkesinin gereği olarak, her yıl vermiş olduğu kararlar, yaptığı ikincil düzenlemeler ve bunların etkilerini analiz eden bir rapor hazırlayacaktır. Yine bu ilkenin gereği olarak söz konusu raporun, Kurul kararlarının ve ikincil düzenlemelerin Kurumun internet adresinden yayınlanması öngörülmüştür.
MADDE 50- Sözleşmenin 10 uncu maddesinde, onaylayan devletlerin, Sözleşmede öngörülen ilkelerin gereken şekilde uygulanabilmesini sağlamak üzere, iç hukuklarında etkin yaptırımlar öngörmeleri belirtilmiştir. Aynı şekilde, söz konusu 95/46/EC sayılı Avrupa Topluluğu Direktifinin 11inci Bölümünde, üye devletler, ilkelerin ihlâli halinde yaptırımlar uygulamaya davet edilmektedir. Nitekim, mevzuatı incelenen devletlerde, kişilik hakları ihlalinin ağırlık derecesine göre, para veya hürriyeti bağlayıcı cezalar verildiği gözlenmiştir.
Buna göre, maddede 5237 sayılı Türk Ceza Kanununun 135 ve devamı maddelerine paralel olarak ceza hükümleri öngörülmüştür.
MADDE 51- Maddede Türk Ceza Kanununda düzenlenmeyen silinmesi veya yok edilmesi gereken kişisel verileri ihmalen silmeyen veya yok etmeyen kişiler için ceza yaptırımı öngörülmektedir.
MADDE 52- 5237 sayılı Türk Ceza Kanununa paralel bir şekilde, daha önceki maddelerde tarif edilen suçların tüzel kişiler tarafından işlenmesi halinde, tüzel kişilere özgü güvenlik tedbirlerinin uygulanması öngörülmektedir.
MADDE 53- Maddede, Kurul tarafından idarî para cezaları verilmesi düzenlenmiştir. Tasarının ilgili maddelerine belirli atıflar yapılmak suretiyle, suçta kanunîlik ilkesi korunmuş ve ihlalin ağırlık derecesine göre giderek artan para cezaları öngörülmüştür.
MADDE 54- Maddede, Kişisel Verileri Koruma Kurumu Başkanı ve üyeleri ile Kurumun diğer personeli hakkında görevleri sebebiyle işledikleri suçlarla ilgili ceza soruşturması ve kovuşturmasına ilişkin usul düzenlenmiştir.
MADDE 55- Maddeyle disiplin soruşturması bakımından genel kuralların uygulanması öngörülmektedir.
MADDE 56- Maddeyle Kurum tarafından çıkartılması gereken yönetmelikler ile süreleri düzenlenmektedir.
GEÇİCİ MADDE 1- Maddeyle, halen veri işlemekte olan veri kütüğü sahiplerinin sicile kayıt olmaları için üç aylık bir süre öngörülmekte ve bu şekilde veri kütüğü sahiplerinin gerekli hazırlıkları yapabilmesi için imkân tanınmaktadır.
GEÇİCİ MADDE 2- Maddeyle, Kurumun kuruluşu için gerekli kaynağın hangi ödenekten karşılanacağı belirlenmektedir.
GEÇİCİ MADDE 3- Kurumun kadroları tespit edilmektedir.
GEÇİCİ MADDE 4- Maddenin birinci fıkrasıyla, Kurul üyelerinin hangi sürede bildirileceği düzenlenmektedir.
İkinci fıkrada ise, Kurulun görevlerini düzenli bir şekilde yerine getirebilmesi ve kurumsal hafızanın korunmasını sağlamak üzere, Kurulun ilk oluşumunda Başkan hariç olmak üzere, Kurul üyelerinin dörtte birinin, iki yılda bir yenilenmesi hükmü getirilmektedir.
GEÇİCİ MADDE 5- Maddeyle, Kurumun kuruluşunda uzman personel ihtiyacını karşılamak üzere, en az beş yıl kamu kurumlarında çalışmış bulunan ve Kamu Personeli Dil Sınavından en az yetmiş puan alan kamu görevlilerinin bir defaya mahsus olmak üzere Kurul tarafından atanması öngörülmektedir.
MADDE 57- Yürürlük maddesidir.
MADDE 58- Yürütme maddesidir.