Kişisel Verilerin Korunması Tasarısı

TBMM (AA) - Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, özel nitelikli kişisel veri sayılacak.

TBMM Genel Kurulunda görüşülen, Kişisel Verilerin Korunması Kanunu Tasarısının 1-18. maddelerini kapsayan birinci bölümü kabul edildi.

Tasarı, kişisel verilerin işlenmesinde, başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyenlerin yükümlülükleri ve uyacakları usul ve esasları düzenleniyor.

Kabul edilen maddelere göre, kişisel veriler ancak usul ve esaslara uygun olarak işlenebilecek.

Kişisel verilerin işlenmesinde; "hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme" ilkelerine uyulması zorunlu olacak.

Kişisel veriler, ilgili kişinin açık rızası olmaksızın işlenemeyecek. İlgili kişinin açık rızası aranmaksızın, şu şartlardan en az birinin varlığı halinde veriler işlenebilecek:

- Kanunlarda açıkça öngörülmesi,

- Rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı ve beden bütünlüğünün korunması için zorunlu olması,

- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,

- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

- Yeterli önlem alınarak işlenecek

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri "özel nitelikli kişisel veri" sayılacak. Özel nitelikli kişisel verilerin ilgilinin açık rızası olmaksızın işlenmesi yasak olacak.

Sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilecek. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ve finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilecek.

Özel nitelikli kişisel verilerin işlenmesinde ayrıca Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması şart olacak.

Kanunlara uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler, resen veya ilgili kişinin talebi üzerine silinecek, yok edilecek veya anonim hale getirilecek.

Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamayacak, ancak belirtilen şartlardan birinin bulunması halinde açık rıza aranmadan aktarılabilecek.

Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamayacak. Kişisel veriler ancak; kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması, yeterli korumanın bulunmaması durumunda Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve kurulun izninin bulunması şartıyla yurt dışına aktarılabilecek.

Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilecek.

- Herkes kendisiyle ilgili veri işlenip işlenmediğini öğrenebilecek

Tasarıyla, kişisel verileri işlenen kişinin hakları düzenleniyor. Buna göre; herkes, kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenebilecek, kişisel verileri işlenmişse buna ilişkin bilgi talep edebilecek, kişisel verilerin aktarıldığı üçüncü kişileri bilebilecek, kişisel verilerin eksik veya yanlış işlenmesi halinde bunların düzeltilmesini isteyebilecek, kişisel verilerin silinmesini veya yok edilmesini isteyebilecek, kişisel verilerin ilgili kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep edebilecek.

Tasarıyla, veri sorumlusunun veri güvenliğinin sağlanmasına ilişkin yükümlülükleri düzenleniyor. Buna göre, veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, bu verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri alacak.

- Kişisel verileri başkasına açıklayamayacak

Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu düzenlemedeki hükümlere aykırı olarak başkasına açıklayamayacak, kendi şahsi çıkarları için kullanamayacak. Bu yükümlülük, görevden ayrılmalarından sonra da devam edecek.

Tasarıyla, veri sorumlusuna başvuru yolu düzenleniyor. Buna göre, ilgili kişi taleplerini veri sorumlusuna iletecek. Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandıracak. Ancak işlemin ayrıca bir maliyeti gerektirmesi halinde Kurulca belirlenen tarifedeki ücret alınabilecek. Veri sorumlusu talebi kabul edecek veya gerekçesini açıklayarak reddedecek ve cevabını ilgili kişiye yazıyla ya da elektronik ortamda bildirecek.

Başvurusu reddedilen kişi, cevabı öğrendiği tarihten itibaren 30 ve her halde başvuru tarihinden itibaren 60 gün içinde Kurula şikayette bulunabilecek. Kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklı olacak.

Kişisel verileri işleyenler, veri işlemeye başlamadan önce sicile kaydolmak zorunda olacak ancak işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle Kurul tarafından sicile kayıt zorunluluğuna istisna getirilebilecek.

Kişisel verileri silmeyen veya anonim hale getirmeyenlere, bir yıldan iki yıla kadar hapis cezası verilecek.

Veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenlere 15 bin liradan 1 milyon liraya kadar, Kurul tarafından verilen kararları yerine getirmeyenlere 25 bin liradan 1 milyon liraya kadar, sicile kayıt ve bildirim yükümlülüğüne aykırı hareket edenlere 20 bin liradan 1 milyon liraya kadar idari para cezası uygulanacak.

Bu eylemleri yapan memurlar hakkında disiplin hükümlerine göre işlem gerçekleştirilecek.