6698 Sayılı Kişisel Verilerin Korunması Kanunu'nda Yapılan Değişiklikler Hakkında

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun GDPR ile uyumlu hale getirilmesine ilişkin değişiklikleri de içeren kanuni düzenleme 12 Mart 2024 tarihli ve 32487 sayılı Resmi Gazete’de yayımlandı.

1 Haziran 2024 tarihinde yürürlüğe girecek değişiklikler kapsamında;

 • Kişisel verilerin yurtdışına aktarımı konusunda açık rıza yöntemine ilaveten yeterlilik kararı, uygun güvenceler ve arızi durumlar uygulamasına geçilmektedir.

 • Kişisel verilerin yurtdışına aktarımı (özel mevzuat hükümleri saklı olmak üzere bulut ortamında yurtdışına kişisel veri aktarımı dahil), kapsamında Kurum tarafından bir yönetmelik yayınlanacaktır. 

 • Özel nitelikli kişisel verilerin işlenmesine yönelik istisnalar genişletilmiştir.

Değişikliklerin tümüne ilişkin bilgi notu aşağıdaki gibidir;

6698 Sayılı Kişisel Verilerin Korunması Kanunu'nda Yapılan Değişiklikler Hakkında Bilgi Notu

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun GDPR ile uyumlu hale getirilmesine ilişkin değişiklikleri de içeren kanuni düzenleme 12 Mart 2024 tarihli ve 32487 sayılı Resmi Gazete’de yayımlanmış olup, ilgili değişiklikler 1 Haziran 2024 tarihinde yürürlüğe girecektir.

1- Kişisel Verilerin Yurt Dışına Aktarımında Yenilikler

Kişisel verilerin yurt dışına aktarımında açık rızayı önceleyen uygulamadan vazgeçilmekte olup, değişiklik ile kişisel verilerin yurt dışına aktarımında hem veri sorumluları hem de veri işleyenler tarafından gerçekleştirilecek aktarımlar için aşağıda belirtilen gereklilikler aranmaktadır. 

i. Aktarımın yapılacağı ülke hakkında Kurul'un yeterlilik kararı bulunması.

ii. Yeterlik kararının bulunmaması ancak ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkanının bulunması kaydıyla aşağıdaki şartlardan biri:

a. Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi,

b. Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı,

c. Kurul tarafından ilan edilen standart sözleşmenin varlığı ve sözleşmenin akdedildiğine ilişkin olarak 5 (beş) iş günü içerisinde Kişisel Verileri Koruma Kurumu'na  bildirim şartının sağlanması (bildirim yapılmaması haline özgü 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası uygulanması düzenlenmiştir), veya

d. Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

Tek sefere mahsus, arızi veri aktarımları için ise bazı istisnalar belirlenmiştir. Fakat belirtmek gerekir ki, bu istisnalar, süreklilik arz eden veri aktarımlarına uygulanamayacaktır. Diğer bir önemli husus ise sonraki aktarımlar bakımından da veri aktarım kurallarının geçerli olacağının belirtilmiş olmasıdır.

Yurt dışına aktarıma ilişkin usul ve esaslar ise çıkarılacak bir yönetmelik ile ayrıca düzenlenecektir. 

Yeni düzenleme 1 Haziran 2024 tarihinde yürürlüğe gireceği için  1 Eylül 2024'e kadar açık rızaya dayalı olarak gerçekleştirilen yurt dışına veri aktarım işlemlerinin yeni düzenlemeye uygun hale getirilmesi gerekecektir. Veri Sorumluları, 1 Eylül 2024 tarihine kadar açık rızaya dayalı olarak yurt dışına veri aktarmaya devam edebilecektir.

2- Özel Nitelikli Kişisel Verilerin İşlenmesindeki Yenilikler

Özel nitelikli kişisel veriler altındaki sağlık ve cinsel hayata ilişkin veri ve diğer özel nitelikli kişisel veri ayrımı kaldırılmış ve işlenme şartları için öngörülen hukuka uygunluk sebepleri genişletilmiştir.

Bu duruma göre özel nitelikli kişisel verilerin işlenmesi:

• İlgili kişinin açık rızasının olması,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması halinde mümkündür.
  
  

3- Kurul Kararlarına İtiraz Görevli Mahkeme Hakkında Yenilik

01.06.2024 tarihinden itibaren Kurum’un uyguladığı idari para cezalarına karşı itirazlarda İdare Mahkemesi görevli olacaktır.