BÝRÝNCÝ KISIM
Genel Hükümler
BÝRÝNCÝ BÖLÜM
Amaç, Kapsam ve Tanýmlar

Amaç
MADDE 1- (1) Bu Kanunun amacý; kiþisel verilerin iþlenmesinde kiþinin dokunulmazlýðý, maddi ve manevi varlýðý ile temel hak ve özgürlükleri korumak ve kiþisel verileri iþleyen gerçek ve tüzel kiþilerin uyacaklarý esas ve usulleri düzenlemektir.

Kapsam
MADDE 2- (1)Bu Kanun hükümleri, kiþisel verileri iþlenen gerçek ve tüzel kiþiler ile bu verileri tamamen veya kýsmen, otomatik olan veya olmayan yollarla herhangi bir veri kütüðüne dahil olacak þekilde iþleyen gerçek ve tüzel kiþiler hakkýnda uygulanýr.
(2) Bu Kanun hükümleri, kiþisel verilerin gerçek kiþiler tarafýndan sadece kiþisel veya birlikte oturanlarla ilgili faaliyetlerine iliþkin olarak iþlenmesi halinde uygulanmaz.

Tanýmlar
MADDE 3- (1) Bu Kanunda geçen;
a) Kiþisel veri: Belirli veya kimliði belirlenebilir gerçek ve tüzel kiþilere iliþkin bütün bilgileri,
b) Ýlgili kiþi: Hakkýnda kiþisel veri iþlenen gerçek ve tüzel kiþileri,
c) Kiþisel verilerin iþlenmesi: Kiþisel verilerin otomatik olan veya olmayan yollarla elde edilmesi, kaydedilmesi, depolanmasý, deðiþtirilmesi, silinmesi veya yok edilmesi, yeniden düzenlenmesi, açýklanmasý veya baþka bir þekilde elde edilebilir hale getirilmesi, üçüncü kiþilere aktarýlmasý, kullanýlmasýnýn sýnýrlanmasý amacýyla iþaretlenmesi veya tasniflenmesi veya kullanýlmasýnýn engellenmesi gibi bu veriler üzerinde gerçekleþtirilen bir iþlem ya da iþlemler bütününü,
ç) Anonim hale getirme: Kiþisel verilerin, belirli veya kimliði belirlenebilir bir gerçek kiþiyle iliþkilendirilemeyecek veya kaynaðý belirlenemeyecek hale getirilmek suretiyle iþlenmesini,
d) Veri kütüðü: Gerçek ve tüzel kiþilere iliþkin belirli bir kritere göre kiþisel verilere ulaþýmý kolaylaþtýracak þekilde yapýlandýrýlmýþ herhangi bir kiþisel veri grubunu,
e) Veri kütüðü sahibi: Kiþisel verilerin iþlenmesinin amaç ve metodlarýný tek baþýna veya baþkalarý ile birlikte belirleyen gerçek ve tüzel kiþileri,
f) Kiþisel verileri iþleyen: Veri kütüðü sahibi adýna, bu verileri iþleyen gerçek ve tüzel kiþileri
g) Üçüncü kiþi: Veri kütüðü sahibi ile kiþisel verileri iþleyen ve bunlarýn doðrudan talimatý altýnda bulunan kiþilerin dýþýnda kalan ve kiþisel veri iþleyen gerçek ve tüzel kiþi ile kiþi topluluðunu, kamu kurum veya kuruluþunu,
h) Alýcý: Kiþisel verileri belirli bir soruþturma çerçevesinde alan makamlar hariç olmak üzere, üçüncü kiþi olsun veya olmasýn verinin açýklandýðý herhangi bir gerçek veya tüzel kiþi ile kiþi topluluðunu, kamu kurum veya kuruluþunu
ý) Kurum: Kiþisel Verileri Koruma Kurumunu,
i) Baþkanlýk: Kiþisel Verileri Koruma Baþkanlýðýný,
j) Kurul: Kiþisel Verileri Koruma Kurulunu,
k) Baþkan: Kiþisel Verileri Koruma Kurul ve Kurum Baþkanýný,
l) Sicil: Veri Kütüðü Sicilini,
ifade eder.


ÝKÝNCÝ BÖLÜM
Kiþisel Verilerin Ýþlenmesi

Kanunîlik ilkesi
MADDE 4- (1) Kiþisel veriler, ancak, bu kanunda ve diðer kanunlarda öngörülen hâllerde iþlenebilir.

Kiþisel verilerin iþlenmesine iliþkin ilkeler
MADDE 5- (1) Kiþisel verilerin;
a) Hukuka ve dürüstlük kurallarýna uygun olarak iþlenmesi,
b) Belirli, açýk ve meþru amaçlar için toplanmasý ve bu amaçlara aykýrý olarak yeniden iþlenmemesi,
c) Toplandýklarý amaçla baðlantýlý, yeterli ve orantýlý olmasý,
ç) Doðru olmasý ve gerektiðinde güncellenmesi,
d) Ýlgili kiþilerin kimliklerini belirtecek biçimde ve kaydedildikleri veya yeniden iþlenecekleri amaç için gerekli olan süre kadar muhafaza edilmesi zorunludur.
(2) Kiþisel veriler, ilgili mevzuatta yeniden iþlenme amacýna yönelik yeterli koruma tedbirleri getiren düzenlemenin bulunmasý veya kiþisel verileri kontrol eden tarafýndan bu yönde gerekli tedbirlerin alýnmasý þartýyla tarihî, istatistikî veya bilimsel amaçlarla yeniden iþlenebilir veya birinci fýkranýn (d) bendinde öngörülenden daha uzun bir süre saklanabilir.

Hukuka uygunluk sebepleri
MADDE 6- (1) Kiþisel veriler ancak ilgili kiþinin açýk rýzasýyla iþlenebilir.
(2) Kanunlarda öngörülen yükümlülüklerin yerine getirilmesi dýþýnda, ilgili kiþinin bir itirazda bulunmasý hâlinde veri iþlenemez.
(3) Aþaðýdaki hâllerde de hukuka uygunluk sebeplerinin bulunduðu kabul edilir:
a) Kanunun öngördüðü bir zorunluluk dolayýsýyla, kamu yararýna veya resmi olarak verilmiþ bir görevin yerine getirilmesi amacýyla veri iþlenmesi,
b) Kiþisel verilerin, ilgili kiþinin rýzasýný açýklayamayacak durumda olmasý hâlinde kendisinin veya baþkasýnýn hayatýný veya beden bütünlüðünü korumak amacýyla iþlenmesi,
c) Bir sözleþmenin kurulmasý ve ifasýyla doðrudan doðruya ilgili olmasý kaydýyla, sözleþmenin taraflarýna ait kiþisel verilerin iþlenmesi,
ç) Ýlgili kiþiler tarafýndan açýklanmýþ olmasý veya açýk sicillerde mevcut bilgiler olmasý sebebiyle herkesçe bilinen kiþisel verilerin iþlenmesi.
d) Veri kütüðü sahibinin kendi haklý çýkarlarý için, ilgili kiþinin temel hak ve özgürlükleri ile meþru çýkarlarýna zarar vermediði sürece, veri iþlemesinin zorunlu olmasý

Özel niteliði olan kiþisel veriler
MADDE 7- (1) Kiþilerin ýrk, siyasî düþünce, felsefî inanç, din, mezhep veya diðer inançlarý; dernek, vakýf ve sendika üyeliði, saðlýk ve özel yaþamlarý ve hür türlü mahkûmiyetleri ile ilgili kiþisel veriler iþlenemez.
(2) Birinci fýkrada belirtilen kiþisel verilerin, özel hayatýn ve aile hayatýnýn gizliliðinin korunmasýný saðlayacak yeterli önlemlerin alýnmasý þartýyla, aþaðýda sayýlan hallerde iþlenmesi mümkündür:
a) Kanunla yasaklanmayan hallerde kiþinin yazýlý rýzasýnýn alýnmasý,
b) Hukukî veya fiilî nedenlerle rýzasýný açýklayamayacak durumda bulunan bir kiþinin kendisinin veya bir baþkasýnýn hayatý veya beden bütünlüðünün idamesi için veri iþlemenin zorunlu olmasý,
c) Ýlgili kiþiye yeterli koruma imkânýnýn saðlanmasý þartýyla, veri kütüðü sahibinin, bu Kanunla veya diðer kanunlarla tanýnan hak ve yetkileri kullanabilmesi veya yükümlülükleri yerine getirebilmesi için veri iþlemenin zorunlu olmasý,
ç) Vakýf, dernek, sendika ve siyasi partilerce, kuruluþ amaçlarýna ve tâbi olduklarý mevzuata uygun ve faaliyet alanlarýyla sýnýrlý olmak þartýyla, üye ve mensuplarýna yönelik ve ilgili kiþinin rýzasý olmadan üçüncü kiþilere açýklanmamak kaydýyla veri iþlenmesi,
d) Ýlgili kiþi tarafýndan alenen açýklanmýþ olan veriler hakkýnda olmasý,
e) Hukuken bir hakký tesis, kullanma veya korunmasý için veri iþlemenin zorunlu olmasý,
f) Koruyucu hekimlik, týbbî teþhis, tedavi, bakým veya saðlýk hizmetlerinin yürütülmesi amacýyla kiþisel verilerin;
1. Saðlýk kurumlarý,
2. Sigorta þirketleri,
3. Sosyal güvenlik kurumlarý,
4. Ýþyeri saðlýk birimi oluþturmakla yükümlü iþverenler,
5. Saðlýkla ilgili okul ve üniversiteler
tarafýndan ilgili kanunlara uygun olarak, hukuken veya meslek kurallarýna göre sýr saklama yükümlülüðü altýnda bulunan saðlýk personeli veya eþdeðer seviyede sýr saklama yükümlülüðü altýndaki bir baþka kiþinin gözetimi altýnda iþlenmesi.
(3) Özel hayatýn ve aile hayatýnýn gizliliðine dokunmamak þartýyla, temel kamu yararlarýnýn gerektirmesi hâlinde, ilgili mevzuatta yeterli koruma tedbiri bulunmasý kaydýyla, Kurul, özel niteliði olan kiþisel verilerin iþlenmesine karar verebilir.
(4) Suçun soruþturulmasýna, koruma ve kontrol tedbirlerine ve ceza mahkûmiyetlerine iliþkin özel nitelikteki kiþisel veriler, ilgili kanunlarda yeterli koruma tedbiri bulunmasý kaydýyla, yetkili mercilerin kontrolü altýnda iþlenebilir. Ancak, ceza mahkûmiyetlerine iliþkin sicil sadece Adalet Bakanlýðý’nýn kontrolü altýnda tutulabilir.
(5) Ýdarî nitelikteki yaptýrýmlar ve özel hukuk alanýndaki mahkeme kararlarýna iliþkin veriler de resmî mercilerin kontrolü altýnda iþlenebilir.
(6) Vatandaþlýk kimlik numarasý veya benzeri karakteristik iþaretlerin iþlenme usul ve esaslarýný belirlemek amacýyla yapýlacak yönetmeliklerde Kurumun görüþü alýnýr.

Kiþisel verilerin üçüncü kiþilere aktarýlmasý
MADDE 8- (1) Aþaðýda sayýlan haller dýþýnda kiþisel veriler üçüncü kiþilere aktarýlamaz:
a) Aktarmayý isteyen gerçek ve tüzel kiþilerin belirli bir olayda kanundan doðan bir görevini yerine getirmesi için bu bilgiye ihtiyaç duymasý,
b)Bu Kanunun 6 ncý maddesinin üçüncü fýkrasýnýn (a) ilâ (d) bentlerinde sayýlan hâllerin gerçekleþmesi.
(2) Millî güvenliðin ve millî savunmanýn saðlanmasý, suçun önlenmesi veya soruþturulmasý amacýyla yapýlan istihbarî faaliyetlerle ilgili olarak kanundan doðan bir görevin yerine getirilmesi için gerekli olmasý hâlinde de kamu kurum ve kuruluþlarýnca kiþisel veriler ilgili kamu kurum ve kuruluþuna aktarýlabilir.
(3) Kamu kurum veya kuruluþlarý, kamu yararý, sýr saklama yükümlülüðü, ilgili kiþinin meþru menfaati veya kiþisel verilere iliþkin özel koruma kurallarýnýn varlýðýndan bahisle kiþisel verilerin üçüncü kiþilere aktarýlmasýný reddedebilir, sýnýrlandýrabilir veya þarta baðlayabilir.
(4) Kamu kurum veya kuruluþlarýnýn görev alanlarýyla ilgili konularda yapacaklarý talep üzerine, gizlilik esaslarýna göre görev yapan personelin bilgileri hariç olmak üzere, kiþilerin nüfus kayýt örnekleri ve adresleri bildirilir.

Kiþisel verilerin anonim hale getirilmesi veya yok edilmesi
MADDE 9- (1) Ýhtiyaç duyulmayan kiþisel veriler, koruma tedbiri veya ispat amacýyla muhafazasýnýn gerekli olmadýðý durumlarda, anonim hâle getirilir veya yok edilir.
(2) Verilerin anonim hale getirilmesi veya yok edilmesine iliþkin usul ve esaslar Kurulca, ilgili kamu kurum ve kuruluþlarý ile diðer özel hukuk tüzel kiþilerinin görüþleri alýnarak çýkarýlacak yönetmelikte gösterilir.
(3) Diðer kanun hükümleri saklýdýr.

Verilerin araþtýrma, plânlama ve istatistik amacýyla kullanýlmasý
MADDE 10- (1) Kiþisel veriler, araþtýrma, plânlama ve istatistik gibi amaçlarla anonim hale getirilmesi kaydýyla iþlenebilir. Bu suretle elde edilen veriler ve sonuçlar üçüncü kiþilere aktarýlabilir veya yayýmlanabilir.


ÝKÝNCÝ KISIM
Ýlgili Kiþinin Haklarý, Yurtdýþýna Veri Aktarýmý

BÝRÝNCÝ BÖLÜM
Aydýnlatma Yükümlülüðü,Ýlgili Kiþinin Haklarý

Aydýnlatma yükümlülüðü
MADDE 11- (1) Kiþisel verilerin elde edilmesi sýrasýnda veri kütüðü sahibi, ilgili kiþilere;
a) Veri kütüðü sahibi ve varsa temsilcisinin kimliði,
b) Kiþisel verilerin hangi amaçla iþleneceði,
c) Kiþisel verilerin kimlere aktarýlabileceði,
ç) Veri toplamanýn yöntemi, hukukî sebebi ve muhtemel sonuçlarý,
d) Kiþisel verileri öðrenme hakký,
e) Düzeltme hakký,
konusunda bilgi vermekle yükümlüdür.
(2) Kiþisel verilerin, ilgili kiþi dýþýndaki kaynaklardan edinilmesi hâlinde de ilgili kiþiye yukarýdaki bilgilerle birlikte iþleme konu olan veri kategorileri hakkýnda bilgi verilir.
(3) Kiþisel verilerin istatistikî, tarihi veya bilimsel araþtýrma yapmak üzere iþlenmesi amacýyla, baþka bir veri kütüðünden edinilmesinde; ilgili kiþiye bilgi verilmesinin imkânsýz olmasý veya büyük güçlükler yaratmasý veya verilerin kayýt ve aktarýlmasýnýn açýkça kanunla öngörüldüðü hallerde birinci fýkra hükmü uygulanmaz.

Ýlgili kiþinin haklarý
MADDE 12- (1) Herkes, veri kütüðü sahibine baþvurarak; kendisiyle ilgili kiþisel veri kaydedilip kaydedilmediðini öðrenmek, kaydedilmiþse bunlarý talep etmek, verinin muhtevasýnýn eksik veya gerçeðe aykýrý olmasý hâlinde bunlarýn düzeltilmesini, hukuka aykýrý olmasý hâlinde ise silinmesini, yok edilmesini veya aktarýmýnýn engellenmesini ve buna göre yapýlacak iþlemlerin verilerin açýklandýðý üçüncü kiþilere bildirilmesini istemek hakkýna sahiptir.
(2) Bu talep karþýsýnda veri kütüðü sahibi;
a) 1. Veri kütüðündeki ilgili kiþiye ait bilgilerin ve iþlenen bilgi türlerinin tamamýný,
2. Veri iþlemenin hukukî dayanaðýný ve amacýný,
3. Hangi tür kiþisel verilerin üçüncü kiþilere aktarýlabileceði ve aktarýlacak kiþilerin kimliklerini,
bildirmekle
b) 1. Verinin muhtevasýnýn eksik veya gerçeðe aykýrý olmasý hâlinde düzeltmekle,
2. Hukuka aykýrý olmasý hâlinde silmek, yok etmek ve üçüncü kiþilere aktarýmýný engellemekle,
3. Uygulanmasý imkansýz olmamak veya büyük güçlükler yaratmamak kaydýyla (a) bendinin (1) ve (2) nci alt bentlerine göre yapýlan iþlemleri, verilerin açýklandýðý üçüncü kiþilere bildirmekle yükümlüdür.
(3) Bu maddede sayýlan haklar, aþaðýda sayýlan hallerde sýnýrlandýrýlabilir:
a) Milli güvenliðin korunmasý, milli savunmanýn gerçekleþtirilmesi, suçun önlenmesi veya istihbarat amacýyla yapýlan faaliyetlerle ilgili olarak kanundan doðan bir görevin yerine getirilmesi,
b) Ceza soruþturmasý veya kovuþturmasýna zarar verilmesinin engellenmesi.

Baþvuru usulü
MADDE 13- (1) 12 nci maddeye göre baþvurular, yazýlý olarak yapýlýr. Veri kütüðü sahibi talep hakkýnda baþvuru tarihinden itibaren onbeþ iþ günü içinde cevap vermek zorundadýr.
(2) Ýlgili kiþi talebine cevap verilmediði, cevabýn olumsuz olduðu veya yeterli olmadýðý iddiasýyla yirmi gün içinde Kurula itiraz edebilir. Kurul, 41 inci madde çerçevesinde baþvuru hakkýnda üç ay içerisinde karar verir.
(3) Baþvurunun yapýldýðý veri kütüðü sahibi, eriþimine olanak saðladýðý bilgi veya belgeler için baþvuru sahibinden eriþimin gerektirdiði maliyet tutarý kadar, Kurul tarafýndan her yýl Ocak ayýnda belirlenecek miktarda bir ücret talep edebilir.


ÝKÝNCÝ BÖLÜM
Yurtdýþýna veri aktarýmý ve tedbirler

Yurtdýþýna bilgi aktarýmý
MADDE 14- (1) Kiþisel veriler, ancak kiþilik haklarýnýn korunmasý açýsýndan verinin istendiði yabancý ülkede eþdeðer ve etkin koruma bulunuyorsa yurtdýþýna aktarýlabilir.
(2) Verinin istendiði ülkede eþdeðer ve etkin bir koruma olmasa dahi;
a) Ýlgili kiþinin açýk rýzasýnýn bulunmasý,
b) Ýlgili kiþi ile veri kütüðü sahibi arasýnda bir sözleþmenin yapýlmasý, sözleþme öncesi iliþkinin yürütülmesi veya sözleþmenin ifasý için aktarýmýn gerekli olmasý,
c) Temel kamu yararýnýn bulunmasý, veya bir hakkýn tespiti, icrasý veya korunmasý için aktarýmýn gerekli veya kanun gereði zorunlu olmasý,
ç) Veri konusu kiþinin hayatý veya beden bütünlüðünün idamesi için aktarýmýn zorunlu olmasý,
d) Veri aktarýmýnýn, ilgili mevzuatýn aradýðý þartlarý yerine getirmek koþuluyla kamunun veya ilgisini ispat eden herkesin eriþimine açýk bulunan sicillerden yapýlmasý,
hallerinde kiþisel veriler yurtdýþýna aktarýlabilir.
(3) Yabancý ülkede bulunan veri kütüðü sahibinin, eþdeðer ve uygun bir korumayý yazýlý olarak taahhüt etmesi ve Kurulun izninin bulunmasý halinde kiþisel veriler yurt dýþýna aktarýlabilir. Ancak, gecikmesinde sakýnca bulunan veya telafisi güç veya imkansýz zararlarýn doðmasý ihtimali bulunan hallerde, veri kütüðü sahibi kiþisel verileri yurt dýþýna aktarabilir. Bu halde veri kütüðü sahibi, durumu yirmi dört saat içerisinde Kurula bildirir. Kurul, veri aktarýmýnýn bu Kanun hükümlerine uygun olup olmadýðý hususunda inceleme yaparak bir karar verir.
(4) Kurul, yurtdýþýna bilgi aktarýmýnda:
a) Taraf olduðumuz uluslararasý anlaþmalarý,
b) Veri talep eden ülkeyle ülkemiz arasýnda veri aktarýmýna iliþkin fiili karþýlýklýlýk durumunu,
c) Her somut veri transferine iliþkin olarak, verinin niteliði, iþlenme amaç ve süresini,
ç) Verinin transfer edileceði ülke ve bu ülkede uygulanan konuyla ilgili kanunlarý,
d) Koruma tedbirleri ve verinin transfer edileceði ülkede bulunan veri kütüðü sahibi tarafýndan yeterli önlemlerin alýnýp alýnmadýðýný,
deðerlendirmek suretiyle karar verir.

Kiþisel verilerin iþlenmesine iliþkin tedbirler
MADDE 15- (1) Veri kütüðü sahibi, kiþisel verilerin, tedbirsizlikle veya hukuka aykýrý amaçlarla yok edilmesini, kaybolmasýný, deðiþtirilmesini, yetkisiz olarak açýklanmasýný veya aktarýlmasýný ve baþka þekillerdeki tüm hukuka aykýrý iþlenmelerini önlemek için, korunacak verinin niteliði, teknolojik imkânlar ve uygulama maliyetine göre uygun teknik ve idarî tedbirleri almak zorundadýr.
(2) Verilerin, veri kütüðü sahibi adýna baþka bir iþleyen tarafýndan iþlenmesi halinde, veri kütüðü sahibinin, iþleyenin yeterli teknik ve idarî tedbirleri temin etmesini bir sözleþme veya hukukî tasarrufla yazýlý olarak yükümlü tutmasý zorunludur.
(3) Veri kütüðü sahibi, iþleyenin veya onun kontrolü altýnda olup da verilere ulaþma imkaný olan kiþilerin:
a) Kanunla öngörülen haller dýþýnda, yalnýzca veri kütüðü sahibinin talimatlarý doðrultusunda veri iþlemesini
b) Birinci fýkrada belirtilen yükümlülükleri yerine getirmesini, ikinci fýkrada belirtilen þekilde saðlar.

ÜÇÜNCÜ KISIM
Sicil
BÝRÝNCÝ BÖLÜM
Sicil, Sicile Kayýt ve Ön Ýnceleme

Veri kütüðü sicili
MADDE 16- (1) Kurum tarafýndan bir Veri Kütüðü Sicili tutulur.
(2) Kiþisel verileri iþleyen gerçek ve tüzel kiþiler, veri kütüðü kurmadan önce sicile kaydolmak zorundadýr.
(3) Sicil kamuya açýk olarak tutulur.

Sicile kayýt baþvurusu
MADDE 17- (1) Sicile kayýt baþvurusu aþaðýdaki hususlarý içeren bir bildirimle yapýlýr:
a) Veri kütüðü sahibi veya varsa temsilcisinin kimlik ve adres bilgileri,
b) Kiþisel veri iþlemenin amaçlarý,
c) Veri konusu kiþi grubu ve gruplarý ile bu kiþilere ait veri kategorileri hakkýndaki açýklamalar,
ç) Verilerin açýklanabileceði alýcýlar veya alýcý gruplarý,
d) Üçüncü ülkelere aktarýmý öngörülen veriler,
e) 15inci madde uyarýnca alýnan tedbirlere iliþkin genel açýklama.
(2) Yukarýda sayýlan bilgilerde yapýlan deðiþiklikler yýl sonunda toplu olarak yeniden kuruma bildirilir.

Bildirimin istisnalarý:
MADDE 18- (1) Aþaðýdaki hallerde sicile bildirim zorunluluðu yoktur:
a) Kiþilerin temel hak ve özgürlüklerini olumsuz yönde etkilemeyecek nitelikte veri iþlenmesi,
b) Veri iþlemenin kamuya bilgi verilmesi amacýyla tutulan ve yasal çýkarý bulunan herkesin incelemesine açýk bir sicil için yapýlmasý
c) Veri iþlemenin altýncý maddenin ikinci fýkrasýnýn (ç) bendinde belirtilen amaçlarla yapýlmasý
ç) Veri koruma denetim kuruluþunun görevlendirilmiþ olmasý
(2) Birinci fýkranýn (a) bendinde belirtilen veriler veya veri kategorileri, veri iþlemenin amaçlarý, ilgili kiþilerin dahil olduðu kategoriler, alýcýlar veya alýcý kategorileri ile verilerin saklama süreleri Kurum tarafýndan çýkartýlacak bir teblið ile açýkça belirtilir.

Ön inceleme
MADDE 19- (1) Kurum, veri konusu kiþilerin, kiþiliklerine, temel hak ve özgürlüklerine yönelik risk taþýma ihtimali olan ve bu kanunun dördüncü maddesinde belirtilen niteliklere uygun olmayan ve altý ve yedinci maddelerinde belirtilen koþullarý taþýmayan veri iþlemelerini belirlemek üzere, ilgili veri iþlemeleri baþlamadan önce bir ön inceleme yapar.
(2) Ön inceleme, Kurum tarafýndan, veri kütüðü sahibi veya varsa temsilcisi tarafýndan sicile kayýt baþvurusundan itibaren en geç bir ay içinde yapýlýr. Ön inceleme sonuçlanmadan veri iþlemesi yapýlamaz.

ÝKÝNCÝ BÖLÜM
Veri Koruma Denetim Kuruluþu ve Bildirim

Veri koruma denetim kuruluþu
MADDE 20- (1) Veri kütüðü sahipleri, bu Kanun hükümlerinin uygulanmasýný saðlamak üzere baðýmsýz denetim kuruluþu görevlendirebilirler. Bu kuruluþlar, kendilerini atayan veri kütüðü sahibi tarafýndan bu Kanunun uygulanmasýný, herhangi bir talimat almaksýzýn denetlerler ve bu amaçla, 16 ve devamý maddelerinde belirtilen sicili tutarlar.
(2) Denetleme kuruluþlarý, ilgili kiþilerin þikayet ve talepleri nedeniyle öðrendikleri bilgileri, o kiþilerin rýzasý olmadýkça, gizli tutmakla yükümlüdür. Kuruluþlar, çalýþmalarý hakkýnda hazýrladýklarý yýllýk raporlarý her yýl Ekim ayý sonuna kadar Kuruma sunarlar.
(3) Veri kütüðü sahibi, kuruluþun görevini yapabilmesi için gerekli imkanlarý saðlamakla yükümlüdür. Baðýmsýz denetleme kuruluþlarýnýn kuruluþ ve çalýþma esaslarý ile niteliði bir Tüzükle düzenlenir.
Kuruma bildirim
MADDE 21- (1) Baðýmsýz denetim kuruluþunun göreve baþlayabilmesi için veri kütüðü sahibi tarafýndan Kuruma bildirimde bulunulmasý zorunludur. Kurum ayrý bir baðýmsýz denetim kuruluþu sicili tutar. Kurumun bu kanundan doðan görev ve yetkileri saklýdýr.



ÜÇÜNCÜ BÖLÜM
Ýstisnalar ve Meslek Kurallarý

Ýstisnalar
MADDE 22- (1) Bu Kanunun 6, 11, 16, 17 ve 19 uncu maddeleri aþaðýda sayýlan haller bakýmýndan uygulanmaz:
a) Milli güvenliðin korunmasý, milli savunmanýn gerçekleþtirilmesi veya bu amaçla yapýlan istihbarî faaliyetlerin yürütülmesi,
b) Kamu düzeninin korunmasý,
c) Suçun önlenmesi için gerekli olmasý, suç veya meslek ahlak kurallarýný ihlâl eden eylemlerin soruþturulmasý veya kovuþturulmasý,
ç) Bütçe, vergi ve mâli konulara iliþkin olarak devletin önemli ekonomik veya malî çýkarlarýnýn gerektirmesi,
d) (b), (c) ve (ç) bentlerinde belirtilen konularda, resmî mercilerin izleme, denetleme veya düzenleme görevlerinin gerektirmesi.
(2) Bu Kanunun 12 nci maddesinde belirtilen haklar, kiþisel verilerin özellikle belli bir kiþiye iliþkin tedbir veya karar alýnmasýna yönelik kullanýlmadýðý ve ilgili kiþinin özel yaþamýnýn gizliliðinin ihlal edilmesi riskinin bulunmadýðý hallerde, ilgili mevzuatta yeterli koruma tedbiri bulunmasý kaydýyla, bilimsel araþtýrma veya istatistik oluþturma amaçlarý ile sýnýrlanabilir.

Gazetecilik amacýyla kiþisel verilerin iþlenmesi
MADDE 23- (1) Yayýn sahipleri veya temsilcileri ile bunlarýn çalýþanlarý tarafýndan sadece gazetecilik amacýyla veri iþlenmesi halinde bu Kanunun 5, 15 ve 24 üncü maddeleri uygulanýr.
(2) Birinci fýkrada belirtilen kiþisel verilerin iþlenmesi fiilleri, ancak düþünceyi açýklama ve yayma hürriyeti sýnýrlarý çerçevesinde, yayýn sahipleri veya temsilcileri ve bunlarýn çalýþanlarýnýn enformasyon ihtiyaçlarýnýn karþýlanmasý için gerekli olmasý halinde hukuka uygun sayýlýr.

Kiþisel verilerin iþlenmesi bakýmýndan meslekî davranýþ kurallarý
MADDE 24- (1) Veri kütüðü sahiplerinin baðlý olduklarý meslek birlikleri tarafýndan, deðiþik sektörlerin özellikleri dikkate alýnarak, kiþisel verilerin iþlenmesiyle ilgili kurallarýn yerinde uygulanabilmesini temin etme amacýyla hazýrlanan mesleki davranýþ kurallarý, bu Kanuna uygunluðunun denetimi için, Kuruma sunularak görüþü alýnýr. Kurum yapacaðý denetimde ilgili kiþiler veya temsilcilerinin de görüþlerine baþvurur.

Kiþisel verilerin silinmesi veya yok edilmesi
MADDE 25- (1) 22 nci maddenin birinci fýkrasýnda sayýlan haller saklý kalmak üzere, bu Kanunda yer alan genel ilkeleri taþýmayan kiþisel veriler silinir veya yok edilir.
(2) Kiþisel verilerin silinmesi veya yok edilmesinin esas ve usulleri Kurumca çýkarýlacak yönetmelikle belirlenir.








DÖRDÜNCÜ KISIM
Kurum ve Kurul
BÝRÝNCÝ BÖLÜM
Kurum ve Kurulun Kuruluþ ve Görevleri

Kuruluþ
MADDE 26- (1) Bu Kanunla verilen görevleri yapmak üzere, kamu tüzel kiþiliðini haiz, idarî ve malî özerkliðe sahip Kiþisel Verileri Koruma Kurumu kurulmuþtur.
(2) Kurum Baþbakanlýðýn iliþkili kuruluþudur.

Kurum teþkilâtý
MADDE 27- (1) Kurum, Kiþisel Verileri Koruma Kurulu ile Kiþisel Verileri Koruma Kurumu Baþkanlýðýndan oluþur.
(2) Kurum, yetkilerini baðýmsýz olarak kullanýr. Kurumun merkezi Ankara’dadýr, gerekli gördüðü yerlerde þube açabilir.
(3) Kurum, görevleri ile ilgili konularda tüm kamu kurum ve kuruluþlarý ile gerçek ve tüzel kiþilerden her türlü bilgi ve belgeyi isteyebilir. Tüm kurum ve kuruluþlar ile gerçek ve tüzel kiþiler, söz konusu isteðe cevap vermek ve Kurumun görevlilerine gereken kolaylýðý göstermekle yükümlüdürler.

Kurulun oluþumu
MADDE 28- (1) Kurul, Yargýtay ve Danýþtay Genel Kurullarýnýn yapacaklarý seçimle, kendi kurumlarýnda görevli birinci sýnýfa ayrýlmýþ hâkim ve savcýlar arasýndan önerecekleri birer, Yükseköðretim Kurulunun kendi üyesi olmayan ve hukuk fakültelerinde ceza hukuku, idare hukuku ve anayasa hukuku alanlarýnda profesör veya doçent unvanýna sahip öðretim üyeleri arasýndan göstereceði bir, Türkiye Barolar Birliðinin baro baþkaný seçilme yeterliliðine sahip avukatlar içinden göstereceði bir, Türkiye Bilimsel ve Teknolojik Araþtýrma Kurumunun Bilim Kurulu üyeleri arasýndan göstereceði bir, Adalet Bakanýnýn bu Bakanlýkta idarî görevlerde çalýþan birinci sýnýfa ayrýlmýþ hâkim ve savcýlar arasýndan göstereceði bir ve Bakanlar Kurulunca re’sen seçilecek üç kiþi olmak üzere dokuz üyeden oluþur.
(2) Hâkim ve savcýlar hariç, üyelerin yükseköðrenim görmüþ, öðretim kurumlarýnda en az on yýl öðretim üyeliði yapmýþ veya kamu hizmetinde en az on yýl fiilen çalýþmýþ olmalarý þarttýr.
(3) Kurul üyeliðine önerilen adaylarýn muvafakatleri aranýr.
(4) Kurul Baþkanýný Bakanlar Kurulu atar. Baþkan vekili, Kurul tarafýndan yapýlacak bir seçimle kendi üyeleri arasýndan üye tamsayýsýnýn salt çoðunluðuyla seçilir.

Görev süreleri
MADDE 29- (1) Kurul üyelerinin görev süresi altý yýldýr. Görev süresi bitenler yeniden seçilemez.
(2) Baþkanlýk ve üyelikler görev süreleri dolmadan herhangi bir sebeple boþaldýðý takdirde, boþalan yerlere bir ay içinde 28 inci madde hükümlerine göre, seçim ve atama yapýlýr. Bu þekilde atanan kiþiler yerine atandýklarýnýn süresini tamamlar ve bu þekilde atananlardan iki yýl veya daha az süreyle görev yapanlar bir defalýðýna tekrar atanabilir.
(3) Kurul Baþkan ve üyelerinin görev süreleri dolmadan görevlerine son verilemez. Ancak atanmalarý için gerekli þartlarý taþýmadýðý anlaþýlan, görevleri ile ilgili olarak iþledikleri suçlardan dolayý haklarýnda verilen mahkûmiyet kararý kesinleþen Kurul Baþkan ve üyeleri süreleri dolmadan Baþbakanýn onayý ile görevden alýnýr. Bu durumda en geç bir ay içinde üye veya baþkan seçimi veya atamasý yapýlýr.
(4) Kurul Baþkanýnýn, kurulda görev yaptýðý sürece önceki görevleriyle olan iliþkileri kesilir. Kurul baþkanlýðýna kamu görevlisi iken atananlar görevlerinin sona erdiði tarihi izleyen otuz gün içinde eski kurumlarýna baþvurmalarý halinde ilgili Bakan veya atamaya yetkili diðer makamlar tarafýndan mükteseplerine uygun bir kadroya atanýr. Bu durumda Kurumda geçirdikleri süreler tabi olduklarý Kanun hükümlerine göre hizmetlerinde deðerlendirilir. Akademik ünvanlarýn kazanýlmasý için gerekli þartlar saklýdýr.
Yemin
MADDE 30-(1) Kurul üyeleri, Yargýtay Birinci Baþkanlýk Kurulu huzurunda, “Üstlendiðim görevi Anayasa ve kanunlar gereðince tam bir dikkat, dürüstlük ve tarafsýzlýkla yürüteceðime namusum ve þerefim üzerine yemin ederim.” þeklinde yemin ederler. Yemin için yapýlan baþvuru Yargýtay’ca acele iþlerden sayýlýr. Kurul üyeleri, yemin etmedikçe göreve baþlayamaz.

Kurulun çalýþma esaslarý
MADDE 31- (1) Kurul görevini yaparken baðýmsýzdýr. Hiçbir organ, makam, merci ve kiþi Kurulun kararýný etkilemek amacýyla emir ve talimat veremez.
(2) Kurul ayda en az iki defa olmak üzere, gerekli hallerde baþkanýn veya baþkanýn bulunmadýðý durumlarda baþkan vekilinin çaðrýsý üzerine, baþkan dahil en az yedi üye ile toplanýr ve üye tam sayýsýnýn salt çoðunluðuyla karar alýr. Kurul üyeleri çekimser oy kullanamaz.
(3) Baþkan ve üyeler kendilerini, üçüncü dereceye kadar kan ve ikinci dereceye kadar kayýn hýsýmlarýný, evlatlýklarýný ve aralarýndaki evlilik baðý kalkmýþ olsa bile eþlerini ilgilendiren kararlarla ilgili toplantý ve oylamaya katýlamaz.
(4) Bu maddede belirtilen haller dýþýnda bir nedenle bir takvim yýlýnda üç toplantýya katýlmayan üyeler üyelikten çekilmiþ sayýlýr.
(5) Kurul tarafýndan alýnan kararlarýn yürütülmesi baþkana, yokluðunda vekiline aittir.

Kurulun görev ve yetkileri
MADDE 32- (1) Kurulun görev ve yetkileri þunlardýr:
a) Kiþilik haklarý ihlâl edilenlerin baþvurularý hakkýnda karar vermek,
b) Ýlgili kiþi bakýmýndan telâfisi güç veya imkânsýz bir zararýn doðmasý ihtimalinin bulunmasý halinde geçici önlemler almak,
c) Kiþisel verilerin iþlenmesine iliþkin konularda düzenleyici iþlemler tesis etmek,
ç) Yabancý ülkelere veri aktarýmý konusunda tereddüt bulunmasý hâlinde karar vermek,
d) Baþkanýn sunduðu önerileri karara baðlamak,
e) Türkiye Büyük Millet Meclisi Baþkanlýðýna Kurul faaliyetleri hakkýnda yýllýk rapor hazýrlamak,
f) Kurumun yýllýk çalýþma raporu ve programý ile denetim raporunu onaylamak,
g) Kurumun yýllýk hesaplarý ile yýllýk bütçe teklifini onaylamak,
h) Kanunlarda verilen diðer görevleri yerine getirmek,


ÝKÝNCÝ BÖLÜM
Kurum Baþkanlýðý, Hizmet Birimleri ve Görevleri

Kurum Baþkanlýðý
MADDE 33- (1) Kiþisel Verileri Koruma Kurumu Baþkanlýðý, Baþkan ve iki baþkan yardýmcýsý ile hizmet birimlerinden oluþur.
(2) Baþkanlýða iliþkin görevlerde Baþkana yardýmcý olmak üzere, Kurum baþkanýnýn önerisi ve Kurulun kararý ile iki baþkan yardýmcýsý görevlendirilir.
Baþkan
MADDE 34- (1) Kurul baþkaný kurumun da baþkaný olup, Kurumun genel yönetim ve temsilinden sorumludur. Bu sorumluluk, kurumun çalýþmalarýnýn genel çerçevede düzenlenmesi, deðerlendirilmesi ve gerektiðinde kamuya duyurulmasý görev ve yetkilerini kapsar.
(2) Baþkanýn bulunmadýðý hallerde Baþkan vekili Baþkana vekalet eder.

Baþkanýn görev ve yetkileri
MADDE 35- (1) Baþkanýn görev ve yetkileri þunlardýr:
a) Kurumu temsil etmek,
b) Kurula baþkanlýk etmek,
c) Kiþisel Verileri Koruma Kurulunun belirlediði ilke, usul ve öncelikler doðrultusunda Kurumu yönetmek ve itâ amirliði yapmak,
ç) Kurula sunulmak üzere Kurumun yýllýk faaliyet raporu ve programý ile bütçesini hazýrlamak ve Kurula sunmak,
d) Kurum bütçesinin uygulanmasýný, gelirlerin toplanmasýný, giderlerin yapýlmasýný saðlamak,
e) 48 inci maddede belirtilen denetim sonuçlarýna iliþkin raporu hazýrlamak,
f) Sicilin tutulmasýný saðlamak,
g) Yurt içi ve yurt dýþýnda verilerin korunmasý makamlarý ile iþbirliði yapmak,
h) Kurul tarafýndan hazýrlanan yýllýk faaliyet raporunu Türkiye Büyük Millet Meclisi Baþkanlýðýna sunmak,
ý) Veri koruma hukuku alanýndaki geliþmeleri takip etmek ve bunlarýn uygulanmasý için gerekli önlemleri almak,
i) Ýhtiyaç duyulan alanlarda ulusal ve uluslararasý kurum ve kuruluþlarla iþbirliði içinde araþtýrma ve teknik yardým projeleri hazýrlamak, geliþtirmek ve yürütmek,
j) Veri korumasý ile ilgili konularda diðer ülkelerle ve uluslararasý kuruluþlarla iþbirliðini saðlamak ve uluslararasý toplantýlar düzenlemek,
k) Kurum Baþkan yardýmcýlarýný, atamalarý yapýlmak üzere Kurula önermek,
l) Kurum personelini atamak.

Hizmet birimleri
MADDE 36- (1) Kurumun hizmet birimleri, Kurum görev ve yetkilerinin gerektirdiði sayýda daire baþkanlýklarý þeklinde teþkilâtlanmýþ ana hizmet birimleri, danýþma birimleri ve yardýmcý birimlerden oluþur.
(2) Baþkanlýðýn
a) Ana hizmet birimleri ;
1. Sicil ve Ýnceleme Daire Baþkanlýðý,
2. Mevzuat ve Dýþ Ýliþkiler Daire Baþkanlýðý,
b) Danýþma birimi, Hukuk Müþavirliði,
c) Yardýmcý hizmet birimi, Destek Hizmetleri Daire Baþkanlýðýndan oluþur.
(3) Kurumda, Baþkana yardýmcý olmak üzere, ihtiyaca göre sayýlarý beþi geçmemek üzere müþavir görevlendirilebilir.



Ana hizmet birimlerinin görevleri
MADDE 37- (1) Sicil ve Ýnceleme Daire Baþkanlýðý, sicilin tutulmasý ve sicile kayýt iþlemlerinden sorumlu olup, ayný zamanda bu Kanunun uygulanmasýyla ilgili þikayet ve baþvuru iþlemlerini inceleyip Kurula sunmak üzere rapor hazýrlar.
(2) Mevzuat ve Dýþ Ýliþkiler Daire Baþkanlýðýnýn görevleri þunlardýr:
a) Veri koruma hukuku alanýndaki geliþmeleri takip etmek ve bunlarýn uygulanmasý için gerekli önlemleri almak
b) Kendi görev alanýna giren konularda yurt içi ve yurt dýþýnda ilgili kurum ve kuruluþlarla iþbirliði yapmak,
c) Kurula sunulmak üzere Kurumun yýllýk faaliyet raporunu hazýrlamak,
ç) Ýhtiyaç duyulan alanlarda ulusal ve uluslararasý kurum ve kuruluþlarla iþbirliði içinde araþtýrma ve teknik yardým projeleri hazýrlamak, geliþtirmek ve yürütmek.
d) Veri korumasý ile ilgili konularda diðer ülkelerle ve uluslararasý kuruluþlarla iþbirliðini saðlamak ve uluslararasý toplantýlar düzenlemek.

Danýþma biriminin görevleri
MADDE 38- (1) Hukuk Müþavirliðinin görevleri þunlardýr:
a) Baþkan, Baþkanlýk birimleri ve bakanlýklar tarafýndan gönderilen kanun, tüzük ve yönetmelik tasarýlarý ile diðer hukukî konular hakkýnda görüþ bildirmek.
b) Baþkanlýðýn menfaatlerini koruyucu, anlaþmazlýklarý önleyici hukukî tedbirleri zamanýnda almak, anlaþma ve sözleþmelerin bu esaslara uygun olarak yapýlmasýna yardýmcý olmak.
c) Baþkanlýðý, taraf olduðu davalarda temsil etmek
ç) Baþkan tarafýndan verilecek görevleri yapmak.

Yardýmcý hizmet biriminin görevleri
MADDE 39- (1) Destek Hizmetleri Daire Baþkanlýðýnýn görevleri þunlardýr:
a) Baþkanlýðýn insan gücü politikasý ve plânlamasý konusunda çalýþmalar yapmak ve tekliflerde bulunmak.
b) Baþkanlýk personelinin atama, nakil, sicil, terfi, ücret, emeklilik ve benzeri özlük iþlemlerini yürütmek.
c) Baþkanlýðýn eðitim plânýný hazýrlamak, uygulamak ve deðerlendirmek.
ç) Program kapsamýndaki kurum ve kuruluþlara yönelik eðitim programlarý hazýrlamak ve uygulamak.
d) Baþkan tarafýndan verilecek benzeri görevleri yapmak.
e) Baþkanlýðýn ihtiyacý olan her türlü yapým, satýn alma, kiralama, bakým ve onarým, arþiv, saðlýk ve benzeri idarî ve malî hizmetleri yürütmek.
f) Taþýnýr ve taþýnmaz mal kayýtlarýný tutmak.
g) Baþkanlýk sivil savunma ve seferberlik hizmetlerini plânlamak ve yürütmek.
h) Baþkan tarafýndan verilecek diðer görevleri yapmak


ÜÇÜNCÜ BÖLÜM
Þikâyet ve inceleme usulü

Þikâyet baþvurusu
MADDE 40- (1) Bu Kanunun uygulanmasýndan kaynaklanan þikâyetler dilekçeyle þikâyet konusu iþlemin yapýldýðý veya öðrenildiði tarihten itibaren altmýþ gün içinde Kuruma yapýlýr. Kurul þikâyeti üç ay içinde inceler. Ancak hukukî veya fiili sebeplerle bu süre içerisinde incelemenin sonuçlandýrýlamamasý hâlinde süre, bir defaya mahsus olmak üzere üç ay daha uzatabilir. Þikâyetin 12 nci maddenin üçüncü fýkrasýna veya 22 nci maddenin birinci fýkrasýnýn (a) bendinde sayýlan hallere iliþkin olmadýðý ya da (c) bendinde belirtilen görevlerin yerine getirilmesini engellemediði sürece, iþlem sonucunu ilgililere teblið eder.
(2) Þikâyet baþvurusunda bulunanlar, þikâyet konusunda Kurulca verilen kararýn kendilerine tebliðinden itibaren altmýþ gün içinde idare mahkemelerinde dava açabilirler. Kiþilik haklarý ihlal edilenlerin, genel hükümlere göre zararýný tazmin hakký saklýdýr.

Ýnceleme usul ve esaslarý
MADDE 41-(1) Kurul, re’sen veya ilgili taraflarýn baþvurusu üzerine bu Kanunun uygulanmasý ile ilgili konularý inceler.
(2) Veri kütüðü sahibi, Kurulun istemi üzerine, inceleme konusuyla ilgili bilgi ve belgeleri onbeþ gün içinde göndermek ve yerinde inceleme yapýlmasýna imkan saðlamakla yükümlüdür.
(3) Ýnceleme sonucunda bu Kanun hükümlerinin ihlâl edildiðinin anlaþýlmasý hâlinde, Kurul, veri kütüðü sahibinden bu Kanun hükümlerine uygun olarak kiþisel verilerin iþlenmesini ister. Bu istem, derhal yerine getirilir.
(4) Veri kütüðü sahibi kamu tüzel kiþisi ise, Kurul, ilgili kamu tüzel kiþisinden verilerin bu Kanun hükümlerine uygun olarak iþlenmesini ister. Bu istem, en geç otuz gün içinde yerine getirilir.
(5) 22 nci maddenin birinci fýkrasýnýn (a) ve (c) bentlerinde sayýlan hallerde Kurul, üyelerinden birini ilgili kurumda incelemelerde bulunmak üzere görevlendirir. Görevlendirilen üye, inceleme sonucunda Kurula sözlü olarak bilgi verir.
(6) Kurul, telafisi güç veya imkansýz zararlarýn doðmasý ihtimali ve açýkça hukuka aykýrýlýk halinde ilgili kiþi hakkýnda veri iþlenmesinin veya yurt dýþýna aktarýmýnýn durdurulmasýna karar verebilir.

DÖRDÜNCÜ BÖLÜM
Kurul Baþkan ve Üyelerinin Yükümlükleri, Uzman Yardýmcýlýðý ve Uzmanlýk
Baþkan ve üyelerin görev alma yasaðý, malî haklarý ve sýr saklama yükümlülüðü
MADDE 42- (1) Kurul Baþkaný, bilimsel amaçlý yayýn, ders ve konferans gibi etkinlikler hariç olmak üzere herhangi bir kanuna dayanmayan resmî veya özel hiçbir görev alamaz, dernek, vakýf, kooperatif ve benzeri yerlerde yöneticilik yapamaz, ticaretle uðraþamaz, serbest meslek faaliyetinde bulunamaz.
(2) Kurul baþkanýna en yüksek devlet memuru için belirlenen her türlü ödemeler dahil malî ve sosyal haklar tutarýnda aylýk ücret ödenir. En yüksek devlet memuruna ödenenlerden vergi ve diðer yasal kesintilere tâbi olmayanlar, bu Kanuna göre de vergi ve diðer kesintilere tâbi olmaz.



(3) Kurul üyelerine ve Baþkana vekâlet ettiði sürece Baþkan vekiline 10/02/1954 tarihli ve 6245 sayýlý Harcýrah Kanunu hükümleri saklý kalmak kaydýyla fiilen görev yaptýklarý her gün için uhdesinde kamu görevi bulunup bulunmadýðýna bakýlmaksýzýn (3000) gösterge rakamýnýn memur aylýk katsayýsý ile çarpýmý sonucu bulunacak miktarda huzur hakký ödenir. Bu ödemelerde damga vergisi hariç herhangi bir kesinti yapýlmaz.
(4) Kurul baþkan ve üyeleri ile Kurumun her türlü personeli, çalýþmalarý ve denetlemeleri sýrasýnda ilgililere ve üçüncü kiþilere ait öðrendikleri sýrlarý bu konuda kanunen yetkili kýlýnan mercilerden baþkasýna açýklayamazlar ve kendi yararlarýna kullanamazlar. Bu yükümlülük görevden ayrýlmalarýndan sonra da devam eder.

Kurum personelinin atanmasý ve malî haklarý
MADDE 43- (1) Kurumun baþkan yardýmcýlarý, daire baþkanlarý, baþkanlýk müþavirleri ve meslek personeli kadro karþýlýðý sözleþmeli statüde istihdam edilir. Kurum personeli ücret, malî ve sosyal haklar dýþýnda 657 sayýlý Devlet Memurlarý Kanununa tâbidir.

Emeklilik ve hizmet sürelerinin deðerlendirilmesi
MADDE 44- (1) Kurul baþkaný ile kurum personeli 5434 sayýlý Türkiye Cumhuriyeti Emekli Sandýðý hükümlerine tâbidir. Emeklilik ve diðer bakýmlardan kurul baþkaný bakanlýk müsteþarý, baþkan yardýmcýlarý genel müdür, daire baþkanlarý genel müdür yardýmcýsý, baþkanlýk müþaviri bakanlýk müþaviri ile denk statüde kabul edilir. Kurul baþkanlýðýnda geçirilen süreler makam, temsil ve hâkim ve savcýlar ile bu meslekten sayýlanlar için yüksek hâkimlik tazminatý ödenmesini gerektiren görevlerde geçmiþ sayýlýr.
(2) Emeklilik açýsýndan kurum meslek personeline, kazanýlmýþ hak aylýk dereceleri itibariyle karþýlýk gelen Baþbakanlýk uzman ve uzman yardýmcýlarý için tespit edilen ek gösterge ve makam tazminatý uygulanýr.

Kiþisel verileri koruma uzman yardýmcýlýðýna atanma
MADDE 45- (1) Kiþisel verileri koruma uzman yardýmcýlýðýna atanabilmek için 657 sayýlý Devlet Memurlarý Kanununun 48 inci maddesinde sayýlan þartlara ilâve olarak aþaðýdaki nitelikler aranýr:
a) En az dört yýllýk yükseköðretim kurumlarýndan veya bunlara denkliði yetkili makamlarca kabul edilen yurt dýþýndaki yükseköðretim kurumlarýndan mezun olmak,
b) Yapýlacak yarýþma ve yeterlik sýnavýnda baþarýlý olmak,
c) Sýnavýn yapýldýðý yýlýn Ocak ayýnýn ilk günü itibariyle otuz yaþýný doldurmamýþ olmak.

Kiþisel verileri koruma uzmanlýðý
MADDE 46- (1) 45 inci maddeye göre kiþisel verileri koruma uzman yardýmcýlýðýna atananlar, en az üç yýl çalýþmasý, olumlu sicil almasý, konularý ile ilgili hazýrlayacaklarý uzmanlýk tezinin Kurul tarafýndan kabul edilmesi, açýlacak meslekî yeterlilik sýnavýnda baþarýlý olmasý, Kamu Personeli Yabancý Dil Bilgisi Seviye Tespit sýnavýndan en az (C) düzeyinde yabancý dil puaný almasý halinde “Kiþisel Verileri Koruma Uzmaný” ünvanýný alýrlar.
(2) Kiþisel verileri koruma uzmanlýðý sýnavýnda iki kez baþarýlý olamayanlar diðer kamu kurum ve kuruluþlarýndaki öðrenim durumlarýna uygun kadrolara atanmak üzere Devlet Personel Baþkanlýðýna bildirilir.
(3) Kiþisel verileri koruma uzman yardýmcýlýðý sýnavý ile kiþisel verileri koruma uzmanlýðý sýnavýnýn þekil ve uygulama esaslarý yönetmelikle düzenlenir.


BEÞÝNCÝ BÖLÜM
Kurumun Bütçesi, Yýllýk Faaliyet Raporu ve Muafiyet

Kurumun gelirleri
MADDE 47- (1) Kurumun bütçesi 5018 sayýlý Kamu Mali Yönetimi ve Kontrol Kanununun üçüncü maddesinin birinci fýkrasýnýn (c) bendinde belirtilen cetvel için öngörülen usul ve esaslara göre hazýrlanýr ve kabul edilir.
(2) Kurumun gelirleri þunlardýr:
a) Her yýl Kurum adýna konulacak ödenek,
b) Ýdarî para cezalarýnýn yarýsý
c)Yayýn gelirleri,
ç)Kuruma ait taþýnýr ve taþýnmaz mallardan elde edilen gelirler,
d)Yukarýda sayýlan gelirlerin nemalandýrýlmasý suretiyle elde edilecek gelirler.

Kurum giderleri ve mallarý
MADDE 48- (1) Kurumun harcamalarý, Kurul kararýyla yürürlüðe giren yýllýk bütçeye göre yapýlýr.
(2) Kurumun yýllýk hesaplarý ile harcamalarýna iliþkin iþlemler, 5018 sayýlý Kamu Mali Yönetimi ve Kontrol Kanunu ile 832 sayýlý Sayýþtay Kanunu çerçevesinde denetlenir. Kurum, denetleme sonuçlarýyla ilgili gerekli tedbirleri alýr. Denetim sonuçlarý ile bunlara iliþkin iþlemleri ve alýnan tedbirleri gösterir bir rapor, Kurumun yýllýk faaliyet raporu ile birlikte Türkiye Büyük Millet Meclisine sunulur.
(3) Kurumun para, evrak ve her çeþit mallarý Devlet malý hükmündedir. Kurulun baþkan ve üyeleri ile diðer personeli görevleriyle baðlantýlý olarak iþledikleri suçlar ile bunlara karþý iþlenen suçlardan dolayý sorumluluk baðlamýnda 26/09/2004 tarihli ve 5237 sayýlý Türk Ceza Kanunu uygulamasýnda kamu görevlisi sayýlýrlar.

Yýllýk faaliyet raporu
MADDE 49- (1) Kurum, faaliyetlerine iliþkin olarak her yýlýn Mart ayý sonuna kadar bir önceki yýla ait kararlarý, yaptýðý düzenlemeleri ile bunlarýn ekonomik ve sosyal etkilerini analiz eden bir faaliyet raporu hazýrlar. Faaliyet raporu, ayrýca, kurumun performans hedefleri ile uygulama sonuçlarýnýn karþýlaþtýrýlmasýný ve deðerlendirilmesini de içerir.
(2) Yýllýk faaliyet raporu, kurul kararlarý ve ikincil düzenlemeler kurumun internet sayfasýnda yayýnlanýr.


BEÞÝNCÝ KISIM
Çeþitli Hükümler
BÝRÝNCÝ BÖLÜM
Soruþturma ve Kovuþturma Hükümleri

Kiþisel verilerin hukuka aykýrý olarak iþlenmesi
MADDE 50- (1) Hukuka aykýrý olarak üçüncü fýkrada belirtilenler dýþýnda kiþisel verileri iþleyen kiþi, Türk Ceza Kanununun 135 inci maddesinin birinci fýkrasýna göre cezalandýrýlýr.
(2) Birinci fýkrada yazýlý fiilin, bu Kanunun 6 ncý maddesinde düzenlenen özel niteliði olan kiþisel veriler hakkýnda iþlenmesi hâlinde de birinci fýkrada belirtilen cezaya hükmolunur.
(3) Hukuka aykýrý olarak kiþisel verileri açýklayan, yayan, bir baþkasýna veren, aktaran veya ele geçiren kiþi Türk Ceza Kanununun 136 ncý maddesine göre cezalandýrýlýr.
(4) Yukarýdaki fýkralarda belirtilen fiillerin Türk Ceza Kanunun 137 nci maddesinde belirtilen þekilde iþlenmesi halinde ceza, ayný maddeye göre tayin edilir.
(5) 25 inci maddeye aykýrý hareket edenler Türk Ceza Kanununun 138 inci maddesine göre cezalandýrýlýrlar.

Verilerin korunmasý ve yok edilmesi görevinin ihmali
MADDE 51- (1) Kanuna uygun olarak veri kütüðüne iþlenmekle beraber bunlarýn muhafazalarýnda veya kanunlarýn belirlediði sürelerin geçmiþ olmasýna karþýn verileri sistem içinde yok etmek yükümlülüðünde ihmalleri görülenler, Türk Ceza Kanununun 138 inci maddesine göre cezalandýrýlýrlar.

Tüzel kiþiler hakkýnda güvenlik tedbiri uygulanmasý
MADDE 52- (1) Bu Kanunda tanýmlanan suçlarýn bir tüzel kiþinin faaliyeti çerçevesinde iþlenmesi halinde, ilgili tüzel kiþi hakkýnda Türk Ceza Kanununun tüzel kiþilere özgü güvenlik tedbirlerine hükmolunur.

Ýdarî para cezalarý
MADDE 53- (1) Bu Kanunun;
a) 11, 12, 15, 19, 27 nci maddesinin üçüncü fýkrasý, 41 ve 42 nci maddesinin birinci fýkrasýnda öngörülen yükümlülüklere aykýrý hareket edenlere beþbin Türk Lirasý,
b) 16, 21 ve 24 üncü maddelerinde öngörülen yükümlülüklere aykýrý hareket edenlere onbin Türk Lirasý,
idarî para cezasý verilir.
(2) Bu Kanuna göre idarî para cezalarý Kurul tarafýndan verilir.
(3) Bu maddedeki fiillerden özel hukuk tüzel kiþileri de sorumludur.

Ceza soruþturmasý ve kovuþturmasý
MADDE 54- (1) 2/12/1999 tarihli ve 4483 sayýlý Memurlar ve Diðer Kamu Görevlilerinin Yargýlanmasý Hakkýnda Kanun uyarýnca görev sebebiyle iþlenen suçlar dolayýsýyla soruþturma izni yetkisi, Baþkan ve üyeler hakkýnda Baþbakan, Kurumun diðer personeli hakkýnda Baþkan, yokluklarýnda ise baþkan vekili tarafýndan kullanýlýr.
(2) Özel kanun hükümleri saklýdýr.

Disiplin soruþturmasý
MADDE 55- (1) Kiþisel Verileri Koruma Kurumunda çalýþanlar hakkýnda genel hükümler uygulanýr.

ÝKÝNCÝ BÖLÜM
Son Hükümler

Yönetmelik
MADDE 56- (1) Kurum:
a) Yabancý ülkelere bilgi aktarýmýnýn esas ve usullerini,
b) Sicilin tutulmasýna iliþkin esas ve usulleri,
c) Kurulun çalýþma esas ve usullerini,
ç) Kiþisel verilerin anonim hale getirilmesi veya yok edilmesine iliþkin esas ve usulleri,
d) Kiþisel verileri koruma uzman yardýmcýlýðý sýnavý ile kiþisel verileri koruma uzmanlýðý sýnavýnýn þekil ve uygulama esaslarýný,
e) 5inci maddenin ikinci fýkrasýnda öngörülen tarihî, istatistik veya bilimsel amaçlarla yeniden veri iþlenebilmesi için gerekli tedbirleri,
f) Bu Kanunun uygulanmasýna iliþkin sair hususlarý,
Kanunun yürürlük tarihinden itibaren altý ay içinde, ilgili kurum ve kuruluþlarýn görüþlerini alarak çýkartacaðý yönetmeliklerle düzenler.

GEÇÝCÝ MADDE 1- (1) Kiþisel verileri iþleyen kamu kurum veya kuruluþlarý ile gerçek ve özel hukuk tüzel kiþileri, Kurum tarafýndan çýkarýlacak yönetmeliðin yürürlüðe girmesinden sonra üç ay içinde Sicile kayýt baþvurusunda bulunmak zorundadýrlar. Kurum tarafýndan çýkarýlacak yönetmeliðin yürürlüðe girdiði tarihten itibaren bir yýl süreyle 19 uncu maddenin ikinci fýkrasý uygulanmaz.

GEÇÝCÝ MADDE 2- (1) Kurumun kuruluþu, personel giderleri, araç gereç ve her türlü sair ihtiyaçlarýnýn karþýlanmasý için Baþbakanlýk bütçesine yeterli ödenek aktarýlýr.

GEÇÝCÝ MADDE 3- (1) Ekli (1) sayýlý listede yer alan kadrolar ihdas edilerek 190 sayýlý Genel Kadro ve Usulü Hakkýnda Kanun Hükmünde Kararnameye baðlý (I) sayýlý Cetvelin ilgili bölümüne eklenmiþtir.

GEÇÝCÝ MADDE 4- (1) Kanunun yürürlüðe girdiði tarihten itibaren iki ay içinde 28inci maddede sayýlan kurum, kuruluþ ve kurullar belirledikleri üyeleri Bakanlar Kuruluna bildirir. Ayný süre içinde Bakanlar kurulu kendi üyelerini belirler.
(2) Kurulun göreve baþlamasýndan itibaren ikinci, üçüncü, dördüncü yýlýn sonunda, Baþkan hariç üyelerinden, önceki ad çekmede görevi sona erip de tekrar seçilenler dýþýnda ad çekme yoluyla belirlenen ikiþer üyenin görevi sona erer. Boþalan üyeliklere ayný usulle seçim yapýlýr. Ad çekme suretiyle üyeliði sona eren üyeler bir kere daha seçilebilir. Bu þekilde atanan kiþiler, yerine atandýklarýnýn süresini tamamlar ve bu þekilde atananlardan iki yýl veya daha az süreyle görev yapanlar bir defalýðýna tekrar atanabilir.

GEÇÝCÝ MADDE 5- (1) Kurul, oluþumundan itibaren bir yýl içinde, Kanunun 45 ve 46 ncý maddelerindeki þartlar aranmaksýzýn toplam uzman sayýsýnýn beþte birini geçmemek üzere, en az dört yýllýk yükseköðretim kurumlarýndan veya bunlara denkliði kabul edilen yurt dýþýndaki yükseköðretim kurumlarýndan mezun olup, Ýngilizce, Fransýzca veya Almanca dillerinden birinden Kamu Personeli Yabancý Dil Sýnavýndan en az (C) seviyesinde puan alan ve en az beþ yýl kamu kurumlarýnda çalýþmýþ olan kamu görevlilerinden bir defaya mahsus olmak üzere Kurumda çalýþmak üzere uzman atayabilir.

Yürürlük
MADDE 57- (1) Bu Kanun hükümleri 1 Ocak 2008 tarihinde yürürlüðe girer.

Yürütme
MADDE 58- (1) Bu Kanun hükümlerini Bakanlar Kurulu yürütür.








GENEL GEREKÇE

Kiþisel verilerin korunmasý, çaðýmýzda, insan haklarý kavramý ve korunmasý bilincinin gittikçe geliþmesine paralel olarak önemini arttýrmaktadýr. Bu nedenle bir ülkenin mevzuatýnda deðiþik düzenlemeler içinde yer alan farklý hükümlerin, bu konuya özgü felsefeden yoksun olmasý halinde kiþisel verilerin korunmasý konusunda artan ihtiyaca cevap vermesi mümkün olmamaktadýr. Bunun öncelikli sebebi, söz konusu hükümlerin baþlý baþýna yetersiz olmalarýndan ziyade; bu hükümlerin hukuk sisteminde yer almasýnýn, kiþisel verilerin korunmasý amacý ile deðil, ancak her bir hükmün ilgili olduðu sahalarda zamanýnýn ihtiyaçlarýna cevap vermesi amacý ile düzenlemiþ olmasýdýr. Bundan dolayý hemen tüm modern hukuk sistemlerinde olduðu gibi, Ülkemizde de kiþisel verilerin korunmasý amacýna yönelik münhasýr bir kanunun yürürlüðe girmesi kaçýnýlmaz hale gelmiþtir.
Tasarý, kiþisel verilerin korunmasý bakýmýndan gerekli olan tüm hususlarda çerçeve niteliðinde ilkeleri belirlemekte ve öngördüðü baðýmsýz Kurul ile de bu ilkelerin uygulanmasýnýn izlenmesini temin etmektedir.
Kiþisel verilerin korunmasý konusunda genel ilkelerin, çerçeve bir kanunla hukukumuza dahil olmasýnýn önemli bir geliþme olduðu ortadadýr. Ancak bir çerçeve kanundan beklenen fayda, doðal olarak bu kanunda belirtilen ilkelerin ilgili mevzuata uyumlu þekilde yansýtýlmasý halinde saðlanabilir. Bu nedenle, bir yandan oluþturulacak baðýmsýz Kurumun sözü geçen mevzuatýn bir kýsmýný hazýrlamasý, diðer yandan ilgili diðer tüm kamu kurum ve kuruluþlarýnýn, kendi sahalarýnda gecikmeksizin harekete geçerek kanunda saptanan ilkelerin ýþýðý altýnda gerekli yasal düzenlemeleri hazýrlamalarý gerekmektedir.
Tasarý hükümleri, inceleyen kamu kurum ve kuruluþlarý tarafýndan, kendi sahalarýnda kiþisel verilerin korunmasý ile ilgili ihtiyacýn hemen tespit edilebilmesini saðlayacak þekilde hazýrlanmýþtýr. Bu nedenle, örneðin saðlýk alanýnda Saðlýk Bakanlýðýnýn, iletiþim ve ulaþým alanýnda Ulaþtýrma Bakanlýðýnýn, turizm alanýnda Turizm Bakanlýðýnýn, ekonomik hayatla ilgili Sanayi ve Ticaret Bakanlýðýnýn, maliye ve vergi konularý ile ilgili olarak Maliye Bakanlýðýnýn, yargý ile ilgili olarak Adalet Bakanlýðýnýn, nüfus iþlemleri ve kolluk faaliyetleri ile ilgili olarak Ýçiþleri Bakanlýðýnýn vakit kaybetmeden bu kanuna uygun mevzuatý hazýrlamalarý yararlý olacaktýr. Burada örnek kabilinden sayýlan bu ihtimaller sýnýrlayýcý deðildir.
Ayrýca farklý sektörlerde yer alan mesleklerin, var olan mesleki davranýþ kurallarýna kiþisel verilerin korunmasý bakýmýndan gerekli deðiþiklikleri getirmeleri ya da eðer henüz hiç düzenleme yapýlmamýþsa kiþisel verilerin korunmasý bakýmýndan mesleki davranýþ kurallarýný belirlemeleri, sistemin bütünlüðü açýsýndan önem taþýyacaktýr. Ancak bu düzenlemeler yapýlýrken, Tasarýda belirlenen ilkelerin dikkate alýnmasý gerekmektedir.
Günümüzde geleneksel yöntemlerin yaný sýra, verilerin bilgisayar gibi elektronik ortamlarda iþlenerek bunlarýn, veri bankalarýnda depo edilmesi çok yaygýnlaþmýþtýr. Bilgi çaðý olarak nitelendirilen çaðýmýzda, bir taraftan kiþisel verilerin iþleme tabi tutulmasýný kolaylaþtýrmak ve bunlarý ilgililerin yararlanmasýna sunmak zorunlu olduðu kadar, bunu yaparken kiþiliðin, temel hak ve hürriyetlerin korunmasý da çok önemli bir sorun olarak ortaya çýkmaktadýr.
Kiþisel verilerin elektronik olarak iþlenmesi, kiþilere olduðu kadar özel ve kamu sektörüne de büyük yararlar saðlamaktadýr. Bu þekilde mal ve hizmetler, daha kolay üretilebildiði gibi kiþilerin veri iþleme yoluyla tespit edilmiþ tercihlerine bakýlarak, bireylere ucuz ve sür’atle sunulabilmektedir. Elektronik veri iþleme sistemleri keza, saðlýk, sosyal güvenlik, eðitim, vergi, kamu düzeni ve güvenliði gibi alanlarda da benzer yararlar saðlamaktadýr. Bu nedenle, mal ve hizmetlerin daha iyi, ucuz ve sür’atle sunulabilmesi için, verileri elektronik ortamlarda iþleyen sistemler, gerek özel ve gerek kamu sektöründe hýzla yaygýnlaþmýþtýr.
Kiþisel veri kütüðü sistemleri iki grup açýsýndan önem arz etmektedir:
- Bunlardan birincisini kiþisel veri sicillerini kullananlar oluþturmaktadýr. Yukarýda da belirtildiði gibi, mal ve hizmetlerin ihtiyaca uygun bir þekilde üretimi ve daðýtýmý için bu tür sicillerden yararlanýlmasý zorunlu hale gelmiþtir. Bu sicillerden yararlananlarýn, ihtiyaçlarý olan kiþisel verileri iþlemeleri engellenmemeli, aksine kolaylaþtýrýlmalý, ancak ilkelere baðlanmalýdýr.
- Diðer grubu ise, hakkýnda kiþisel veri iþlenen gerçek ve tüzel kiþiler oluþturmaktadýr. Elektronik bilgi iþlem sistemlerinde zorunlu olarak kiþiler hakkýnda kiþisel veriler iþlenmektedir. Kiþisel veriler sýnýrsýz olarak geliþigüzel toplandýðý, denetimsiz olarak açýklandýðý, yetkisiz kiþilerin eline geçtiði takdirde kötüye kullanýlarak kiþilik haklarý ihlal edilebilecektir. Bu nedenle kiþisel veri sicillerinin bu tür sakýncalarý giderecek þekilde kurulmasý, faaliyet göstermesi ve denetim altýna alýnmasý zorunlu hale gelmiþtir.
Tasarý, bu iki grubun çýkarlarýný koruyarak dengelemek ve kiþilik haklarý ile temel hak ve hürriyetleri korumak amacýyla hazýrlanmýþtýr.
Mevzuatýmýzda kiþilik hakkýnýn korunmasýna iliþkin hükümler Türk Medeni Kanununda yer almaktadýr. Türk Medeni Kanununun 24 üncü maddesine göre hukuka aykýrý olarak kiþilik hakkýna saldýrýlan kimse, saldýrýda bulunanlara karþý korunmasýný isteyebilir. Ayrýca 26/9/2004 tarihli ve 5237 sayýlý Türk Ceza Kanununun 135 ve devamý maddelerinde kiþisel verilerin hukuka aykýrý olarak kaydedilmesi üçüncü kiþilere verilmesi, yayýlmasý fiilleri yaptýrým altýna alýnmýþ bulunmaktadýr. Ayný þekilde, Türkiye’nin 1954 yýlýnda onayladýðý Avrupa Ýnsan Haklarý Sözleþmesinin 8 inci maddesinde, herkesin özel ve aile hayatýna, meskenine ve muhaberatýna saygý gösterilmesini isteme hakký olduðu belirtilmiþtir.
Kiþisel verilerin korunmasý konusu somut olarak ilk defa Ýktisadi Ýþbirliði ve Kalkýnma Teþkilatý (OECD) tarafýndan 1980 yýlýnda ele alýnmýþtýr. OECD tarafýndan kabul edilen ve bu Tasarýda da dikkate alýnan rehber ilkeler, birbirini tamamlayýcý nitelikte olup özetle aþaðýda gösterilmiþtir.
1) Kiþisel veri toplanmasý ve iþlenmesinin sýnýrlý olmasý ve ilkelere baðlýlýðý:
-Bu ilke ile kiþisel verilerin toplanmasý ve iþlenmesinin sýnýrlarý olmasý ve verilerin hukuka uygun, meþru yollarla ve mümkün olduðunca veri konusu kiþinin bilgisi veya rýzasý ile elde edilmesinin gerekliliði vurgulanmýþtýr. Tasarý ile kiþisel verilerin, toplanmasý ve iþlenmesi konusunda belirtilen ilkelere uyulmuþtur.
2) Kiþisel veride kalite ilkesi:
Bu ilke ile, kiþisel verilerin iþlenmesiyle ilgili gerekli nitelikler vurgulanmaktadýr. Buna göre, kiþisel verilerin güncel tutulmasý, tam ve doðru olmasý, kullanýlacaðý amaçla baðlantýlý ve bu amacýn gerekleriyle sýnýrlý olmasý þartlarýna iþaret edilmektedir. Tasarýnýn kiþisel verilerin iþlenmesine iliþkin ilkelerin belirlendiði 4 üncü maddesi kapsamlý düzenleme tarzý ile aranan þartlarý karþýlamýþtýr.
3) Kiþisel veri toplama ve iþlenmesinde amacýn belirginliði ilkesi:
Kiþisel verilerin toplanmasýndan önce, bu verilerin toplanmasýnýn amaçlarýnýn belli olmasý, sonraki kullanýmlarýn da bu amaçlarla sýnýrlý tutulmasý gereðine deðinilmektedir. Toplanma amacýnýn deðiþebileceði her durumda da, söz konusu deðiþen amaçlarýn ayný þekilde belirgin olmasý gerektiði belirtilmektedir.
4) Amaca uygun kullaným ilkesi:
Yukarýda sözü geçen ilke ile doðrudan baðlantýlý olan bu ilke gereðince; veri konusu kiþinin rýzasý veya kanunun yetki verdiði haller hariç olmak üzere, kiþisel verilerin toplandýðý ve iþlendiði amaçlar dýþýnda kullanýlmamasý, elde edilebilir hale getirilmemesi veya açýklanmamasý öngörülmektedir.
5) Kiþisel verilerin korunmasý için gereken tedbirlerin alýnmasý ilkesi:
Bu ilke ile kiþisel verilerin, yetkisiz olarak eriþilmesi, imhasý, kullanýlmasý, deðiþtirilmesi veya açýklanmasý ya da kaybolmasý gibi risklere karþý uygun güvenlik tedbirleriyle korunmasý gerektiðine dikkat çekilmektedir. Tasarýnýn 15 inci maddesi ile kiþisel verilerin iþlenmesinin güvenliði bakýmýndan tedbir alýnmasý yükümlülüðü getirilmiþtir.
6) Açýklýk ilkesi:
Kiþisel verilerle ilgili olarak yürütülen politikalar ile uygulamalar ve geliþmeler hakkýnda genel bir açýklýk politikasý bulunmasý gereði vurgulanmaktadýr. Tasarýnýn 11 inci maddesinde düzenlenen veri konusu kiþilerin bilgilendirilmesi ve 12 nci maddedeki veri konusu kiþinin bilgiye eriþim hakkýnýn yaný sýra, 16 ncý maddesinde, kurum tarafýndan tutulacak Kurum Sicili düzenlenmektedir. Bu Sicile tescil edilecek konular ayrýntýlý düzenlenmiþ olup, sicilin kamuya açýk olduðu hükmü getirilmiþtir. 95/46/AT sayýlý Avrupa Topluluðu Direktifi’nin 28 inci maddesinin ikinci fýkrasýnda da buna paralel bir düzenleme bulunmaktadýr.
7) Kiþisel veri konusu kiþinin bireysel katýlýmý ilkesi:
Kiþinin, veri kütüðü sahibinden, onunla ilgili veri olup olmadýðýna dair bilgi edinmeye; anlayabileceði bir þekilde, makul yollarla, tatbik ediliyorsa aþýrý olmayan bir ücretle, makul süre için kendisine iliþkin veriler konusunda bilgilendirilmeye; bilgi edinme ve bilgilendirilme talepleri reddedilirse sebeplerini öðrenmeye, bu gibi reddedilmelere karþý itiraz veya kanun yollarýna baþvurabilmeye; kendisine iliþkin verilere itiraz edebilme ve haklý itirazý halinde bu verileri sildirmeye, düzeltmeye, eksik ise tamamlatmaya ve deðiþtirmeye hakký olmasý gerektiði vurgulanmaktadýr.
8) Sorumlu tutulabilirlik ilkesi:
Buna göre veri kütüðü sahibinin, yukarýda belirtilen prensiplere uyulmasý için getirilen tedbir ve yaptýrýmlara uymasýný temin edecek þekilde sorumlu tutulmasý saðlanmalýdýr. Tasarýnýn, ‘‘Kiþisel verilerin iþlenmesine iliþkin ilkeler" baþlýðýný taþýyan 4 üncü maddesinden baþlamak üzere muhtelif bazý maddelerinde, veri kütüðü sahipleri, getirilen prensiplere uymakla yükümlü tutulmuþtur. Bu yükümlülüklerini yerine getirmeyen veri kütüðü sahipleri idarî, hukukî ve cezaî yaptýrýmlara tâbi olacaktýr.
Diðer taraftan, ana amacý üye ülkeler arasýnda hukuk birleþtirilmesi ve uyumu olan Avrupa Konseyi, daha sonra da bir sözleþme hazýrlanmak üzere bu alandaki çalýþmalarýný sürdürmüþtür. Bu baðlamda çok geliþmiþ telekomünikasyon araçlarýyla gerçekleþtirilen, ülkeler arasýndaki hýzlý sýnýr ötesi bilgi akýþý karþýsýnda, kiþilik haklarýnýn korunmasýnda üye devletler milli mevzuatýnýn yetersiz kalmasý, bu alanda bir uluslararasý sözleþme hazýrlanmasýný zorunlu kýlmýþtýr. “Kiþisel Verilerin Otomatik Ýþleme Tabi Tutulmasý Karþýsýnda Bireylerin Korunmasý”na iliþkin 108 sayýlý Sözleþme, 28 Ocak 1981 tarihinde imzaya açýlmýþ ve ayný tarihte Konsey üyesi diðer devletlerle birlikte Türkiye tarafýndan da imzalanmýþtýr. Ancak, söz konusu Sözleþmenin 4 üncü maddesi gereðince, Sözleþmenin onaylanabilmesi için, imzalayan devletin, Sözleþmede öngörülen ilkeler çerçevesinde bir yasa kabul etmesi zorunludur. Tasarý ile ayný zamanda söz konusu sözleþmede öngörülen yükümlülük de yerine getirilmektedir.
Sözleþme, bir taraftan Konseye üye çeþitli ülkelerde bireylerin kiþiliklerinin yeknesak bir düzeyde korunmasýný saðlamýþ, diðer taraftan da sýnýr ötesi veri akýþýnýn standartlarýný belirlemiþtir. Öyle ki, Sözleþmenin 12 nci maddesine göre, bir devlet verilerin korunmasý konusunda bunlarýn eþdeðer düzeyde korunmasýna iliþkin mevzuatý bulunmayan diðer bir devlete sýnýr ötesi veri aktarýmýný yasaklayabilir. Nitekim bu baðlamda Türkiye’de yasal düzenleme bulunmamasýnýn sonuçlarý uygulamada da görülmeye baþlanmýþtýr. Örneðin, adli yardým anlaþmalarýnýn uygulanmasý çerçevesinde, baþta Almanya olmak üzere, Konseye üye diðer devletler, Türk mahkemelerince yapýlan kiþiler hakkýndaki adres tespiti, istinabe gibi istemleri, Türkiye’nin konuya iliþkin eþdeðer koruma mevzuatý bulunmadýðý için geri çevirmektedirler. Ayný þekilde, bu durum Avrupa Birliði ile gerçekleþtirilen gümrük birliði çerçevesinde, Türkiye ile Avrupa Birliði üyesi devletler gümrük idareleri arasýndaki bilgi akýþýný da olumsuz yönde etkilemektedir.
Tasarýnýn hazýrlanmasýnda Avrupa Konseyinin anýlan Sözleþmesindeki ilke ve standartlar da göz önüne alýnmýþtýr.
Öte yandan, Avrupa Konseyinin anýlan Sözleþmesinin hazýrlýk çalýþmalarýna Avrupa Birliði de kurum olarak aktif bir þekilde katýlmýþ ve önemli katkýlarda bulunmuþtur. Avrupa Birliði daha sonra da konuya iliþkin çalýþmalarýný sürdürmüþ ve üyelerinin verilerin korunmasý mevzuatý arasýndaki farklýlýk ve çeliþkileri gidererek uyum saðlamak üzere, 95/46/EC sayýlý Direktif yürürlüðe girmiþ ve bununla bütün üye ülkelerdeki bireylerin gizliliðinin üst düzeyde korunmasý ve kiþisel verilerin Avrupa Birliði içerisinde özgür dolaþýmýný saðlayacak açýk ve kalýcý bir düzenleme yapýlmasý amaçlanmýþtýr. Avrupa Birliði ile Türkiye arasýnda gümrük birliði kurulmasýndan sonra 10- 11 Aralýk 1999 tarihlerinde gerçekleþtirilen Avrupa Birliði Helsinki Zirvesi sonucunda Türkiye’nin tam üye adayý olarak kabul edilmiþ olmasýyla tam üyeliðe yönelik katýlým süreci çerçevesinde bir çok alanda mevzuat uyumu çalýþmalarý yapýldýðýndan, verilerin korunmasýna iliþkin yasa çalýþmalarýnda da, Birlik mevzuatý ile Türk mevzuatý arasýnda uyum saðlamanýn yerinde olacaðý düþünülmüþ ve bu amaçla çalýþmalarda söz konusu direktif de göz önünde tutulmuþtur. Ayrýca, kiþisel verilerin korunmasý konusunda ilgili kanunun hazýrlanmasý, Ülkemizin Katýlým Ortaklýðý Belgesine cevap olarak hazýrladýðý 2003 Ulusal Programýnda taahhüt ettiði yükümlülüklerdendir. Böylece Tasarý, Avrupa Birliði ile olan mevzuat uyum çalýþmalarýmýz bakýmýndan önemli bir ihtiyacý karþýlamaktadýr.
Avrupa Konseyi geçen sürede ayrýca, Sözleþmede yer alan bu ilkeleri etkin bir þekilde yaþama geçirmek için yoðun çalýþmalar yapmýþ ve Bakanlar Konseyi bu maksatla çeþitli sektörlerde uygulanacak ilkeleri belirleyen aþaðýdaki tavsiye kararlarýný da kabul etmiþtir: Týbbi veri bankalarý (1981), bilimsel araþtýrma ve istatistik (1983), doðrudan pazarlama (1985), sosyal güvenlik (1986), polis (suç) kayýtlarý (1987), istihdama iliþkin veriler (1989), elektronik ödeme ve ilgili iþlemler ( 1990), verilerin kamu kuruluþlarýnca üçüncü kiþilere açýklanmasý (1991), kiþisel verilerin telekomünikasyon alanýnda ve özellikle telefon servislerinde korunmasý (1995), týbbi verilerin korunmasý (1997), istatistik amaçlý toplanan ve iþlenen kiþisel verilerin korunmasý (1997), internette özel hayatýn gizliliðinin korunmasý (1999), sigorta sektöründe kiþisel verilerin korunmasý (2002).
Konseye üye geliþmiþ sanayi devletlerinden çoðu, bu tavsiye kararlarýný takiben, özel olarak yasalarý bulunduðu halde, konularý bu kez sektör bazýnda yeniden düzenlemiþlerdir. Tasarýda, söz konusu tavsiye kararlarý göz önüne alýnmakla beraber, sektörel bazda bir yaklaþýmýn Tasarýnýn hacmini çok geniþleteceði düþünülerek bu yöntem benimsenmemiþtir. Bu baðlamda, tavsiye kararlarýnda yer alan ilkelerin, ilgili kurum, kuruluþ ve meslek birlikleri tarafýndan, Kurumun da görüþü alýnarak hazýrlanacak düzenlemeler de yer alabileceði deðerlendirilmiþtir.
Tasarý, kiþisel verileri iþleme tabi tutulan kiþiler ile bu verileri iþleme tabi tutan kamu kurum veya kuruluþlarý ile gerçek ve özel hukuk tüzel kiþilerini kapsamýna almýþtýr. Söz konusu kiþisel veriler geleneksel dosyalama yöntemiyle iþlenebileceði gibi, otomatik iþleme de tabi tutulabilir. Her iki yöntem de Tasarý kapsamýndadýr.
Tasarý , beþ kýsýmdan oluþmaktadýr.
Birinci kýsýmda; Tasarýnýn amaç ve kapsamý belirlenmiþ ve Tasarýda kullanýlan çoðu teknik aðýrlýklý terimlerin tanýmlarý yapýlmýþ, kiþisel verilerin niteliðine iliþkin ilkeler, kiþisel verilerin iþlenmesinde hukuka uygunluk sebepleri, özel niteliði olan kiþisel veriler ve kiþisel verilerin üçüncü kiþilere aktarýlmasý konularý düzenlenmiþtir.
Ýkinci kýsýmda; veri konusu kiþinin bilgilendirilmesi, bilgiye eriþme hakký, veri konusu kiþinin itiraz hakký, kiþisel verilerin iþlenmesinde tedbirler, kiþisel verilerin yabancý ülkelere ve üçüncü kiþilere aktarýlmasý düzenlenmiþtir.
Üçüncü kýsýmda; Kurum Sicili ve Kuruma bildirim ve ön inceleme konularý ile özel denetim kuruluþlarý, kanuna istisna getiren hükümler, mesleki davranýþ kurallarý, kiþisel verilerin silinmesi ve yok edilmesi konularý düzenlenmiþtir.
Tasarýnýn dördüncü kýsmýyla; Kurum ve Kurulun kuruluþ ve görevleri, teþkilat yapýsý düzenlenmiþtir. Kurumun teþkilatý, sekreterya hizmeti gören icra organý niteliðindeki “Kurum Baþkanlýðý” ile karar organý olarak “Kiþisel Verileri Koruma Yüksek Kurulu” ve hizmet birimlerinden oluþmaktadýr.
Bu bölümde ayrýca Kurumun, veri kütüðü sahipleriyle iliþkilerine dair hükümlere yer verilmiþtir.
Kiþisel verilerin, kamu kurum veya kuruluþlarýnca veya gerçek ve özel hukuk tüzel kiþileri tarafýndan iþlenmesi dolayýsýyla kiþilik haklarý ihlal edilenlerin þikayetleri konusunda Kiþisel Verileri Koruma Yüksek Kurulu karar verecektir. Herhalde, kiþilik haklarý ihlal edilen bireyin tazminat hakký saklý tutulmuþtur.
Tasarýnýn muhtelif maddelerinde; veri kütüðü sahibi yanýnda, “veya temsilcisi” ifadesi kullanýlmýþtýr. Burada sözü edilen “temsilci”, Direktifin 4 üncü maddesine göre; kiþisel verilerin iþlenmesine Direktif hükümleriyle uyumlu olarak kabul edilen ulusal hukuk kurallarýnýn uygulanmasý koþullarýndan biri olan veri kütüðü sahibinin Topluluk topraklarýnda yerleþik olmadýðý durumlarda, kiþisel verinin iþlenmesi amacýyla, ilgili üye devlet egemenlik alanýnda bulunan ekipmandan, otomatik veya otomatik olmayan yollarla kiþisel veri iþlenmesi için yararlanmasý halinde, kendisine “temsilci” sýfatýyla atamasý gereken kiþidir. Söz konusu durumda, kullanýlacak ekipmandan sadece Topluluk topraklarýna geçiþ amacýyla yararlanýlmamasý gereði de maddede ayrýca öngörülmüþtür. Bu hallerde, atanacak temsilci, ilgili üye devlet sýnýrlarý içinde yerleþmiþ olmalýdýr. Temsilci atanmasý, kiþisel verileri kontrol eden hakkýnda baþlatýlmýþ veya baþlatýlmasý muhtemel yasal iþlemleri etkilemeyecektir. Kiþisel verileri kontrol eden kiþiye temsilci atanmasý, halihazýrda Avrupa Birliðine üye olan ülkeleri ilgilendiren bir husustur. Ülkemiz açýsýndan ise Birliðe tam üye olunduðunda yerine getirilecek bir koþul olmakla birlikte, ileride doðmasý muhtemel uyum sorununun önlenmesi ve konuyla ilgili gereken tüm hazýrlýklarýn tamamlanarak üyeliðe hazýr olunmasý hususlarý gözetilerek Tasarýda yer almasý öngörülmüþtür.
Sözleþmenin 10 uncu maddesinde, onaylayan devletlerin Sözleþmede öngörülen ilkelerin gereken þekilde uygulanabilmesini saðlamak üzere, iç hukuklarýnda etkin yaptýrýmlar öngörmeleri belirtilmiþtir. Ayný þekilde, söz konusu 95/46/EC sayýlý Avrupa Topluluðu Direktifinin 11 inci Bölümünde, üye devletler, ilkelerin ihlâli halinde yaptýrýmlar uygulamaya davet edilmektedir. Nitekim, mevzuatý incelenen devletlerde, kiþilik haklarý ihlalinin aðýrlýk derecesine göre, para veya hürriyeti baðlayýcý cezalar verildiði gözlenmiþtir. Bu düþüncelerle, Tasarýda, ihlalin aðýrlýk derecesine göre idari para cezalarý ile ayrýca hapis ve para cezalarý öngörülmüþtür.


































MADDE GEREKÇELERÝ


MADDE 1- Maddeyle Kanunun amacý belirlenmektedir. Amaç, kiþisel verilerin iþlenmesini disiplin altýna almak ve Anayasanýn 17 nci maddesinde ifade edilen kiþinin dokunulmazlýðý, maddi ve manevi varlýðý ile temel hak ve özgürlüklerinin korunmasýdýr. Bu korumayý saðlayacak kuruluþlar ile uygulanacak ilke ve yöntemler Tasarýda düzenlenmiþtir.

MADDE 2- Maddeyle, kiþisel verileri iþleme tâbi tutulan gerçek ve tüzel kiþiler ile bu verileri iþleme tâbi tutan kamu kurum veya kuruluþlarý ile gerçek ve özel hukuk tüzel kiþileri Tasarý kapsamýna alýnmaktadýr. Bu konuda, özel sektör ile kamu sektörü bakýmýndan getirilen özel hükümler dýþýnda ayýrým yapýlmadýðýndan, öngörülen usul ve esaslar her iki sektöre de uygulanacaktýr. Ayný þekilde kiþisel verilerin otomatik veya geleneksel dosyalama yöntemleriyle iþlenmesinin de önemi yoktur.
Her ne kadar Avrupa Komisyonunun 95/46 sayýlý Direktifinde sadece gerçek kiþilere iliþkin kiþisel verilerin direktif kapsamýnda korunacaðý ifade edilmiþse de, yine Avrupa Komisyonunun 2002/58 sayýlý Direktifiyle tüzel kiþilere ait kiþisel verilerin de koruma kapsamýna dahil edileceði belirtilmektedir. Nitekim Haziran 2003 tarihli Ýtalyan Veri Koruma Kanununun “Tanýmlar” baþlýklý dördüncü maddesinin birinci fýkrasýnýn (b) bendinde kiþisel veri “gerçek veya tüzel kiþilere” ait veriler olarak tanýmlanmýþtýr.
Maddenin ikinci fýkrasýyla, kiþisel verilerin, gerçek kiþiler tarafýndan sadece kiþisel veya birlikte oturanlarla ilgili faaliyetlerine iliþkin olarak iþlenmesi kapsam dýþý býrakýlmýþtýr.

MADDE 3- Maddede, Tasarýda kullanýlan deyim ve terimlerin tanýmlarýna yer verilmiþtir.
Tasarý kapsamýna giren kiþisel veriler, sadece bireyin adý, soyadý, doðum tarihi ve doðum yeri gibi onun kesin teþhisini saðlayan bilgiler deðil, ayný zamanda kiþinin aklî, psikolojik, fizikî, kültürel, ekonomik, sosyal ve sair özelliklerine iliþkin verilerdir.
Bir kiþinin belirli veya belirlenebilir olmasý, mevcut verilerin herhangi bir þekilde bir gerçek kiþiyle iliþkilendirilmesi suretiyle, o kiþinin tanýmlanabilir hale getirilmesini ifade eder. Yani verilerin; kiþinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliðini ifade eden somut bir içerik taþýmasý veya kimlik, vergi, sigorta numarasý gibi herhangi bir kayýtla iliþkilendirilmesi sonucunda kiþinin belirlenmesini saðlayan tüm halleri kapsar. Ýsim, telefon numarasý, motorlu taþýt plakasý, sosyal güvenlik numarasý, pasaport numarasý, özgeçmiþ, resim, görüntü ve ses kayýtlarý, parmak izleri, genetik bilgiler gibi veriler dolaylý da olsa kiþiyi belirlenebilir kýlabilme özellikleri nedeniyle kiþisel verilerdir.
Ýlgili kiþi (data subject) tanýmý, hakkýnda kiþisel veri iþlenen gerçek ve tüzel kiþileri ifade etmektedir. Yukarýda da belirtildiði gibi Avrupa Birliðinin son direktifleri doðrultusunda veri konusu kiþi kapsamýna tüzel kiþiler de dahil edilmiþtir.
Kiþisel verilerin iþlenmesi tanýmý; geniþ bir alaný kapsamaktadýr. Buna göre verilerin toplanmasýndan baþlayarak tüm iþlem türleri taným kapsamý altýna alýnmaktadýr. Kiþisel verilerin, bilgisayar gibi otomasyon sistemlerinin kullanýldýðý yöntemlerle iþlenmesi gibi, otomatik sistemler kullanýlmadan elden iþlenmesi hali de taným kapsamýna dahil olacaktýr.
Veri kütüðü, gerçek veya tüzel kiþilere iliþkin belli bir kritere göre kiþisel verilere ulaþýmý kolaylaþtýracak þekilde yapýlandýrýlmýþ herhangi bir kiþisel veri grubunu ifade etmektedir. Buna göre kiþisel verilerin; örneðin herhangi bir kuruluþta, o kuruluþun faaliyetini sürdürmek için düzenli olarak tuttuðu dosyalama sisteminin bir parçasý olmasý gerekmektedir. Ayrýca bu dosyalama sistemi kiþilere iliþkin herhangi bir kritere göre yapýlandýrýlmýþ olmalýdýr. Yine bu dosyanýn halen ulaþýlabilir olmasý gerekmektedir. Buna göre, bir dosyanýn üzerinde herhangi bir kiþinin ad ve soyadý veya kimlik numarasý bulunmasý halinde, bu dosya taným kapsamýna dahil olacaðý gibi, örneðin kredi borcunu ödemeyenler gibi bir kritere göre oluþturulacak dosyalama sistemi de taným kapsamýna girecektir.
Veri kütüðü sahibi ise, kiþisel verilerin iþlenmesinin amaç ve metotlarýný tek baþýna veya baþkalarý ile birlikte belirleyen gerçek ve tüzel kiþileri ifade etmektedir. Bu kiþiler, verilerin saklanmasý ve kullanýlmasýný (iþlenmesini) kontrol eden ve bundan sorumlu olan tüccarlar gibi gerçek kiþiler olabileceði gibi, kamu kurumlarý veya dernek ve vakýflar gibi tüzel kiþiler de olabilir. Grup þirketlerde ise, gruba dahil olan her þirket ayrý ayrý veri kütüðü sahibi olarak kabul edilecektir.
Kiþisel verileri iþleyenler, veri kütüðü sahibi adýna verileri iþleyen gerçek ve tüzel kiþilerdir. Bu kiþiler verileri iþlemekte ancak, kiþisel veriler üzerinde kontrol yetkisi ve sorumluluk veri kütüðü sahibine ait bulunmaktadýr. Veri iþleyenlere örnek olarak; muhasebeciler, acenteler gibi baþkasý adýna veri iþleyen kurumlar sayýlabilir. Herhangi bir gerçek veya tüzel kiþi ayný zamanda hem veri kütüðü sahibi, hem de veri iþleyen olabilir. Örneðin bir muhasebe þirketi kendi personeliyle ilgili tuttuðu verilere iliþkin olarak veri kütüðü sahibi sayýlýrken, müþterisi olan þirketlere iliþkin tuttuðu veriler bakýmýndan ise kiþisel verileri iþleyen olarak kabul edilecektir. Ancak veri kütüðü sahibi ile iþçi iþveren iliþkisi içerisinde olan veya doðrudan talimatý altýnda bulunan kiþiler kiþisel verileri iþleyen olarak kabul edilmeyecektir.
Üçüncü kiþi; ilgili kiþi bakýmýndan, veri kütüðü sahibi ile kiþisel veri iþleyen ve bunlarýn doðrudan talimatý altýnda bulunan kiþilerin dýþýnda kalan ve kiþisel veri iþleyen gerçek ve tüzel kiþiler ile kamu kurum veya kuruluþunu ifade etmektedir.

MADDE 4- Maddeyle kiþisel verilerin iþlenebilmesi için genel bir kural öngörülmektedir. Buna göre kiþisel verilerin iþlenmesi bu kanunla ve diðer kanunlarda öngörülen hallerle sýnýrlandýrýlmak suretiyle, bireylerin özel hayatlarýnýn korunmasý ve verilerin iþlenmesinde keyfiliðin önüne geçilebilmesi amaçlanmaktadýr.

MADDE 5- Maddenin birinci fýkrasý, kiþisel verilerin iþlenmesine iliþkin temel ilkeleri düzenleyen en önemli hükümdür. “Kiþisel Verilerin Otomatik Ýþleme Tâbi Tutulmasý Karþýsýnda Bireylerin Korunmasýna Ýliþkin 108 sayýlý Sözleþmenin 5 inci maddesine göre, onaylayan devletlerin söz konusu temel ilkeleri iç hukuklarýnda yaþama geçirmek yükümlülüðü bulunmaktadýr. Maddeyle Sözleþmeye ve 95/46 EC sayýlý Avrupa Topluluðu Direktifinin 6 ncý maddesine uygun olarak kiþisel verilerin iþlenmesiyle ilgili genel ilkeler belirlenmiþtir. Bu fýkrada belirlenen ilkeler, diðer maddelerde sözü geçen bütün veri iþlemelerinde dikkate alýnacaktýr. Kiþisel verilerin kamunun yararlanmasýna açýk olduðu veya ilgili kiþinin veri iþlenmesine itirazýnýn bulunmadýðý hallerde dahi, bu fýkrada belirtilen koþullarýn varlýðý aranacaktýr.
Birinci fýkranýn (a) ve (b) bentlerine göre kiþisel verilerin hukuka ve dürüstlük kurallarýna uygun olarak iþlenmesi, verilerin belirli, açýk ve meþru amaçlar için toplanmasý ve bu amaçlara aykýrý olarak yeniden iþlenmemesi gerekir. Buna göre veri kütüðü sahibi, veri iþleme amacýný açýk ve kesin olarak belirlemeli ve bu amaç meþru olmalý, yine bu amaç ilgili kiþiler tarafýndan biliniyor olmalýdýr. Ayrýca veri kütüðü sahipleri, oluþturulacak sicile kaydolurken, veri iþleme amaçlarýný da açýkça belirteceklerdir. Belirttikleri bu amaçlar dýþýnda baþka amaçlarla veri iþleyen veri kütüðü sahipleri ise bu fiillerinden dolayý sorumlu olacaklardýr. Ayný zamanda bu verilerin, belirlenen amaçlara aykýrý olarak üçüncü kiþilere açýklanmamasý gerekir.
(c) bendine göre, veri kütüðü sahipleri tarafýndan iþleme tâbi tutulan kiþisel veriler, toplandýklarý amaçla baðlantýlý, yeterli ve orantýlý olmalýdýr. Buna göre, iþlenen kiþisel verilerin, belirlenen amaçlarýn gerçekleþtirilmesi için yeterli olmasý, amacýn gerçekleþtirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kiþisel verilerin iþlenmesinden kaçýnýlmasý gerekmektedir. Yine, olasý kullanýma olanak yaratýlmasý için verilerin toplanmasý yasak olacaktýr.
(ç) bendine göre, iþlenen veriler doðru olmalý ve gerektiðinde güncellenmelidir. Kiþisel verilerin doðru ve güncel olmasý, ilgili kiþilere ait kiþisel verilerin özellikle üçüncü kiþilere aktarýmý neticesinde ilgili kiþilerin zarara uðramalarý durumunda önem kazanmaktadýr. Bu halde verileri doðru olarak tutmayan veya güncellemeyen veri kütüðü sahibi, ilgili kiþilerin uðradýklarý zararlar nedeniyle sorumlu olacaktýr.
(d) bendine göre, verilerin ilgili kiþilerin kimliklerini belirtecek biçimde ve kaydedildikleri veya yeniden iþlenecekleri amaç için gerekli olan süre kadar muhafaza edilmesi zorunludur. Buna göre, veri kütüðü sahiplerinin, verilerin saklanma sürelerini açýkça belirlemeleri, gerekmektedir. Herhangi bir veri, daha fazla saklanmasý için geçerli bir sebep yoksa silinecek veya yok edilecektir. Gelecekte kullanma ihtimali gerekçesiyle veri saklanamaz.
Maddenin ikinci fýkrasýyla, birinci fýkranýn (d) bendine istisnalar getirilmektedir. Buna göre, sadece tarihi, istatistiki veya bilimsel amaçlarla, kiþisel veriler (d) bendinde öngörülenden daha uzun bir süre saklanabilecektir.

MADDE 6- Kural olarak kiþisel verilerin ilgili kiþinin açýk rýzasý ve maddede sayýlan istisnalar dýþýnda iþlenmesi yasaktýr. 95/46 EC sayýlý Avrupa Birliði Direktifinin ikinci maddesinin (h) bendinde rýzanýn tanýmý yapýlmýþtýr. Buna göre rýza beyaný, ilgili kiþinin kendisiyle ilgili veri iþlenmesi fiiline, özgürce ve konuyla ilgili yeterli bilgi sahibi olarak verdiði ve sadece o iþlemle sýnýrlý onay beyanýdýr. Buna göre ilgili kiþi, kendisine ait verilerin iþlenmesini kabul etmektedir. Yine direktifin yedinci maddesine göre rýza, ilgili kiþi tarafýndan “tereddüde yer býrakmayacak þekilde” verilmiþ olmalýdýr.
Maddenin birinci fýkrasýndaki hükmün doðal sonucu olarak; kanunlarda öngörülen yükümlülüklerin yerine getirilmesi dýþýnda, ilgili kiþinin bir itirazda bulunmasý halinde veri iþlenemeyecektir.
Maddenin son fýkrasýnda ise, birinci fýkranýn diðer istisnalarý sayýlmýþtýr.

MADDE 7- Maddeyle özel niteliði olan kiþisel veriler sayýlmakta ve genel kural olarak bu verilerin iþlenemeyeceði düzenlenmektedir. Buna göre kiþilerin ýrk, siyasi düþünce, felsefi inanç, din, mezhep veya diðer inançlarý, dernek, vakýf veya sendika üyeliði, saðlýk ve özel yaþamlarý ve her türlü mahkûmiyetleri ile ilgili veriler özel niteliði olan kiþisel veri olarak kabul edilmektedir. Bu veriler, baþkalarýnca öðrenilmeleri halinde özellikleri gereði ilgili kiþinin maðduriyetine yol açabilecek ve ayrýmcýlýk tehlikesini oluþturacak nitelikte hassas verilerdir. Özel nitelikteki verilere dolaylý da olsa eriþim imkaný veren veriler de madde kapsamýnda yerini almaktadýr. Çünkü bu þekilde kiþinin siyasî görüþü, dinî veya felsefî inancýna iliþkin bilgiler bu verilerden elde edilebilecektir.
Maddenin ikinci fýkrasýyla iþlem yasaðýna bir kýsým istisnalar getirilmektedir.
(a) bendinde, ilgili kiþinin özel nitelikteki verilerinin, hiçbir tereddüde yer býrakmayacak þekildeki rýza beyanýnýn bulunmasý ve bu rýza beyanýnýn yazýlý olarak gerçekleþtirilmesi hâlinde iþlenmesine izin verilmektedir.
(b) bendine göre, ilgili kiþinin hukukî veya fiilî nedenlerle rýzasýný açýklayamayacak durumda bulunduðu hallerde, kendisinin veya bir baþkasýnýn hayatý veya beden bütünlüðünün korunmasý için veri iþleminin zorunlu olmasý durumunda hassas verileri iþlenebilecektir.
(c) bendiyle, veri kütüðü sahiplerinin bu Kanunla veya diðer kanunlarla tanýnan hak ve yetkilerini kullanabilmesi veya yükümlülüklerini yerine getirebilmesi için veri iþlemenin zorunlu olmasý halinde veri iþlemeleri düzenlenmektedir. Ancak bu halde veri kütüðü sahibinin ilgili kiþiye yeterli koruma imkâný saðlamasý gerekmektedir. Örneðin; saðlýk konularýna iliþkin olmak üzere Umumî Hýfzýssýha Kanunu ile özel nitelikteki kiþisel verilerin iþlenebilme olanaðý ihdas edilmiþse Saðlýk Bakanlýðý veya ilgili bir baþka kuruluþ bu verileri iþleyebilecektir.
(ç) bendinde, vakýf, dernek, sendika ve siyasi partiler gibi kamuya yararlý kurum ve kuruluþlar tarafýndan özel nitelikli kiþisel verilerin iþlenmesi düzenlenmektedir. Buna göre bu verilerin, ilgili kuruluþlarýn kuruluþ amaçlarýna, tâbi olduklarý mevzuata uygun, faaliyet alanlarýyla sýnýrlý ve üyelerine yönelik olarak iþlenmesi, ilgili kiþilerin rýzasý olmadan üçüncü kiþilere açýklanmamasý gerekmektedir.
(d) bendine göre ilgili kiþi tarafýndan alenen açýklanmýþ olan özel nitelikteki verilerin iþlenmesi de istisnalardan biri olarak kabul edilmiþtir. Çünkü ilgili kiþi tarafýndan alenen açýklanan, böylelikle herkes tarafýndan bilinen bu tür verilerin iþlenmesinde, korunmasý gereken hukuki yararýn ortadan kalktýðý kabul edilmektedir. Yine de ikinci fýkrada belirtildiði þekilde, bu halde dahi kiþinin özel alaný ve temel hak ve özgürlükleri korunmalýdýr.
(e) bendiyle, özel niteliði olan kiþisel verilerin bir hakkýn tesisi, kullanýlmasý veya savunmasý için zorunlu olmasý durumu istisnalar arasýnda sayýlmýþtýr. Bu bentte kastedilen iþlemler yargýlama faaliyetleri veya adlî iþlemler nedeniyle yerine getirilen iþlemlerdir.
(f) bendiyle týbbi tedbirler çerçevesinde özel nitelikte verilerin iþlenmesi düzenlenmektedir. Buna göre bu verilerin, koruyucu hekimlik, týbbi teþhis, tedavi, bakým veya saðlýk hizmetlerinin yürütülmesi için gerekli olmasý gerekmekte ayrýca bu verilerin, hukuken veya meslek kurallarýna göre sýr saklama yükümlülüðü altýnda bulunan saðlýk personeli veya eþdeðer seviyede sýr saklama yükümlülüðü altýndaki kiþilerin gözetimi altýnda iþlenmesi gerekmektedir.
Maddenin üçüncü fýkrasýyla, Kiþisel Verileri Koruma Kurumuna, özel nitelikteki verileri iþleme yasaðýný daraltabilecek bir düzenleme yapma imkaný tanýnmaktadýr. Ancak bunun için temel kamu yararýnýn bulunmasý ve yeterli koruma tedbirlerinin tespit edilmesi gerekmektedir.
Maddenin diðer fýkralarýyla da iþlem yasaðýna bir takým istisnalar getirilmektedir.

MADDE 8- Maddeyle kiþisel verilerin üçüncü kiþilere aktarýmýnýn koþullarý belirlenmektedir. Her ne kadar verilerin üçüncü kiþilere aktarýlmasý, 3. maddede yapýlan “kiþisel verilerin iþlenmesi” tanýmýna dahil olsa da, konuyla ilgili oluþabilecek tereddütlerin giderilmesi bakýmýndan açýkça düzenlenmesinin yararlý olacaðý deðerlendirilmiþtir.
Birinci fýkranýn (a) bendine göre, aktarma talebinde bulunan gerçek ve tüzel kiþilerin belirli bir olayda kanundan doðan görevini yerine getirmesi için bu bilgiye ihtiyaç duymasý halinde kiþisel veriler, üçüncü kiþiye aktarýlabilecektir.
(b) bendiyle Tasarýnýn 6. maddesinin (a) ilâ (d) bentleri arasýnda sayýlan hallerde de verilerin üçüncü kiþilere aktarýlabileceði kabul edilmektedir. Zira 6. maddede sayýlan haller genel hukuka uygunluk sebepleri olup 3. maddede yapýlan “kiþisel verilerin iþlenmesi” tanýmý gereði verilerin üçüncü kiþilere aktarýlmasýnda da geçerli olacaktýr.
Ýkinci fýkraya göre, millî güvenliðin korunmasý, milli savunmanýn gerçekleþtirilmesi, suçun önlenmesi veya soruþturulmasý amacýyla yapýlan istihbarî faaliyetlerle ilgili olarak kanundan doðan bir görevin yerine getirilmesi halinde kamu kurum ve kuruluþlarý tarafýndan aktarým mümkün olabilecektir. Bu þekilde maddede bahsi geçen konularda görev yapan kolluk ve istihbarat birimlerinin kanundan kaynaklanan görevlerini yerine getirebilmeleri imkaný saðlanmaktadýr.
Maddenin ikinci fýkrasýnda kamu kurum veya kuruluþlarýnýn kamu yararý, sýr saklama yükümlülüðü, ilgili kiþinin meþru menfaati veya kiþisel verilere iliþkin özel koruma kurallarýnýn varlýðýndan bahisle kiþisel verilerin, üçüncü kiþilere aktarýlmasýný reddetmesini, sýnýrlamasýný veya þarta baðlamasýný mümkün kýlan bir düzenleme getirilmiþtir. Bu halde Kurul, fýkrada belirtilen hallerin varlýðýný deðerlendirecektir.
Maddenin üçüncü fýkrasýna göre; kamu kurum veya kuruluþlarýnýn görev alanlarýyla ilgili konularda yapacaklarý talep üzerine, gizlilik esaslarýna göre görev yapan personelin bilgileri hariç olmak üzere, kiþilerin nüfus kayýt örnekleri ve adresleri bildirilebilecektir.

MADDE 9- Maddede, kiþisel verilerin anonim hale getirilmesi veya yok edilmesi ile ilgili hükümlere yer verilmiþtir. Örneðin, Ýsviçre Veri Koruma Kanununun 2 nci maddesinde de ayný konu düzenlenmiþtir.
Verilerin anonim hale getirilmesi veya yok edilmesi konusunda usul ve esaslarýn Kurulca çýkarýlacak yönetmelikte gösterilmesi madde ile hüküm altýna alýnmýþtýr.

MADDE 10- Maddeyle kiþisel verilerin iþlenmesinde hukuka uygunluk sebeplerinden birisi olarak kabul edilen bir düzenleme yapýlmaktadýr. Buna göre kiþisel veriler, araþtýrma, planlama ve istatistik gibi amaçlarla anonim hale getirilmesi kaydýyla iþlenebilecek ve ayný zamanda bu suretle elde edilen veriler üçüncü kiþilere aktarýlabilecek veya yayýnlanabilecektir.

MADDE 11- Maddeyle, Direktifin 10 uncu maddesi düzenlemesi esas alýnmak suretiyle, kiþisel verilerin elde edilmesinde veri kütüðü sahibinin aydýnlatma yükümlülüðü düzenlenmiþtir. Düzenleme ile kiþisel verileri iþleyen veri kütüðü sahibi; kendisinin veya varsa temsilcisinin kimliði, iþleme amacý, verilerin kimlere aktarýlabileceði, veri toplamanýn yöntemi, hukuki sebebi ve muhtemel sonuçlarý hakkýnda ilgili kiþiyi bilgilendirir. Ayrýca verilerin daha sonraki kullanýmlarý hakkýnda da ilgili kiþiye bilgi verilmeli, böyle bir kullanýma izin verip vermeyeceði konusunda iradesi alýnmalýdýr. Yine eðer veri kütüðü sahibi, kiþisel verileri daha sonraki bir zamanda, elindeki mevcut verileri elde ettiði esnada belirtmediði bir amaç için kullanacaksa, bununla ilgili olarak ilgili kiþiye bilgi vermeli ve bu konudaki rýzasýný almalýdýr. Bu sayede veri kütüðü sistemi sahibi veri korumasýnda önemli kriterler olan þeffaflýk ve ilgili kiþinin açýk rýzasýný elde etmeyi gerçekleþtirmiþ olacaktýr.
Maddenin (d) ve (e) bentlerinde, veri toplanmasý sýrasýnda, ilgili kiþilerin kiþisel verileri öðrenme hakký ve verilerin gerçeðe aykýrý olmasý veya güncel olmamasý halinde ise düzeltme hakkýnýn olduðu belirtilmiþtir.
Kiþisel verilerin, veri kütüðü sahibi tarafýndan, ilgili kiþi dýþýndaki baþka kaynaklardan elde edilmesi halinde ise yukarýda sayýlan bilgilerle birlikte iþleme konu olan veri kategorileri hakkýnda da bilgi verilmesi gerekmektedir.
Ýkinci fýkraya göre, kiþisel verilerin istatistikî, tarihî veya bilimsel araþtýrma yapýlmasý amacýyla, baþka bir veri kütüðünden edinilmesinde, ilgili kiþiye bilgi verilmesinin imkansýz olmasý yada bu bilgilerin verilmesinde büyük güçlükler bulunmasý veya verilerin aktarýlmasýnýn açýkça kanunla öngörüldüðü hallerde, veri kütüðü sahipleri birinci fýkrada sayýlan yükümlülüklerden muaf tutulmaktadýr.
MADDE 12- Maddeyle, ilgili kiþinin haklarý düzenlenmiþtir. Ýlgili kiþi kendisiyle ilgili kiþisel veri kaydedilip kaydedilmediðini öðrenme, bunlarý isteme, verinin muhtevasýnýn eksik veya gerçeðe aykýrý olmasý hallerinde bunlarýn düzeltilmesini, hukuka aykýrý olmasý halinde silinmesini, yok edilmesini veya aktarýmýnýn engellenmesini isteme hakkýna sahiptir. Ýlgili kiþi ayný zamanda talebi doðrultusunda yapýlan iþlemlerin, verilerin açýklandýðý üçüncü kiþilere bildirilmesini isteme hakkýna sahiptir.
Ayrýca bilgi edinmedeki aralýklarýn uygun olup olmadýðýnýn deðerlendirilmesi ise verilerin niteliðine göre yapýlacaktýr. Yine toplanan verilerin doðrudan pazarlama amacýyla kullanýlmasý da öngörülüyorsa, bu konuda da ilgili kiþiye itiraz hakký tanýnmasý ve konuyla ilgili bilgi verilmesi gerekmektedir.
Veri kütüðü sahibi, kendisinden talepte bulunulmasý halinde, ilgili kiþiye ait bilgileri, bunlarýn iþlenmesinin hukuki dayanaðýný ve amacýný, hangi tür iþlemlerin üçüncü kiþilere aktarýlabileceðini ve aktarýlacak kiþilerin kimliklerini bildirmek zorundadýr. Verilerin kaynaðýnýn açýklanmasýnda genel bir ifade yeterli olmayacak, bilginin kaynaðý somut olarak açýklanacaktýr. Özellikle verilerin otomatik yollarla iþlenmesinde ilgili kiþilerin teknik bilgiden yoksun olma ihtimali gözetilerek, kiþilerin anlayabileceði þekilde bilgi verilmesi gerekmektedir.
Veri kütüðü sahibi bu verilerin muhtevasýnýn eksik veya gerçeðe aykýrý olmasý hallerinde düzeltmekle, hukuka aykýrý olmasý halinde silmek, yok etmek veya ilgili kiþi hakkýnda veri iþlemesini durdurmak ve üçüncü kiþilere aktarýmýný engellemekle yükümlü olacaktýr. Verilerin yok edilmesi, otomatik olmayan yollarla veri iþlenmesi halinde ilgili evraklarýn imhasý, otomatik yollarla veri iþlenmesi halinde verilerin veya ilgili kiþiyle doðrudan iliþkilendirilmeyi saðlayacak bilgilerin kayýtlý olduðu CD, disket, USB disk, hard disk gibi araçlardan silinmesi veya diðerlerinden ayrýþtýrýlarak yok edilmesi þeklinde gerçekleþtirilecektir.
Maddenin üçüncü fýkrasýyla, ilgili kiþilerin maddede sayýlan haklarýný kullanmalarýna iliþkin olarak istisnalar getirilmektedir. Buna göre ilgili kurumlar, maddede sayýlan haklarýn kullanýlmasý halinde bu fýkranýn birinci bendinde belirtilen görevlerin yerine getirilmesi veya yürütülen ceza soruþturmalarý veya kovuþturmalarýnýn akýbetinin tehlikeye düþmesi durumunda ilgili kiþilerin bu haklarý kullanmalarýný sýnýrlayabileceklerdir.
MADDE 13- Maddenin birinci fýkrasýnda 12 nci maddeye göre kullanýlacak baþvuru hakkýnýn usulü gösterilmektedir.
Ýkinci fýkrada ise, birinci fýkraya göre yapýlan baþvurulara, ilgili veri kütüðü sahiplerinin hiç veya yeterli cevap vermemesi nedeniyle baþvurulacak itiraz yolu belirtilmektedir.
Üçüncü fýkrayla, 4982 sayýlý Bilgi Edinme Hakký Kanunu paralelinde, baþvurudan kaynaklanan masraflarýn karþýlanmasýna yönelik bir düzenleme öngörülmektedir.
MADDE 14- Maddeyle, Direktifin 25 ve 26 ncý maddeleri dikkate alýnarak, kiþisel verilerin yurt dýþýna aktarýmý düzenlenmektedir. Kural olarak, kiþisel verilerin Türkiye dýþýndaki bir ülkeye aktarýlabilmesi için yabancý ülkede de, Ülkemizdekine eþdeðer ve etkin bir korumanýn bulunmasý gerekecektir. Veri kütüðü sahipleri ilgili ülkede yeterli düzeyde koruma olup olmadýðýný kontrol etmek zorundadýr. Bu deðerlendirme, iþleme konu verinin niteliði, veri iþlemenin amacý ve iþleme süresi, verinin aktarýldýðý ülkenin konuyla ilgili genel ve özel düzenlemeleri ile uygulanan güvenlik tedbirleri dikkate alýnarak yapýlacaktýr.
Maddenin ikinci fýkrasýyla bu kuralýn istisnalarý düzenlenmektedir. Üçüncü fýkraya göre, kiþilerin özel hayatlarýnýn gizliliði ile temel hak ve hürriyetlerin korunmasýna iliþkin yeterli tedbirlerin, yabancý ülkede bulunan veri kütüðü sahibi tarafýndan yazýlý olarak taahhüt edilmesi durumunda, ilgili veriler Kurulun izniyle aktarýlabilecektir.
Son fýkrayla göre ise Kurulun üçüncü fýkraya göre karar alýrken dikkate almasý gereken kriterler belirlenmektedir.
MADDE 15- Maddeyle Sözleþmenin yedinci ve Direktifin 17 nci maddesine uygun olarak kiþisel verilerin iþlenmesine iliþkin alýnacak teknik ve idarî tedbirler düzenlenmiþtir.
Maddede kiþisel verileri kontrol edenlerin ve onlar adýna iþleyenlerin, kiþisel verilerin iþlenmesinde uygun teknik ve idari tedbirleri almak zorunda olduklarý belirtilmiþtir. Bu tedbirler, teknolojinin ulaþtýðý en üst düzey ve uygulanma maliyeti de dikkate alýnarak, korunacak verinin niteliðine ve iþlenmeden kaynaklanabilecek risklere karþý uygun bir güvenlik seviyesi saðlamalýdýr. Bu idarî tedbirler arasýnda kiþisel verilerin korunmasý konusunda uygun idarî personel istihdam edilmesi de bulunmaktadýr.
Maddenin ikinci fýkrasýna göre, verilerin veri kütüðü sahibi adýna baþka bir iþleyen tarafýndan iþlenmesi halinde, iki taraf arasýnda bir sözleþme veya hukukî bir tasarrufla yazýlý olarak birinci fýkrada belirtilen yükümlülüklerin yerine getirilmesinin garanti altýna alýnmasý gerekmektedir. Bu halde veri iþleyenler, ancak veri kütüðü sahibinin talimatlarý doðrultusunda veri iþleyebileceklerdir.
MADDE 16- Maddeyle, Kurum tarafýndan, kiþisel veri iþleyen veri kütüðü sahiplerinin tescil edileceði bir sicilin oluþturulmasý öngörülmektedir. Kiþisel veri iþleyen gerçek kiþiler ile kamu ve özel hukuk tüzel kiþileri, veri kütüðünü kurmadan önce bu sicile kaydolmak zorundadýrlar. Ancak 22 nci maddede sayýlan istisnalar saklýdýr. Söz konusu sicilin içeriði, ayný zamanda kayýt baþvurusunda verilecek olan bildirim içeriðinde bulunan ve 17 nci maddede belirtilen bilgilerden oluþacaktýr.
MADDE 17- Maddede veri kütüðü sahipleri tarafýndan sicile kayýt esnasýnda bildirilecek hususlar sayýlmýþtýr. Ayrýca söz konusu bilgilerde meydana gelen deðiþikliklerin, yýl sonunda toplu olarak kuruma bildirilmesi öngörülmektedir.
MADDE 18- Direktifin 18 inci maddesine uygun olarak hangi hallerde bildirim zorunluluðunun bulunmadýðý düzenlenmiþtir. Bu þekilde kurumun aþýrý bir iþ yüküyle karþýlaþmasýnýn engellenmesi amaçlanmaktadýr.
MADDE 19- Maddede, Direktifin 20 nci maddesi göz önüne alýnarak Kurumun, veri konusu kiþilerin kiþiliklerine, temel hak ve hürriyetlerine yönelik risk taþýmasý ihtimali olan ve bu Kanunun 4 üncü maddesinde belirtilen niteliklere uygun olmayan ve 6 ve 7nci maddelerinde belirtilen koþullarý taþýmayan veri iþlenmelerini belirlemek üzere, bu iþlenmeler baþlamadan önce ön inceleme yapmasý konusu ve buna iliþkin usul düzenlenmiþtir. Kural olarak, ön inceleme sonuçlanmadan kiþisel veri iþlemesinin yapýlamayacaðý esasý getirilmiþtir.
Maddeyle kiþilerin temel hak ve özgürlüklerine önemli ölçüde zarar verebilecek iþlemelerin önceden tespit edilerek engellenmesi amaçlanmaktadýr. Buna göre iþlenen verinin niteliði, iþleme amacý, verinin dahil olduðu kategori ve ortaya çýkacak sonuçlar deðerlendirilecektir.
MADDE 20- Maddeyle özellikle veri kütüðü sahibi tüzel kiþilere, bu Kanunda bahsi geçen veri koruma kurallarýnýn kendi kurumlarýnda etkin bir þekilde uygulanmalarýný saðlamak ve bir iç denetim mekanizmasý kurmalarýný mümkün kýlmak amacýyla baðýmsýz bir veri denetim kuruluþu görevlendirme imkâný verilmektedir. Ayný zamanda ilgili veri kütüðü sahipleri, 16 ve devamý maddelerinde belirtilen bildirim külfetinden kurtulacaklardýr.
Maddeye göre, bu Kanunun hedeflediði veri koruma standartlarýnýn yerine getirilmesi için, söz konusu denetim kuruluþlarýnýn kendilerini atayan veri kütüðü sahibinden talimat almaksýzýn, baðýmsýz olarak görevlerini yerine getirmeleri öngörülmektedir. Buna göre denetim kuruluþlarý 16 ve devamý maddelerinde öngörülen sicili tutacaklar ve yaptýklarý çalýþmalar hakkýnda hazýrlayacaklarý raporlarý her yýl Mart ayý sonuna kadar Kuruma sunacaklardýr.
Hâlen mevcut bir baðýmsýz denetim kuruluþu olmamakla birlikte, söz konusu düzenlemenin geleceðe yönelik olarak, özellikle büyük þirketler veya þirket gruplarýna veri koruma prosedürlerini daha etkin ve kolay bir þekilde yerine getirme imkanýný saðlayacaðý öngörülmektedir.
MADDE 21- Maddeyle 20 nci maddede belirtilen denetim kuruluþunun görevine baþlayabilmesi için Kuruma bildirimde bulunulmasýnýn zorunlu olduðu belirtilmiþ, bu kuruluþlar veya veri kütüðü sahipleri tarafýndan yapýlabilecek suistimallerin engellenmesi için, Kurumun bu Kanundan doðan yetki ve görevleri saklý tutulmuþtur.
MADDE 22- Maddede, Direktifin 13 üncü maddesi göz önüne alýnarak genel kurallara getirilen istisnalara bentler halinde yer verilmiþtir. Buna göre birinci fýkrada bentler halinde sayýlan durumlarda bu Kanunun; hukuka uygunluk sebepleri, aydýnlatma yükümlülüðü, veri kütüðü sicili, sicile kayýt ve ön inceleme konularýyla ilgili maddeleri uygulanmayacaktýr.
Özellikle belli bir kiþiye iliþkin tedbir veya karar alýnmasýna yönelik kullanýlmadýðý ve veri konusu kiþinin özel yaþamýnýn gizliliðinin ihlal edilmesi riskinin kesinlikle bulunmadýðý hallerde, 12 nci maddede belirtilen haklar, ilgili mevzuatta yeterli koruma tedbirleri bulunmasý kaydýyla, bilimsel araþtýrma yapma veya istatistik oluþturma amaçlarý ile kanunla sýnýrlandýrýlabilecektir.
Direktifin 13 üncü maddesi, yukarýda sayýlan istisnalarýn tanýnmasý bakýmýndan üye ülkelere imkân tanýmakta olup, üye ülkelerin büyük çoðunluðu, kendi veri koruma kanunlarýnda bu tip istisnaî düzenlemelere yer vermiþlerdir.
MADDE 23- Maddeyle, 22 nci maddede sayýlan istisnalar dýþýnda, gazetecilik amacýyla kiþisel veri iþlenmesi durumunda bir kýsým istisnalar öngörülmektedir. Buna göre, maddede belirtilen veri kütüðü sahipleri, sadece gazetecilik amacýyla veri iþlemeleri halinde bu Kanunun; kiþisel verilerin iþlenmesi ilkeleri, verilerin korunmasý için alýnacak tedbirler ile mesleki davranýþ kurallarýnýn hazýrlanmasý konularýna iliþkin maddelerine tâbi olacaklardýr.
Maddenin ikinci fýkrasýyla, birinci fýkrada tanýnan muafiyetin sýnýrlarý tespit edilmektedir.
MADDE 24- Maddede kiþisel verilerin iþlenmesi bakýmýndan meslekî davranýþ kurallarý düzenlenmiþtir. Direktifin 27 nci maddesi göz önüne alýnmýþ olup, deðiþik sektörlerde farklý özelliklere sahip mesleklere yönelik olarak, kiþisel verilerin iþlenmesi bakýmýndan hazýrlanan veya deðiþtirilen mes1ekî davranýþ kurallarýna iliþkin düzenleme taslaklarý hakkýnda Kurumdan görüþ alýnmasý öngörülmüþtür.
MADDE 25- Madde, Sözleþmenin de öngördüðü genel bir ilkeyi tekrarlamaktadýr. Bu hükümle artýk ihtiyaç duyulmayan kiþisel verilerin silinmesi veya yok edilmesi konusu düzenlenmektedir.
Ayrýca, silinme veya yok edilmenin hangi yöntemlerle gerçekleþtirileceði konusunda Kurumca, her sektörün özellikleri göz önünde tutularak özel kurallarý içerecek yönetmelik çýkarýlmasý olanaðý tanýnmýþtýr.
MADDE 26- Maddeyle, kiþisel verileri kontrol edenleri denetlemek ve bu Kanunla verilen görevleri yapmak üzere tüzel kiþiliði haiz, idarî ve malî özerkliðe sahip Kiþisel Verileri Koruma Kurumunun kurulmasý öngörülmektedir.
Sözleþmenin 4 üncü maddesi her devletin Sözleþmede öngörülen ilkeleri iç hukuklarýnda yaþama geçirmesini zorunlu kýlmýþtýr. Sözleþmeyi onaylayan devletler bu amaçla birer kurumsal yapý oluþturmuþlardýr. Ayný þekilde Avrupa Komisyonunun söz konusu 95/46/EC sayýlý Direktifinin 28 inci maddesinde üye devletlerin, kiþisel verilerin iþlenmesine iliþkin ilkelerin uygulanmasýný izlemek ve yönlendirmek üzere bir veya bir kaç kamu kuruluþunu görevlendirmeleri gereðine iþaret edilmiþtir.
Avrupa Birliði üyesi ülkelerin tümünün, bu alanda yasama veya yürütme organlarýna karþý özerk ve baðýmsýz bir þekilde görev yapacak kurullar oluþturduðu gözlenmiþtir. Örneðin, Almanya’da, Federal Verileri Koruma Görevlisi (Bundesbeauftragter für Datenschutz), Avusturya’da Verilerin Korunmasý Komisyonu (Kommission für Datenschutz), Ýsveç’te Verileri Denetim Kurulu (Data Inspection Board), Fransa’da Enformatik ve Özgürlükler Milli Komitesi (Commission Nationale de 1 ‘Informatique et des Libertes), Ýngiltere’de Veri Koruma Komisyonu (Data Protection Commissioner) gibi kuruluþlar, milli kanunlar ve sözleþmelerde yer alan verilerin korunmasý ilkelerinin uygulanmasýný izleyen ve yönlendiren baðýmsýz kamu kurum ve kuruluþlarýdýr.

MADDE 27- Maddenin birinci fýkrasýnda Kurumun teþkilât yapýsý düzenlenmektedir. Ýkinci fýkrasýyla, Kurumun bu Kanundan kaynaklanan görevlerini yerine getirebilmesi için haiz olacaðý yetkiler sayýlmakta ve diðer gerçek ve tüzel kiþilere Kurumun taleplerini yerine getirme sorumluluðu yüklenmektedir. Aksi halde Kurumun görevlerini gereði gibi yerine getiremeyecek olmasýnýn ötesinde, böyle bir Kurumun kurulmuþ olmasýnýn da bir anlamý kalmayacaktýr.
MADDE 28- Maddede Kurulun oluþum biçimi, Kurul üyeliklerine seçileceklerde aranan nitelikler belirtilmiþtir. Kurul, esasen kiþilik haklarýnýn korunmasý amacýyla veri koruma kurallarýnýn etkin ve doðru bir þekilde uygulanmasýný gözetmekle görevli olacaðýndan, Kurul üyelerinin daha çok hukukçular arasýndan seçilmesi yoluna gidilmiþ, bununla birlikte konunun teknik bilgi gerektirmesi nedeniyle TÜBÝTAK ve Bakanlar Kurulu tarafýndan da üye tayin edilmesine imkan tanýnmýþtýr.
Ayrýca, Kurul üye adaylarýnda, asgari nitelikler tespit edilerek konularýnda uzman kiþilerin Kurula seçilmesi öngörülmüþtür.
Kiþisel Verileri Koruma Kurulu, Tasarýda öngörülen hükümlerin, kiþisel veri sicillerini kontrol eden kamu kurum veya kuruluþlarýnca uygulanmasýný izleyip denetleyecek, ayrýca kendiliðinden veya baþvuru üzerine herhangi bir konuyu inceleyerek açýklýða kavuþturacaktýr. Ýnceleme sonucunda kanun hükümlerinin ihlal edildiðinin anlaþýlmasý halinde, Kurul, sorumlu kamu kurum veya kuruluþlarýndan kiþisel verilerin iþlenme tarzýnda deðiþiklik yapýlmasýný veya iþlemeyi sona erdirmesini ve gerekiyorsa silinmesini ya da yok edilmesini isteyecek, ayrýca ilgili kamu kurum veya kuruluþlarýnýn baðlý olduðu Bakanlýk veya Baþbakanlýða da bu konuda bilgi verecektir.

MADDE 29- Maddeyle Kurul üyelerinin görev süreleri, üyeliðin sona ermesi halinde yeni üye seçimi ve yapýlacak iþlemler düzenlenmektedir.
Maddenin dördüncü fýkrasýyla sadece Kurul baþkanýnýn önceki görevleriyle olan iliþkisinin kesilmesi öngörülmüþtür.
MADDE 30- Maddeyle Kurul üyelerinin edecekleri yemin usulü düzenlenmiþtir.
MADDE 31- Maddeyle, diðer üst kurullardakine paralel bir þekilde, Kurulun çalýþma esaslarý düzenlenmektedir.
MADDE 32- Maddede Kurulun görev ve yetkileri sayýlmýþtýr.
MADDE 33- Maddede Baþkanlýðýn oluþum biçimi düzenlenmekte, buna göre Baþkanlýk, Baþkan, Baþkan yardýmcýlarý ile hizmet birimlerinden oluþturulmaktadýr.
MADDE 34- Baþkanýn statüsü ile baþkana vekâlet hususu düzenlenmektedir.
MADDE 35- Maddede baþkanýn görev ve yetkileri sayýlmýþtýr.
MADDE 36- Maddeyle Kurumun hizmet birimleri, diðer ülkelerdeki benzer kurumlarýn yapýlanmasý kýsmen örnek alýnarak düzenlenmiþ ve ana hizmet birimi olarak “Sicil ve Ýnceleme Daire Baþkanlýðý” ile “Mevzuat ve Dýþ Ýliþkiler Daire Baþkanlýðý” öngörülmüþtür.
MADDE 37- Maddede ana hizmet birimlerinin görevleri sayýlmýþtýr.
MADDE 38- Maddede danýþma biriminin görevleri sayýlmýþtýr.
MADDE 39- Maddeyle yardýmcý hizmet birimlerinin görevleri belirlenmiþtir.
MADDE 40- Maddede þikâyet baþvurusunun usulü gösterilmektedir. Buna göre ilgili kiþiler, þikâyet konusu iþlemin yapýldýðý veya öðrenildiði tarihten itibaren altmýþ gün içinde Kuruma þikayette bulunabileceklerdir.
MADDE 41- Maddede, Kurumun þikâyetleri inceleme usulü ve bu inceleme neticesinde yapacaðý iþlemler ile veri kütüðü sahibinin Kurum incelemesi ile ilgili olarak yükümlülükleri düzenlenmektedir.
Maddenin son fýkrasýyla Kurula, geçici tedbir mahiyetinde veri iþlenmesini veya yurt dýþýna veri aktarýmýný engelleme imkâný tanýnmaktadýr.
MADDE 42- Maddeyle, baþkan ve üyelerin görev alma yasaðý, malî haklarý ve sýr saklama yükümlülüðü konularýnda diðer üst kurullarda yapýlan düzenlemelere paralel hükümler öngörülmüþtür.
MADDE 43- Maddede, Kurum personelinin atanmasý ve malî haklarý düzenlenmiþtir.
Bu baðlamda, Kurumun üstlendiði çok özel görevlerin niteliði ve gereði icabý, Türkiye Bilimsel ve Teknik Araþtýrma Kurumu, Sermaye Piyasasý Kurulu, Kamu Ýhale Kurumu gibi kurumlarda olduðu gibi, sözleþmeli personel istihdamýna olanak saðlanmýþtýr.
MADDE 44- Maddeyle, Kurul baþkan ve üyeleri ile kurum personelinin emeklilik ve hizmet sürelerinin deðerlendirilmesine iliþkin esaslar belirlenmiþtir.
MADDE 45- Maddede, kiþisel verileri koruma uzman yardýmcýlýðýna atanma konusu düzenlenmiþtir.
MADDE 46- Maddenin birinci fýkrasýnda, kiþisel verileri koruma uzmaný unvanýnýn alýnabilmesi için gerekli þartlar sayýlmakta, ikinci fýkrada ise bu ünvaný alamayanlarýn durumlarýna uygun bir kadroya atanmak üzere Devlet Personel Baþkanlýðýna bildirilmesi öngörülmektedir.
MADDE 47- Maddede Kurumun bütçesinin hazýrlanmasý ve kabul edilmesi düzenlenmekte ve gelirleri sayýlmaktadýr
MADDE 48- Maddede Kurumun harcama usulü ile bu harcamalarýn denetimi usulü belirlenmektedir.
MADDE 49- Maddenin birinci fýkrasýnda yýllýk faaliyet raporu düzenlenmiþtir. Buna göre, Kurum, açýklýk ilkesinin gereði olarak, her yýl vermiþ olduðu kararlar, yaptýðý ikincil düzenlemeler ve bunlarýn etkilerini analiz eden bir rapor hazýrlayacaktýr. Yine bu ilkenin gereði olarak söz konusu raporun, Kurul kararlarýnýn ve ikincil düzenlemelerin Kurumun internet adresinden yayýnlanmasý öngörülmüþtür.
MADDE 50- Sözleþmenin 10 uncu maddesinde, onaylayan devletlerin, Sözleþmede öngörülen ilkelerin gereken þekilde uygulanabilmesini saðlamak üzere, iç hukuklarýnda etkin yaptýrýmlar öngörmeleri belirtilmiþtir. Ayný þekilde, söz konusu 95/46/EC sayýlý Avrupa Topluluðu Direktifinin 11inci Bölümünde, üye devletler, ilkelerin ihlâli halinde yaptýrýmlar uygulamaya davet edilmektedir. Nitekim, mevzuatý incelenen devletlerde, kiþilik haklarý ihlalinin aðýrlýk derecesine göre, para veya hürriyeti baðlayýcý cezalar verildiði gözlenmiþtir.
Buna göre, maddede 5237 sayýlý Türk Ceza Kanununun 135 ve devamý maddelerine paralel olarak ceza hükümleri öngörülmüþtür.
MADDE 51- Maddede Türk Ceza Kanununda düzenlenmeyen silinmesi veya yok edilmesi gereken kiþisel verileri ihmalen silmeyen veya yok etmeyen kiþiler için ceza yaptýrýmý öngörülmektedir.
MADDE 52- 5237 sayýlý Türk Ceza Kanununa paralel bir þekilde, daha önceki maddelerde tarif edilen suçlarýn tüzel kiþiler tarafýndan iþlenmesi halinde, tüzel kiþilere özgü güvenlik tedbirlerinin uygulanmasý öngörülmektedir.
MADDE 53- Maddede, Kurul tarafýndan idarî para cezalarý verilmesi düzenlenmiþtir. Tasarýnýn ilgili maddelerine belirli atýflar yapýlmak suretiyle, suçta kanunîlik ilkesi korunmuþ ve ihlalin aðýrlýk derecesine göre giderek artan para cezalarý öngörülmüþtür.
MADDE 54- Maddede, Kiþisel Verileri Koruma Kurumu Baþkaný ve üyeleri ile Kurumun diðer personeli hakkýnda görevleri sebebiyle iþledikleri suçlarla ilgili ceza soruþturmasý ve kovuþturmasýna iliþkin usul düzenlenmiþtir.
MADDE 55- Maddeyle disiplin soruþturmasý bakýmýndan genel kurallarýn uygulanmasý öngörülmektedir.
MADDE 56- Maddeyle Kurum tarafýndan çýkartýlmasý gereken yönetmelikler ile süreleri düzenlenmektedir.
GEÇÝCÝ MADDE 1- Maddeyle, halen veri iþlemekte olan veri kütüðü sahiplerinin sicile kayýt olmalarý için üç aylýk bir süre öngörülmekte ve bu þekilde veri kütüðü sahiplerinin gerekli hazýrlýklarý yapabilmesi için imkân tanýnmaktadýr.
GEÇÝCÝ MADDE 2- Maddeyle, Kurumun kuruluþu için gerekli kaynaðýn hangi ödenekten karþýlanacaðý belirlenmektedir.
GEÇÝCÝ MADDE 3- Kurumun kadrolarý tespit edilmektedir.
GEÇÝCÝ MADDE 4- Maddenin birinci fýkrasýyla, Kurul üyelerinin hangi sürede bildirileceði düzenlenmektedir.
Ýkinci fýkrada ise, Kurulun görevlerini düzenli bir þekilde yerine getirebilmesi ve kurumsal hafýzanýn korunmasýný saðlamak üzere, Kurulun ilk oluþumunda Baþkan hariç olmak üzere, Kurul üyelerinin dörtte birinin, iki yýlda bir yenilenmesi hükmü getirilmektedir.
GEÇÝCÝ MADDE 5- Maddeyle, Kurumun kuruluþunda uzman personel ihtiyacýný karþýlamak üzere, en az beþ yýl kamu kurumlarýnda çalýþmýþ bulunan ve Kamu Personeli Dil Sýnavýndan en az yetmiþ puan alan kamu görevlilerinin bir defaya mahsus olmak üzere Kurul tarafýndan atanmasý öngörülmektedir.
MADDE 57- Yürürlük maddesidir.
MADDE 58- Yürütme maddesidir.