gdpr.com.tr
TR Contact Menu
gdpr.com.tr
TR Contact
Türkçe

Law No. 6698

Personal Data Protection Law

The whole of Law No. 6698, Turkish and English on the same fold. The article number, the paragraph number and the subparagraph letters belong to the instrument, not to either translation, so they sit once between the columns and serve both.

  • Accepted 24.03.2016
  • Official Journal 07.04.2016 · No. 29677
  • Consolidated to 02.03.2024 · Law 7499

Bağlayıcı olan yalnızca Türkçe metindir; İngilizce metin bir çeviridir ve bağlayıcı değildir. The Turkish text is the only binding version; the English text is a translation and is not binding.

Turkish source: mevzuat.gov.tr retrieved 09.09.2026

English translation: Personal Data Protection Authority (KVKK)

  1. 25
  2. 25
  3. 22
  4. 21
  5. 18
  6. 10
  7. 9
  8. 6
  9. 5
  10. 4
  11. 3
  12. 2
  13. 2
  14. 2
  15. 1

Rule length is that letter's total census. 15 of the 29 letters of the Turkish alphabet are reached.

LAW 6698 · LAST AMENDED

02.03.2024 · 7499

TRANSFER BY-LAW · IN FORCE

10.07.2024

2026 ADMINISTRATIVE FINE CEILING

17.092.242 TL

Revalued annually by the yeniden değerleme oranı.

The enumerators

One hundred and fifty-five letters

Law 6698 enumerates its subparagraphs in the Turkish alphabet, and the English translation reproduces those letters unchanged. There are 155 subparagraph enumerators in the instrument and 155 in the translation, letter for letter. Every list is a strict prefix of the alphabet, so the census can only descend. The deepest is Art. 22(1)(l), Law No. 6698 — the one letter that occurs exactly once.

Longest run · 15 letters · Art. 22(1), Law No. 6698

Contents

  1. FIRST CHAPTER

    Purpose, Scope and Definitions

    Amaç, Kapsam ve Tanımlar

  2. CHAPTER TWO

    Processing of Personal Data

    Kişisel Verilerin İşlenmesi

  3. CHAPTER THREE

    Rights and Obligations

    Haklar ve Yükümlülükler

  4. CHAPTER FOUR

    Request, Complaint and Data Controllers’ Registry

    Başvuru, Şikâyet ve Veri Sorumluları Sicili

  5. CHAPTER FIVE

    Crimes and Misdemeanours

    Suçlar ve Kabahatler

  6. CHAPTER SIX

    The Personal Data Protection Authority and its Organization

    Kişisel Verileri Koruma Kurumu ve Teşkilat

  7. CHAPTER SEVEN

    Miscellaneous

    Çeşitli Hükümler

In forceAmended 2024RepealedTransfer abroadProvisional
BİRİNCİ BÖLÜM · AMAÇ, KAPSAM VE TANIMLAR FIRST CHAPTER · Purpose, Scope and Definitions

MADDE 1

Amaç

Article 1

Purpose

Bu Kanunun amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.

The purpose of this Law is to protect fundamental rights and freedoms of persons, particularly the right to privacy, with respect to processing of personal data and to set forth obligations, principles and procedures which shall be binding upon natural or legal persons who process personal data.

Art. 1(1), Law No. 6698

MADDE 2

Kapsam

Article 2

Scope

Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.

The provisions of this Law shall apply to natural persons whose personal data are processed and to natural or legal persons processing such data wholly or partially by automated means or by non-automated means which provided that form part of a data filing system.

Art. 2(1), Law No. 6698

MADDE 3

Tanımlar

Article 3

Definitions

Bu Kanunun uygulanmasında;

For the purposes of this Law:

Art. 3(1), Law No. 6698

a) Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,

a) “Explicit consent” means freely given, specific and informed consent,

b) Anonim hâle getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,

b) “Anonymization” means rendering personal data impossible to link with an identified or identifiable natural person, even through matching them with other data,

c) Başkan: Kişisel Verileri Koruma Kurumu Başkanını,

c) “President” means President of the Personal Data Protection Authority,

ç) İlgili kişi: Kişisel verisi işlenen gerçek kişiyi,

ç) “Data subject” (natural person concerned) means the natural person, whose personal data are processed,

d) Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

d) “Personal data” means any information relating to an identified or identifiable natural person,

e) Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

e) “Processing of personal data” means any operation which is performed on personal data, wholly or partially by automated means or non-automated means which provided that form part of a data filing system, such as collection, recording, storage, protection, alteration, adaptation, disclosure, transfer, retrieval, making available for collection, categorization, preventing the use thereof,

f) Kurul: Kişisel Verileri Koruma Kurulunu,

f) “Board” means the Personal Data Protection Board,

g) Kurum: Kişisel Verileri Koruma Kurumunu,

g) “Authority” means the Personal Data Protection Authority,

ğ) Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi,

ğ) “Data Processor” means the natural or legal person who processes personal data on behalf of the data controller upon its authorization,

h) Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,

h) “Data filing system” means the system where personal data are processed by being structured according to specific criteria,

ı) Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,

ı) “Data Controller” means the natural or legal person who determines the purposes and means of processing personal data and is responsible for the establishment and management of the data filing system.

ifade eder.

İKİNCİ BÖLÜM · KİŞİSEL VERİLERİN İŞLENMESİ CHAPTER TWO · Processing of Personal Data

MADDE 4

Genel ilkeler

Article 4

General Principles

Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.

Personal data shall only be processed in compliance with procedures and principles laid down in this Law or other laws.

Art. 4(1), Law No. 6698

Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:

The following principles shall be complied within the processing of personal data:

Art. 4(2), Law No. 6698

a) Hukuka ve dürüstlük kurallarına uygun olma.

a) Lawfulness and fairness

b) Doğru ve gerektiğinde güncel olma.

b) Being accurate and kept up to date where necessary.

c) Belirli, açık ve meşru amaçlar için işlenme.

c) Being processed for specified, explicit and legitimate purposes.

ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.

ç) Being relevant, limited and proportionate to the purposes for which they are processed.

d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

d) Being stored for the period laid down by relevant legislation or the period required for the purpose for which the personal data are processed.

MADDE 5

Kişisel verilerin işlenme şartları

Article 5

Conditions for processing personal data

Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.

Personal data shall not be processed without explicit consent of the data subject.

Art. 5(1), Law No. 6698

Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

Personal data may be processed without seeking the explicit consent of the data subject only in cases where one of the following conditions is met:

Art. 5(2), Law No. 6698

a) Kanunlarda açıkça öngörülmesi.

a) It is expressly provided for by the laws.

b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

b) It is necessary for the protection of life or physical integrity of the person himself/herself or of any other person, who is unable to explain his/her consent due to the physical disability or whose consent is not deemed legally valid.

c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

c) Processing of personal data of the parties of a contract is necessary, provided that it is directly related to the establishment or performance of the contract.

ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

ç) It is necessary for compliance with a legal obligation to which the data controller is subject.

d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.

d) Personal data have been made public by the data subject himself/herself.

e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.

e) Data processing is necessary for the establishment, exercise or protection of any right.

f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

f) Processing of data is necessary for the legitimate interests pursued by the data controller, provided that this processing shall not violate the fundamental rights and freedoms of the data subject.

MADDE 6

Özel nitelikli kişisel verilerin işlenme şartları

Article 6

Conditions for processing of special categories of personal data

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.

Personal data relating to the race, ethnic origin, political opinion, philosophical belief, religion, religious sect or other belief, appearance, membership to associations, foundations or trade-unions, data concerning health, sexual life, criminal convictions and security measures, and the biometric and genetic data are deemed to be special categories of personal data.

Art. 6(1), Law No. 6698

(Mülga:2/3/2024-7499/33 md.)

(Repealed: 2/3/2024- Art. 7499/33)

Art. 6(2), Law No. 6698

(Değişik:2/3/2024-7499/33 md.) Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi;

(Amended: 2/3/2024- Art. 7499/33) It is prohibited to process special categories of personal data. However, such processing is permitted under the following conditions:

Art. 6(3), Law No. 6698

a) İlgili kişinin açık rızasının olması,

a) Data subject has given his/her explicit consent,

b) Kanunlarda açıkça öngörülmesi,

b) It is explicitly provided by laws,

c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

c) It is necessary for the protection of life or physical integrity of the person himself/herself or of any other person who is unable to explain his/her consent due to the physical disability or whose consent is not deemed legally valid,

ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,

ç) It relates to personal data that have been made public by the data subject, and processing is in consistent with data subject’s intention to make such data public,

d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,

d) It is necessary for the establishment, exercise or protection of any right,

e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,

e) It is necessary for the protection of public health, preventive medicine, medical diagnosis, treatment and care services, and for the planning, management and financing of health-care services by persons subject to legal obligation of confidentiality or by competent public institutions and organizations,

f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,

f) It is necessary for the fulfilment of legal obligations in the fields of employment, occupational health and safety, social security, social services, and social assistance,

g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması,

g) It relates to the current or former members and affiliates of foundations, associations, and other non-profit organizations established for political, philosophical, religious, or trade union purposes, or to individuals who are in regular contact with these organizations, provided that such processing complies with the applicable legislation governing these organizations and their objectives, is limited to the organizations’ fields of activity, and does not involve disclosure of data to third parties.

halinde mümkündür.

Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

Adequate measures, as determined by the Board, shall also be implemented in the processing of special categories of personal data.

Art. 6(4), Law No. 6698

MADDE 7

Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi

Article 7

Erasure, destruction or anonymization of personal data

Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir.

Despite being processed in compliance with the provisions of this Law and other relevant laws, personal data shall be erased, destructed or anonymized by the data controller, ex officio or on the request of the data subject, in the event that the reasons for the processing no longer exist.

Art. 7(1), Law No. 6698

Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklıdır.

The Provisions of other laws relating to the erasure, destruction or anonymization of personal data are reserved.

Art. 7(2), Law No. 6698

Kişisel verilerin silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin usul ve esaslar yönetmelikle düzenlenir.

Procedures and principles for the erasure, destruction or anonymization of personal data shall be laid down through by-law.

Art. 7(3), Law No. 6698

MADDE 8

Kişisel verilerin aktarılması

Article 8

Transfer of personal data

Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz.

Personal data shall not be transferred without explicit consent of the data subject.

Art. 8(1), Law No. 6698

Kişisel veriler;

Personal data may be transferred without seeking explicit consent of data subject upon the existence of one of the conditions provided for in:

Art. 8(2), Law No. 6698

a) 5 inci maddenin ikinci fıkrasında,

a) the second paragraph of Article 5,

b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında,

b) the third paragraph of Article 6, provided that sufficient measures are taken.

belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir.

Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.

The Provisions of other laws relating to transfer of personal data are reserved.

Art. 8(3), Law No. 6698

MADDE 9 (Değişik:2/3/2024-7499/34 md.)

Kişisel verilerin yurt dışına aktarılması

Article 9 (Amended: 2/3/2024- Art. 7499/34)

Transfer of personal data abroad

Amended by 02.03.2024 · 7499/34

31 jurisdictions

Kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.

Personal data may be transferred abroad by data controllers and data processors provided that one of the conditions set out in Article 5 and Article 6 is met and there is an adequacy decision regarding the country, sectors within that country, or international organizations to which the transfer will be made.

Art. 9(1), Law No. 6698

Yeterlilik kararı, Kurul tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.

The adequacy decision shall be issued by the Board and published in the Official Gazette. When deemed necessary, the Board may seek the opinion of relevant institutions and organizations. The adequacy decision shall be assessed at least every four years. Based on the assessment or in other circumstances it deems necessary, the Board may amend, suspend, or revoke the adequacy decision with prospective effect.

Art. 9(2), Law No. 6698

Yeterlilik kararı verilirken öncelikle aşağıdaki hususlar dikkate alınır:

When issuing an adequacy decision, the following elements shall be primarily taken into account:

Art. 9(3), Law No. 6698

a) Kişisel verilerin aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.

a) The reciprocity status concerning the transfer of personal data between Türkiye and the country, sectors within that country, or international organizations to which personal data will be transferred,

b) Kişisel verilerin aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar.

b) The relevant legislation and practices of the country to which the personal data will be transferred, and the rules governing the international organization receiving the data transfer,

c) Kişisel verilerin aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması.

c) The existence of an independent and effective data protection authority in the country to which personal data will be transferred or to which the international organization is subject, as well as the availability of administrative and judicial remedies,

ç) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası kuruluşlara üye olma durumu.

ç) Whether the country or international organization to which personal data will be transferred is a party to international conventions or a member of international organizations concerning personal data protection.

d) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye’nin üye olduğu küresel veya bölgesel kuruluşlara üye olma durumu.

d) The membership status of the country or international organization to which personal data will be transferred, in global or regional organizations to which Türkiye is a member.

e) Türkiye’nin taraf olduğu uluslararası sözleşmeler.

e) International conventions to which Türkiye is a party.

Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir:

In the absence of an adequacy decision, personal data may be transferred abroad by data controllers and data processors if one of the conditions specified in Article 5 and Article 6 is met and data subjects retain enforceable rights and effective legal remedies in the country to which the transfer is to be made, provided that one of the following appropriate safeguards is ensured:

Art. 9(4), Law No. 6698

a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.

a) The existence of an agreement, which is not classified as an international convention, between public institutions and organizations or international organizations abroad and public institutions and organizations or professional organizations with public institution status in Türkiye, and the Board’s approval for the transfer;

b) Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.

b) The existence of binding corporate rules approved by the Board containing provisions on personal data protection, which the companies within a group of undertakings engaged in joint economic activities are obliged to comply with;

c) Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.

c) The existence of a standard contract published by the Board, containing information such as data categories, purposes of the data transfer, recipients and recipient groups, technical and organizational measures to be taken by the data importer, and additional measures for special categories of personal data;

ç) Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

ç) The existence of a written commitment containing provisions to ensure adequate protection, and the Board’s approval for the transfer;

Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.

The standard contract shall be notified to the Authority by the data controller or data processor within five business days following its signature.

Art. 9(5), Law No. 6698

Veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir:

In the absence of an adequacy decision and where one of the appropriate safeguards specified paragraph four cannot be ensured, data controllers and data processors may transfer personal data abroad only under one of the circumstances specified below, provided that such transfer is incidental:

Art. 9(6), Law No. 6698

a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.

a) The data subject has given explicit consent to the transfer, provided that he/she has been informed of the potential risks involved;

b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.

b) The transfer is necessary for the performance of a contract between the data subject and data controller, or for the implementation of pre-contractual measures taken at the request of the data subject;

c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.

c) The transfer is necessary for the establishment or performance of a contract between the data controller and another natural or legal person for the benefit of the data subject;

ç) Aktarımın üstün bir kamu yararı için zorunlu olması.

ç) The transfer is necessary for an overriding public interest;

d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.

d) The transfer of personal data is necessary for the establishment, exercise, or protection of any right;

e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.

e) Transfer of personal data is necessary for the protection of life or physical integrity of a person himself/herself or of any other person, who is unable to provide consent due to physical disability or whose consent is not deemed legally valid;

f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.

f) The transfer is made from a publicly accessible registry or a registry accessible to persons with legitimate interest, provided that the conditions for accessing the registry under relevant legislation are met, and that the person with a legitimate interest has requested the transfer.

Altıncı fıkranın (a), (b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz.

The provisions in subparagraphs (a), (b), and (c) of the sixth paragraph shall not apply to public law activities of public institutions and organizations.

Art. 9(7), Law No. 6698

Veri sorumlusu ve veri işleyenler tarafından, yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da bu Kanunda yer alan güvenceler sağlanır ve bu madde hükümleri uygulanır.

Data controllers and data processors shall ensure that the safeguards established under this Law, as well as the provisions of this Article, also apply to onward transfers of personal data that have been transferred abroad and transfers to international organizations.

Art. 9(8), Law No. 6698

Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.

Without prejudice to international convention provisions, personal data may be transferred abroad only with the approval of the Board and after obtaining the opinion of the relevant public institution or organization, in cases where the interest of Türkiye or the data subject would be seriously harmed.

Art. 9(9), Law No. 6698

Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.

Provisions of other laws concerning the transfer of personal data abroad are reserved.

Art. 9(10), Law No. 6698

Bu maddenin uygulanmasına ilişkin usul ve esaslar yönetmelikle düzenlenir.

The procedures and principles for the implementation of this Article shall be regulated by a By-Law.

Art. 9(11), Law No. 6698
ÜÇÜNCÜ BÖLÜM · HAKLAR VE YÜKÜMLÜLÜKLER CHAPTER THREE · Rights and Obligations

MADDE 10

Veri sorumlusunun aydınlatma yükümlülüğü

Article 10

Obligation of Data Controller to Inform

Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;

At the time when personal data are obtained, the data controller or the person authorised by it is obliged to inform the data subjects about the following:

Art. 10(1), Law No. 6698

a) Veri sorumlusunun ve varsa temsilcisinin kimliği,

a) the identity of the data controller and of its representative, if any,

b) Kişisel verilerin hangi amaçla işleneceği,

b) the purpose of processing of personal data;

c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

c) to whom and for which purposes the processed personal data may be transferred,

ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,

ç) the method and legal basis of collection of personal data,

d) 11 inci maddede sayılan diğer hakları,

d) other rights referred to in Article 11.

konusunda bilgi vermekle yükümlüdür.

MADDE 11

İlgili kişinin hakları

Article 11

Rights of The Data Subject

Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;

Each person has the right to request to the data controller about him/her;

Art. 11(1), Law No. 6698

a) Kişisel veri işlenip işlenmediğini öğrenme,

a) to learn whether his/her personal data are processed or not,

b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

b) to demand for information as to if his/her personal data have been processed,

c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

c) to learn the purpose of the processing of his/her personal data and whether these personal data are used in compliance with the purpose,

ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

ç) to know the third parties to whom his personal data are transferred in country or abroad,

d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,

d) to request the rectification of the incomplete or inaccurate data, if any,

e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,

e) to request the erasure or destruction of his/her personal data under the conditions referred to in Article 7,

f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

f) to request reporting of the operations carried out pursuant to sub-paragraphs (d) and (e) to third parties to whom his/her personal data have been transferred,

g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

g) to object to the occurrence of a result against the person himself/herself by analyzing the data processed solely through automated systems,

ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme,

ğ) to claim compensation for the damage arising from the unlawful processing of his/her personal data.

haklarına sahiptir.

MADDE 12

Veri güvenliğine ilişkin yükümlülükler

Article 12

Obligations concerning data security

Veri sorumlusu;

The data controller is obliged to take all necessary technical and organizational measures to provide an appropriate level of security for the purposes of:

Art. 12(1), Law No. 6698

a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,

a) preventing unlawful processing of personal data,

b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,

b) preventing unlawful access to personal data,

c) Kişisel verilerin muhafazasını sağlamak,

c) ensuring protection of personal data.

amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.

Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.

In case the processing of personal data is carried out by another natural or legal person on behalf of the data controller, the data controller shall jointly be responsible with these persons for taking the measures laid down in the first paragraph.

Art. 12(2), Law No. 6698

Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.

The data controller is obliged to carry out the necessary audits, or have them made, in its own institution or organization, in order to ensure the implementation of the provisions of this Law.

Art. 12(3), Law No. 6698

Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

The data controllers and data processors shall not disclose the personal data that they have learned to anyone contrary to the provisions of this Law, neither shall they use such data for purposes other than that for which the personal data have been processed. This obligation shall continue even after the end of their term of office.

Art. 12(4), Law No. 6698

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

In case the data processed are obtained by others by unlawful means, the data controller shall communicate the breach to the data subject and notify it to the Board within the shortest time. Where necessary, the Board may announce such breach at its official website or through in any other way it deems appropriate.

Art. 12(5), Law No. 6698
DÖRDÜNCÜ BÖLÜM · BAŞVURU, ŞİKÂYET VE VERİ SORUMLULARI SİCİLİ CHAPTER FOUR · Request, Complaint and Data Controllers’ Registry

MADDE 13

Veri sorumlusuna başvuru

Article 13

Request to the Data Controller

İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir.

The data subject shall make the requests relating to the implementation of this Law to the data controller in writing or by other means to be determined by the Board.

Art. 13(1), Law No. 6698

Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir.

The data controller shall conclude demands in the request within the shortest time by taking into account the nature of the demand and at the latest within thirty days and free of charge. However if the action requires an extra cost, fees may be charged in the tariff determined by the Board.

Art. 13(2), Law No. 6698

Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Başvuruda yer alan talebin kabul edilmesi hâlinde veri sorumlusunca gereği yerine getirilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret ilgiliye iade edilir.

The data controller shall act on the request or refuse it together with justified grounds and communicate its response to the data subject in writing or by electronic means. In case the demand in the request is accepted, it shall be fulfilled by the data controller. If the request is made due to fault of the data controller, the fee is refunded to data subject.

Art. 13(3), Law No. 6698

MADDE 14

Kurula şikâyet

Article 14

Complaint to the Board

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde; ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir.

If the request is refused, the response is found insufficient or the request is not responded within the specified time period, the data subject may lodge a complaint with the Board within thirty days as of he or she learns about the response of the data controller, or within sixty days as of the request date, in any case.

Art. 14(1), Law No. 6698

13 üncü madde uyarınca başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz.

A complaint shall not be lodged before exhausting the remedy of the request to the data controller pursuant to Article 13.

Art. 14(2), Law No. 6698

Kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklıdır.

The right to compensation, under the general provisions, of those whose personal rights are violated, is reserved.

Art. 14(3), Law No. 6698

MADDE 15

Şikâyet üzerine veya resen incelemenin usul ve esasları

Article 15

Procedures and principles of the examination ex officio (on its own initiative) or upon complaint

Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen, görev alanına giren konularda gerekli incelemeyi yapar.

The Board shall carry out the necessary examination on the matters falling within its task upon complaint or ex officio where it has learnt about the alleged infringement.

Art. 15(1), Law No. 6698

1/11/1984 tarihli ve 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanunun 6 ncı maddesinde belirtilen şartları taşımayan ihbar veya şikâyetler incelemeye alınmaz.

The notices and complaints not meeting conditions pursuant to Article 6 of the Law No. 3071 of 1/11/1984 on the Use of Right to Petition shall not be examined.

Art. 15(2), Law No. 6698

Devlet sırrı niteliğindeki bilgi ve belgeler hariç; veri sorumlusu, Kurulun, inceleme konusuyla ilgili istemiş olduğu bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır.

Except for the information and documents having the status of state secret, the data controller shall send the information and documents demanded by the Board related to the subject of examination within fifteen days, and shall enable, where necessary, on-the-spot examination.

Art. 15(3), Law No. 6698

Şikâyet üzerine Kurul, talebi inceleyerek ilgililere bir cevap verir. Şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır.

Upon complaint, the Board examines the demand and gives an answer to the data subjects. In case it is not responded in sixty days from the date of complaint the demand shall be deemed refused.

Art. 15(4), Law No. 6698

Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin varlığının anlaşılması hâlinde Kurul, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir.

As a result of the examination made upon complaint or ex officio, in cases where it is understood that an infringement exists, the Board shall decide that the identified infringements shall be remedied by the relevant data controller and notify this decision to the relevant parties. This decision shall be implemented without delay and within thirty days at the latest after the notification,

Art. 15(5), Law No. 6698

Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin yaygın olduğunun tespit edilmesi hâlinde Kurul, bu konuda ilke kararı alır ve bu kararı yayımlar. Kurul, ilke kararı almadan önce ihtiyaç duyması hâlinde, ilgili kurum ve kuruluşların görüşlerini de alabilir.

As a result of the examination made upon complaint or ex officio, in cases where it is determined that the infringement is widespread, the Board shall take a resolution on this matter and publishes this resolution. Prior to taking the resolution, the Board may also receive the opinions of the relevant institutions and organisations, if needed.

Art. 15(6), Law No. 6698

Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir.

The Board may decide to stop the processing of personal data or transfer of personal data abroad in the case damages which are difficult or impossible to compensate for, and in the event of explicit infringement of the law.

Art. 15(7), Law No. 6698

MADDE 16

Veri Sorumluları Sicili

Article 16

Data Controllers’ Registry

Kurulun gözetiminde, Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicili tutulur.

Under the supervision of the Board, the Data Controllers’ Registry shall be kept by the Presidency and be made publicly available.

Art. 16(1), Law No. 6698

Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir.

Natural or legal persons who process personal data shall register with the Data Controllers’ Registry prior to the start of data processing. However, by taking into account the objective criteria set by the Board such as the nature and quantity of the data processed, that data processing is laid down in a law, or transferring the data to third parties, the Board may provide derogation from the obligation of registration with the Data Controllers’ Registry.

Art. 16(2), Law No. 6698

Veri Sorumluları Siciline kayıt başvurusu aşağıdaki hususları içeren bir bildirimle yapılır:

Application for registration with the Data Controllers’ Registry shall be made with a notification including:

Art. 16(3), Law No. 6698

a) Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri.

a) The identity and address of the data controller and of its representative, if any,

b) Kişisel verilerin hangi amaçla işleneceği.

b) The purpose for which the personal data will be processed,

c) Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar.

c) The explanations relating to group(s) of persons subject to the data and the data categories of these persons,

ç) Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları.

ç) The recipients or groups of recipients to whom the personal data may be transferred,

d) Yabancı ülkelere aktarımı öngörülen kişisel veriler.

d) The personal data which are envisaged to be transferred abroad,

e) Kişisel veri güvenliğine ilişkin alınan tedbirler.

e) The measures taken concerning the security of personal data.

f) Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.

f) The maximum storage period necessary for the purpose for which personal data are processed.

Üçüncü fıkra uyarınca verilen bilgilerde meydana gelen değişiklikler derhâl Başkanlığa bildirilir.

Any changes in the information given pursuant to the third paragraph shall be immediately notified to the Presidency

Art. 16(4), Law No. 6698

Veri Sorumluları Siciline ilişkin diğer usul ve esaslar yönetmelikle düzenlenir.

Other procedures and principles relating to the Data Controllers’ Registry shall be laid down through a by-law.

Art. 16(5), Law No. 6698
BEŞİNCİ BÖLÜM · SUÇLAR VE KABAHATLER CHAPTER FIVE · Crimes and Misdemeanours

MADDE 17

Suçlar

Article 17

Crimes

Kişisel verilere ilişkin suçlar bakımından 26/9/2004 tarihli ve 5237 sayılı Türk Ceza Kanununun 135 ila 140 ıncı madde hükümleri uygulanır.

Articles 135 to 140 of Turkish Penal Code No. 5237 of 26/9/2004 shall be applied to the crimes concerning personal data.

Art. 17(1), Law No. 6698

Bu Kanunun 7 nci maddesi hükmüne aykırı olarak; kişisel verileri silmeyen veya anonim hâle getirmeyenler 5237 sayılı Kanunun 138 inci maddesine göre cezalandırılır.

Those who do not erase or anonymize personal data as contrary to the provision of Article 7 of this Law shall be punished in accordance with Article 138 of the Law No. 5237.

Art. 17(2), Law No. 6698

MADDE 18

Kabahatler 1

Article 18

Misdemeanours 1

Bu Kanunun;

For the purposes of this Law;

Art. 18(1), Law No. 6698

a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar,

a) An administrative fine of 5.000 to 100.000 TL shall be imposed on those who fail to fulfil the obligation to inform as stipulated in Article 10;

b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar,

b) An administrative fine of 15.000 to 1.000.000 TL shall be imposed on those who fail to fulfil the obligations related to data security as stipulated in Article 12;

c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar,

c) An administrative fine of 25.000 to 1.000.000 TL shall be imposed on those who fail to comply with the decisions issued by the Board as stipulated in Article 15;

ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar,

ç) An administrative fine of 20.000 to 1.000.000 TL shall be imposed on those who act contrary to the obligations for registry with the Data Controllers’ Registry and for notification as stipulated in Article 16;

d) (Ek:2/3/2024-7499/35 md.) 9 uncu maddenin beşinci fıkrasında öngörülen bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar,

d) (Added: 2/3/2024- Art. 7499/35) An administrative fine of 50.000 to 1.000.000 TL shall be imposed on those who fail to fulfil the obligation to notify as stipulated in Article 9(5).

idari para cezası verilir.

(Değişik:2/3/2024-7499/35 md.) Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.

(Amended: 2/3/2024- Art. 7499/35) The administrative fines provided for in subparagraphs (a), (b), (c) and (ç) of the first paragraph shall be imposed on the data controller; the fine stipulated in subparagraph (d) shall be imposed on the data controller or on natural persons and legal persons governed by private law that process data.

Art. 18(2), Law No. 6698

(Ek:2/3/2024-7499/35 md.) Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.

(Added: 2/3/2024- Art. 7499/35) Administrative fines imposed by the Board may be appealed in administrative courts.

Art. 18(3), Law No. 6698

Birinci fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.

In the event that the actions listed in the first paragraph be committed within the public institutions and organizations, and the professional organizations with public institution status, the disciplinary provisions shall be applied to the civil servants and other public officers employed in the relevant public institutions and organizations and those employed in the professional organizations with public institution status upon the notice of the Board, and the result shall reported to the Board.

Art. 18(4), Law No. 6698

DİPNOTLAR · RESMÎ KONSOLİDE METİN

Footnotes of the official Turkish consolidation · English rendering ours

Dipnot 1: 2/3/2024 tarihli ve 7499 sayılı Kanunun 35 inci maddesi ile bu maddeye ikinci fıkradan sonra gelmek üzere fıkra eklenmiş ve diğer fıkra buna göre teselsül ettirilmiştir.

Footnote 1: Article 35 of Law No. 7499 of 2/3/2024 inserted a new paragraph after the second paragraph of this Article and renumbered the paragraph that followed accordingly.

ALTINCI BÖLÜM · KİŞİSEL VERİLERİ KORUMA KURUMU VE TEŞKİLAT CHAPTER SIX · The Personal Data Protection Authority and its Organization

MADDE 19

Kişisel Verileri Koruma Kurumu

Article 19

The Personal Data Protection Authority

Bu Kanunla verilen görevleri yerine getirmek üzere, idari ve mali özerkliğe sahip ve kamu tüzel kişiliğini haiz Kişisel Verileri Koruma Kurumu kurulmuştur.

Personal Data Protection Authority, which is a public legal entity and has administrative and financial autonomy, has been established to carry out duties conferred on it under this Law.

Art. 19(1), Law No. 6698

Kurum Cumhurbaşkanının görevlendireceği bakan ile ilişkilidir.2

The Authority is affiliated to the Minister assigned by the President of the Republic.2

Art. 19(2), Law No. 6698

Kurumun merkezi Ankara’dadır.

The Headquarters of the Authority is in Ankara

Art. 19(3), Law No. 6698

Kurum, Kurul ve Başkanlıktan oluşur. Kurumun karar organı Kuruldur.

The Authority is composed of the Board and the Presidency. Decision making body of the Authority is the Board.

Art. 19(4), Law No. 6698

DİPNOTLAR · RESMÎ KONSOLİDE METİN

Footnotes of the official Turkish consolidation · English rendering ours

Dipnot 2: 2/7/2018 tarihli ve 703 sayılı KHK’nin 163 üncü maddesiyle, bu fıkrada yer alan “Başbakanlıkla” ibaresi “Cumhurbaşkanının görevlendireceği bakan ile” şeklinde değiştirilmiştir.

Footnote 2: Article 163 of Decree-Law No. 703 of 2/7/2018 replaced “with the Prime Ministry” in this paragraph with “with the minister to be designated by the President”.

MADDE 20

Kurumun görevleri

Article 20

Duties of the Authority

Kurumun görevleri şunlardır:

The duties of the Authority are as follows;

Art. 20(1), Law No. 6698

a) Görev alanı itibarıyla, uygulamaları ve mevzuattaki gelişmeleri takip etmek, değerlendirme ve önerilerde bulunmak, araştırma ve incelemeler yapmak veya yaptırmak.

a) to follow the latest developments in the legislation and practices, make evaluations and recommendations, conduct researches and investigations or have them conducted, within its field of duty.

b) İhtiyaç duyulması hâlinde, görev alanına giren konularda kamu kurum ve kuruluşları, sivil toplum kuruluşları, meslek örgütleri veya üniversitelerle iş birliği yapmak.

b) to cooperate with public institutions and organisations, non-governmental organizations, professional associations or universities within its field of duty, if needed.

c) Kişisel verilerle ilgili uluslararası gelişmeleri izlemek ve değerlendirmek, görev alanına giren konularda uluslararası kuruluşlarla iş birliği yapmak, toplantılara katılmak.

c) to follow and evaluate the latest international developments on personal data; and within its field of duty cooperate with international organisations and participate in the meetings

ç) Yıllık faaliyet raporunu Cumhurbaşkanlığına, Türkiye Büyük Millet Meclisi İnsan Haklarını İnceleme Komisyonuna (…)3 sunmak.

ç) to transmit the annual activity report to the Presidency of the Republic of Türkiye , the Committee on Human Rights Inquiry of Grand National Assembly of Türkiye .3

d) Kanunlarla verilen diğer görevleri yerine getirmek.

d) to carry out other duties provided by laws.

DİPNOTLAR · RESMÎ KONSOLİDE METİN

Footnotes of the official Turkish consolidation · English rendering ours

Dipnot 3: 2/7/2018 tarihli ve 703 sayılı KHK’nin 163 üncü maddesiyle, bu bentte yer alan “ ve Başbakanlığa” ibaresi yürürlükten kaldırılmıştır.

Footnote 3: Article 163 of Decree-Law No. 703 of 2/7/2018 repealed the words “and to the Prime Ministry” in this subparagraph.

MADDE 21

Kişisel Verileri Koruma Kurulu

Article 21

Personal Data Protection Board

Kurul, bu Kanunla ve diğer mevzuatla verilen görev ve yetkilerini kendi sorumluluğu altında, bağımsız olarak yerine getirir ve kullanır. Görev alanına giren konularla ilgili olarak hiçbir organ, makam, merci veya kişi, Kurula emir ve talimat veremez, tavsiye veya telkinde bulunamaz.

The Board shall perform and exercise the duties and powers conferred on it under this law and other legislation, independently and under its own responsibility. No body, authority, office or person shall give orders and instructions, recommendations or suggestions to the Board on matters falling within the scope of its duties and powers.

Art. 21(1), Law No. 6698

Kurul, dokuz üyeden oluşur. Kurulun beş üyesi Türkiye Büyük Millet Meclisi, dört üyesi Cumhurbaşkanı tarafından seçilir.4

The Board consists of nine members. Five members of the Board shall be elected by the Grand National Assembly of Türkiye ; four members shall be elected by the President of the Republic of Türkiye .4

Art. 21(2), Law No. 6698

Kurula üye olabilmek için aşağıdaki şartlar aranır:

The following conditions shall be met to be a member of the Board:

Art. 21(3), Law No. 6698

a) Kurumun görev alanındaki konularda bilgi ve deneyim sahibi olmak.

a) to have knowledge and experience on the issues in the field of duty of the Authority.

b) 14/7/1965 tarihli ve 657 sayılı Devlet Memurları Kanununun 48 inci maddesinin birinci fıkrasının (A) bendinin (1), (4), (5), (6) ve (7) numaralı alt bentlerinde belirtilen nitelikleri taşımak.

b) to have the necessary qualifications specified in points (1), (4), (5), (6) and (7) of sub-paragraph (A) of first paragraph of Article 48 of the Civil Servants Law No. 657 of 14/7/1965.

c) Herhangi bir siyasi parti üyesi olmamak.

c) Not being a member of any political party.

ç) En az dört yıllık lisans düzeyinde yükseköğrenim görmüş olmak.

ç) Having a bachelor degree of at least four years.

d) (Mülga: 2/7/2018-KHK-703/163 md.)

d) (Repealed: 2/7/2018 – Decree Law – Article 703/163)

(Mülga: 2/7/2018-KHK-703/163 md.)

(Obsolete: 2/7/2018 – Decree Law – Article 703/163)

Art. 21(4), Law No. 6698

Türkiye Büyük Millet Meclisi, Kurula üye seçimini aşağıdaki usulle yapar:

The Grand National Assembly of Türkiye shall elect the Board members on the basis of the following procedure:

Art. 21(5), Law No. 6698

a) Seçim için, siyasi parti gruplarının üye sayısı oranında belirlenecek üye sayısının ikişer katı aday gösterilir ve Kurul üyeleri bu adaylar arasından her siyasi parti grubuna düşen üye sayısı esas alınmak suretiyle Türkiye Büyük Millet Meclisi Genel Kurulunca seçilir. Ancak, siyasi parti gruplarında, Türkiye Büyük Millet Meclisinde yapılacak seçimlerde kime oy kullanılacağına dair görüşme yapılamaz ve karar alınamaz.

a) Persons twice as many as the number of members to be determined in proportion to the number of deputies of political party groups shall be nominated for election and the members of the Board shall be elected by the Plenary of the Grand National Assembly of Türkiye from among these candidates on the basis of the number of deputies allocated to each political party. However, no negotiation shall be held and no decision shall be taken at political party groups regarding whom to vote for in the elections to be held in the Grand National Assembly of Türkiye .

b) Kurul üyelerinin seçimi, adayların belirlenerek ilanından sonra on gün içinde yapılır. Siyasi parti grupları tarafından gösterilen adaylar için ayrı ayrı listeler hâlinde birleşik oy pusulası düzenlenir. Adayların adlarının karşısındaki özel yer işaretlenmek suretiyle oy kullanılır. Siyasi parti gruplarının ikinci fıkraya göre belirlenen kontenjanlarından Kurula seçilecek üyelerin sayısından fazla verilen oylar geçersiz sayılır.

b) The election of the members of the Board shall be made within ten days after the nomination and announcement of the candidates. The unified ballot lists for candidates nominated by political party groups shall be issued in separate list. Votes shall be cast by marking the specific place across the names of the candidates. Votes given more than the number of members to be elected to the Board from the quota of political party groups determined in accordance with the second paragraph shall be deemed invalid.

c) Karar yeter sayısı olmak şartıyla seçimde en çok oyu alan boş üyelik sayısı kadar aday seçilmiş olur.

c) Provided that the quorum of decision is ensured, candidates who have the most of the votes for the number of vacancies shall be deemed to have been elected.

ç) Üyelerin görev sürelerinin bitiminden iki ay önce; üyeliklerde herhangi bir sebeple boşalma olması hâlinde, boşalma tarihinden veya boşalma tarihinde Türkiye Büyük Millet Meclisi tatilde ise tatilin bitiminden itibaren bir ay içinde aynı usulle seçim yapılır. Bu seçimlerde, boşalan üyeliklerin siyasi parti gruplarına dağılımı, ilk seçimde siyasi parti grupları kontenjanından seçilen üye sayısı ve siyasi parti gruplarının hâlihazırdaki oranı dikkate alınmak suretiyle yapılır.

ç) The election for the renewal of the members shall be held two months before the expiration of their term of office; should there be a vacancy in the membership positions for any reason, there shall be an election within one month as of the date of vacancy; or if the date of vacancy coincides with the recess of the Grand National Assembly of Türkiye , the election shall take place within one month from the end of the recess, by employing the same procedure. During these elections, the allocation of the vacant membership positions to the political party groups shall be made by considering the number of the elected members from the political party groups’ quotas in the first election and the current proportions of the political party groups.

Cumhurbaşkanı (…)5 tarafından seçilen üyelerden birinin görev süresinin bitiminden kırk beş gün önce veya herhangi bir sebeple görevin sona ermesi hâlinde durum, on beş gün içinde Kurum tarafından, Cumhurbaşkanlığına (…)5 bildirilir. Üyelerin görev süresinin dolmasına bir ay kala yeni üye seçimi yapılır. Bu üyeliklerde, görev süresi dolmadan herhangi bir sebeple boşalma olması hâlinde ise bildirimden itibaren on beş gün içinde seçim yapılır.

Forty-five days before the expiration of the term of office or in case of expiration of term of office by any reason of the members elected by the President of the Republic of Türkiye (…)5, the Authority shall notify the Presidency of the Republic of Türkiye of the situation in fifteen days (…)5. A new election shall take place one month before the expiration of term of office of the members. Should there be a vacancy in these memberships before the expiration of term of office, there shall be an election within fifteen days as of the date of notification.

Art. 21(6), Law No. 6698

Kurul, üyeleri arasından Başkan ve İkinci Başkanı seçer. Kurulun Başkanı, Kurumun da başkanıdır.

The Board shall elect the Head and the Second Head of the Board among its members. The Head of the Board is also the President of the Authority.

Art. 21(7), Law No. 6698

Kurul üyelerinin görev süresi dört yıldır. Süresi biten üye yeniden seçilebilir. Görev süresi dolmadan herhangi bir sebeple görevi sona eren üyenin yerine seçilen kişi, yerine seçildiği üyenin kalan süresini tamamlar.

Term of office of the Board members is four years. Members may be re-elected after expiration of their term of office. The person who is elected for the position of the member whose post ends before the expiration of his or her term of office for any reason, shall serve the remaining period.

Art. 21(8), Law No. 6698

Seçilen üyeler Yargıtay Birinci Başkanlık Kurulu huzurunda “Görevimi Anayasaya ve kanunlara uygun olarak, tam bir tarafsızlık, dürüstlük, hakkaniyet ve adalet anlayışı içinde yerine getireceğime, namusum ve şerefim üzerine yemin ederim.” şeklinde yemin ederler. Yargıtaya yemin için yapılan başvuru acele işlerden sayılır.

Members of the Board shall take the following oath before the First Presidency Board of the Court of Cassation: “I do solemnly swear on my honour and on my dignity that I will carry out my duties with absolute impartiality, correctness, fairness and with sense of justice in line with the Constitution and the relevant legislation.” Application to Court of Cassation for oath taking is deemed to be one of the pressing matters.

Art. 21(9), Law No. 6698

Kurul üyeleri özel bir kanuna dayanmadıkça, Kuruldaki resmî görevlerinin yürütülmesi dışında resmî veya özel hiçbir görev alamaz, dernek, vakıf, kooperatif ve benzeri yerlerde yöneticilik yapamaz, ticaretle uğraşamaz, serbest meslek faaliyetinde bulunamaz, hakemlik ve bilirkişilik yapamazlar. Ancak, Kurul üyeleri, asli görevlerini aksatmayacak şekilde bilimsel amaçlı yayın yapabilir, ders ve konferans verebilir ve bunlardan doğacak telif hakları ile ders ve konferans ücretlerini alabilirler.

Unless provided for by a specific law, the members shall not assume any public or private tasks other than those related with carrying out their official duties in the Board; shall not act as executives in associations, foundations, cooperatives and in similar bodies; shall not engage in commercial activities, shall not engage in self-employment, shall not act as arbitrators and expert witnesses. However, Board members may prepare scientific publications, give lectures and attend conferences provided that these will not hinder their primary duties, and may receive copyrights and fees associated with those.

Art. 21(10), Law No. 6698

Üyelerin görevleri sebebiyle işledikleri iddia edilen suçlara ilişkin soruşturmalar 2/12/1999 tarihli ve 4483 sayılı Memurlar ve Diğer Kamu Görevlilerinin Yargılanması Hakkında Kanuna göre yapılır ve bunlar hakkında soruşturma izni Cumhurbaşkanı tarafından verilir.6

Investigations into the claims about the crimes allegedly committed by the members in connection with their duties shall be conducted as per the Law No. 4483 of 2/12/1999 on Adjudication of Public Servants and Other Public Employees, and permission for investigation shall be granted by the President of Türkiye.6

Art. 21(11), Law No. 6698

Kurul üyeleri hakkında yapılacak disiplin soruşturması ve kovuşturmasında 657 sayılı Kanun hükümleri uygulanır.

Provisions of the Law No. 657 shall be applied to disciplinary investigations and prosecutions about the members of the Board.

Art. 21(12), Law No. 6698

Kurul üyelerinin süreleri dolmadan herhangi bir nedenle görevlerine son verilemez. Kurul üyelerinin;

Members shall not be removed from their office by any reason before the expiration of their term of office. However, members of the Board may be removed from office by the Board decision if:

Art. 21(13), Law No. 6698

a) Seçilmek için gereken şartları taşımadıklarının sonradan anlaşılması,

a) it is found out subsequently that they do not meet the conditions required for their election,

b) Görevleriyle ilgili olarak işledikleri suçlardan dolayı haklarında verilen mahkûmiyet kararının kesinleşmesi,

b) the conviction for the crimes, which is rendered for crimes committed by them in connection with their duties, is finalised.

c) Görevlerini yerine getiremeyeceklerinin sağlık kurulu raporuyla kesin olarak tespit edilmesi,

c) it is ascertained with a medical board report that they will not be able to fulfil their duties,

ç) Görevlerine izinsiz, mazeretsiz ve kesintisiz olarak on beş gün ya da bir yılda toplam otuz gün süreyle devam etmediklerinin tespit edilmesi,

ç) it is ascertained that they have been absent from work for fifteen consecutive days or for a total of thirty days within a year, without legitimate permission and excuse.

d) Bir ay içinde izinsiz ve mazeretsiz olarak toplam üç, bir yıl içinde toplam on Kurul toplantısına katılmadıklarının tespit edilmesi,

d) it is ascertained that they fail to attend three Board meetings in one month and ten Board meetings in one year without any permission and excuse.

hâllerinde Kurul kararıyla üyelikleri sona erer.

Kurul üyeliğine seçilenlerin Kurulda görev yaptıkları sürece önceki görevleri ile olan ilişikleri kesilir. Kamu görevlisi iken üyeliğe seçilenler, memuriyete giriş şartlarını kaybetmemeleri kaydıyla, görev sürelerinin sona ermesi veya görevden ayrılma isteğinde bulunmaları ve otuz gün içinde eski kurumlarına başvurmaları durumunda atamaya yetkili makam tarafından bir ay içinde mükteseplerine uygun bir kadroya atanır. Atama gerçekleşinceye kadar, bunların almakta oldukları her türlü ödemelerin Kurum tarafından ödenmesine devam olunur. Bir kamu kurumunda çalışmayanlardan üyeliğe seçilip yukarıda belirtilen şekilde görevi sona erenlere herhangi bir görev veya işe başlayıncaya kadar, almakta oldukları her türlü ödemeler Kurum tarafından ödenmeye devam edilir ve bu şekilde üyeliği sona erenlere Kurum tarafından yapılacak ödeme üç ayı geçemez. Bunların Kurumda geçirdiği süreler, özlük ve diğer hakları açısından önceki kurum veya kuruluşlarında geçirilmiş sayılır.

Those who are appointed as the members of the Board shall be removed from their previous posts during their term of office in the Board. On the condition that they do not fail to meet the requirements of being employed as a civil servant, those who are assigned as Board members whilst on duty shall be appointed to posts that are appropriate for their vested positions and titles in one month, in case their term of office ends or they express their will to resign and lodge an application in this regard to their former institution within thirty days. Until the assignment, Authority shall continue to make any payment they are vested with. Until they take another post or take up another employment, Authority shall continue to make the payment of those who are appointed as Board members despite not being public servants and whose term of office terminated as stated hereinabove; and the payments to be made under this scope shall not exceed three months. With regard to personal and other rights, terms spent in the Authority shall be deemed to have spent in the previous institutions or organisations.

Art. 21(14), Law No. 6698

DİPNOTLAR · RESMÎ KONSOLİDE METİN

Footnotes of the official Turkish consolidation · English rendering ours

Dipnot 4: 2/7/2018 tarihli ve 703 sayılı KHK’nin 163 üncü maddesiyle, bu maddenin ikinci fıkrasında yer alan “iki üyesi Cumhurbaşkanı, iki üyesi Bakanlar Kurulu” ibaresi “dört üyesi Cumhurbaşkanı” şeklinde değiştirilmiştir.

Footnote 4: Article 163 of Decree-Law No. 703 of 2/7/2018 replaced “two members by the President, two members by the Council of Ministers” in the second paragraph of this Article with “four members by the President”.

Dipnot 5: 2/7/2018 tarihli ve 703 sayılı KHK’nin 163 üncü maddesiyle, bu fıkrada yer alan “veya Bakanlar Kurulu” ve “veya Bakanlar Kuruluna sunulmak üzere Başbakanlığa” ibareleri madde metninden çıkarılmıştır.

Footnote 5: Article 163 of Decree-Law No. 703 of 2/7/2018 removed the words “or the Council of Ministers” and “or to the Prime Ministry, for submission to the Council of Ministers” from this paragraph.

Dipnot 6: 2/7/2018 tarihli ve 703 sayılı KHK’nin 163 üncü maddesiyle, bu fıkrada yer alan “Başbakan” ibaresi “Cumhurbaşkanı” şeklinde değiştirilmiştir.

Footnote 6: Article 163 of Decree-Law No. 703 of 2/7/2018 replaced “the Prime Minister” in this paragraph with “the President”.

MADDE 22

Kurulun görev ve yetkileri

Article 22

Duties and powers of the Board

Kurulun görev ve yetkileri şunlardır:

Duties and powers of the Board are as follows:

Art. 22(1), Law No. 6698

a) Kişisel verilerin, temel hak ve özgürlüklere uygun şekilde işlenmesini sağlamak.

a) to ensure that the personal data are processed in compliance with fundamental rights and freedoms.

b) Kişisel verilerle ilgili haklarının ihlal edildiğini ileri sürenlerin şikâyetlerini karara bağlamak.

b) to conclude the complaints of those who claim that their rights with regard to personal data protection have been violated.

c) Şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen görev alanına giren konularda kişisel verilerin kanunlara uygun olarak işlenip işlenmediğini incelemek ve gerektiğinde bu konuda geçici önlemler almak.

c) to examine whether the personal data are processed in compliance with the laws, upon complaint, or ex officio where it learns about the alleged violation, and to take temporary measures, if necessary.

ç) Özel nitelikli kişisel verilerin işlenmesi için aranan yeterli önlemleri belirlemek.

ç) to determine the adequate measures which are necessary for the processing of special categories of personal data.

d) Veri Sorumluları Sicilinin tutulmasını sağlamak.

d) to ensure that Data Controllers’ Registry is maintained.

e) Kurulun görev alanı ile Kurumun işleyişine ilişkin konularda gerekli düzenleyici işlemleri yapmak.

e) to carry out regulatory acts on the matters concerning the Board’s field of duty and operation of the Authority.

f) Veri güvenliğine ilişkin yükümlülükleri belirlemek amacıyla düzenleyici işlem yapmak.

f) to carry out regulatory act to determine obligations related to data security

g) Veri sorumlusunun ve temsilcisinin görev, yetki ve sorumluluklarına ilişkin düzenleyici işlem yapmak.

g) to carry out regulatory acts on the matters concerning duties, powers and responsibilities of the data controller and of its representative.

ğ) Bu Kanunda öngörülen idari yaptırımlara karar vermek.

ğ) to decide on the imposition of administrative sanctions provided for in this Law.

h) Diğer kurum ve kuruluşlarca hazırlanan ve kişisel verilere ilişkin hüküm içeren mevzuat taslakları hakkında görüş bildirmek.

h) to deliver its opinion about draft legislation prepared by other institutions or organizations that contain provisions on personal data.

ı) Kurumun; stratejik planını karara bağlamak, amaç ve hedeflerini, hizmet kalite standartlarını ve performans kriterlerini belirlemek.

ı) to conclude the Strategic Plan of the Authority; to determine the purpose, objectives, service quality standards and performance criteria of the Authority.

i) Kurumun stratejik planı ile amaç ve hedeflerine uygun olarak hazırlanan bütçe teklifini görüşmek ve karara bağlamak.

i) to discuss and decide on Strategic Plan and the budget proposal of the Authority which are prepared in compliance with its purposes and objectives.

j) Kurumun performansı, mali durumu, yıllık faaliyetleri ve ihtiyaç duyulan konular hakkında hazırlanan rapor taslaklarını onaylamak ve yayımlamak.

j) to approve and publish the draft reports on the performance, financial situation, annual activities and other matters related with the Authority.

k) Taşınmaz alımı, satımı ve kiralanması konularındaki önerileri görüşüp karara bağlamak.

k) to discuss and decide on the recommendations as regards the purchase, sale and lease of immovable properties.

l) Kanunlarla verilen diğer görevleri yerine getirmek.

l) to carry out other tasks provided for by laws.

MADDE 23

Kurulun çalışma esasları

Article 23

Working Principles of the Board

Kurulun toplantı günlerini ve gündemini Başkan belirler. Başkan gereken hâllerde Kurulu olağanüstü toplantıya çağırabilir.

President shall determine the dates and agenda of the meetings. The President may summon the Board for an extraordinary meeting, if necessary.

Art. 23(1), Law No. 6698

Kurul, başkan dâhil en az altı üye ile toplanır ve üye tam sayısının salt çoğunluğuyla karar alır. Kurul üyeleri çekimser oy kullanamaz.

The Board shall convene at least with six members, including the President, and shall take decisions by simple majority of its total members. Members of the Board shall not cast abstaining vote.

Art. 23(2), Law No. 6698

Kurul üyeleri; kendilerini, üçüncü dereceye kadar kan ve ikinci dereceye kadar kayın hısımlarını, evlatlıklarını ve aralarındaki evlilik bağı kalkmış olsa bile eşlerini ilgilendiren konularla ilgili toplantı ve oylamaya katılamaz.

Members shall not attend and cast vote in meetings, which concern issues regarding themselves, their relatives by blood up to third degree and relatives by affinity of marriage up to second degree, their adopted children and their spouses even if the marriage has ended.

Art. 23(3), Law No. 6698

Kurul üyeleri çalışmaları sırasında ilgililere ve üçüncü kişilere ait öğrendikleri sırları bu konuda kanunen yetkili kılınan mercilerden başkasına açıklayamazlar ve kendi yararlarına kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

Members of the Board shall not disclose the secrets they have learned concerning the relevant persons and third parties during their work to anyone other than legally authorized bodies, neither shall they use such secrets for their benefits. This obligation shall continue even after the end of their term of office.

Art. 23(4), Law No. 6698

Kurulda görüşülen işler tutanağa bağlanır. Kararlar ve varsa karşı oy gerekçeleri karar tarihinden itibaren en geç on beş gün içinde yazılır. Kurul, gerekli gördüğü kararları kamuoyuna duyurur.

The issues debated in the Board shall be recorded in the minutes. The decisions and the grounds for the counter vote, if any, shall be written within 15 days at the latest. The Board shall release the decisions to the public, it deems necessary.

Art. 23(5), Law No. 6698

Aksi kararlaştırılmadıkça, Kurul toplantılarındaki görüşmeler gizlidir.

Unless otherwise agreed, debates at the Board meetings are confidential.

Art. 23(6), Law No. 6698

Kurulun çalışma usul ve esasları ile kararların yazımı ve diğer hususlar yönetmelikle düzenlenir.

The Working procedures and principles of the Board and the writing procedure of the decisions and other issues shall be regulated through a by-law.

Art. 23(7), Law No. 6698

MADDE 24

Başkan

Article 24

The President

Başkan, Kurul ve Kurumun başkanı sıfatıyla Kurumun en üst amiri olup Kurum hizmetlerini mevzuata, Kurumun amaç ve politikalarına, stratejik planına, performans ölçütlerine ve hizmet kalite standartlarına uygun olarak düzenler, yürütür ve hizmet birimleri arasında koordinasyonu sağlar.

The President, who is the highest-level official of the Authority, as the Head of both the Authority and the Board, organises and conducts the services of the Authority in accordance with the legislation, Authority’s purpose and policies, Strategic Plan, performance criteria and service quality standards, and , ensures coordination between service units.

Art. 24(1), Law No. 6698

Başkan, Kurumun genel yönetim ve temsilinden sorumludur. Bu sorumluluk, Kurum çalışmalarının düzenlenmesi, yürütülmesi, denetlenmesi, değerlendirilmesi ve gerektiğinde kamuoyuna duyurulması görev ve yetkilerini kapsar.

The President is responsible for the general management and representation of the Authority. This responsibility entails the duties and powers concerning regulation, execution, inspection, evaluation of Authority’s work and, its announcement to the public, when necessary.

Art. 24(2), Law No. 6698

Başkanın görevleri şunlardır:

The duties of the President are as follows;

Art. 24(3), Law No. 6698

a) Kurul toplantılarını idare etmek.

a) to chair the Board’s meetings.

b) Kurul kararlarının tebliğini ve Kurulca gerekli görülenlerin kamuoyuna duyurulmasını sağlamak ve uygulanmalarını izlemek.

b) to ensure the notification of Board decisions and public announcement of these when deemed necessary by the Board, and to monitor their implementation.

c) Başkan Yardımcısını, daire başkanlarını ve Kurum personelini atamak.

c) to appoint Vice President, Heads of Departments and Authority’s personnel.

ç) Hizmet birimlerinden gelen önerilere son şeklini vererek Kurula sunmak.

ç) to finalize the recommendations communicated by service units and submit them to the Board.

d) Stratejik planın uygulanmasını sağlamak, hizmet kalite standartları doğrultusunda insan kaynakları ve çalışma politikalarını oluşturmak.

d) to ensure the implementation of the Strategic Plan and to establish the human resources and working policies in line with service quality standards.

e) Belirlenen stratejilere, yıllık amaç ve hedeflere uygun olarak Kurumun yıllık bütçesi ile mali tablolarını hazırlamak.

e) to prepare the annual budget and financial tables of the Authority in line with the determined strategies, annual purposes and objectives.

f) Kurul ve hizmet birimlerinin uyumlu, verimli, disiplinli ve düzenli bir biçimde çalışması amacıyla koordinasyonu sağlamak.

f) to ensure coordination between the Board and service units to have them work incoherent, efficient, disciplined and well-ordered manner.

g) Kurumun diğer kuruluşlarla ilişkilerini yürütmek.

g) to maintain the relations of the Authority with other institutions.

ğ) Kurum Başkanı adına imzaya yetkili personelin görev ve yetki alanını belirlemek.

ğ) to determine the scope of the duties and powers of the personnel authorized to sign on behalf of the President.

h) Kurumun yönetim ve işleyişine ilişkin diğer görevleri yerine getirmek.

h) to carry out other duties related to the management and operation of the Authority

Kurum Başkanının yokluğunda İkinci Başkan, Başkana vekalet eder.

The Second President is entitled to act on behalf of the President in his/her absence.

Art. 24(4), Law No. 6698

MADDE 25

Başkanlığın oluşumu ve görevleri

Article 25

Composition and Duties of the Presidency

Başkanlık; Başkan Yardımcısı ve hizmet birimlerinden oluşur. Başkanlık, dördüncü fıkrada sayılan görevleri daire başkanlıkları şeklinde teşkilatlanan hizmet birimleri aracılığıyla yerine getirir. Daire başkanlıklarının sayısı yediyi geçemez.

The Presidency is composed of Vice President and service units. The Presidency shall fulfil the duties listed in paragraph four through the service units which are organized as departments. The number of departments shall not be more than seven.

Art. 25(1), Law No. 6698

Başkan tarafından, Kuruma ilişkin görevlerinde yardımcı olmak üzere bir Başkan Yardımcısı atanır.

One Vice President shall be appointed by the President in order to assist him/her in his/her administrative duties.

Art. 25(2), Law No. 6698

Başkan Yardımcısı ve daire başkanları; en az dört yıllık yükseköğretim kurumu mezunu, on yıl süreyle kamu hizmetinde bulunan kişiler arasından Başkan tarafından atanır.

The Vice President and Heads of Departments shall be appointed by the President among those who have a bachelor degree of at least 4 year program and served in the public institutions for at least ten years.

Art. 25(3), Law No. 6698

Başkanlığın görevleri şunlardır:

The duties of the Presidency are as follows,

Art. 25(4), Law No. 6698

a) Veri Sorumluları Sicilini tutmak.

a) to maintain the Data Controllers’ Registry.

b) Kurumun ve Kurulun büro ve sekretarya işlemlerini yürütmek.

b) to carry out clerical services for the Authority and the Board.

c) Kurumun taraf olduğu davalar ile icra takiplerinde avukatlar vasıtasıyla Kurumu temsil etmek, davaları takip etmek veya ettirmek, hukuk hizmetlerini yürütmek.

c) to represent the Authority through attorneys-at-law at the proceedings and enforcement proceedings to which the Authority is a party; to follow up such proceedings or have them followed up and carry out the legal services.

ç) Kurul üyeleri ile Kurumda görev yapanların özlük işlemlerini yürütmek.

ç) to carry out personnel-related services of the Board members and Authority’s personnel.

d) Kanunlarla mali hizmet ve strateji geliştirme birimlerine verilen görevleri yapmak.

d) to perform the duties referred to in laws with regard to financial services and strategy development units.

e) Kurumun iş ve işlemlerinin yürütülmesi amacıyla bilişim sisteminin kurulmasını ve kullanılmasını sağlamak.

e) to ensure that the information systems are established and used in order to carry operations of the Authority.

f) Kurulun yıllık faaliyetleri hakkında veya ihtiyaç duyulan konularda rapor taslaklarını hazırlamak ve Kurula sunmak.

f) to draft reports on the annual activities of the Authority or on other issues which are deemed needed, and submit them to the Board.

g) Kurumun stratejik plan taslağını hazırlamak.

g) to draft the Strategic Plan of the Authority.

ğ) Kurumun personel politikasını belirlemek, personelin kariyer ve eğitim planlarını hazırlamak ve uygulamak.

ğ) to determine the personnel policy of the Authority, prepare and implement the education and career-based plans for the personnel.

h) Personelin atama, nakil, disiplin, performans, terfi, emeklilik ve benzeri işlemlerini yürütmek.

h) to carry out the appointment, transfer, discipline, performance, promotion, retirement and other similar procedures regarding the personnel.

ı) Personelin uyacağı etik kuralları belirlemek ve gerekli eğitimi vermek.

ı) to determine the ethical principles for the personnel and provide necessary training.

i) 10/12/2003 tarihli ve 5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanunu çerçevesinde Kurumun ihtiyacı olan her türlü satın alma, kiralama, bakım, onarım, yapım, arşiv, sağlık, sosyal ve benzeri hizmetleri yürütmek.

i) to carry out the services with regard to purchasing, leasing, maintenance, repair, construction, archive, health and social issues and similar ones within the framework of the Public Financial Management and Control Law No. 5018 of 10/12/2003.

j) Kuruma ait taşınır ve taşınmazların kayıtlarını tutmak.

j) to keep record of the movable and immovable properties of the Authority

k) Kurul veya Başkan tarafından verilen diğer görevleri yapmak.

k) to fulfil other duties conferred by the Board or the President.

Hizmet birimleri ile bu birimlerin çalışma usul ve esasları, bu Kanunda belirtilen faaliyet alanı, görev ve yetkilere uygun olarak Kurumun teklifi üzerine Cumhurbaşkanınca yürürlüğe konulan yönetmelikle belirlenir.7

Service units and their working procedures and principles shall be laid down through a by-law which is brought into force by President of the Republic of Türkiye in compliance with the field of activity, duties and powers stated in the Law upon Authority’s proposal.7

Art. 25(5), Law No. 6698

DİPNOTLAR · RESMÎ KONSOLİDE METİN

Footnotes of the official Turkish consolidation · English rendering ours

Dipnot 7: 2/7/2018 tarihli ve 703 sayılı KHK’nin 163 üncü maddesiyle, bu fıkrada yer alan “Bakanlar Kurulu kararıyla” ibaresi “Cumhurbaşkanınca” şeklinde değiştirilmiştir.

Footnote 7: Article 163 of Decree-Law No. 703 of 2/7/2018 replaced “by decision of the Council of Ministers” in this paragraph with “by the President”.

MADDE 26

Kişisel Verileri Koruma Uzmanı ve uzman yardımcıları

Article 26

The Personal Data Protection Experts and the Assistant Experts

Kurumda, Kişisel Verileri Koruma Uzmanı ve Kişisel Verileri Koruma Uzman Yardımcısı istihdam edilebilir. Bunlardan 657 sayılı Kanunun ek 41 inci maddesi çerçevesinde Kişisel Verileri Koruma Uzmanı kadrosuna atananlara bir defaya mahsus olmak üzere bir derece yükseltilmesi uygulanır.

The Personal Data Protection Experts and the Assistant Experts may be recruited by the Authority. The experts and assistant experts who are appointed as Personal Data Protection Expert within the framework of additional Article 41 of the Law No. 657 shall receive one extra grade for once only.

Art. 26(1), Law No. 6698

MADDE 27

Personele ve özlük haklarına ilişkin hükümler

Article 27

Provisions on the Personnel and Personnel Rights

Kurum personeli, bu Kanunla düzenlenen hususlar dışında 657 sayılı Kanuna tabidir.

Personnel of the Authority shall be subject to the Law No. 657, excluding the matters regulated through this Law.

Art. 27(1), Law No. 6698

Kurul Başkan ve üyeleri ile Kurum personeline 27/6/1989 tarihli ve 375 sayılı Kanun Hükmünde Kararnamenin ek 11 inci maddesi uyarınca belirlenmiş emsali personele mali ve sosyal haklar kapsamında yapılan ödemeler aynı usul ve esaslar çerçevesinde ödenir. Emsali personele yapılan ödemelerden vergi ve diğer yasal kesintilere tabi olmayanlar bu Kanuna göre de vergi ve diğer kesintilere tabi olmaz.

Head and members of the Board and personnel of the Authority shall receive remunerations determined to be paid to the precedent personnel, within the scope of financial and social rights, as per Additional Article 11 of the Decree Law No. 375 of 27/6/1989, within the framework of the same procedures and principles applicable. Among the remunerations paid to the precedent personnel, those which are exempt from taxes and other legal deductions shall also be exempt from taxes and deductions as per the Law.

Art. 27(2), Law No. 6698

Kurul Başkan ve üyeleri ile Kurum personeli 31/5/2006 tarihli ve 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanununun 4 üncü maddesinin birinci fıkrasının (c) bendi hükümlerine tabidir. Kurul Başkan ve üyeleri ile Kurum personeli emeklilik hakları bakımından da emsali olarak belirlenen personel ile denk kabul edilir. 5510 sayılı Kanunun 4 üncü maddesinin birinci fıkrasının (c) bendi kapsamında sigortalı iken Kurul Başkanı ve üyeliklerine atananlardan bu görevleri sona erenler veya bu görevlerinden ayrılma isteğinde bulunanların bu görevlerde geçen hizmet süreleri kazanılmış hak aylık, derece ve kademelerinin tespitinde dikkate alınır. Bunlardan bu görevleri sırasında 5510 sayılı Kanunun geçici 4 üncü maddesi kapsamına girenlerin bu görevlerde geçen süreleri makam tazminatı ile temsil tazminatı ödenmesi gereken süre olarak değerlendirilir. Kamu kurum ve kuruluşlarında 5510 sayılı Kanunun 4 üncü maddesinin birinci fıkrasının (a) bendi kapsamında sigortalı iken Kurul Başkanı ve üyeliklerine atananların, önceki kurum ve kuruluşları ile ilişiklerinin kesilmesi kendilerine kıdem tazminatı veya iş sonu tazminatı ödenmesini gerektirmez. Bu durumda olanların kıdem tazminatı veya iş sonu tazminatı ödenmesi gereken hizmet süreleri, Kurul Başkanı ile Kurul üyeliği olarak geçen hizmet süreleri ile birleştirilir ve emeklilik ikramiyesi ödenecek süre olarak değerlendirilir.

Head and members of the Board and personnel of the Authority are subject to the sub-paragraph (c) of the first paragraph of Article 4 of the Social Insurance and General Health Insurance Law No. 5510 of 31/5/2006. Head and members of the Board and personnel of the Authority shall be considered equal with the precedent personnel in terms of retirement rights. Among the personnel who were appointed as Head and members of the Board when insured under sub-paragraph (c) of the first paragraph of Article 4 of the Law No. 5510, terms of office in these duties shall be considered while ascertaining acquired rights, pensions, grades and steps of those whose term of office ends or who express their will to resign. The relevant term of office of those who fall within the scope of Provisional Article 4 of the Law No. 5510 while on duty, shall be deemed as the period for which position and representation compensation should be paid. Removal from previous institutions and organisations of those who were appointed as Head and members of the Board when insured under sub-paragraph (a) of the first paragraph of Article 4 of the Law No. 5510, shall not entail receiving a severance pay or termination pay. In such a case, term of office qualified for a severance pay or redundancy payment, shall be added to the service periods spent as Head and member of the Board, and accepted as the period for which a retirement bonus.

Art. 27(3), Law No. 6698

Merkezi yönetim kapsamındaki kamu idarelerinde, sosyal güvenlik kurumlarında, mahallî idarelerde, mahallî idarelere bağlı idarelerde, mahallî idare birliklerinde, döner sermayeli kuruluşlarda, kanunlarla kurulan fonlarda, kamu tüzel kişiliğini haiz kuruluşlarda, sermayesinin yüzde ellisinden fazlası kamuya ait kuruluşlarda, iktisadi devlet teşekkülleri ve kamu iktisadi kuruluşları ile bunlara bağlı ortaklıklar ve müesseselerde görevli memurlar ile diğer kamu görevlileri kurumlarının muvafakati, hâkimler ve savcılar ise kendilerinin muvafakati ile aylık, ödenek, her türlü zam ve tazminatlar ile diğer mali ve sosyal hak ve yardımları kurumlarınca ödenmek kaydıyla geçici olarak Kurumda görevlendirilebilir. Kurumun bu konudaki talepleri, ilgili kurum ve kuruluşlarca öncelikle sonuçlandırılır. Bu şekilde görevlendirilen personel, kurumlarından aylıklı izinli sayılır. Bu personelin izinli oldukları sürece memuriyetleri ile ilgileri ve özlük hakları devam ettiği gibi, bu süreler yükselme ve emekliliklerinde de hesaba katılır ve yükselmeleri başkaca bir işleme gerek duyulmadan süresinde yapılır. Bu madde kapsamında görevlendirilenlerin, Kurumda geçirdikleri süreler, kendi kurumlarında geçirilmiş sayılır. Bu şekilde görevlendirilenlerin sayısı Kişisel Verileri Koruma Uzmanı ve Kişisel Verileri Koruma Uzman Yardımcısı toplam kadro sayısının yüzde onunu aşamaz ve görevlendirme süresi iki yılı geçemez. Ancak ihtiyaç hâlinde bu süre bir yıllık dönemler hâlinde uzatılabilir.8

Civil servants working in public administrations attached to the centralized government, social security institutions, local administrations, administrations attached to local administrations, local administrative unions, revolving fund enterprises, funds established with laws, public entities, organizations more than 50% of whose capital belongs to public, public economic enterprises, state-owned economic enterprises, and associations and establishments attached to these, as well as other public officials may be seconded to the Authority upon the consent of their own institution, judges and public prosecutors may be seconded upon their consent provided that their salaries, allowances, any increases thereof, compensations and other social and financial rights and aids are paid by their own institution. Requests of the Authority in this regard shall be concluded with priority by the related institutions and organizations. Personnel assigned accordingly shall be deemed on paid leave. During this leave, rights of the personnel and their connection with civil service shall be maintained, this period of leave shall be taken into account in promotions and retirement, and they shall be promoted in due time without any need to further action. Periods spent in the Authority by those assigned under this Article shall be deemed to have been spent in their own institutions. Number of the personnel assigned accordingly shall not exceed ten per cent of the total number of posts for Personal Data Protection Experts and Personal Data Protection Assistant Experts, and the term of assignment shall not exceed two years. However, when deemed necessary, this term may be extended in one-year periods.8

Art. 27(4), Law No. 6698

Kurumda istihdam edilecek personele ilişkin kadro unvan ve sayıları ekli (I) sayılı cetvelde gösterilmiştir. Toplam kadro sayısını geçmemek üzere 13/12/1983 tarihli ve 190 sayılı Genel Kadro ve Usulü Hakkında Kanun Hükmünde Kararnamenin eki cetvellerde yer alan kadro unvanlarıyla sınırlı olmak kaydıyla unvan ve derece değişikliği yapma, yeni unvan ekleme ve boş kadroların iptali Kurul kararıyla yapılır.

Titles and numbers of posts regarding the personnel to be employed in the Authority are presented in the annexed Table (I). Changes in titles and grade; addition of new titles and annulment of vacant posts shall be made upon the decision of the Board, provided that it shall not exceed the total number of posts, and shall be limited with the titles in the annexed tables of the Decree Law No. 190 on the General Posts and Procedures, dated 13/12/1983.

Art. 27(5), Law No. 6698

DİPNOTLAR · RESMÎ KONSOLİDE METİN

Footnotes of the official Turkish consolidation · English rendering ours

Dipnot 8: 28/11/2017 tarihli ve 7061 sayılı Kanunun 119 uncu maddesiyle bu fıkrada yer alan “diğer kamu görevlileri kurumlarının muvafakati” ibaresinden sonra gelmek üzere “, hâkimler ve savcılar ise kendilerinin muvafakati” ibaresi eklenmiştir.

Footnote 8: Article 119 of Law No. 7061 of 28/11/2017 inserted “and, for judges and prosecutors, their own consent” after “the consent of their institutions for other public officials” in this paragraph.

YEDİNCİ BÖLÜM · ÇEŞİTLİ HÜKÜMLER CHAPTER SEVEN · Miscellaneous

MADDE 28

İstisnalar

Article 28

Exemptions

Bu Kanun hükümleri aşağıdaki hâllerde uygulanmaz:

The provisions of this Law shall not be applied in the following cases where:

Art. 28(1), Law No. 6698

a) Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.

a) personal data are processed by natural persons within the scope of purely personal activities of the data subject or of family members living together with him/her in the same dwelling provided that it is not to be disclosed to third parties and the obligations about data security is to be complied with.

b) Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.

b) personal data are processed for official statistics and provided that they are being anonymized for the purposes for such as research, planning and statistics.

c) Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.

c) personal data are processed with artistic, historical, literary or scientific purposes, or within the scope of freedom of expression provided that national defence, national security, public security, public order, economic security, right to privacy or personal rights are not violated or the process doesn’t constitute a crime.

ç) Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.

ç) personal data are processed within the scope of preventive, protective and intelligence activities carried out by public institutions and organizations duly authorised and assigned by law to maintain national defence, national security, public security, public order or economic security.

d) Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

d) personal data are processed by judicial authorities or execution authorities with regard to investigation, prosecution, judicial or execution proceedings.

Bu Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen 10 uncu, zararın giderilmesini talep etme hakkı hariç, ilgili kişinin haklarını düzenleyen 11 inci ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16 ncı maddeleri aşağıdaki hâllerde uygulanmaz:

Provided that it is in compliance with and proportionate to the purpose and fundamental principles of this Law, Article 10 regarding the data controller’s obligation to inform, Article 11 regarding the rights of the data subject, excluding the right to claim compensation, and Article 16 regarding the obligation to register with the Data Controllers’ Registry shall not be applied in the following cases where personal data processing:

Art. 28(2), Law No. 6698

a) Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.

a) is necessary for the prevention of committing a crime or for crime investigation.

b) İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.

b) is carried out on the data which are made public by the data subject himself/herself.

c) Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.

c) is necessary for performance of supervision or regulatory duties and disciplinary investigation and prosecution to be carried out by the assigned and authorised public institutions and organizations and by public professional organizations, in accordance with the power conferred on them by the law,

ç) Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

ç) is necessary for protection economic and financial interests of State related to budget, tax and financial matters.

MADDE 29

Kurumun bütçesi ve gelirleri

Article 29

The Budget and the Revenues of the Authority

Kurumun bütçesi, 5018 sayılı Kanunda belirlenen usul ve esaslara göre hazırlanır ve kabul edilir.

The budget of the Authority shall be prepared and adopted in accordance with procedures and principles provided for in the Law No. 5018.

Art. 29(1), Law No. 6698

Kurumun gelirleri şunlardır:

The revenues of the Authority are as follows;

Art. 29(2), Law No. 6698

a) Genel bütçeden yapılacak hazine yardımları.

a) Treasury grants from the general budget.

b) Kuruma ait taşınır ve taşınmazlardan elde edilen gelirler.

b) The revenues from the movable and immovable properties of the Authority.

c) Alınan bağış ve yardımlar.

c) Donations and grants received.

ç) Gelirlerinin değerlendirilmesinden elde edilen gelirler.

ç) The revenues from the utilization of the revenues.

d) Diğer gelirler.

d) Other revenues.

MADDE 30

Değiştirilen ve eklenen hükümler

Article 30

Amended and Added Provisions

(10/12/2003 tarihli ve 5018 sayılı Kanun ile ilgili olup yerine işlenmiştir.)

(It is related to the Law No. 5018 and dated 10/12/2003 and inserted therein)

Art. 30(1), Law No. 6698

(26/9/2004 tarihli ve 5237 sayılı Kanun ile ilgili olup yerine işlenmiştir.)

(It is related to the Law No. 5237 and dated 26/9/2004 and inserted therein)

Art. 30(2-5), Law No. 6698

(7/5/1987 tarihli ve 3359 sayılı Sağlık Hizmetleri Temel Kanunu ile ilgili olup yerine işlenmiştir.)

(It is related to the Law No. 3359 and dated 7/5/1987 and inserted therein)

Art. 30(6), Law No. 6698

(11/10/2011 tarihli ve 663 sayılı Sağlık Bakanlığı ve Bağlı Kuruluşlarının Teşkilat ve Görevleri Hakkında Kanun Hükmünde Kararname ile ilgili olup yerine işlenmiştir.)

(It is related to the- Organization and Responsibilities of Ministry of Health and its Associated Institutions – Decree Law No 663 and dated 11/10/2011 and inserted herein)

Art. 30(7), Law No. 6698

MADDE 31

Yönetmelik

Article 31

By-law

Bu Kanunun uygulanmasına ilişkin yönetmelikler Kurum tarafından yürürlüğe konulur.

By-laws related to the implementation of this Law shall be brought into force by the Authority.

Art. 31(1), Law No. 6698

GEÇİCİ MADDE 1

Geçiş hükümleri

Provisional Article 1

Transitional Provisions

Bu Kanunun yayımı tarihinden itibaren altı ay içinde 21 inci maddede öngörülen usule göre Kurul üyeleri seçilir ve Başkanlık teşkilatı oluşturulur.

The members of the Board shall be elected and the organizational structure of the Presidency shall be established within six months following the date of publication of this Law, as per the procedure stipulated in Article 21.

Provisional Art. 1(1), Law No. 6698

Veri sorumluları, Kurul tarafından belirlenen ve ilan edilen süre içinde Veri Sorumluları Siciline kayıt yaptırmak zorundadır.

Data controllers are obliged to register with the Data Controllers’ Registry within the time specified and announced by the Board.

Provisional Art. 1(2), Law No. 6698

Bu Kanunun yayımı tarihinden önce işlenmiş olan kişisel veriler, yayımı tarihinden itibaren iki yıl içinde bu Kanun hükümlerine uygun hâle getirilir. Bu Kanun hükümlerine aykırı olduğu tespit edilen kişisel veriler derhâl silinir, yok edilir veya anonim hâle getirilir. Ancak bu Kanunun yayımı tarihinden önce hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmaması hâlinde, bu Kanuna uygun kabul edilir.

The personal data that were processed before the publication date of this Law shall be rendered compatible with the provisions of this Law within two years as of its date of publication. The personal data which are found to be not complying with the provisions of this Law shall be immediately erased, destructed or anonymized. However, consents duly taken before the publication date of this Law shall be deemed compatible with the provisions of this Law, unless no declaration of intent is made to the contrary within one year.

Provisional Art. 1(3), Law No. 6698

Bu Kanunda öngörülen yönetmelikler bu Kanunun yayımı tarihinden itibaren bir yıl içinde yürürlüğe konulur.

The by-laws provided for by this Law shall be brought into force within one year as of the date of publication of this Law.

Provisional Art. 1(4), Law No. 6698

Bu Kanunun yayımı tarihinden itibaren bir yıl içinde, kamu kurum ve kuruluşlarında bu Kanunun uygulanmasıyla ilgili koordinasyonu sağlamak üzere üst düzey bir yönetici belirlenerek Başkanlığa bildirilir.

A high-level executive, to ensure coordination with regard to the implementation of the Law in public institutions and organisations, shall be appointed and notified to the Presidency within one year as of the date of publication of this Law.

Provisional Art. 1(5), Law No. 6698

İlk seçilen Başkan, İkinci Başkan ve kura ile belirlenen iki üye altı yıl; diğer beş üye ise dört yıl görev yapar.

The term of office for the first elected President, the Second President, and two members who are determined by ballot, shall be six years; this period shall be four years for the remaining five members.

Provisional Art. 1(6), Law No. 6698

Kuruma bütçe tahsis edilene kadar;

Until the budget of the Authority is allocated;

Provisional Art. 1(7), Law No. 6698

a) Kurumun giderleri Başbakanlık bütçesinden karşılanır.

a) The expenditures of the Authority shall be reimbursed by the budget of the office of the Prime Minister.

b) Kurumun hizmetlerini yerine getirmesi amacıyla bina, araç, gereç, mefruşat ve donanım gibi gerekli tüm destek hizmetleri Başbakanlıkça sağlanır.

b) All necessary support services such as the premises, equipment, furnishing and the hardware shall be provided by the office of the Prime Minister in order for the Authority to fulfil its duties.

Kurumun hizmet birimleri faaliyete geçinceye kadar sekretarya hizmetleri Başbakanlık tarafından yerine getirilir.

The clerical services of the Authority shall be carried out by the office of the Prime Minister until the service units of the Authority has become fully functional.

Provisional Art. 1(8), Law No. 6698

GEÇİCİ MADDE 2 (Ek:28/11/2017-7061/120 md.)

Provisional Article 2 (Added:28/11/2017 – Article 7061/120)

Added by 28.11.2017 · 7061/120

En az dört yıllık lisans öğrenimi veren siyasal bilgiler, iktisadi ve idari bilimler, iktisat, hukuk ve işletme fakültelerinden, mühendislik fakültelerinin elektronik, elektrik-elektronik, elektronik ve haberleşme, bilgisayar, bilişim sistemleri mühendisliği bölümlerinden ya da bunlara denkliği Yükseköğretim Kurulu tarafından kabul edilen yurt içi ve yurt dışındaki yükseköğrenim kurumlarından mezun olanlardan; mesleğe özel yarışma sınavı ile girilen ve belirli süreli meslek içi eğitimden ve özel bir yeterlik sınavından sonra 657 sayılı Kanunun 36 ncı maddesinin “Ortak Hükümler” başlıklı bölümünün (A) fıkrasının (11) numaralı bendinde belirtilen unvanlara ilişkin kurumların merkez teşkilatlarına ait kadrolara atanmış ve bu kadrolarda aylıksız izin süreleri hariç en az iki yıl bulunmuş olanlar ile öğretim üyesi kadrolarında bulunanlar, Yabancı Dil Bilgisi Seviye Tespit Sınavından en az yetmiş puan almış olmak ve atama tarihi itibarıyla kırk yaşından gün almamış olmak kaydıyla, bu maddenin yürürlüğe girdiği tarihten itibaren bir yıl içinde Kişisel Verileri Koruma Uzmanı olarak atanabilirler. Bu şekilde atanacakların sayısı on beşi geçemez.

Those who are graduated from 4-year degree program from faculties of political sciences, economics and administrative sciences, faculty of law and business administration or the departments of electronics or electrical and electronic engineering, electronic and communication engineering, computer engineering, information systems engineering of faculty of engineering in Türkiye or abroad whose accreditation have been recognized by Council of Higher Education; and who have served for more than two years excluding annual leaves at positions indicated in sub-paragraph (11) of paragraph (A) of “Common Terms” Article 36 of the Law No 657 which requires occupational qualification test and on-the-job training and lecturers, having taken minimum 70 points at Foreign Language Placement Test and who are younger than 40 year old may be assigned as Personal Data Protection Expert. Number of personnel to be assigned in regard may not exceed fifteen.

Provisional Art. 2(1), Law No. 6698

GEÇİCİ MADDE 3 (Ek:2/3/2024-7499/36 md.)

Provisional Article 3 (Added: 2/3/2024- Art. 7499/36)

Transitional Provisions

Added by 02.03.2024 · 7499/36

9 uncu maddenin bu maddeyi ihdas eden Kanunla değiştirilmeden önceki birinci fıkrası, maddenin yürürlüğe giren değişik haliyle birlikte 1/9/2024 tarihine kadar uygulanmaya devam olunur.

The first paragraph of Article 9, as it existed before the amendment introduced by the law, shall remain in effect until 1/9/2024, alongside the amended version that entered into force.

Provisional Art. 3(1), Law No. 6698

1/6/2024 tarihi itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvurular, bu hâkimliklerce görülmeye devam olunur.

Applications pending before the criminal judgeships of peace as of 1/6/2024 shall continue to be processed by these judgeships.

Provisional Art. 3(2), Law No. 6698

MADDE 32

Yürürlük

Article 32

Entry into force

Bu Kanunun;

For the purposes of this Law;

Art. 32(1), Law No. 6698

a) 8 inci, 9 uncu, 11 inci, 13 üncü, 14 üncü, 15 inci, 16 ncı, 17 nci ve 18 inci maddeleri yayımı tarihinden altı ay sonra,

a) Articles 8, 9, 11, 13, 14, 15, 16, 17 and 18 shall enter into force after six months as of the date of its publication.

b) Diğer maddeleri ise yayımı tarihinde,

b) Other Articles shall enter into force on the date of its publication.

yürürlüğe girer.

MADDE 33

Yürütme

Article 33

Enforcement

Bu Kanun hükümlerini Bakanlar Kurulu yürütür.

The provisions of this law shall be enforced by the Council of Ministers.

Art. 33(1), Law No. 6698

End of instrument

36 articles · 7 chapters · 155 subparagraph enumerators

Contents

If this raised a question

Three pieces of work, each one bounded and named. Every one of them is a reading of this instrument against your own facts, delivered in writing.

  • Transfer regime readiness check

    We read your actual transfers against Article 9 and the 2024 By-Law and tell you which mechanism carries each one — standard contract, binding corporate rules, written undertaking, or a genuine occasional-transfer derogation — whether a notification was due, and where a late one leaves you.

    Have a transfer checked

  • VERBİS registration test

    A written yes or no with the reasoning, tested against the Authority’s current exemption criteria — and, for controllers established outside Türkiye, whether a representative in Türkiye must be appointed first and what that appointment actually obliges.

    Test the obligation

  • Article 18 exposure note

    A written reading of which of the five bands in Article 18(1) your current practice exposes you to, at 2026 values, with the sentence each band comes from — a reading of the statute against your facts, not a prediction of what the Board will do, and the note says so on its own face.

    Get the exposure note

Direct line info@gdpr.com.tr +90 212 951 0177