Kanuna göre, kişisel veriler ilgili kişinin açık rızası olmadıkça işlenemeyecek. Yasa kapsamında, kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak kurulun izniyle yurtdışına aktarılabilecek.
Ancak; kanunlarda açıkça öngörülmesi, rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı ve beden bütünlüğünün korunması için zorunlu olması, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması şartlarından herhangi birinin varlığı halinde kişinin açık rızası olması şartı aranmayacak.
SENDİKA ÜYELİĞİ KİŞİSEL VERİ SAYILACAK
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri sayılacak.
Özel nitelikli kişisel verilerin ilgilinin açık rızası olmaksızın işlenmesi yasak olacak. Özel nitelikli kişisel verilerin işlenmesinde ayrıca Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması şart olacak. İlgili kanun hükümlerine göre uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler, resen veya ilgili kişinin talebi üzerine silinecek, yok edilecek veya anonim hale getirilecek. Bu hüküm bir yönetmelikle düzenlenecek. Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamayacak, ancak yukarıda belirtilen şartlardan birinin bulunması halinde açık rıza aranmadan aktarılabilecek.
YETERLİ BİR KORUMA SAĞLANMALI
Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamayacak. Kişisel veriler ancak; kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması, yeterli korumanın bulunmaması durumunda Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve kurulun izninin bulunması şartıyla yurt dışına aktarılabilecek.
İZİNLE YURTDIŞINA AKTARILACAK
Yasa kapsamında, kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak kurulun izniyle yurtdışına aktarılabilecek.
Yasaya göre, herkes, kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenebilecek. Kişisel verileri işlenmişse buna ilişkin bilgi talep edebilecek. Kişisel verilerin aktarıldığı üçüncü kişileri bilebilecek. Kişisel verilerin eksik veya yanlış işlenmesi halinde bunların düzeltilmesini, silinmesini veya yok edilmesini talep edebilecek. Bu verilerin ilgili kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini isteyebilecek.
HUKUKA AYKIRI ERİŞİLMESİNİ ENGELLEMEKLE YÜKÜMLÜ
Düzenleme hükümlerine aykırı olduğu tespit edilen kişisel veriler derhal silinecek, yok edilecek veya anonim hale getirilecek. Ancak bu kanunun yayımı tarihinden önce hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmaması halinde bu kanuna uygun kabul edilecek. Yasaya göre, veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı olarak erişilmesini önlemekle yükümlü olacak.
Veri sorumlusu ayrıca, bu verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri alacak. Veri sorumluları, öğrendikleri kişisel verileri bu düzenlemedeki hükümlere aykırı olarak başkasına açıklayamayacak ve kendi şahsi çıkarları için kullanamayacak. Bu yükümlülük, görevden ayrılmalarından sonra da devam edecek.
Yasanın veri sorumlusuna başvuru şekline ilişkin maddeye göre, ilgili kişi taleplerini veri sorumlusuna iletecek. Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandıracak. Başvurusu reddedilen kişi, cevabı öğrendiği tarihten itibaren 30 ve her halde başvuru tarihinden itibaren 60 gün içinde yönetmelik kapsamında oluşturulacak Kişisel Verileri Koruma Kurulu'na şikayette bulunabilecek. Kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklı olacak.
Yasaya göre, altı ay içinde, yasayla belirlenen usul kapsamında Kişisel Verileri Koruma Kurulu üyeleri seçilecek ve Başkanlık teşkilatı oluşturulacak.