KVKK ve GDPR karşılaştırması

Bu Tüzük’ün amaçları doğrultusunda:

(1) "kişisel veri" kimliği belirlenmiş veya belirlenebilir bir gerçek kişiye (“veri öznesi”) ilişkin her türlü bilgidir; kimliği belirlenebilir bir gerçek kişi, özellikle bir isim, kimlik numarası, konum verileri, çevrim içi tanımlayıcı gibi bir tanımlayıcıya ya da söz konusu gerçek kişinin fiziksel, fizyolojik, genetik, ruhsal, ekonomik, kültürel veya toplumsal kimliğine özgü bir ya da daha fazla sayıda faktöre atıfta bulunularak doğrudan veya dolaylı olarak belirlenmiş bir kişidir.

(2) "işleme" otomatik yollarla olsun veya olmasın, kişisel veriler veya kişisel veri setleri üzerinde gerçekleştirilen toplama, kaydetme, düzenleme, yapılandırma, depolama, uyarlama veya değiştirme, geri getirme, danışma, kullanma, iletim yoluyla açıklama, yayma veya bir başka şekilde kullanıma sunma, uyumlaştırma ya da birleştirme, kısıtlama, kalıcı olarak silme veya yok etme gibi herhangi bir işlem veya işlem setidir.

(3) "işlemenin kısıtlanması" depolanan kişisel verilerin gelecekte işlenmelerinin sınırlanması amacıyla işaretlenmesidir.

(4) "profilleme" kişisel verilerin, bir gerçek kişiyle ilgili bazı kişisel özellikleri değerlendirmek, özellikle söz konusu gerçek kişinin işteki performansı, ekonomik durumu, sağlığı, kişisel tercihleri, ilgi alanları, güvenilirliği, davranışları, konumu veya hareketlerine ilişkin hususları analiz etmek veya tahmin etmek amacıyla kişisel verilerin kullanılmasını içeren her türlü otomatik işlenmesi biçimidir.

(5) "takma ad kullanımı" ek bilgilerin ayrı tutulması ve kişisel verilerin kimliği belirlenmiş veya belirlenebilir bir gerçek kişiyle ilişkilendirilmemesinin sağlanması amacıyla teknik ve düzenlemeye ilişkin tedbirlere tabi olması koşuluyla, kişisel verilerin söz konusu ek bilgiler kullanılmaksızın belirli bir veri öznesiyle artık ilişkilendirilemeyecek şekilde işlenmesidir.

(6) "dosyalama sistemi" işlevsel veya coğrafi bir temelde, merkezi, merkezi olmayan veya dağınık olmasına bakılmaksızın, belirli kriterlere göre erişilebilen yapılandırılmış kişisel veri setidir.

(7) "veri sorumlusu" yalnız başına veya başkalarıyla birlikte kişisel verilerin işlenmesinin amaçlarını ve yollarını belirleyen gerçek veya tüzel kişi, kamu makamı, kamu kurumu veya diğer organlardır; söz konusu işlemenin amaçları ve yollarının Birlik ya da Üye Devlet hukukuna göre belirlenmesi halinde, veri sorumlusu veya veri sorumlusunun tayinine özgü kriterler Birlik ya da Üye Devlet hukukuna göre öngörülebilir.

(8) "veri işleyen" veri sorumlusu adına kişisel verileri işleyen bir gerçek ya da tüzel kişi, kamu makamı, kamu kurumu veya diğer organlardır.

(9) "alıcı" üçüncü kişi olsun veya olmasın, kişisel verilerin açıklandığı gerçek ya da tüzel kişi, kamu makamı, kamu kurumu veya diğer organlardır. Ancak kişisel verileri, Birlik veya Üye Devlet hukuku uyarınca belirli bir sorgulama çerçevesinde alabilen kamu makamları alıcı olarak nitelendirilmez; bu verilerin söz konusu kamu makamları tarafından işlenmesi, işleme amaçlarına göre geçerli veri koruma kurallarına uygun olarak yapılır.

(10) "üçüncü kişi" veri öznesi, veri sorumlusu, veri işleyen ve veri sorumlusu ya da veri işleyenin doğrudan otoritesi altında, kişisel verileri işleme yetkisi bulunan kişiler haricindeki bir gerçek veya tüzel kişi, kamu makamı, kamu kuruluşu veya organıdır.

(11) veri öznesinin "rızası" veri öznesinin, bir beyanla ya da açık bir onay eylemiyle kendisiyle ilgili kişisel verilerin işlenmesini kabul ettiğini belirttiği, özgür bir şekilde, spesifik, bilinçli ve açıkça ifade edilen istekleridir.

(12) "kişisel veri ihlâli" iletilen, depolanan veya başka bir şekilde işlenen kişisel verilerin kazara veya hukuk dışı yollarla yok edilmesi, kaybı, değiştirilmesi, izinsiz şekilde açıklanması veya bunlara erişime yol açan bir güvenlik ihlâlidir.

(13) "genetik veri" bir gerçek kişinin fizyoloji veya sağlığı ile ilgili benzersiz bilgiler sağlayan ve özellikle, söz konusu gerçek kişiden alınan bir biyolojik numunenin analizi ile ortaya çıkan, gerçek kişinin kalıtsal veya edinilmiş genetik özellikleri ile ilgili kişisel verilerdir.

(14) "biyometrik veri" yüz görüntüleri veya daktiloskopik veriler gibi bir gerçek kişinin kimliğinin benzersiz şekilde belirlenmesini sağlayan veya bunu teyit eden fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin olarak belirli teknik işleme ile ortaya çıkan kişisel verilerdir.

(15) "sağlık verileri" sağlık hizmetlerinin sağlanması da dâhil olmak üzere, bir gerçek kişinin sağlık durumuyla ilgili bilgileri açığa çıkaran, söz konusu gerçek kişinin fiziksel veya ruhsal sağlığına ilişkin kişisel verilerdir.

(16) "ana kuruluş":

(a) birden fazla Üye Devlet'te kuruluşu bulunan bir veri sorumlusu ile ilgili olarak, kişisel verilerin işlenmesine ilişkin amaçlar ve yollara yönelik kararların veri sorumlusunun Birlik içindeki diğer bir kuruluşunda alınmaması ve bu diğer kuruluşun söz konusu kararları uygulatma yetkisinin bulunmaması durumunda, ki bunların gerçekleşmesi hâlinde, söz konusu kararları alan kuruluş asıl kuruluş olarak kabul edilir, Birlik içindeki merkezi idare yeridir.

(b) birden fazla Üye Devlet'te kuruluşu bulunan bir veri işleyen ile ilgili olarak, Birlik içindeki merkezi idare yeridir veya veri işleyenin Birlik içinde merkezi bir idare yerinin bulunmaması hâlinde, veri işleyenin kuruluşunun faaliyetleri bağlamındaki temel işleme faaliyetlerinin, veri işleyenin bu Tüzük kapsamındaki belirli yükümlülüklere tabi olduğu ölçüde gerçekleştiği Birlik içindeki kuruluşudur.

(17) "temsilci" 27. madde uyarınca veri sorumlusu veya veri işleyen tarafından yazılı olarak belirlenen, bu Tüzük kapsamındaki yükümlülükleri bakımından veri sorumlusu veya veri işleyeni temsil eden ve Birlik içinde kurulmuş olan, gerçek veya tüzel kişidir.

(18) "işletme" düzenli olarak bir ekonomik faaliyetle iştigal eden ortaklıklar veya birlikler de dâhil olmak üzere, hukuki biçimine bakılmaksızın, bir ekonomik faaliyetle iştigal eden gerçek veya tüzel kişidir.

(19) "teşebbüsler grubu" bir idare eden teşebbüs ve onun idare ettiği teşebbüsleridir.

(20) "bağlayıcı şirket kuralları" teşebbüsler grubu veya ortak bir ekonomik faaliyette bulunan işletmeler grubu içinde bir veya daha fazla sayıda üçüncü ülkedeki bir veri sorumlusuna veya veri işleyene kişisel veri aktarımları veya aktarım setiyle ilgili olarak, Üye Devletlerden birinin topraklarında kurulmuş olan bir veri sorumlusu veya veri işleyen tarafından uyulan kişisel veri koruma politikalarıdır.

(21) "denetim makamı" 51. madde uyarınca bir Üye Devlet tarafından kurulan bağımsız bir kamu makamıdır.

(22) "ilgili denetim makamı" aşağıdaki sebeplerden dolayı kişisel verilerin işlenmesiyle ilgili olan bir denetim makamıdır:

(a) veri sorumlusu veya veri işleyenin, söz konusu denetim makamının bulunduğu Üye Devleti'in topraklarında kurulmuş olması;

(b) söz konusu denetim makamının bulunduğu Üye Devlet'te ikamet eden veri öznelerinin işlemeden kayda değer biçimde etkilenmesi veya kayda değer biçimde etkilenme ihtimalinin bulunması veya

(c) söz konusu denetim makamına bir şikâyette bulunulması;

(23) "sınır ötesi işleme":

(a) veri sorumlusu veya veri işleyenin birden fazla Üye Devlet'te kurulu olması hâlinde, kişisel verilerin, söz konusu veri sorumlusu veya veri işleyenin birden fazla Üye Devlet'te bulunan kuruluşlarının faaliyetleri bağlamında işlenmesidir veya

(b) bir veri sorumlusu veya veri işleyenin Birlik içinde bulunan tek bir kuruluşunun faaliyetleri bağlamında gerçekleşen, ancak birden fazla Üye Devlet'teki veri öznelerini kayda değer ölçüde etkileyen veya kayda değer ölçüde etkileme ihtimali bulunan kişisel veri işlemesidir.

(24) "yerinde ve gerekçeli itiraz" bir taslak karar açısından bu Tüzük ile ilgili bir ihlâl olup olmadığına veya veri sorumlusu veya veri işleyen ile ilgili olarak öngörülen eylemin bu Tüzük'e uygun olup olmadığına yönelik olarak yapılan ve taslak kararın veri öznelerinin temel hakları ve özgürlükleri ve uygun olduğu hâllerde, kişisel verilerin Birlik içinde akışı açısından teşkil ettiği risklerin önemini açık bir şekilde gösteren itirazdır.

(25) "bilgi toplumu hizmeti" (AB) 2015/1535 sayılı Avrupa Parlamentosu ve Konsey Direktifi’nin 1(1) maddesinin (b) bendinde tanımlanan hizmettir;

(26) "uluslararası kuruluş" uluslararası kamu hukuku ile düzenlenen bir kuruluş ve söz konusu kuruluşa bağlı organlar veya iki ya da daha fazla sayıda ülke arasındaki bir anlaşma ile veya böyle bir anlaşmaya dayanılarak kurulan diğer organlardır.

For the purposes of this Regulation:

(1) ‘personal data’ means any information relating to an identified or identifiable natural person (‘data subject’); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person;

(2) ‘processing’ means any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;

(3) ‘restriction of processing’ means the marking of stored personal data with the aim of limiting their processing in the future;

(4) ‘profiling’ means any form of automated processing of personal data consisting of the use of personal data to evaluate certain personal aspects relating to a natural person, in particular to analyse or predict aspects concerning that natural person's performance at work, economic situation, health, personal preferences, interests, reliability, behaviour, location or movements;

(5) ‘pseudonymisation’ means the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information, provided that such additional information is kept separately and is subject to technical and organisational measures to ensure that the personal data are not attributed to an identified or identifiable natural person;

(6) ‘filing system’ means any structured set of personal data which are accessible according to specific criteria, whether centralised, decentralised or dispersed on a functional or geographical basis;

(7) ‘controller’ means the natural or legal person, public authority, agency or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data; where the purposes and means of such processing are determined by Union or Member State law, the controller or the specific criteria for its nomination may be provided for by Union or Member State law;

(8) ‘processor’ means a natural or legal person, public authority, agency or other body which processes personal data on behalf of the controller;

(9) ‘recipient’ means a natural or legal person, public authority, agency or another body, to which the personal data are disclosed, whether a third party or not. However, public authorities which may receive personal data in the framework of a particular inquiry in accordance with Union or Member State law shall not be regarded as recipients; the processing of those data by those public authorities shall be in compliance with the applicable data protection rules according to the purposes of the processing;

(10) ‘third party’ means a natural or legal person, public authority, agency or body other than the data subject, controller, processor and persons who, under the direct authority of the controller or processor, are authorised to process personal data;

(11) ‘consent’ of the data subject means any freely given, specific, informed and unambiguous indication of the data subject's wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her;

(12) ‘personal data breach’ means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed;

(13) ‘genetic data’ means personal data relating to the inherited or acquired genetic characteristics of a natural person which give unique information about the physiology or the health of that natural person and which result, in particular, from an analysis of a biological sample from the natural person in question;

(14) ‘biometric data’ means personal data resulting from specific technical processing relating to the physical, physiological or behavioural characteristics of a natural person, which allow or confirm the unique identification of that natural person, such as facial images or dactyloscopic data;

(15) ‘data concerning health’ means personal data related to the physical or mental health of a natural person, including the provision of health care services, which reveal information about his or her health status;

(16) ‘main establishment’ means:

(a) as regards a controller with establishments in more than one Member State, the place of its central administration in the Union, unless the decisions on the purposes and means of the processing of personal data are taken in another establishment of the controller in the Union and the latter establishment has the power to have such decisions implemented, in which case the establishment having taken such decisions is to be considered to be the main establishment;

(b) as regards a processor with establishments in more than one Member State, the place of its central administration in the Union, or, if the processor has no central administration in the Union, the establishment of the processor in the Union where the main processing activities in the context of the activities of an establishment of the processor take place to the extent that the processor is subject to specific obligations under this Regulation;

(17) ‘representative’ means a natural or legal person established in the Union who, designated by the controller or processor in writing pursuant to Article 27, represents the controller or processor with regard to their respective obligations under this Regulation;

(18) ‘enterprise’ means a natural or legal person engaged in an economic activity, irrespective of its legal form, including partnerships or associations regularly engaged in an economic activity;

(19) ‘group of undertakings’ means a controlling undertaking and its controlled undertakings;

(20) ‘binding corporate rules’ means personal data protection policies which are adhered to by a controller or processor established on the territory of a Member State for transfers or a set of transfers of personal data to a controller or processor in one or more third countries within a group of undertakings, or group of enterprises engaged in a joint economic activity;

(21) ‘supervisory authority’ means an independent public authority which is established by a Member State pursuant to Article 51;

(22) ‘supervisory authority concerned’ means a supervisory authority which is concerned by the processing of personal data because:

(a) the controller or processor is established on the territory of the Member State of that supervisory authority;

(b) data subjects residing in the Member State of that supervisory authority are substantially affected or likely to be substantially affected by the processing; or

(c) a complaint has been lodged with that supervisory authority;

(23) ‘cross-border processing’ means either:

(a) processing of personal data which takes place in the context of the activities of establishments in more than one Member State of a controller or processor in the Union where the controller or processor is established in more than one Member State; or

(b) processing of personal data which takes place in the context of the activities of a single establishment of a controller or processor in the Union but which substantially affects or is likely to substantially affect data subjects in more than one Member State.

(24) ‘relevant and reasoned objection’ means an objection to a draft decision as to whether there is an infringement of this Regulation, or whether envisaged action in relation to the controller or processor complies with this Regulation, which clearly demonstrates the significance of the risks posed by the draft decision as regards the fundamental rights and freedoms of data subjects and, where applicable, the free flow of personal data within the Union;

(25) ‘information society service’ means a service as defined in point (b) of Article 1(1) of Directive (EU) 2015/1535 of the European Parliament and of the Council ;

(26) ‘international organisation’ means an organisation and its subordinate bodies governed by public international law, or any other body which is set up by, or on the basis of, an agreement between two or more countries.

1. İşleme, ancak aşağıdaki hususlardan en az biri geçerli olduğunda ve geçerli olduğu ölçüde hukuka uygundur:

(a) veri öznesinin, kişisel verilerinin bir ya da daha fazla spesifik amaca yönelik olarak işlenmesine rıza vermesi;

(b) veri öznesinin taraf olduğu bir sözleşmenin uygulanması veya bir sözleşme yapılmadan önce veri öznesinin talebiyle adımlar atılması için işlemenin gerekli olması;

(c) veri sorumlusunun tabi olduğu bir yasal yükümlülüğe uyulması amacıyla işlemenin gerekli olması;

(d) veri öznesinin veya diğer bir gerçek kişinin hayati menfaatlerinin korunması amacıyla işlemenin gerekli olması;

(e) kamu yararına gerçekleştirilen bir görevin yerine getirilmesi veya veri sorumlusuna verilen resmi bir yetkinin kullanılması için işlemenin gerekli olması;

(f) özellikle veri öznesinin çocuk olması hâlinde, kişisel verilerin korunmasını gerektiren, veri öznesinin menfaatleri veya temel hak ve özgürlüklerinin bir veri sorumlusu veya üçüncü kişi tarafından gözetilen meşru menfaatlere ağır basması haricinde, söz konusu meşru menfaatler doğrultusunda işlemenin gerekli olması. Birinci alt paragrafın (f) bendi, kamu makamlarının, görevlerini yerine getirirken veri işlemelerinde uygulanmaz.

2. Üye Devletler, IX. Bölümde öngörülen diğer spesifik işleme durumları da dâhil olmak üzere, hukuka uygun ve adil işlemenin sağlanmasına yönelik diğer tedbirleri ve işlemeye ilişkin spesifik gereklilikleri daha kesin bir şekilde belirlemek suretiyle, bu Tüzük’ün işlemeye ilişkin kurallarının tatbik edilmesini 1. paragrafın (c) ve (e) bentlerine uyum sağlamak amacıyla uyarlamak üzere daha spesifik hükümler uygulamaya devam edebilir veya uygulamaya koyabilirler.

3. 1. paragrafın (c) ve (e) bentlerinde belirtilen işlemenin dayanağı

(a) Birlik hukuku veya

(b) veri sorumlusunun tabi olduğu Üye Devlet hukuku ile ortaya konur. İşleme amacı, söz konusu yasal dayanakta belirlenir veya 1. paragrafın (e) bendinde atıfta bulunulan işleme faaliyeti ile ilgili olarak, kamu yararına gerçekleştirilen bir görevin yerine getirilmesi veya veri sorumlusuna verilen resmi bir yetkinin kullanılması için gereklidir. Söz konusu yasal dayanak, diğerlerinin yanı sıra, bu Tüzük kurallarının tatbik edilmesinin uyarlanmasına yönelik şu tür özel hükümler içerebilir: veri sorumlusu tarafından gerçekleştirilen işlemenin hukuka uygunluğunu düzenleyen genel koşullar; işlemeye tabi veri türleri; ilgili veri özneleri; kişisel verilerin açıklanabileceği teşekküller ve açıklanma amaçları; amacın sınırlandırılması; depolama süreleri ve IX. Bölümde belirtilen diğer spesifik işleme durumlarına yönelik tedbirler gibi hukuka uygun ve adil işlemenin sağlanmasına yönelik tedbirler de dâhil olmak üzere, işleme faaliyetleri ve işleme usulleri. Birlik veya Üye Devlet hukuku, kamu yararı amacını karşılar ve gözetilen meşru amaçla orantılıdır.

4. Kişisel verilerin toplanma amacı dışında bir amaca yönelik işlenmesinin, veri öznesinin rızasına veya 23(1) maddede atıfta bulunulan amaçların güvence altına alınması amacıyla demokratik bir toplumda gerekli ve orantılı bir tedbir teşkil eden Birlik veya Üye Devlet mevzuatına dayanmaması durumunda, veri sorumlusu, başka bir amaca yönelik işlemenin kişisel verilerin asıl toplanma amacına uygun olup olmadığını değerlendirmek üzere, diğerlerinin yanı sıra, aşağıdaki hususları dikkate alır:

(a) kişisel verilerin toplanma amaçları ile planlanan sonraki işleme amaçları arasındaki herhangi bir bağlantı;

(b) özellikle, veri özneleri ve veri sorumlusu arasındaki ilişki bakımından, kişisel verilerin toplandığı bağlam;

(c) 9. madde uyarınca özel kategorilerdeki kişisel verilerin işlenip işlenmediği veya 10. madde uyarınca mahkûmiyet kararları ve suçlara ilişkin kişisel verilerin işlenip işlenmediği başta olmak üzere, kişisel verilerin mahiyeti;

(d) planlanan sonraki işlemenin veri özneleri bakımından olası sonuçları;

(e) şifreleme veya takma ad kullanımı da içerebilecek uygun güvencelerin mevcut olması.

1. Processing shall be lawful only if and to the extent that at least one of the following applies:

(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes;

(b) processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract;

(c) processing is necessary for compliance with a legal obligation to which the controller is subject;

(d) processing is necessary in order to protect the vital interests of the data subject or of another natural person;

(e) processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller;

(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child.

Point (f) of the first subparagraph shall not apply to processing carried out by public authorities in the performance of their tasks.

2. Member States may maintain or introduce more specific provisions to adapt the application of the rules of this Regulation with regard to processing for compliance with points (c) and (e) of paragraph 1 by determining more precisely specific requirements for the processing and other measures to ensure lawful and fair processing including for other specific processing situations as provided for in Chapter IX.

3. The basis for the processing referred to in point (c) and (e) of paragraph 1 shall be laid down by:

(a) Union law; or

(b) Member State law to which the controller is subject.

The purpose of the processing shall be determined in that legal basis or, as regards the processing referred to in point (e) of paragraph 1, shall be necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller. That legal basis may contain specific provisions to adapt the application of rules of this Regulation, inter alia: the general conditions governing the lawfulness of processing by the controller; the types of data which are subject to the processing; the data subjects concerned; the entities to, and the purposes for which, the personal data may be disclosed; the purpose limitation; storage periods; and processing operations and processing procedures, including measures to ensure lawful and fair processing such as those for other specific processing situations as provided for in Chapter IX. The Union or the Member State law shall meet an objective of public interest and be proportionate to the legitimate aim pursued.

4. Where the processing for a purpose other than that for which the personal data have been collected is not based on the data subject's consent or on a Union or Member State law which constitutes a necessary and proportionate measure in a democratic society to safeguard the objectives referred to in Article 23(1), the controller shall, in order to ascertain whether processing for another purpose is compatible with the purpose for which the personal data are initially collected, take into account, inter alia:

(a) any link between the purposes for which the personal data have been collected and the purposes of the intended further processing;

(b) the context in which the personal data have been collected, in particular regarding the relationship between data subjects and the controller;

(c) the nature of the personal data, in particular whether special categories of personal data are processed, pursuant to Article 9, or whether personal data related to criminal convictions and offences are processed, pursuant to Article 10;

(d) the possible consequences of the intended further processing for data subjects;

(e) the existence of appropriate safeguards, which may include encryption or pseudonymisation.

1. Irk veya etnik köken, siyasi görüşler, dini veya felsefi inançlar ya da sendika üyeliğini açığa çıkaran kişisel verilerin işlenmesi ve bir gerçek kişinin kimliğini benzersiz bir şekilde belirleyen genetik veriler ile biyometrik verilerinin işlenmesi, sağlık verilerinin veya bir gerçek kişinin cinsel yaşamı veya cinsel eğilimine ilişkin verilerin işlenmesi yasaktır.

2. 1. paragraf aşağıdakilerden birinin geçerli olması hâlinde uygulanmaz:

(a) Birlik veya Üye Devlet hukukunun 1. paragrafta belirtilen yasağın veri öznesi tarafından kaldırılamayacağını öngörmesi haricinde, veri öznesinin, belirtilen bir veya daha fazla amaca yönelik olarak söz konusu kişisel verilerin işlenmesine açık rıza vermesi;

(b) Birlik veya Üye Devlet hukuku çerçevesinde ya da veri öznesinin temel hak ve menfaatlerine yönelik uygun güvencelerin öngörüldüğü Üye Devlet hukuku uyarınca yapılan bir toplu sözleşme çerçevesinde izin verildiği sürece, veri sorumlusunun veya veri öznesinin istihdam ve sosyal güvenlik ile sosyal koruma hukuku alanındaki yükümlülüklerinin yerine getirilmesi ve spesifik haklarının kullanılması amacıyla işlemenin gerekli olması;

(c) veri öznesinin fiziksel veya hukuken rıza gösteremeyecek durumda olması hâlinde, veri öznesinin veya diğer bir gerçek kişinin hayati menfaatlerinin korunması için işlemenin gerekli olması;

(d) işlemenin; uygun güvencelerle birlikte yürütülen meşru faaliyetleri esnasında, siyasi, felsefi, dini veya sendikal amaçlı bir vakıf, birlik veya kâr amacı gütmeyen başka bir müessese tarafından ve yalnızca müessesenin üyeleri veya eski üyeleri ya da amaçlarıyla bağlantılı olarak müesseseyle düzenli olarak temas hâlinde bulunan kişilerle ilgili olması ve kişisel verilerin veri öznelerinin rızası olmaksızın söz konusu müessese dışında açıklanmaması koşuluyla gerçekleştirilmesi;

(e) işlemenin, veri öznesi tarafından açık bir biçimde alenileştirilen kişisel verilerle ilgili olması;

(f) hak taleplerinin oluşturulması, hakkın yerine getirilmesi veya savunulması için veya mahkemeler kendi yargı yetkisi çerçevesinde hareket ederken işlemenin gerekli olması;

(g) gözetilen amaçla orantılı olan, veri koruma hakkının özüne saygı gösteren ve veri öznesinin temel hak ve menfaatlerinin güvence altına alınması için uygun ve spesifik tedbirler öngören Birlik veya Üye Devlet hukuku temelinde esaslı kamu yararına yönelik nedenlerden dolayı işlemenin gerekli olması;

(h) işlemenin, koruyucu hekimlik veya meslek hekimliği amaçları doğrultusunda, Birlik ya da Üye Devlet hukuku temelinde veya bir sağlık profesyoneli ile yapılan sözleşme uyarınca ve 3. paragrafta atıfta bulunulan koşullar ve güvencelere tabi olarak, çalışanın çalışma kapasitesinin değerlendirilmesi, tıbbi tanı, sağlık veya sosyal bakım hizmetlerinin veya tedavinin sağlanması ya da sağlık veya sosyal bakım sistemleri ve hizmetlerinin yönetilmesi amacıyla gerekli olması;

(i) işlemenin; mesleki sır saklama başta olmak üzere, veri öznesinin hak ve özgürlüklerinin güvenceye alınması için uygun ve spesifik tedbirler öngören Birlik veya Üye Devlet hukuku temelinde, sağlığa yönelik ciddi sınır ötesi tehditlere karşı koruma sağlanması veya sağlık hizmetleri ve tıbbi ürünler ya da tıbbi cihazlara ilişkin yüksek kalite ve emniyet standartlarının tesis edilmesi gibi halk sağlığı alanında kamu yararı nedeniyle gerekli olması;

(j) işlemenin, gözetilen amaçla orantılı olan, veri koruma hakkının özüne saygı gösteren ve veri öznesinin temel hak ve menfaatlerinin güvence altına alınmasına uygun ve spesifik tedbirler öngören Birlik veya Üye Devlet hukuku temelinde, 89(1) madde uyarınca kamu yararına yönelik arşivleme amaçları, bilimsel veya tarihi araştırma amaçları ya da istatistiki amaçlar doğrultusunda gerekli olması.

3. 1. paragrafta atıfta bulunulan kişisel veriler, Birlik ya da Üye Devlet hukuku veya ulusal yetkili organlar tarafından tesis edilen kurallar kapsamında mesleki sır saklama yükümlülüğüne tabi bir profesyonel tarafından veya söz konusu profesyonelin sorumluluğu altında veya Birlik ya da Üye Devlet hukuku veya ulusal yetkili organlar tarafından tesis edilen kurallar kapsamında sır saklama yükümlülüğüne tabi başka bir kişi tarafından işlendiğinde, 2. paragrafın (h) bendinde atıfta bulunulan amaçlar doğrultusunda işlenebilir.

4. Üye Devletler, genetik veriler, biyometrik veriler veya sağlık verileri bakımından sınırlamalar dâhil olmak üzere, ilave koşulları uygulamaya devam edebilir ya da tesis edebilir.

1. Processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person's sex life or sexual orientation shall be prohibited.

2. Paragraph 1 shall not apply if one of the following applies:

(a) the data subject has given explicit consent to the processing of those personal data for one or more specified purposes, except where Union or Member State law provide that the prohibition referred to in paragraph 1 may not be lifted by the data subject;

(b) processing is necessary for the purposes of carrying out the obligations and exercising specific rights of the controller or of the data subject in the field of employment and social security and social protection law in so far as it is authorised by Union or Member State law or a collective agreement pursuant to Member State law providing for appropriate safeguards for the fundamental rights and the interests of the data subject;

(c) processing is necessary to protect the vital interests of the data subject or of another natural person where the data subject is physically or legally incapable of giving consent;

(d) processing is carried out in the course of its legitimate activities with appropriate safeguards by a foundation, association or any other not-for-profit body with a political, philosophical, religious or trade union aim and on condition that the processing relates solely to the members or to former members of the body or to persons who have regular contact with it in connection with its purposes and that the personal data are not disclosed outside that body without the consent of the data subjects;

(e) processing relates to personal data which are manifestly made public by the data subject;

(f) processing is necessary for the establishment, exercise or defence of legal claims or whenever courts are acting in their judicial capacity;

(g) processing is necessary for reasons of substantial public interest, on the basis of Union or Member State law which shall be proportionate to the aim pursued, respect the essence of the right to data protection and provide for suitable and specific measures to safeguard the fundamental rights and the interests of the data subject;

(h) processing is necessary for the purposes of preventive or occupational medicine, for the assessment of the working capacity of the employee, medical diagnosis, the provision of health or social care or treatment or the management of health or social care systems and services on the basis of Union or Member State law or pursuant to contract with a health professional and subject to the conditions and safeguards referred to in paragraph 3;

(i) processing is necessary for reasons of public interest in the area of public health, such as protecting against serious cross-border threats to health or ensuring high standards of quality and safety of health care and of medicinal products or medical devices, on the basis of Union or Member State law which provides for suitable and specific measures to safeguard the rights and freedoms of the data subject, in particular professional secrecy;

(j) processing is necessary for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes in accordance with Article 89(1) based on Union or Member State law which shall be proportionate to the aim pursued, respect the essence of the right to data protection and provide for suitable and specific measures to safeguard the fundamental rights and the interests of the data subject.

3. Personal data referred to in paragraph 1 may be processed for the purposes referred to in point (h) of paragraph 2 when those data are processed by or under the responsibility of a professional subject to the obligation of professional secrecy under Union or Member State law or rules established by national competent bodies or by another person also subject to an obligation of secrecy under Union or Member State law or rules established by national competent bodies.

4. Member States may maintain or introduce further conditions, including limitations, with regard to the processing of genetic data, biometric data or data concerning health.

İşlenmekte olan veya bir üçüncü ülkeye veya bir uluslararası kuruluşa aktarılmasının ardından işlenmesi amaçlanan kişisel verilerin aktarılması, üçüncü ülkeden veya bir uluslararası kuruluştan başka bir üçüncü ülke veya başka bir uluslararası kuruluşa yönelik tekrar aktarımlar da dâhil olmak üzere, ancak bu Tüzük’ün diğer hükümleri saklı kalmak kaydıyla bu Bölümde belirtilen koşullara veri sorumlusu ve veri işleyen tarafından uyulması halinde gerçekleşir. Bu Bölümdeki tüm hükümler, bu Tüzük ile güvence altına alınan gerçek kişilerin korunma düzeyine zarar verilmemesini sağlamak amacıyla uygulanır.

1. Komisyonun bir üçüncü ülke veya söz konusu üçüncü ülke dâhilindeki bir bölge veya bir ya da daha fazla sayıda sektörün ya da uluslararası bir kuruluşun yeterli düzeyde bir koruma sağladığına karar verdiği hâllerde, bu ülke veya uluslararası kuruluşa yönelik bir kişisel veri aktarımı gerçekleşebilir. Böylesi bir aktarım için, herhangi bir özel onay gerekmez.

2. Komisyon koruma düzeyinin yeterliliğini değerlendirirken, özellikle aşağıdaki hususları dikkate alır:

(a) hukukun üstünlüğü, insan haklarına ve temel özgürlüklere saygı, kamu güvenliği, savunma, milli güvenlik ve ceza hukuku ile kamu makamlarının kişisel verilere erişimi de dâhil olmak üzere, ilgili genel ve sektörel mevzuatın yanı sıra, söz konusu mevzuatın uygulanması, kişisel verilerin başka bir üçüncü ülke veya uluslararası kuruluşa tekrar aktarımı hakkında o ülke veya uluslararası kuruluşta riayet edilen kurallar da dâhil olmak üzere, veri koruma kuralları, mesleki kurallar ve güvenlik tedbirleri, içtihat, etkili ve uygulanabilir veri öznesi hakları ile kişisel verileri aktarılan veri öznelerine yönelik etkili idari ve adli şikayet;

(b) üçüncü ülkede bulunan veya bir uluslararası kuruluşun tabi olduğu, yeterli uygulama yetkileri de dâhil olmak üzere veri koruma kuralları ile uyumluluğu sağlamak ve uygulamak, haklarının kullanılması hususunda veri öznelerine destek olmak ve tavsiyede bulunmak ve Üye Devletlerin denetim makamları ile iş birliği yapmakla sorumlu olan bir veya daha fazla sayıda bağımsız denetim makamının varlığı ve etkili bir şekilde işleyişi; ve

(c) ilgili üçüncü ülke veya uluslararası kuruluşun üstlendiği uluslararası taahhütler veya hukuken bağlayıcı sözleşmeler veya belgelerin yanı sıra, kişisel verilerin korunması ile ilgili olanlar başta olmak üzere çok taraflı veya bölgesel sistemlere katılımından kaynaklanan diğer yükümlülükler.

3. Komisyon, koruma düzeyinin yeterliliğini değerlendirdikten sonra, uygulama tasarrufu vasıtasıyla, bir üçüncü ülkenin, bir üçüncü ülke içindeki bir bölgenin veya bir ya da daha fazla belirli sektörün ya da bir uluslararası kuruluşun bu maddenin 2. paragrafı bağlamında yeterli bir koruma düzeyi sağladığına karar verebilir. Uygulama tasarrufu, en az dört yılda bir olmak üzere, üçüncü ülke veya uluslararası kuruluştaki ilgili tüm gelişmeleri dikkate alacak bir periyodik gözden geçirme mekanizması öngörür. Uygulama tasarrufunda bunun bölgesel ve sektörel uygulaması belirtilir ve uygun olduğu hallerde, bu maddenin 2. paragrafının (b) bendinde atıfta bulunulan denetim makamı veya makamları tanımlanır. Bu uygulama tasarrufu, 93(2) maddesinde atıfta bulunulan inceleme usulü uyarınca kabul edilir.

4. Komisyon, bu maddenin 3. paragrafı uyarınca kabul edilen kararların ve 95/46/AT sayılı Direktif’in 25(6) maddesi çerçevesinde kabul edilen kararların işleyişini etkileyebilecek olan, üçüncü ülkelerdeki ve uluslararası kuruluşlardaki gelişmeleri sürekli olarak izler.

5. Özellikle bu maddenin 3. paragrafında atıfta bulunulan gözden geçirmenin ardından, mevcut bilgilerin bir üçüncü ülkenin, bir üçüncü ülke içindeki bir bölgenin veya bir ya da daha fazla belirli sektörün ya da bir uluslararası kuruluşun, bu maddenin 2. paragrafı bağlamında artık yeterli bir koruma düzeyi sağlamadığını göstermesi durumunda, Komisyon geriye dönük etkisi olmayan uygulama tasarrufları vasıtasıyla bu maddenin 3. paragrafında atıfta bulunulan kararı gereken ölçüde yürürlükten kaldırır, değiştirir veya askıya alır. Bu uygulama tasarrufları, 93(2) maddesinde atıfta bulunulan inceleme usulü uyarınca kabul edilir. Usulüne uygun şekilde gerekçelendirilmiş zorunlu acil gerekçelerle, Komisyon 93(3) maddesinde atıfta bulunulan usule uygun olarak gecikmeksizin uygulanabilir uygulama tasarruflarını kabul eder.

6. Komisyon, 5. paragraf uyarınca alınan karara yol açan durumun düzeltilmesi amacıyla üçüncü ülke veya uluslararası kuruluşla istişarelerde bulunur.

7. Bu maddenin 5. paragrafı uyarınca verilen bir karar, kişisel verilerin üçüncü ülkeye, söz konusu üçüncü ülke dâhilindeki bir bölgeye veya belirli bir ya da daha fazla sektöre ya da uluslararası kuruluşa 46 ila 49. maddeler uyarınca aktarılmasına halel getirmez.

8. Komisyon, yeterli düzeyde koruma sağlandığına veya artık sağlanmadığına karar verdiği üçüncü ülkeleri, bir üçüncü ülke içindeki bölgeleri ve belirli sektörleri ve uluslararası kuruluşları içeren bir listeyi Avrupa Birliği Resmi Gazetesi ve internet sitesinde yayımlar.

9. 95/46/AT sayılı Direktif’in 25(6) maddesine dayalı olarak Komisyon tarafından kabul edilen kararlar, bu maddenin 3 veya 5. paragrafı uyarınca kabul edilen bir Komisyon Kararı ile tadil edilene, yerine yenisi alınana veya yürürlükten kaldırılana kadar yürürlükte kalır.

1. 45(3) maddesi uyarınca bir kararın bulunmaması hâlinde, ancak veri sorumlusu veya veri işleyenin uygun güvenceler sağlamış olması hâlinde ve uygulanabilir veri öznesi haklarının ve veri öznelerine yönelik etkili hukuk yollarının mevcut olması koşuluyla, söz konusu veri sorumlusu veya veri işleyen bir üçüncü ülke veya bir uluslararası kuruluşa kişisel veri aktarabilir.

2. 1. paragrafta atıfta bulunulan uygun güvenceler, bir denetim makamından özel izin alınmasına gerek olmaksızın, aşağıdaki yollarla sağlanabilir:

(a) kamu makamları veya organları arasında hukuki bağlayıcılığı bulunan ve uygulanabilir bir belge;

(b) 47. madde uyarınca bağlayıcı şirket kuralları;

(c) 93(2) maddesinde atıfta bulunulan inceleme usulü uyarınca Komisyon tarafından kabul edilen standart veri koruma hükümleri;

(d) 93(2) maddesinde atıfta bulunulan inceleme usulü uyarınca bir denetim makamı tarafından kabul edilen ve Komisyon tarafından onaylanan standart veri koruma hükümleri;

(e) 40. madde uyarınca onaylı davranış kuralları ile birlikte üçüncü ülkedeki veri sorumlusu veya veri işleyenin, veri öznesinin hakları ile ilgili olanlar da dâhil olmak üzere uygun güvenceler uygulamaya ilişkin bağlayıcı ve uygulanabilir taahhütleri veya

(f) 42. madde uyarınca onaylı bir belgelendirme mekanizması ile birlikte üçüncü ülkedeki veri sorumlusu veya veri işleyenin, veri öznesinin hakları ile ilgili olanlar da dâhil olmak üzere uygun güvenceler uygulamaya ilişkin bağlayıcı ve uygulanabilir taahhütleri.

3. Yetkili denetim makamından alınan izne tabi olarak, 1. paragrafta atıfta bulunulan uygun güvenceler, özellikle aşağıdakilerle de sağlanabilir:

(a) Veri sorumlusu veya veri işleyen ile üçüncü ülke ya da uluslararası kuruluştaki veri sorumlusu, veri işleyen ya da kişisel verilerin alıcısı arasındaki sözleşme hükümleri veya

(b) kamu makamları ya da organları arasındaki idari düzenlemelere eklenecek olan uygulanabilir ve etkili veri öznesi hakları içeren hükümler.

4. Denetim makamı, bu maddenin 3. paragrafında atıfta bulunulan hallerde 63. maddede atıfta bulunulan tutarlılık mekanizmasını uygular.

5. 95/46/AT sayılı Direktif’in 26(2) maddesine dayalı olarak bir Üye Devlet veya denetim makamı tarafından verilen izinler, gerektiğinde söz konusu denetim makamı tarafından tadil edilene, yerine yenisi alınana veya yürürlükten kaldırılana kadar geçerliliğini korur. 95/46/AT sayılı Direktif’in 26(4) maddesine dayalı olarak Komisyon tarafından kabul edilen kararlar, gerektiğinde bu maddenin 2. paragrafı uyarınca kabul edilen bir Komisyon Kararı ile tadil edilene, yerine yenisi alınana veya yürürlükten kaldırılana kadar yürürlükte kalır.

1. 63. maddede yer alan tutarlılık mekanizması uyarınca, yetkili denetim makamı, bağlayıcı şirket kurallarını, aşağıdaki koşulları sağlamaları şartıyla, onaylar:

(a) yasal bağlayıcılığının olması ve çalışanları da dâhil olmak üzere, teşebbüsler grubunun veya ortak bir ekonomik faaliyette bulunan işletmeler grubunun ilgili her üyesi için uygulanması ve bu üyeler tarafından yürütülmesi;

(b) veri öznelerine kişisel verilerinin işlenmesi ile ilgili olarak açık bir şekilde uygulanabilir haklar vermesi ve

(c) 2. paragrafta belirtilen gereklilikleri yerine getirmesi.

2. 1. paragrafta atıfta bulunulan bağlayıcı şirket kurallarında asgari aşağıdakiler belirlenir:

(a) teşebbüsler grubunun veya ortak bir ekonomik faaliyette bulunan işletmeler grubunun ve bu grupların her üyesinin yapısı ve irtibat bilgileri;

(b) kişisel veri kategorileri, işleme türü ve amaçları, etkilenen veri öznelerinin türü ve söz konusu üçüncü ülke veya ülkelerin belirlenmesi de dâhil olmak üzere veri aktarımları veya aktarım seti;

(c) bunların hem içeride hem de dışarda hukuki olarak bağlayıcı niteliği;

(d) amaç sınırlaması, veri minimizasyonu, sınırlı depolama süreleri, veri kalitesi, tasarımdan itibaren ve varsayılan olarak veri koruma, işlemeye yönelik yasal dayanak, özel kategorilerdeki kişisel verilerin işlenmesi, veri güvenliğinin sağlanmasına ilişkin tedbirler ve bağlayıcı şirket kurallarıyla bağlı bulunmayan organlara tekrar aktarımlara ilişkin gerekliliklerin uygulanması başta olmak üzere genel veri koruma ilkeleri;

(e) 22. madde uyarınca profilleme de dâhil olmak üzere yalnızca otomatik işlemeye dayalı kararlara tabi olmama hakkı, 79. madde uyarınca yetkili denetim makamına ve Üye Devletlerin yetkili mahkemelerine şikâyette bulunma ve bağlayıcı şirket kurallarına ilişkin bir ihlalden dolayı şikâyet hakkı ve uygun olduğu hallerde tazminat hakkı da dâhil olmak üzere veri öznelerinin işlemeye ilişkin hakları ve bu hakları kullanma yöntemleri;

(f) Birlik içinde yerleşik olmayan herhangi bir üye tarafından bağlayıcı şirket kuralların ihlalinde bir Üye Devlet’in topraklarında yerleşik veri sorumlusu veya veri işleyenin sorumluluğu üstüne alması; veri sorumlusu veya veri işleyen, yalnızca söz konusu üyenin zarara neden olan olaydan sorumlu olmadığını kanıtlaması durumunda, bu sorumluluktan tamamen veya kısmen muaf tutulur;

(g) 13 ve 14. maddelere ek olarak, bu paragrafın (d), (e) ve (f) bentlerinde atıfta bulunulan hükümler başta olmak üzere bağlayıcı şirket kurallarına ilişkin bilgilerin veri öznelerine nasıl sağlandığı;

(h) eğitim ile şikâyetlerin ele alınmasının izlenmesi dâhil olmak üzere, 37. madde uyarınca belirlenen veri koruma görevlilerinin ya da teşebbüsler grubu veya ortak bir ekonomik faaliyette bulunan işletmeler grubunun bağlayıcı şirket kurallarına uyumunun izlenmesinden sorumlu olan diğer kişilerin veya teşekküllerin görevleri;

(i) şikâyet usulleri;

(j) teşebbüsler grubu veya ortak bir ekonomik faaliyette bulunan işletmeler grubu içinde bağlayıcı şirket kurallarına uyumun doğrulanmasının sağlanmasına yönelik mekanizmalar. Söz konusu mekanizmalar, veri öznesinin haklarının korunmasına yönelik düzeltici eylemlerin sağlanmasına ilişkin veri koruma denetimlerini ve yöntemlerini kapsar. Bu doğrulamanın sonuçları, (h) bendinde atıfta bulunulan kişi veya teşekküle ve bir teşebbüsler grubunun veya ortak bir ekonomik faaliyette bulunan işletmeler grubunun idare eden teşebbüsünün yönetim kuruluna iletilmeli ve yetkili denetim makamına, talebi üzerine sunulmalıdır;

(k) kurallara ilişkin değişikliklerin raporlanması ve kaydedilmesine ve bu değişikliklerin denetim makamına raporlanmasına ilişkin mekanizmalar;

(l) özellikle (j) bendinde atıfta bulunulan tedbirlere ilişkin doğrulamaların sonuçlarının denetim makamına sunulması suretiyle, teşebbüsler grubunun veya ortak bir ekonomik faaliyette bulunan işletmeler grubunun herhangi bir üyesi tarafından uyumun sağlanması amacıyla denetim makamı ile kurulan iş birliği mekanizması;

(m) teşebbüsler grubunun veya ortak bir ekonomik faaliyette bulunan işletmeler grubunun bir üyesinin bir üçüncü ülkede tabi olduğu ve bağlayıcı şirket kurallarının sağladığı teminatlar açısından kayda değer bir olumsuz etki yaratması muhtemel olan yasal gerekliliklerin yetkili denetim makamına raporlanmasına ilişkin mekanizmalar ve

(n) kişisel verilere kalıcı veya düzenli olarak erişimi bulunan personele yönelik uygun veri koruma eğitimi.

3. Komisyon, bu madde çerçevesinde veri sorumluları, veri işleyenler ve denetim makamları arasında bağlayıcı şirket kurallarına yönelik bilgi alışverişine ilişkin format ve usulleri belirtebilir. Bu uygulama tasarrufları, 93(2) maddesinde atıfta bulunulan inceleme usulüne uygun olarak kabul edilir.

Bir veri sorumlusunun veya veri işleyenin kişisel verileri aktarmasının veya açıklamasının istendiği, bir üçüncü ülkenin herhangi bir mahkeme veya heyet kararı ve idari bir makamının herhangi bir kararı, bu Bölüm uyarınca diğer aktarım sebeplerine halel gelmeksizin, ancak talepte bulunan üçüncü ülke ile Birlik ya da bir Üye Devlet arasında yürürlükte bulunan bir karşılıklı hukuki yardım antlaşması gibi bir uluslararası anlaşmaya dayanması hâlinde, herhangi bir şekilde tanınabilir veya uygulanabilir.

1. 45(3) maddesi uyarınca bir yeterlilik kararının veya bağlayıcı şirket kuralları da dâhil olmak üzere 46. madde uyarınca uygun güvencelerin olmaması durumunda, kişisel verilerin bir üçüncü ülkeye veya bir uluslararası kuruluşa aktarılması veya aktarım seti ancak aşağıdaki şartlardan biriyle gerçekleşir:

(a) veri öznesinin, bir yeterlilik kararı ve uygun güvencelerin bulunmaması nedeniyle, söz konusu aktarımların, kendisine yönelik olası riskleri hususunda bilgilendirilmesinin ardından, önerilen aktarıma açık bir şekilde rıza vermesi;

(b) aktarımın veri öznesi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya veri öznesinin talebiyle alınan sözleşme öncesi tedbirlerin uygulanması açısından gerekli olması;

(c) aktarımın veri sorumlusu ile başka bir gerçek veya tüzel kişi arasında veri öznesi yararına yapılan bir sözleşmenin imzalanması veya ifası açısından gerekli olması;

(d) aktarımın kamu yararına ilişkin önemli sebeplerden dolayı gerekli olması;

(e) aktarımın hak taleplerinin oluşturulması, hakkın yerine getirilmesi veya savunulması açısından gerekli olması;

(f) veri öznesinin fiziksel veya hukuki olarak rıza gösteremeyecek durumda olması hâlinde, aktarımın veri öznesi veya diğer kişilerin hayati menfaatlerinin korunması açısından gerekli olması;

(g) Aktarımın, Birlik veya Üye Devlet hukukuna göre kamuya bilgi sağlanmasının amaçlandığı ve genel olarak kamunun veya meşru bir menfaati bulunan herhangi bir kişinin, fakat Birlik veya Üye Devlet hukuku çerçevesinde müracaata yönelik olarak ortaya konan koşullar ilgili durumda yerine getirildiği ölçüde, müracaatına açık olan bir sicilden yapılması. Bir aktarımın bağlayıcı şirket kurallarına ilişkin hükümler de dâhil olmak üzere 45 veya 46. maddedeki bir hükme dayanmadığı ve bu paragrafın ilk alt paragrafında atıfta bulunulan özel bir duruma ilişkin derogasyonların herhangi birinin uygulanabilir olmadığı hallerde, ancak; aktarımın yinelemeli olmaması, yalnızca sınırlı sayıda veri öznesini ilgilendirmesi, veri sorumlusu tarafından gözetilen ve karşısında veri öznesinin menfaatleri veya hakları ile özgürlüklerinin ağır basmadığı zorlayıcı meşru menfaatler doğrultusunda gerekli olması ve veri sorumlusunun veri aktarımı ile ilgili tüm koşulları değerlendirmiş olması ve bu değerlendirmeye dayalı olarak kişisel verilerin korunması ile ilgili uygun güvenceler sağlamış olması durumunda, bir üçüncü ülke veya bir uluslararası kuruluşa yönelik bir aktarım gerçekleşebilir. Veri sorumlusu, denetim makamını aktarım hususunda bilgilendirir. Veri sorumlusu, 13 ve 14. maddelerde atıfta bulunulan bilgilerin sağlanmasına ek olarak, veri öznesini aktarım ve gözetilen zorlayıcı meşru menfaatler hususunda bilgilendirir.

2. 1. paragrafın ilk alt paragrafının (g) bendi uyarınca yapılacak bir aktarımda sicilde bulunan tüm kişisel verilere veya tüm kişisel veri kategorilerine yer verilmez. Sicilin, meşru bir menfaati bulunan kişilerin müracaatı amacıyla oluşturulduğu durumlarda, aktarım yalnızca bu kişilerin talebi üzerine veya bu kişilerin alıcı olması hâlinde yapılır.

3. 1. paragrafın ilk alt paragrafının (a), (b) ve (c) bentleri ve ikinci alt paragrafı kamu yetkilerinin kullanılmasında kamu makamları tarafından gerçekleştirilen faaliyetlere uygulanmaz.

4. 1. paragrafın ilk alt paragrafının (d) bendinde atıfta bulunulan kamu yararı, Birlik hukukunda veya veri sorumlusunun tabi olduğu Üye Devlet hukukunda tanınır.

5. Bir yeterlilik kararı olmaması durumunda, kamu yararına ilişkin önemli sebepler nedeniyle, Birlik veya Üye Devlet hukukunda belirli kategorilerdeki kişisel verilerin bir üçüncü ülkeye veya bir uluslararası kuruluşa aktarılmasına ilişkin sınırlar açık bir şekilde konabilir. Üye Devletler söz konusu hükümleri Komisyona bildirir.

6. Veri sorumlusu veya veri işleyen bu maddenin 1. paragrafının ikinci alt paragrafında atıfta bulunulan değerlendirmeyi ve uygun güvenceleri 30. maddede atıfta bulunulan kayıtlarda belgelendirir.

Any transfer of personal data which are undergoing processing or are intended for processing after transfer to a third country or to an international organisation shall take place only if, subject to the other provisions of this Regulation, the conditions laid down in this Chapter are complied with by the controller and processor, including for onward transfers of personal data from the third country or an international organisation to another third country or to another international organisation. All provisions in this Chapter shall be applied in order to ensure that the level of protection of natural persons guaranteed by this Regulation is not undermined.

1. A transfer of personal data to a third country or an international organisation may take place where the Commission has decided that the third country, a territory or one or more specified sectors within that third country, or the international organisation in question ensures an adequate level of protection. Such a transfer shall not require any specific authorisation.

2. When assessing the adequacy of the level of protection, the Commission shall, in particular, take account of the following elements:

(a) the rule of law, respect for human rights and fundamental freedoms, relevant legislation, both general and sectoral, including concerning public security, defence, national security and criminal law and the access of public authorities to personal data, as well as the implementation of such legislation, data protection rules, professional rules and security measures, including rules for the onward transfer of personal data to another third country or international organisation which are complied with in that country or international organisation, case-law, as well as effective and enforceable data subject rights and effective administrative and judicial redress for the data subjects whose personal data are being transferred;

(b) the existence and effective functioning of one or more independent supervisory authorities in the third country or to which an international organisation is subject, with responsibility for ensuring and enforcing compliance with the data protection rules, including adequate enforcement powers, for assisting and advising the data subjects in exercising their rights and for cooperation with the supervisory authorities of the Member States; and

(c) the international commitments the third country or international organisation concerned has entered into, or other obligations arising from legally binding conventions or instruments as well as from its participation in multilateral or regional systems, in particular in relation to the protection of personal data.

3. The Commission, after assessing the adequacy of the level of protection, may decide, by means of implementing act, that a third country, a territory or one or more specified sectors within a third country, or an international organisation ensures an adequate level of protection within the meaning of paragraph 2 of this Article. The implementing act shall provide for a mechanism for a periodic review, at least every four years, which shall take into account all relevant developments in the third country or international organisation. The implementing act shall specify its territorial and sectoral application and, where applicable, identify the supervisory authority or authorities referred to in point (b) of paragraph 2 of this Article. The implementing act shall be adopted in accordance with the examination procedure referred to in Article 93(2).

4. The Commission shall, on an ongoing basis, monitor developments in third countries and international organisations that could affect the functioning of decisions adopted pursuant to paragraph 3 of this Article and decisions adopted on the basis of Article 25(6) of Directive 95/46/EC.

5. The Commission shall, where available information reveals, in particular following the review referred to in paragraph 3 of this Article, that a third country, a territory or one or more specified sectors within a third country, or an international organisation no longer ensures an adequate level of protection within the meaning of paragraph 2 of this Article, to the extent necessary, repeal, amend or suspend the decision referred to in paragraph 3 of this Article by means of implementing acts without retro-active effect. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 93(2).

On duly justified imperative grounds of urgency, the Commission shall adopt immediately applicable implementing acts in accordance with the procedure referred to in Article 93(3).

6. The Commission shall enter into consultations with the third country or international organisation with a view to remedying the situation giving rise to the decision made pursuant to paragraph 5.

7. A decision pursuant to paragraph 5 of this Article is without prejudice to transfers of personal data to the third country, a territory or one or more specified sectors within that third country, or the international organisation in question pursuant to Articles 46 to 49.

8. The Commission shall publish in the Official Journal of the European Union and on its website a list of the third countries, territories and specified sectors within a third country and international organisations for which it has decided that an adequate level of protection is or is no longer ensured.

9. Decisions adopted by the Commission on the basis of Article 25(6) of Directive 95/46/EC shall remain in force until amended, replaced or repealed by a Commission Decision adopted in accordance with paragraph 3 or 5 of this Article.

1. In the absence of a decision pursuant to Article 45(3), a controller or processor may transfer personal data to a third country or an international organisation only if the controller or processor has provided appropriate safeguards, and on condition that enforceable data subject rights and effective legal remedies for data subjects are available.

2. The appropriate safeguards referred to in paragraph 1 may be provided for, without requiring any specific authorisation from a supervisory authority, by:

(a) a legally binding and enforceable instrument between public authorities or bodies;

(b) binding corporate rules in accordance with Article 47;

(c) standard data protection clauses adopted by the Commission in accordance with the examination procedure referred to in Article 93(2);

(d) standard data protection clauses adopted by a supervisory authority and approved by the Commission pursuant to the examination procedure referred to in Article 93(2);

(e) an approved code of conduct pursuant to Article 40 together with binding and enforceable commitments of the controller or processor in the third country to apply the appropriate safeguards, including as regards data subjects' rights; or

(f) an approved certification mechanism pursuant to Article 42 together with binding and enforceable commitments of the controller or processor in the third country to apply the appropriate safeguards, including as regards data subjects' rights.

3. Subject to the authorisation from the competent supervisory authority, the appropriate safeguards referred to in paragraph 1 may also be provided for, in particular, by:

(a) contractual clauses between the controller or processor and the controller, processor or the recipient of the personal data in the third country or international organisation; or

(b) provisions to be inserted into administrative arrangements between public authorities or bodies which include enforceable and effective data subject rights.

4. The supervisory authority shall apply the consistency mechanism referred to in Article 63 in the cases referred to in paragraph 3 of this Article.

5. Authorisations by a Member State or supervisory authority on the basis of Article 26(2) of Directive 95/46/EC shall remain valid until amended, replaced or repealed, if necessary, by that supervisory authority. Decisions adopted by the Commission on the basis of Article 26(4) of Directive 95/46/EC shall remain in force until amended, replaced or repealed, if necessary, by a Commission Decision adopted in accordance with paragraph 2 of this Article.

1. The competent supervisory authority shall approve binding corporate rules in accordance with the consistency mechanism set out in Article 63, provided that they:

(a) are legally binding and apply to and are enforced by every member concerned of the group of undertakings, or group of enterprises engaged in a joint economic activity, including their employees;

(b) expressly confer enforceable rights on data subjects with regard to the processing of their personal data; and

(c) fulfil the requirements laid down in paragraph 2.

2. The binding corporate rules referred to in paragraph 1 shall specify at least:

(a) the structure and contact details of the group of undertakings, or group of enterprises engaged in a joint economic activity and of each of its members;

(b) the data transfers or set of transfers, including the categories of personal data, the type of processing and its purposes, the type of data subjects affected and the identification of the third country or countries in question;

(c) their legally binding nature, both internally and externally;

(d) the application of the general data protection principles, in particular purpose limitation, data minimisation, limited storage periods, data quality, data protection by design and by default, legal basis for processing, processing of special categories of personal data, measures to ensure data security, and the requirements in respect of onward transfers to bodies not bound by the binding corporate rules;

(e) the rights of data subjects in regard to processing and the means to exercise those rights, including the right not to be subject to decisions based solely on automated processing, including profiling in accordance with Article 22, the right to lodge a complaint with the competent supervisory authority and before the competent courts of the Member States in accordance with Article 79, and to obtain redress and, where appropriate, compensation for a breach of the binding corporate rules;

(f) the acceptance by the controller or processor established on the territory of a Member State of liability for any breaches of the binding corporate rules by any member concerned not established in the Union; the controller or the processor shall be exempt from that liability, in whole or in part, only if it proves that that member is not responsible for the event giving rise to the damage;

(g) how the information on the binding corporate rules, in particular on the provisions referred to in points (d), (e) and (f) of this paragraph is provided to the data subjects in addition to Articles 13 and 14;

(h) the tasks of any data protection officer designated in accordance with Article 37 or any other person or entity in charge of the monitoring compliance with the binding corporate rules within the group of undertakings, or group of enterprises engaged in a joint economic activity, as well as monitoring training and complaint-handling;

(i) the complaint procedures;

(j) the mechanisms within the group of undertakings, or group of enterprises engaged in a joint economic activity for ensuring the verification of compliance with the binding corporate rules. Such mechanisms shall include data protection audits and methods for ensuring corrective actions to protect the rights of the data subject. Results of such verification should be communicated to the person or entity referred to in point (h) and to the board of the controlling undertaking of a group of undertakings, or of the group of enterprises engaged in a joint economic activity, and should be available upon request to the competent supervisory authority;

(k) the mechanisms for reporting and recording changes to the rules and reporting those changes to the supervisory authority;

(l) the cooperation mechanism with the supervisory authority to ensure compliance by any member of the group of undertakings, or group of enterprises engaged in a joint economic activity, in particular by making available to the supervisory authority the results of verifications of the measures referred to in point (j);

(m) the mechanisms for reporting to the competent supervisory authority any legal requirements to which a member of the group of undertakings, or group of enterprises engaged in a joint economic activity is subject in a third country which are likely to have a substantial adverse effect on the guarantees provided by the binding corporate rules; and

(n) the appropriate data protection training to personnel having permanent or regular access to personal data.

3. The Commission may specify the format and procedures for the exchange of information between controllers, processors and supervisory authorities for binding corporate rules within the meaning of this Article. Those implementing acts shall be adopted in accordance with the examination procedure set out in Article 93(2).

Any judgment of a court or tribunal and any decision of an administrative authority of a third country requiring a controller or processor to transfer or disclose personal data may only be recognised or enforceable in any manner if based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member State, without prejudice to other grounds for transfer pursuant to this Chapter.

1. In the absence of an adequacy decision pursuant to Article 45(3), or of appropriate safeguards pursuant to Article 46, including binding corporate rules, a transfer or a set of transfers of personal data to a third country or an international organisation shall take place only on one of the following conditions:

(a) the data subject has explicitly consented to the proposed transfer, after having been informed of the possible risks of such transfers for the data subject due to the absence of an adequacy decision and appropriate safeguards;

(b) the transfer is necessary for the performance of a contract between the data subject and the controller or the implementation of pre-contractual measures taken at the data subject's request;

(c) the transfer is necessary for the conclusion or performance of a contract concluded in the interest of the data subject between the controller and another natural or legal person;

(d) the transfer is necessary for important reasons of public interest;

(e) the transfer is necessary for the establishment, exercise or defence of legal claims;

(f) the transfer is necessary in order to protect the vital interests of the data subject or of other persons, where the data subject is physically or legally incapable of giving consent;

(g) the transfer is made from a register which according to Union or Member State law is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can demonstrate a legitimate interest, but only to the extent that the conditions laid down by Union or Member State law for consultation are fulfilled in the particular case.

Where a transfer could not be based on a provision in Article 45 or 46, including the provisions on binding corporate rules, and none of the derogations for a specific situation referred to in the first subparagraph of this paragraph is applicable, a transfer to a third country or an international organisation may take place only if the transfer is not repetitive, concerns only a limited number of data subjects, is necessary for the purposes of compelling legitimate interests pursued by the controller which are not overridden by the interests or rights and freedoms of the data subject, and the controller has assessed all the circumstances surrounding the data transfer and has on the basis of that assessment provided suitable safeguards with regard to the protection of personal data. The controller shall inform the supervisory authority of the transfer. The controller shall, in addition to providing the information referred to in Articles 13 and 14, inform the data subject of the transfer and on the compelling legitimate interests pursued.

2. A transfer pursuant to point (g) of the first subparagraph of paragraph 1 shall not involve the entirety of the personal data or entire categories of the personal data contained in the register. Where the register is intended for consultation by persons having a legitimate interest, the transfer shall be made only at the request of those persons or if they are to be the recipients.

3. Points (a), (b) and (c) of the first subparagraph of paragraph 1 and the second subparagraph thereof shall not apply to activities carried out by public authorities in the exercise of their public powers.

4. The public interest referred to in point (d) of the first subparagraph of paragraph 1 shall be recognised in Union law or in the law of the Member State to which the controller is subject.

5. In the absence of an adequacy decision, Union or Member State law may, for important reasons of public interest, expressly set limits to the transfer of specific categories of personal data to a third country or an international organisation. Member States shall notify such provisions to the Commission.

6. The controller or processor shall document the assessment as well as the suitable safeguards referred to in the second subparagraph of paragraph 1 of this Article in the records referred to in Article 30.

1. Bir veri öznesine ilişkin kişisel verilerin veri öznesinden toplanması durumunda, veri sorumlusu kişisel verilerin elde edildiği anda aşağıdaki bilgilerin tamamını veri öznesine sağlar:

(a) veri sorumlusunun ve uygun olduğu hâllerde, veri sorumlusunun temsilcisinin kimlik ve irtibat bilgileri;

(b) uygun olduğu hâllerde, veri koruma görevlisinin irtibat bilgileri;

(c) kişisel verilerin planlanan işlenme amaçlarının yanı sıra işlemenin yasal dayanağı;

(d) işlemenin 6(1) maddesinin (f) bendine dayanması durumunda, veri sorumlusu veya üçüncü kişi tarafından gözetilen meşru menfaatler;

(e) varsa, kişisel verilerin alıcıları veya alıcı kategorileri;

(f) uygun olduğu hâllerde, veri sorumlusunun kişisel verileri, bir üçüncü ülke veya uluslararası kuruluşa aktarmayı amaçladığı ve Komisyon tarafından bir yeterlilik kararı verilip verilmediği ya da 46 veya 47. maddelerde veya 49(1) maddesinin ikinci alt paragrafında atıfta bulunulan aktarımlar olması hâlinde, uygun veya yerinde güvencelere ilişkin atıf ve bunların bir nüshasının elde edilme yolları veya bunların nerede sağlandığı.

2. 1. paragrafta atıfta bulunulan bilgilere ek olarak, veri sorumlusu kişisel verilerin elde edildiği anda adil ve şeffaf bir işleme faaliyeti için gereken aşağıdaki ek bilgileri veri öznesine sağlar:

(a) kişisel verilerin depolanacağı süre veya bunun mümkün olmaması hâlinde, bu sürenin belirlenmesi amacıyla kullanılan kriterler;

(b) veri sorumlusundan kişisel verilere erişim ve kişisel verilerin düzeltilmesi ya da kalıcı olarak silinmesini veya veri öznesi ile ilgili işlemenin kısıtlanmasını talep etme ya da işlemeye itiraz etme hakkının yanı sıra veri taşınabilirliği hakkının varlığı;

(c) işlemenin 6(1) maddesinin (a) bendine veya 9(2) maddesinin (a) bendine dayandığı hâllerde, rızanın geri çekilmesinden önce rızaya dayalı olarak gerçekleştirilen işlemenin hukuka uygunluğu etkilenmeksizin, her zaman rızayı geri alma hakkının varlığı;

(d) denetim makamına şikâyette bulunma hakkı;

(e) kişisel verilerin sağlanmasının yasal ya da sözleşmeye bağlı bir gereklilik mi yoksa sözleşme yapılabilmesi için aranan bir gereklilik mi olduğu ve ayrıca, veri öznesinin kişisel verileri sağlamak zorunda olup olmadığı ve söz konusu verilerin sağlanmamasının muhtemel sonuçları;

(f) profillemede dâhil olmak üzere 22(1) ve (4) maddelerinde atıfta bulunulan otomatik karar almanın varlığı ve en azından bu hâllerde, yürütülen mantığa ilişkin anlamlı bilgilerin yanı sıra söz konusu işlemenin veri öznesi açısından önemi ve öngörülen sonuçları.

3. Veri sorumlusunun kişisel verileri bu verilerin toplanma amacı dışında bir amaçla sonradan işlemeyi planladığı hâllerde, veri sorumlusu söz konusu sonraki işlemeden önce diğer amaca ilişkin bilgileri ve 2. paragrafta atıfta bulunulan diğer ilgili bilgileri veri öznesine sağlar.

4. Veri öznesinin hâlihazırda bu bilgilere sahip olduğu hâllerde ve ölçüde 1, 2 ve 3. paragraflar uygulanmaz.

1. Kişisel verilerin veri öznesinden alınmaması durumunda, veri sorumlusu veri öznesine aşağıdaki bilgileri sağlar:

(a) veri sorumlusunun ve uygun olduğu hâllerde, veri sorumlusunun temsilcisinin kimlik ve irtibat bilgileri;

(b) uygun olduğu hâllerde, veri koruma görevlisinin irtibat bilgileri;

(c) kişisel verilerin planlanan işlenme amaçlarının yanı sıra işlemenin yasal dayanağı;

(d) ilgili kişisel veri kategorileri;

(e) varsa, kişisel verilerin alıcıları veya alıcı kategorileri;

(f) uygun olduğu hâllerde, veri sorumlusunun kişisel verileri bir üçüncü ülke veya uluslararası kuruluşa aktarmayı amaçladığı ve Komisyon tarafından bir yeterlilik kararı verilip verilmediği ya da 46 veya 47. maddelerde veya 49(1) maddesinin ikinci alt paragrafında atıfta bulunulan aktarımlar olması hâlinde, uygun veya yerinde güvencelere ilişkin atıf ve bunların bir nüshasının elde edilme yolları veya bunların nerede sağlandığı.

2. 1. paragrafta atıfta bulunulan bilgilere ek olarak, veri sorumlusu veri öznesi açısından adil ve şeffaf bir işlemenin sağlanması için gereken aşağıdaki bilgileri veri öznesine sağlar:

(a) kişisel verilerin depolanacağı süre veya bunun mümkün olmaması hâlinde, bu sürenin belirlenmesi amacıyla kullanılan kriterler;

(b) işlemenin 6(1) maddesinin (f) bendine dayanması durumunda, veri sorumlusu veya üçüncü kişi tarafından gözetilen meşru menfaatler;

(c) veri sorumlusundan kişisel verilere erişim ve kişisel verilerin düzeltilmesi ya da kalıcı olarak silinmesini veya veri öznesi ile ilgili işlemenin kısıtlanmasını talep etme hakkı ile işlemeye itiraz etme hakkının yanı sıra veri taşınabilirliği hakkının varlığı;

(d) işlemenin 6(1) maddesinin (a) bendine veya 9(2) maddesinin (a) bendine dayandığı hâllerde, rızanın geri çekilmesinden önce rızaya dayalı olarak gerçekleştirilen işlemenin hukuka uygunluğu etkilenmeksizin, her zaman rızayı geri alma hakkının varlığı;

(e) denetim makamına şikâyette bulunma hakkı;

(f) kişisel verilerin hangi kaynaktan alındığı, ve uygun hâllerde, kişisel verilerin kamunun erişebileceği kaynaklardan gelip gelmediği;

(g) profilleme de dâhil olmak üzere 22(1) ve (4) maddelerinde atıfta bulunulan otomatik karar almanın varlığı ve en azından bu hâllerde, yürütülen mantığa ilişkin anlamlı bilgilerin yanı sıra söz konusu işlemenin veri öznesi açısından önemi ve öngörülen sonuçları.

3. Veri sorumlusu 1 ve 2. paragraflarda atıfta bulunulan bilgileri şu şekilde sağlar:

(a) kişisel verilerin elde edilmesinden itibaren makul bir süre içinde, ancak kişisel verilerin işlendiği spesifik koşullar göz önünde tutularak, en geç bir ay içinde;

(b) kişisel verilerin veri öznesi ile bilgilendirme amacıyla kullanılacak olması durumunda, en geç söz konusu veri öznesi ile ilk kez iletişime geçildiği zaman veya

(c) başka bir alıcıya açıklamanın öngörülmesi hâlinde, en geç kişisel veriler ilk kez açıklandığı zaman.

4. Veri sorumlusunun kişisel verileri bu verilerin elde edilme amacı dışında bir amaçla sonradan işlemeyi planladığı hâllerde, veri sorumlusu söz konusu sonraki işlemeden önce diğer amaca ilişkin bilgileri ve 2. paragrafta atıfta bulunulan diğer ilgili bilgileri veri öznesine sağlar.

5. 1 ilâ 4. paragraflar aşağıdaki hâllerde ve ölçüde uygulanmaz:

(a) veri öznesinin hâlihazırda bilgisinin olması;

(b) 89(1) maddesinde atıfta bulunulan koşullara ve güvencelere tabi olarak kamu yararına arşivleme amaçları, bilimsel veya tarihi araştırma amaçları ya da istatistiki amaçlar başta olmak üzere söz konusu bilgilerin sağlanmasının imkânsız olduğunun ortaya konulması veya ölçüsüz bir çaba gerektirmesi hâlinde ya da bu maddenin 1. paragrafında atıfta bulunulan yükümlülüğün söz konusu işleme amaçlarına ulaşılmasını imkânsız hâle getirmesi veya bu amaçlara ulaşılmasına ciddi şekilde zarar vermesinin muhtemel olduğu ölçüde. Böyle durumlarda, veri sorumlusu bilginin kamu erişimine açılması da dâhil olmak üzere veri öznesinin hakları ile özgürlüklerinin ve meşru menfaatlerinin korunması amacıyla uygun tedbirleri alır;

(c) elde etme veya açıklamanın, veri sorumlusunun tabi olduğu ve veri öznesinin meşru menfaatlerini korumak üzere uygun tedbirler öngören Birlik veya Üye Devlet hukukunda açıkça belirtilmesi veya

(d) kişisel verilerin yasadan kaynaklanan bir sır saklama yükümlülüğü de dâhil olmak üzere Birlik ya da Üye Devlet hukuku ile düzenlenen mesleki bir sır saklama yükümlülüğüne tabi olarak gizli kalmasının gerekmesi.

1. Where personal data relating to a data subject are collected from the data subject, the controller shall, at the time when personal data are obtained, provide the data subject with all of the following information:

(a) the identity and the contact details of the controller and, where applicable, of the controller's representative;

(b) the contact details of the data protection officer, where applicable;

(c) the purposes of the processing for which the personal data are intended as well as the legal basis for the processing;

(d) where the processing is based on point (f) of Article 6(1), the legitimate interests pursued by the controller or by a third party;

(e) the recipients or categories of recipients of the personal data, if any;

(f) where applicable, the fact that the controller intends to transfer personal data to a third country or international organisation and the existence or absence of an adequacy decision by the Commission, or in the case of transfers referred to in Article 46 or 47, or the second subparagraph of Article 49(1), reference to the appropriate or suitable safeguards and the means by which to obtain a copy of them or where they have been made available.

2. In addition to the information referred to in paragraph 1, the controller shall, at the time when personal data are obtained, provide the data subject with the following further information necessary to ensure fair and transparent processing:

(a) the period for which the personal data will be stored, or if that is not possible, the criteria used to determine that period;

(b) the existence of the right to request from the controller access to and rectification or erasure of personal data or restriction of processing concerning the data subject or to object to processing as well as the right to data portability;

(c) where the processing is based on point (a) of Article 6(1) or point (a) of Article 9(2), the existence of the right to withdraw consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal;

(d) the right to lodge a complaint with a supervisory authority;

(e) whether the provision of personal data is a statutory or contractual requirement, or a requirement necessary to enter into a contract, as well as whether the data subject is obliged to provide the personal data and of the possible consequences of failure to provide such data;

(f) the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4) and, at least in those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequences of such processing for the data subject.

3. Where the controller intends to further process the personal data for a purpose other than that for which the personal data were collected, the controller shall provide the data subject prior to that further processing with information on that other purpose and with any relevant further information as referred to in paragraph 2.

4. Paragraphs 1, 2 and 3 shall not apply where and insofar as the data subject already has the information.

1. Where personal data have not been obtained from the data subject, the controller shall provide the data subject with the following information:

(a) the identity and the contact details of the controller and, where applicable, of the controller's representative;

(b) the contact details of the data protection officer, where applicable;

(c) the purposes of the processing for which the personal data are intended as well as the legal basis for the processing;

(d) the categories of personal data concerned;

(e) the recipients or categories of recipients of the personal data, if any;

(f) where applicable, that the controller intends to transfer personal data to a recipient in a third country or international organisation and the existence or absence of an adequacy decision by the Commission, or in the case of transfers referred to in Article 46 or 47, or the second subparagraph of Article 49(1), reference to the appropriate or suitable safeguards and the means to obtain a copy of them or where they have been made available.

2. In addition to the information referred to in paragraph 1, the controller shall provide the data subject with the following information necessary to ensure fair and transparent processing in respect of the data subject:

(a) the period for which the personal data will be stored, or if that is not possible, the criteria used to determine that period;

(b) where the processing is based on point (f) of Article 6(1), the legitimate interests pursued by the controller or by a third party;

(c) the existence of the right to request from the controller access to and rectification or erasure of personal data or restriction of processing concerning the data subject and to object to processing as well as the right to data portability;

(d) where processing is based on point (a) of Article 6(1) or point (a) of Article 9(2), the existence of the right to withdraw consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal;

(e) the right to lodge a complaint with a supervisory authority;

(f) from which source the personal data originate, and if applicable, whether it came from publicly accessible sources;

(g) the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4) and, at least in those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequences of such processing for the data subject.

3. The controller shall provide the information referred to in paragraphs 1 and 2:

(a) within a reasonable period after obtaining the personal data, but at the latest within one month, having regard to the specific circumstances in which the personal data are processed;

(b) if the personal data are to be used for communication with the data subject, at the latest at the time of the first communication to that data subject; or

(c) if a disclosure to another recipient is envisaged, at the latest when the personal data are first disclosed.

4. Where the controller intends to further process the personal data for a purpose other than that for which the personal data were obtained, the controller shall provide the data subject prior to that further processing with information on that other purpose and with any relevant further information as referred to in paragraph 2.

5. Paragraphs 1 to 4 shall not apply where and insofar as:

(a) the data subject already has the information;

(b) the provision of such information proves impossible or would involve a disproportionate effort, in particular for processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes, subject to the conditions and safeguards referred to in Article 89(1) or in so far as the obligation referred to in paragraph 1 of this Article is likely to render impossible or seriously impair the achievement of the objectives of that processing. In such cases the controller shall take appropriate measures to protect the data subject's rights and freedoms and legitimate interests, including making the information publicly available;

(c) obtaining or disclosure is expressly laid down by Union or Member State law to which the controller is subject and which provides appropriate measures to protect the data subject's legitimate interests; or

(d) where the personal data must remain confidential subject to an obligation of professional secrecy regulated by Union or Member State law, including a statutory obligation of secrecy.

1. Veri öznesinin kendisi ile ilgili kişisel verilerin işlenip işlenmediğini veri sorumlusundan teyit etme ve işlemenin söz konusu olması hâlinde kişisel verilere ve aşağıdaki bilgilere erişim sağlama hakkı bulunur:

(a) işleme amaçları;

(b) ilgili kişisel veri kategorileri;

(c) üçüncü ülkeler veya uluslararası kuruluşlardaki alıcılar başta olmak üzere, kişisel verilerin açıklandığı veya açıklanacağı alıcılar veya alıcı kategorileri;

(d) mümkün olması hâlinde, kişisel verilerin depolanması için öngörülen süre veya bunun mümkün olmaması hâlinde, bu sürenin belirlenmesi amacıyla kullanılan kriterler;

(e) veri sorumlusundan veri öznesine ilişkin kişisel verilerin düzeltilmesi veya kalıcı olarak silinmesini ya da söz konusu verilerin işlenmesinin kısıtlanmasını talep etme veya söz konusu işlemeye itiraz etme hakkının varlığı;

(f) denetim makamına şikâyette bulunma hakkı;

(g) kişisel verilerin veri öznesinden toplanmaması hâlinde, bu verilerin kaynaklarına ilişkin mevcut bilgiler;

(h) profilleme de dâhil olmak üzere 22(1) ve (4) maddelerinde atıfta bulunulan otomatik karar almanın varlığı ve en azından bu hâllerde, yürütülen mantığa ilişkin anlamlı bilgilerin yanı sıra söz konusu işlemenin veri öznesi açısından önemi ve öngörülen sonuçları.

2. Kişisel verilerin bir üçüncü ülke ya da bir uluslararası kuruluşa aktarılması durumunda, veri öznesinin aktarımla ilgili olarak 46. madde uyarınca uygun güvenceler hususunda bilgilendirilme hakkı bulunur.

3. Veri sorumlusu işlenen kişisel verilerin bir nüshasını temin eder. Veri öznesi tarafından talep edilen diğer nüshalarla ilgili olarak, veri sorumlusu idari masraflara istinaden makul bir ücret talep edebilir. Veri öznesinin talebini elektronik yollarla iletmesi hâlinde ve veri öznesi tarafından aksi talep edilmedikçe, bilgiler yaygın kullanılan bir elektronik yolla sağlanır.

4. 3. paragrafta atıfta bulunulan bir nüsha alma hakkı başkalarının hak ve özgürlüklerini olumsuz yönde etkilemez.

Veri öznesinin kendisiyle ilgili doğru olmayan kişisel verilerin fazla gecikmeksizin düzeltilmesini veri sorumlusundan temin etme hakkı bulunur. İşleme amaçları dikkate alınarak, veri öznesinin, ek beyan yoluyla yapılması da dâhil olmak üzere, eksik kişisel verileri tamamlatma hakkı bulunur.

1. Veri öznesinin kendisi ile ilgili kişisel verilerin fazla gecikmeksizin kalıcı olarak silinmesini veri sorumlusundan temin etme hakkı bulunur ve aşağıdaki hâllerden birinin geçerli olması durumunda, veri sorumlusu kişisel verileri fazla gecikmeksizin kalıcı olarak silmekle yükümlüdür:

(a) kişisel verilerin toplanma veya işlenme amaçlarıyla ilişkili olarak artık gerekli olmaması;

(b) veri öznesinin 6(1) maddesinin (a) bendi veya 9(2) maddesinin (a) bendine göre işlemenin dayandığı rızayı geri alması ve işlemeyle ilgili başka bir hukuki dayanak bulunmaması;

(c) veri öznesinin 21(1) maddesi uyarınca işlemeye itirazda bulunması ve işlemeye yönelik ağır basan meşru bir dayanak bulunmaması ya da veri öznesinin 21(2) maddesi uyarınca işlemeye itirazda bulunması;

(d) kişisel verilerin hukuka aykırı biçimde işlenmiş olması;

(e) veri sorumlusunun tabi olduğu Birlik veya Üye Devlet hukukundaki bir yasal yükümlülüğe uyum sağlanması amacıyla kişisel verilerin kalıcı olarak silinmesinin zorunlu olması;

(f) kişisel verilerin 8(1) maddesinde atıfta bulunulan bilgi toplumu hizmetlerinin sunulması ile ilgili toplanmış olması.

2. Veri sorumlusunun kişisel verileri kamuya açıklamış olduğu ve 1. paragraf uyarınca kişisel verileri kalıcı olarak silmek zorunda olduğu hâllerde, veri sorumlusu, mevcut teknoloji ve uygulama maliyetini göz önünde bulundurarak, veri öznesinin talep ettiği kişisel verileri işleyen veri sorumlularına söz konusu kişisel verilere yönelik her türlü bağlantı veya bu verilerin her türlü nüshası ya da çoğaltmasının söz konusu veri sorumlularınca kalıcı olarak silinmesi hususunda bilgi vermek üzere teknik tedbirler de dâhil olmak üzere makul adımları atar.

3. İşleme aşağıdaki amaçlar doğrultusunda gerekli olduğu ölçüde 1 ve 2. paragraflar uygulanmaz:

(a) ifade özgürlüğü ve bilgi edinme hakkının kullanılması;

(b) veri sorumlusunun tabi olduğu Birlik veya Üye Devlet hukuku çerçevesinde işleme gerektiren bir yasal yükümlülüğe uyulması veya kamu yararına gerçekleştirilen bir görevin yerine getirilmesi veya veri sorumlusuna verilen resmi bir yetkinin uygulanması;

(c) 9(2) maddesinin (h) ve (i) bentlerinin yanı sıra 9(3) maddesi uyarınca halk sağlığı alanındaki kamu yararı sebeplerinden dolayı;

(d) 1. paragrafta atıfta bulunulan hakkın işleme amaçlarına ulaşılmasını imkânsız hale getirmesi veya bu amaçlara ulaşılmasına ciddi şekilde zarar vermesinin muhtemel olduğu ölçüde, 89(1) maddesi uyarınca kamu yararına arşivleme amaçları, bilimsel veya tarihi araştırma amaçları ya da istatistiki amaçlar doğrultusunda veya

(e) hak taleplerinin oluşturulması, hakkın yerine getirilmesi veya savunulması açısından.

1. Aşağıdaki durumlardan birinin geçerli olması hâlinde, veri öznesinin veri sorumlusundan işlemenin kısıtlanmasını temin etme hakkı bulunur:

(a) veri sorumlusunun kişisel verilerin doğruluğunu teyit etmesine imkân veren sürede, veri öznesinin kişisel verilerin doğruluğuna itiraz etmesi;

(b) işlemenin hukuka aykırı olması ve veri öznesinin kişisel verilerin kalıcı olarak silinmesine itiraz etmesi ve bunun yerine verilerin kullanımının kısıtlanmasını talep etmesi;

(c) veri sorumlusunun işleme amaçlarına yönelik olarak artık kişisel verilere ihtiyaç duymaması ancak veri öznesinin, hak talepleri oluşturma, hakkın yerine getirilmesi veya savunulması amacıyla söz konusu verilere ihtiyaç duyması;

(d) veri sorumlusunun meşru gerekçelerinin veri öznesinin meşru gerekçelerine ağır basıp basmadığı doğrulanana kadar, veri öznesinin 21(1) maddesi uyarınca işlemeye itiraz etmesi.

2. İşleme faaliyetinin 1. paragraf kapsamında kısıtlanmış olduğu hâllerde, söz konusu kişisel veriler, depolama haricinde, yalnızca veri öznesinin rızasıyla veya hak taleplerinin oluşturulması, hakkın yerine getirilmesi ya da savunulmasına yönelik olarak ya da başka bir gerçek veya tüzel kişinin haklarının korunması amacıyla ya da Birlik veya bir Üye Devlet'in esaslı kamu yararı sebebiyle işlenir.

3. 1. paragraf uyarınca işlemenin kısıtlanmasını temin eden veri öznesine, işlemeye ilişkin kısıtlama kaldırılmadan önce, veri sorumlusu tarafından bilgi verilir.

Veri sorumlusu, imkânsız olduğunun ortaya konulmaması veya ölçüsüz bir çaba gerektirmemesi hâlinde, 16. madde, 17(1) maddesi ve 18. madde uyarınca gerçekleştirilen her türlü kişisel veri düzeltme veya kalıcı olarak silme işlemi ya da işlemenin kısıtlanması hakkında kişisel verilerin açıklandığı her alıcı bilgilendirilir. Veri öznesinin bu yönde bir talebinin bulunması hâlinde, veri sorumlusu veri öznesine bu alıcılar hakkında bilgi verir.

1. Aşağıdaki hâllerde, veri öznesinin kendisi ile ilgili olarak bir veri sorumlusuna sağladığı kişisel verileri yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilecek bir formatta alma hakkı bulunur ve kişisel verilerin sağlandığı veri sorumlusunun herhangi bir engellemesi olmaksızın bu verileri başka bir veri sorumlusuna iletme hakkı bulunur:

(a) işlemenin 6(1) maddesinin (a) bendi veya 9(2) maddesinin (a) bendi uyarınca bir rızaya veya 6(1) maddesinin (b) bendi uyarınca bir sözleşmeye dayanması ve

(b) işlemenin otomatik yollarla yapılması.

2. 1. paragraf uyarınca veri taşınabilirliği hakkını kullanırken veri öznesinin, teknik açıdan uygulanabilir olması hâlinde, kişisel verileri doğrudan bir veri sorumlusundan diğerine ilettirme hakkı bulunur.

3. Bu maddenin 1. paragrafında atıfta bulunulan hakkın kullanımı 17. maddeye halel getirmez. Söz konusu hak kamu yararına gerçekleştirilen bir görevin yerine getirilmesi veya veri sorumlusuna verilen resmi bir yetkinin uygulanması için gereken işlemelere uygulanmaz.

4. 1. paragrafta atıfta bulunulan hak, başkalarının hak ve özgürlüklerini olumsuz yönde etkilemez.

1. Veri öznesinin, kendi özel durumu ile ilgili gerekçelere dayalı olarak, (6)1 maddesinin (e) veya (f) bentlerine istinaden, profilleme de dâhil olmak üzere, bu bentlere dayanarak kendisi ile ilgili kişisel verilerin işlenmesine her zaman itiraz etme hakkı bulunur. Veri sorumlusu veri öznesinin menfaatleri, hakları ve özgürlüklerine veya hak taleplerinin oluşturulması, hakkın yerine getirilmesi veya savunulmasına ağır basan zorlayıcı meşru bir dayanak göstermediği sürece artık kişisel verileri işleyemez.

2. Kişisel verilerin doğrudan pazarlama amaçları doğrultusunda işlenmesi durumunda, veri öznesinin doğrudan söz konusu pazarlamayla ilgili olduğu ölçüde profilleme de dâhil olmak üzere, kendisiyle ilgili kişisel verilerin söz konusu doğrudan pazarlama amacıyla işlenmesine her zaman itiraz etme hakkı bulunur.

3. Veri öznesinin doğrudan pazarlama amaçlarına yönelik işlemeye itiraz etmesi halinde, kişisel veriler artık bu amaçlarla işlenmez.

4. En geç veri öznesi ile ilk kez iletişime geçildiği zaman, 1 ve 2. paragraflarda atıfta bulunulan hak açık bir şekilde veri öznesine bildirilir ve diğer bilgilerden açık ve ayrı bir şekilde sunulur.

5. Bilgi toplumu hizmetlerinin kullanımı bağlamında ve 2002/58/AT sayılı Direktif’e bağlı olmaksızın, veri öznesi teknik özellikleri kullanmak suretiyle otomatik yollarla itiraz hakkını kullanabilir.

6. Kişisel verilerin 89(1) maddesi uyarınca bilimsel veya tarihi araştırma amaçları ya da istatistiki amaçlar doğrultusunda işlenmesi durumunda, işleme kamu yararı sebebiyle gerçekleştirilen bir görevin yürütülmesi için gerekli olmadığı sürece, veri öznesinin, kendi özel durumu ile ilgili gerekçelere dayalı olarak, kendisi ile ilgili kişisel verilerin işlenmesine itiraz hakkı bulunur.

1. Veri öznesinin kendisiyle ilgili hukuki sonuçlar doğuran veya benzer biçimde kendisini kayda değer şekilde etkileyen, profilleme de dâhil olmak üzere yalnızca otomatik işlemeye dayalı bir karara tabi olmama hakkı bulunur.

2. Kararın aşağıdaki özellikleri taşıması hâlinde, 1. paragraf uygulanmaz:

(a) veri öznesi ve bir veri sorumlusu arasında bir sözleşme yapılması veya söz konusu sözleşmenin uygulanması için gerekli olması;

(b) veri sorumlusunun tabi olduğu ve veri öznesinin hak ve özgürlükleri ile meşru menfaatlerinin güvence altına alınması amacıyla uygun tedbirlerin de belirtildiği Birlik veya Üye Devlet hukuku tarafından verilen yetkiye dayanması veya

(c) veri öznesinin açık rızasına dayanması.

3. 2. paragrafın (a) ve (c) bentlerinde atıfta bulunulan hâllerde, asgari olarak, veri sorumlusunun müdahalesini temin hakkı başta olmak üzere, veri öznesinin kendi görüşünü ifade etme ve karara karşı çıkma yönündeki hak ve özgürlükleri ile meşru menfaatlerini güvence altına almak için veri sorumlusu uygun tedbirleri uygular.

4. 2. paragrafta atıfta bulunulan kararlar, 9(2) maddesinin (a) veya (g) bendinin uygulandığı ve veri öznesinin hak ve özgürlükleri ile meşru menfaatlerini güvence altına almak üzere uygun tedbirlerin alındığı durumlar hariç, 9(1) maddesinde atıfta bulunulan özel kategorilerdeki kişisel verilere dayandırılmaz.

1. The data subject shall have the right to obtain from the controller confirmation as to whether or not personal data concerning him or her are being processed, and, where that is the case, access to the personal data and the following information:

(a) the purposes of the processing;

(b) the categories of personal data concerned;

(c) the recipients or categories of recipient to whom the personal data have been or will be disclosed, in particular recipients in third countries or international organisations;

(d) where possible, the envisaged period for which the personal data will be stored, or, if not possible, the criteria used to determine that period;

(e) the existence of the right to request from the controller rectification or erasure of personal data or restriction of processing of personal data concerning the data subject or to object to such processing;

(f) the right to lodge a complaint with a supervisory authority;

(g) where the personal data are not collected from the data subject, any available information as to their source;

(h) the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4) and, at least in those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequences of such processing for the data subject.

2. Where personal data are transferred to a third country or to an international organisation, the data subject shall have the right to be informed of the appropriate safeguards pursuant to Article 46 relating to the transfer.

3. The controller shall provide a copy of the personal data undergoing processing. For any further copies requested by the data subject, the controller may charge a reasonable fee based on administrative costs. Where the data subject makes the request by electronic means, and unless otherwise requested by the data subject, the information shall be provided in a commonly used electronic form.

4. The right to obtain a copy referred to in paragraph 3 shall not adversely affect the rights and freedoms of others.

The data subject shall have the right to obtain from the controller without undue delay the rectification of inaccurate personal data concerning him or her. Taking into account the purposes of the processing, the data subject shall have the right to have incomplete personal data completed, including by means of providing a supplementary statement.

1. The data subject shall have the right to obtain from the controller the erasure of personal data concerning him or her without undue delay and the controller shall have the obligation to erase personal data without undue delay where one of the following grounds applies:

(a) the personal data are no longer necessary in relation to the purposes for which they were collected or otherwise processed;

(b) the data subject withdraws consent on which the processing is based according to point (a) of Article 6(1), or point (a) of Article 9(2), and where there is no other legal ground for the processing;

(c) the data subject objects to the processing pursuant to Article 21(1) and there are no overriding legitimate grounds for the processing, or the data subject objects to the processing pursuant to Article 21(2);

(d) the personal data have been unlawfully processed;

(e) the personal data have to be erased for compliance with a legal obligation in Union or Member State law to which the controller is subject;

(f) the personal data have been collected in relation to the offer of information society services referred to in Article 8(1).

2. Where the controller has made the personal data public and is obliged pursuant to paragraph 1 to erase the personal data, the controller, taking account of available technology and the cost of implementation, shall take reasonable steps, including technical measures, to inform controllers which are processing the personal data that the data subject has requested the erasure by such controllers of any links to, or copy or replication of, those personal data.

3. Paragraphs 1 and 2 shall not apply to the extent that processing is necessary:

(a) for exercising the right of freedom of expression and information;

(b) for compliance with a legal obligation which requires processing by Union or Member State law to which the controller is subject or for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller;

(c) for reasons of public interest in the area of public health in accordance with points (h) and (i) of Article 9(2) as well as Article 9(3);

(d) for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes in accordance with Article 89(1) in so far as the right referred to in paragraph 1 is likely to render impossible or seriously impair the achievement of the objectives of that processing; or

(e) for the establishment, exercise or defence of legal claims.

1. The data subject shall have the right to obtain from the controller restriction of processing where one of the following applies:

(a) the accuracy of the personal data is contested by the data subject, for a period enabling the controller to verify the accuracy of the personal data;

(b) the processing is unlawful and the data subject opposes the erasure of the personal data and requests the restriction of their use instead;

(c) the controller no longer needs the personal data for the purposes of the processing, but they are required by the data subject for the establishment, exercise or defence of legal claims;

(d) the data subject has objected to processing pursuant to Article 21(1) pending the verification whether the legitimate grounds of the controller override those of the data subject.

2. Where processing has been restricted under paragraph 1, such personal data shall, with the exception of storage, only be processed with the data subject's consent or for the establishment, exercise or defence of legal claims or for the protection of the rights of another natural or legal person or for reasons of important public interest of the Union or of a Member State.

3. A data subject who has obtained restriction of processing pursuant to paragraph 1 shall be informed by the controller before the restriction of processing is lifted.

The controller shall communicate any rectification or erasure of personal data or restriction of processing carried out in accordance with Article 16, Article 17(1) and Article 18 to each recipient to whom the personal data have been disclosed, unless this proves impossible or involves disproportionate effort. The controller shall inform the data subject about those recipients if the data subject requests it.

1. The data subject shall have the right to receive the personal data concerning him or her, which he or she has provided to a controller, in a structured, commonly used and machine-readable format and have the right to transmit those data to another controller without hindrance from the controller to which the personal data have been provided, where:

(a) the processing is based on consent pursuant to point (a) of Article 6(1) or point (a) of Article 9(2) or on a contract pursuant to point (b) of Article 6(1); and

(b) the processing is carried out by automated means.

2. In exercising his or her right to data portability pursuant to paragraph 1, the data subject shall have the right to have the personal data transmitted directly from one controller to another, where technically feasible.

3. The exercise of the right referred to in paragraph 1 of this Article shall be without prejudice to Article 17. That right shall not apply to processing necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller.

4. The right referred to in paragraph 1 shall not adversely affect the rights and freedoms of others.

1. The data subject shall have the right to object, on grounds relating to his or her particular situation, at any time to processing of personal data concerning him or her which is based on point (e) or (f) of Article 6(1), including profiling based on those provisions. The controller shall no longer process the personal data unless the controller demonstrates compelling legitimate grounds for the processing which override the interests, rights and freedoms of the data subject or for the establishment, exercise or defence of legal claims.

2. Where personal data are processed for direct marketing purposes, the data subject shall have the right to object at any time to processing of personal data concerning him or her for such marketing, which includes profiling to the extent that it is related to such direct marketing.

3. Where the data subject objects to processing for direct marketing purposes, the personal data shall no longer be processed for such purposes.

4. At the latest at the time of the first communication with the data subject, the right referred to in paragraphs 1 and 2 shall be explicitly brought to the attention of the data subject and shall be presented clearly and separately from any other information.

5. In the context of the use of information society services, and notwithstanding Directive 2002/58/EC, the data subject may exercise his or her right to object by automated means using technical specifications.

6. Where personal data are processed for scientific or historical research purposes or statistical purposes pursuant to Article 89(1), the data subject, on grounds relating to his or her particular situation, shall have the right to object to processing of personal data concerning him or her, unless the processing is necessary for the performance of a task carried out for reasons of public interest.

1. The data subject shall have the right not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning him or her or similarly significantly affects him or her.

2. Paragraph 1 shall not apply if the decision:

(a) is necessary for entering into, or performance of, a contract between the data subject and a data controller;

(b) is authorised by Union or Member State law to which the controller is subject and which also lays down suitable measures to safeguard the data subject's rights and freedoms and legitimate interests; or

(c) is based on the data subject's explicit consent.

3. In the cases referred to in points (a) and (c) of paragraph 2, the data controller shall implement suitable measures to safeguard the data subject's rights and freedoms and legitimate interests, at least the right to obtain human intervention on the part of the controller, to express his or her point of view and to contest the decision.

4. Decisions referred to in paragraph 2 shall not be based on special categories of personal data referred to in Article 9(1), unless point (a) or (g) of Article 9(2) applies and suitable measures to safeguard the data subject's rights and freedoms and legitimate interests are in place.

1. Veri sorumlusu ve veri işleyen, son teknoloji, uygulama maliyetleri ve işlemenin mahiyeti, kapsamı, bağlamı ve amaçlarının yanı sıra, gerçek kişilerin hakları ve özgürlükleri açısından değişen olasılık ve ağırlıktaki riskleri dikkate alarak, risk açısından uygun bir güvenlik seviyesi sağlamak üzere, diğer hususların yanı sıra, uygun olduğu hâllerde, aşağıdakiler de dâhil olmak üzere uygun teknik ve kurumsal tedbirler uygular:

(a) kişisel verilerde takma ad kullanımı ve şifreleme;

(b) işleme sistemlerinin ve hizmetlerinin gizliliğini, bütünlüğünü, kullanılabilirliğini ve mukavemetini sürekli olarak sağlama kabiliyeti;

(c) fiziksel veya teknik bir olay durumunda, kişisel verilerin kullanılabilirliğinin ve kişisel verilere erişimin vakitlice yeniden sağlanma kabiliyeti;

(d) işlemenin güvenliliğinin sağlanmasına yönelik olarak teknik ve kurumsal tedbirlerin etkililiğinin düzenli olarak sınanmasına, ölçülmesine ve değerlendirilmesine ilişkin süreç.

2. Uygun güvenlik seviyesi değerlendirilirken, iletilen, depolanan veya işlenen kişisel verilerin kazara veya hukuka aykırı olarak yok edilmesi, kaybı, değiştirilmesi, izinsiz şekilde açıklanması veya bunlara erişim başta olmak üzere, özellikle işlemenin yol açtığı riskler göz önünde bulundurulur.

3. 40. maddede atıfta bulunulan onaylı davranış kuralları veya 42. maddede atıfta bulunulan onaylı belgelendirme mekanizmasına uygun hareket edilmesi, bu maddenin 1. paragrafında ortaya konulan gerekliliklere uygunluğun gösterilmesine ilişkin bir unsur olarak kullanılabilir.

4. Veri sorumlusu ve veri işleyen, veri sorumlusunun ya da veri işleyenin otoritesi altında hareket eden ve kişisel verilere erişimi bulunan her gerçek kişinin, Birlik ya da Üye Devlet hukuku çerçevesinde aksi öngörülmedikçe, veri sorumlusundan aldığı talimatlar haricinde bu verileri işlememesini sağlamak üzere adımlar atar.

1. Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, the controller and the processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including inter alia as appropriate:

(a) the pseudonymisation and encryption of personal data;

(b) the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing systems and services;

(c) the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident;

(d) a process for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing.

2. In assessing the appropriate level of security account shall be taken in particular of the risks that are presented by processing, in particular from accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to personal data transmitted, stored or otherwise processed.

3. Adherence to an approved code of conduct as referred to in Article 40 or an approved certification mechanism as referred to in Article 42 may be used as an element by which to demonstrate compliance with the requirements set out in paragraph 1 of this Article.

4. The controller and processor shall take steps to ensure that any natural person acting under the authority of the controller or the processor who has access to personal data does not process them except on instructions from the controller, unless he or she is required to do so by Union or Member State law.

1. Denetim makamları, bu Tüzük’ün 4, 5 ve 6. paragraflarda atıfta bulunulan ihlalleri ile ilgili olarak bu madde uyarınca idari para cezaları kesilmesinin her münferit durumda etkili, orantılı ve caydırıcı olmasını sağlar.

2. İdari para cezaları, her münferit durumun koşullarına bağlı olarak, 58(2) maddesinin (a) ilâ (h) ve (j) bentlerinde atıfta bulunulan tedbirlere ek olarak veya bu tedbirler yerine kesilir. Her münferit durumda, idari para cezası kesilip kesilmeyeceğine ve idari para cezasının meblağına karar verilirken, aşağıdaki hususlar dikkate alınır:

(a) ilgili işlemenin mahiyeti, kapsamı veya amacı dikkate alındığında ihlalin mahiyeti, ağırlığı ve süresinin yanı sıra etkilenen veri öznesi sayısı ve veri öznelerinin uğradığı zararın düzeyi;

(b) ihlalin kasıtlı olması veya ihmalden kaynaklanması;

(c) veri öznelerinin uğradığı zararın azaltılması için veri sorumlusu veya veri işleyen tarafından gerçekleştirilen herhangi bir eylem;

(d) 25 ve 32. maddeler uyarınca kendileri tarafından uygulanan teknik ve kurumsal tedbirler dikkate alındığında, veri sorumlusu veya veri işleyenin sorumluluk derecesi;

(e) veri sorumlusu veya veri işleyenin konuyla ilgili önceki ihlalleri;

(f) ihlalin düzeltilmesi ve ihlalin olası olumsuz etkilerinin azaltılması amacıyla denetim makamı ile gerçekleştirilen işbirliği derecesi;

(g) ihlalden etkilenen kişisel veri kategorileri;

(h) veri sorumlusu veya veri işleyenin ihlali bildirip bildirmediği ve bildirdiyse ne ölçüde bildirdiği başta olmak üzere, denetim makamının ihlalden haberdar olma şekli;

(i) 58(2) maddesinde atıfta bulunulan tedbirlerin, ilgili veri sorumlusu veya veri işleyene karşı aynı konu ile ilgili olarak daha önceden alınmış olduğu hâllerde, bu tedbirlere uyum;

(j) 40. madde uyarınca onaylı davranış kurallarına veya 42. madde uyarınca onaylı belgelendirme mekanizmalarına riayet edilmesi;

(k) ihlal nedeniyle doğrudan veya dolaylı olarak elde edilen maddi menfaatler veya kaçınılan zararlar gibi durumun özellikleri açısından geçerli diğer tüm ağırlaştırıcı veya hafifletici unsurlar.

3. Veri sorumlusu veya veri işleyenin aynı veya bağlantılı işleme faaliyetlerine ilişkin olarak bu Tüzük’ün çeşitli hükümlerini kasıtlı olarak veya ihmal suretiyle ihlal etmesi durumunda, idari para cezasının toplam meblağı en ağır ihlal için belirtilen meblağı aşamaz.

4. Aşağıdaki hükümlerin ihlâlleri, 2. paragraf uyarınca, yüksek olan meblağ geçerli olmak üzere, 10.000.000 EUR’a kadar veya bir teşebbüs olması hâlinde, bir önceki mali yılın yıllık dünya çapındaki toplam cirosunun %2’sine kadar idari para cezalarına tabidir:

(a) veri sorumlusu ve veri işleyenin 8, 11, 25 ilâ 39 ile 42 ve 43. maddeler uyarınca yükümlülükleri;

(b) belgelendirme organının 42 ve 43. maddeler uyarınca yükümlülükleri;

(c) izleme organının 41(4) maddesi uyarınca yükümlülükleri .

5. Aşağıdaki hükümlerin ihlâlleri, 2. paragraf uyarınca, yüksek olan meblağ geçerli olmak üzere, 20.000.000 EUR’a kadar veya bir teşebbüs olması hâlinde, bir önceki mali yılın yıllık dünya çapındaki toplam cirosunun %4’üne kadar idari para cezalarına tabidir:

(a) 5, 6, 7 ve 9. maddeler uyarınca rıza koşulları da dâhil olmak üzere işlemeye ilişkin temel ilkeler;

(b) veri öznelerinin 12 ilâ 22. maddeler uyarınca hakları;

(c) 44 ilâ 49. maddeler uyarınca bir üçüncü ülkedeki veya bir uluslararası kuruluştaki bir alıcıya kişisel veri aktarımları;

(d) IX. Bölüm çerçevesinde Üye Devlet hukuku uyarınca kabul edilen her türlü yükümlülük;

(e) 58(2) maddesi uyarınca denetim makamı tarafından verilen bir talimata veya getirilen geçici ya da kesin işleme sınırlamasına veya veri akışlarını askıya almasına uygun hareket edilmemesi veya 58(1) maddesinin ihlal edilmesi suretiyle erişim sağlanmaması.

6. Denetim makamının, 58(2) maddesinde atıfta bulunulan bir talimatına uygun hareket edilmemesi, 2. paragraf uyarınca, yüksek olan meblağ geçerli olmak üzere, 20.000.000 EUR’a kadar veya bir teşebbüs olması hâlinde, bir önceki mali yılın yıllık dünya çapındaki toplam cirosunun %4’üne kadar idari para cezalarına tabidir.

7. Denetim makamlarının 58(2) maddesi uyarınca düzeltme yetkilerine halel gelmeksizin her Üye Devlet, söz konusu Üye Devlet'te kurulu olan kamu makamlarına ve organlara idari para cezalarının kesilip kesilemeyeceğine ve ne ölçüde kesilebileceğine ilişkin kurallar belirleyebilir.

8. Bu madde kapsamındaki yetkilerin denetim makamı tarafından kullanılması, etkili yargı yolu ve yargı süreci de dâhil olmak üzere, Birlik ve Üye Devlet hukuku uyarınca uygun usuli güvencelere tabidir.

9. Üye Devlet'in hukuk sisteminde idari para cezalarının öngörülmediği hâllerde bu madde, söz konusu yargı yollarının etkili olması ve denetim makamları tarafından kesilen idari para cezaları ile eşdeğer bir etkiye sahip olması sağlanarak, para cezası yetkili denetim makamı tarafından girişimde bulunulacak ve yetkili ulusal mahkemeler tarafından kesilecek şekilde uygulanabilir. Her hâlükârda, kesilen para cezaları etkili, orantılı ve caydırıcı olur. Söz konusu Üye Devletler, bu paragraf uyarınca kabul ettikleri mevzuat hükümlerini 25 Mayıs 2018 tarihine kadar ve bunları etkileyen müteakip değişiklik mevzuatını veya değişiklikleri, gecikmeksizin, Komisyona bildirirler.

1. Each supervisory authority shall ensure that the imposition of administrative fines pursuant to this Article in respect of infringements of this Regulation referred to in paragraphs 4, 5 and 6 shall in each individual case be effective, proportionate and dissuasive.

2. Administrative fines shall, depending on the circumstances of each individual case, be imposed in addition to, or instead of, measures referred to in points (a) to (h) and (j) of Article 58(2). When deciding whether to impose an administrative fine and deciding on the amount of the administrative fine in each individual case due regard shall be given to the following:

(a) the nature, gravity and duration of the infringement taking into account the nature scope or purpose of the processing concerned as well as the number of data subjects affected and the level of damage suffered by them;

(b) the intentional or negligent character of the infringement;

(c) any action taken by the controller or processor to mitigate the damage suffered by data subjects;

(d) the degree of responsibility of the controller or processor taking into account technical and organisational measures implemented by them pursuant to Articles 25 and 32;

(e) any relevant previous infringements by the controller or processor;

(f) the degree of cooperation with the supervisory authority, in order to remedy the infringement and mitigate the possible adverse effects of the infringement;

(g) the categories of personal data affected by the infringement;

(h) the manner in which the infringement became known to the supervisory authority, in particular whether, and if so to what extent, the controller or processor notified the infringement;

(i) where measures referred to in Article 58(2) have previously been ordered against the controller or processor concerned with regard to the same subject-matter, compliance with those measures;

(j) adherence to approved codes of conduct pursuant to Article 40 or approved certification mechanisms pursuant to Article 42; and

(k) any other aggravating or mitigating factor applicable to the circumstances of the case, such as financial benefits gained, or losses avoided, directly or indirectly, from the infringement.

3. If a controller or processor intentionally or negligently, for the same or linked processing operations, infringes several provisions of this Regulation, the total amount of the administrative fine shall not exceed the amount specified for the gravest infringement.

4. Infringements of the following provisions shall, in accordance with paragraph 2, be subject to administrative fines up to 10 000 000 EUR, or in the case of an undertaking, up to 2 % of the total worldwide annual turnover of the preceding financial year, whichever is higher:

(a) the obligations of the controller and the processor pursuant to Articles 8, 11, 25 to 39 and 42 and 43;

(b) the obligations of the certification body pursuant to Articles 42 and 43;

(c) the obligations of the monitoring body pursuant to Article 41(4).

5. Infringements of the following provisions shall, in accordance with paragraph 2, be subject to administrative fines up to 20 000 000 EUR, or in the case of an undertaking, up to 4 % of the total worldwide annual turnover of the preceding financial year, whichever is higher:

(a) the basic principles for processing, including conditions for consent, pursuant to Articles 5, 6, 7 and 9;

(b) the data subjects' rights pursuant to Articles 12 to 22;

(c) the transfers of personal data to a recipient in a third country or an international organisation pursuant to Articles 44 to 49;

(d) any obligations pursuant to Member State law adopted under Chapter IX;

(e) non-compliance with an order or a temporary or definitive limitation on processing or the suspension of data flows by the supervisory authority pursuant to Article 58(2) or failure to provide access in violation of Article 58(1).

6. Non-compliance with an order by the supervisory authority as referred to in Article 58(2) shall, in accordance with paragraph 2 of this Article, be subject to administrative fines up to 20 000 000 EUR, or in the case of an undertaking, up to 4 % of the total worldwide annual turnover of the preceding financial year, whichever is higher.

7. Without prejudice to the corrective powers of supervisory authorities pursuant to Article 58(2), each Member State may lay down the rules on whether and to what extent administrative fines may be imposed on public authorities and bodies established in that Member State.

8. The exercise by the supervisory authority of its powers under this Article shall be subject to appropriate procedural safeguards in accordance with Union and Member State law, including effective judicial remedy and due process.

9. Where the legal system of the Member State does not provide for administrative fines, this Article may be applied in such a manner that the fine is initiated by the competent supervisory authority and imposed by competent national courts, while ensuring that those legal remedies are effective and have an equivalent effect to the administrative fines imposed by supervisory authorities. In any event, the fines imposed shall be effective, proportionate and dissuasive. Those Member States shall notify to the Commission the provisions of their laws which they adopt pursuant to this paragraph by 25 May 2018 and, without delay, any subsequent amendment law or amendment affecting them.

Bu Tüzük’ün amaçları doğrultusunda:

(1) "kişisel veri" kimliği belirlenmiş veya belirlenebilir bir gerçek kişiye (“veri öznesi”) ilişkin her türlü bilgidir; kimliği belirlenebilir bir gerçek kişi, özellikle bir isim, kimlik numarası, konum verileri, çevrim içi tanımlayıcı gibi bir tanımlayıcıya ya da söz konusu gerçek kişinin fiziksel, fizyolojik, genetik, ruhsal, ekonomik, kültürel veya toplumsal kimliğine özgü bir ya da daha fazla sayıda faktöre atıfta bulunularak doğrudan veya dolaylı olarak belirlenmiş bir kişidir.

(2) "işleme" otomatik yollarla olsun veya olmasın, kişisel veriler veya kişisel veri setleri üzerinde gerçekleştirilen toplama, kaydetme, düzenleme, yapılandırma, depolama, uyarlama veya değiştirme, geri getirme, danışma, kullanma, iletim yoluyla açıklama, yayma veya bir başka şekilde kullanıma sunma, uyumlaştırma ya da birleştirme, kısıtlama, kalıcı olarak silme veya yok etme gibi herhangi bir işlem veya işlem setidir.

(3) "işlemenin kısıtlanması" depolanan kişisel verilerin gelecekte işlenmelerinin sınırlanması amacıyla işaretlenmesidir.

(4) "profilleme" kişisel verilerin, bir gerçek kişiyle ilgili bazı kişisel özellikleri değerlendirmek, özellikle söz konusu gerçek kişinin işteki performansı, ekonomik durumu, sağlığı, kişisel tercihleri, ilgi alanları, güvenilirliği, davranışları, konumu veya hareketlerine ilişkin hususları analiz etmek veya tahmin etmek amacıyla kişisel verilerin kullanılmasını içeren her türlü otomatik işlenmesi biçimidir.

(5) "takma ad kullanımı" ek bilgilerin ayrı tutulması ve kişisel verilerin kimliği belirlenmiş veya belirlenebilir bir gerçek kişiyle ilişkilendirilmemesinin sağlanması amacıyla teknik ve düzenlemeye ilişkin tedbirlere tabi olması koşuluyla, kişisel verilerin söz konusu ek bilgiler kullanılmaksızın belirli bir veri öznesiyle artık ilişkilendirilemeyecek şekilde işlenmesidir.

(6) "dosyalama sistemi" işlevsel veya coğrafi bir temelde, merkezi, merkezi olmayan veya dağınık olmasına bakılmaksızın, belirli kriterlere göre erişilebilen yapılandırılmış kişisel veri setidir.

(7) "veri sorumlusu" yalnız başına veya başkalarıyla birlikte kişisel verilerin işlenmesinin amaçlarını ve yollarını belirleyen gerçek veya tüzel kişi, kamu makamı, kamu kurumu veya diğer organlardır; söz konusu işlemenin amaçları ve yollarının Birlik ya da Üye Devlet hukukuna göre belirlenmesi halinde, veri sorumlusu veya veri sorumlusunun tayinine özgü kriterler Birlik ya da Üye Devlet hukukuna göre öngörülebilir.

(8) "veri işleyen" veri sorumlusu adına kişisel verileri işleyen bir gerçek ya da tüzel kişi, kamu makamı, kamu kurumu veya diğer organlardır.

(9) "alıcı" üçüncü kişi olsun veya olmasın, kişisel verilerin açıklandığı gerçek ya da tüzel kişi, kamu makamı, kamu kurumu veya diğer organlardır. Ancak kişisel verileri, Birlik veya Üye Devlet hukuku uyarınca belirli bir sorgulama çerçevesinde alabilen kamu makamları alıcı olarak nitelendirilmez; bu verilerin söz konusu kamu makamları tarafından işlenmesi, işleme amaçlarına göre geçerli veri koruma kurallarına uygun olarak yapılır.

(10) "üçüncü kişi" veri öznesi, veri sorumlusu, veri işleyen ve veri sorumlusu ya da veri işleyenin doğrudan otoritesi altında, kişisel verileri işleme yetkisi bulunan kişiler haricindeki bir gerçek veya tüzel kişi, kamu makamı, kamu kuruluşu veya organıdır.

(11) veri öznesinin "rızası" veri öznesinin, bir beyanla ya da açık bir onay eylemiyle kendisiyle ilgili kişisel verilerin işlenmesini kabul ettiğini belirttiği, özgür bir şekilde, spesifik, bilinçli ve açıkça ifade edilen istekleridir.

(12) "kişisel veri ihlâli" iletilen, depolanan veya başka bir şekilde işlenen kişisel verilerin kazara veya hukuk dışı yollarla yok edilmesi, kaybı, değiştirilmesi, izinsiz şekilde açıklanması veya bunlara erişime yol açan bir güvenlik ihlâlidir.

(13) "genetik veri" bir gerçek kişinin fizyoloji veya sağlığı ile ilgili benzersiz bilgiler sağlayan ve özellikle, söz konusu gerçek kişiden alınan bir biyolojik numunenin analizi ile ortaya çıkan, gerçek kişinin kalıtsal veya edinilmiş genetik özellikleri ile ilgili kişisel verilerdir.

(14) "biyometrik veri" yüz görüntüleri veya daktiloskopik veriler gibi bir gerçek kişinin kimliğinin benzersiz şekilde belirlenmesini sağlayan veya bunu teyit eden fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin olarak belirli teknik işleme ile ortaya çıkan kişisel verilerdir.

(15) "sağlık verileri" sağlık hizmetlerinin sağlanması da dâhil olmak üzere, bir gerçek kişinin sağlık durumuyla ilgili bilgileri açığa çıkaran, söz konusu gerçek kişinin fiziksel veya ruhsal sağlığına ilişkin kişisel verilerdir.

(16) "ana kuruluş":

(a) birden fazla Üye Devlet'te kuruluşu bulunan bir veri sorumlusu ile ilgili olarak, kişisel verilerin işlenmesine ilişkin amaçlar ve yollara yönelik kararların veri sorumlusunun Birlik içindeki diğer bir kuruluşunda alınmaması ve bu diğer kuruluşun söz konusu kararları uygulatma yetkisinin bulunmaması durumunda, ki bunların gerçekleşmesi hâlinde, söz konusu kararları alan kuruluş asıl kuruluş olarak kabul edilir, Birlik içindeki merkezi idare yeridir.

(b) birden fazla Üye Devlet'te kuruluşu bulunan bir veri işleyen ile ilgili olarak, Birlik içindeki merkezi idare yeridir veya veri işleyenin Birlik içinde merkezi bir idare yerinin bulunmaması hâlinde, veri işleyenin kuruluşunun faaliyetleri bağlamındaki temel işleme faaliyetlerinin, veri işleyenin bu Tüzük kapsamındaki belirli yükümlülüklere tabi olduğu ölçüde gerçekleştiği Birlik içindeki kuruluşudur.

(17) "temsilci" 27. madde uyarınca veri sorumlusu veya veri işleyen tarafından yazılı olarak belirlenen, bu Tüzük kapsamındaki yükümlülükleri bakımından veri sorumlusu veya veri işleyeni temsil eden ve Birlik içinde kurulmuş olan, gerçek veya tüzel kişidir.

(18) "işletme" düzenli olarak bir ekonomik faaliyetle iştigal eden ortaklıklar veya birlikler de dâhil olmak üzere, hukuki biçimine bakılmaksızın, bir ekonomik faaliyetle iştigal eden gerçek veya tüzel kişidir.

(19) "teşebbüsler grubu" bir idare eden teşebbüs ve onun idare ettiği teşebbüsleridir.

(20) "bağlayıcı şirket kuralları" teşebbüsler grubu veya ortak bir ekonomik faaliyette bulunan işletmeler grubu içinde bir veya daha fazla sayıda üçüncü ülkedeki bir veri sorumlusuna veya veri işleyene kişisel veri aktarımları veya aktarım setiyle ilgili olarak, Üye Devletlerden birinin topraklarında kurulmuş olan bir veri sorumlusu veya veri işleyen tarafından uyulan kişisel veri koruma politikalarıdır.

(21) "denetim makamı" 51. madde uyarınca bir Üye Devlet tarafından kurulan bağımsız bir kamu makamıdır.

(22) "ilgili denetim makamı" aşağıdaki sebeplerden dolayı kişisel verilerin işlenmesiyle ilgili olan bir denetim makamıdır:

(a) veri sorumlusu veya veri işleyenin, söz konusu denetim makamının bulunduğu Üye Devleti'in topraklarında kurulmuş olması;

(b) söz konusu denetim makamının bulunduğu Üye Devlet'te ikamet eden veri öznelerinin işlemeden kayda değer biçimde etkilenmesi veya kayda değer biçimde etkilenme ihtimalinin bulunması veya

(c) söz konusu denetim makamına bir şikâyette bulunulması;

(23) "sınır ötesi işleme":

(a) veri sorumlusu veya veri işleyenin birden fazla Üye Devlet'te kurulu olması hâlinde, kişisel verilerin, söz konusu veri sorumlusu veya veri işleyenin birden fazla Üye Devlet'te bulunan kuruluşlarının faaliyetleri bağlamında işlenmesidir veya

(b) bir veri sorumlusu veya veri işleyenin Birlik içinde bulunan tek bir kuruluşunun faaliyetleri bağlamında gerçekleşen, ancak birden fazla Üye Devlet'teki veri öznelerini kayda değer ölçüde etkileyen veya kayda değer ölçüde etkileme ihtimali bulunan kişisel veri işlemesidir.

(24) "yerinde ve gerekçeli itiraz" bir taslak karar açısından bu Tüzük ile ilgili bir ihlâl olup olmadığına veya veri sorumlusu veya veri işleyen ile ilgili olarak öngörülen eylemin bu Tüzük'e uygun olup olmadığına yönelik olarak yapılan ve taslak kararın veri öznelerinin temel hakları ve özgürlükleri ve uygun olduğu hâllerde, kişisel verilerin Birlik içinde akışı açısından teşkil ettiği risklerin önemini açık bir şekilde gösteren itirazdır.

(25) "bilgi toplumu hizmeti" (AB) 2015/1535 sayılı Avrupa Parlamentosu ve Konsey Direktifi’nin 1(1) maddesinin (b) bendinde tanımlanan hizmettir;

(26) "uluslararası kuruluş" uluslararası kamu hukuku ile düzenlenen bir kuruluş ve söz konusu kuruluşa bağlı organlar veya iki ya da daha fazla sayıda ülke arasındaki bir anlaşma ile veya böyle bir anlaşmaya dayanılarak kurulan diğer organlardır.

1. İşlemenin rızaya dayandığı hâllerde, veri sorumlusu veri öznesinin kişisel verilerinin işlenmesine rıza vermiş olduğunu kanıtlayabilmelidir.

2. Veri öznesinin, rızasını diğer hususlarla da ilgili olan yazılı bir beyan biçiminde vermesi durumunda rıza talebi, diğer hususlardan açık bir şekilde ayırt edilebilecek bir şekilde, anlaşılır ve kolayca erişilebilir bir şekilde, açık ve sade bir dil kullanılarak sunulur. Söz konusu beyanın, bu Tüzük açısından ihlal teşkil eden hiçbir kısmı bağlayıcı değildir.

3. Veri öznesi, istediği zaman rızasını geri alma hakkına sahiptir. Rızanın geri çekilmesi, geri alma işleminden önce rızaya dayalı olarak yapılan işlemenin hukuka uygunluğunu etkilemez. Veri öznesine, rıza vermeden önce, bu hususta bilgi verilir. Rızanın geri çekilmesi rıza vermek kadar kolaydır.

4. Rızanın özgür bir şekilde verilip verilmediği değerlendirilirken, diğerlerinin yanı sıra, bir hizmetin sağlanması da dâhil olmak üzere, bir sözleşmenin ifasının, söz konusu sözleşmenin ifası için gerekli olmayan kişisel verilerin işlenmesine rıza verilmesine bağlı olup olmadığı azami ölçüde dikkate alınır.

For the purposes of this Regulation:

(1) ‘personal data’ means any information relating to an identified or identifiable natural person (‘data subject’); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person;

(2) ‘processing’ means any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;

(3) ‘restriction of processing’ means the marking of stored personal data with the aim of limiting their processing in the future;

(4) ‘profiling’ means any form of automated processing of personal data consisting of the use of personal data to evaluate certain personal aspects relating to a natural person, in particular to analyse or predict aspects concerning that natural person's performance at work, economic situation, health, personal preferences, interests, reliability, behaviour, location or movements;

(5) ‘pseudonymisation’ means the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information, provided that such additional information is kept separately and is subject to technical and organisational measures to ensure that the personal data are not attributed to an identified or identifiable natural person;

(6) ‘filing system’ means any structured set of personal data which are accessible according to specific criteria, whether centralised, decentralised or dispersed on a functional or geographical basis;

(7) ‘controller’ means the natural or legal person, public authority, agency or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data; where the purposes and means of such processing are determined by Union or Member State law, the controller or the specific criteria for its nomination may be provided for by Union or Member State law;

(8) ‘processor’ means a natural or legal person, public authority, agency or other body which processes personal data on behalf of the controller;

(9) ‘recipient’ means a natural or legal person, public authority, agency or another body, to which the personal data are disclosed, whether a third party or not. However, public authorities which may receive personal data in the framework of a particular inquiry in accordance with Union or Member State law shall not be regarded as recipients; the processing of those data by those public authorities shall be in compliance with the applicable data protection rules according to the purposes of the processing;

(10) ‘third party’ means a natural or legal person, public authority, agency or body other than the data subject, controller, processor and persons who, under the direct authority of the controller or processor, are authorised to process personal data;

(11) ‘consent’ of the data subject means any freely given, specific, informed and unambiguous indication of the data subject's wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her;

(12) ‘personal data breach’ means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed;

(13) ‘genetic data’ means personal data relating to the inherited or acquired genetic characteristics of a natural person which give unique information about the physiology or the health of that natural person and which result, in particular, from an analysis of a biological sample from the natural person in question;

(14) ‘biometric data’ means personal data resulting from specific technical processing relating to the physical, physiological or behavioural characteristics of a natural person, which allow or confirm the unique identification of that natural person, such as facial images or dactyloscopic data;

(15) ‘data concerning health’ means personal data related to the physical or mental health of a natural person, including the provision of health care services, which reveal information about his or her health status;

(16) ‘main establishment’ means:

(a) as regards a controller with establishments in more than one Member State, the place of its central administration in the Union, unless the decisions on the purposes and means of the processing of personal data are taken in another establishment of the controller in the Union and the latter establishment has the power to have such decisions implemented, in which case the establishment having taken such decisions is to be considered to be the main establishment;

(b) as regards a processor with establishments in more than one Member State, the place of its central administration in the Union, or, if the processor has no central administration in the Union, the establishment of the processor in the Union where the main processing activities in the context of the activities of an establishment of the processor take place to the extent that the processor is subject to specific obligations under this Regulation;

(17) ‘representative’ means a natural or legal person established in the Union who, designated by the controller or processor in writing pursuant to Article 27, represents the controller or processor with regard to their respective obligations under this Regulation;

(18) ‘enterprise’ means a natural or legal person engaged in an economic activity, irrespective of its legal form, including partnerships or associations regularly engaged in an economic activity;

(19) ‘group of undertakings’ means a controlling undertaking and its controlled undertakings;

(20) ‘binding corporate rules’ means personal data protection policies which are adhered to by a controller or processor established on the territory of a Member State for transfers or a set of transfers of personal data to a controller or processor in one or more third countries within a group of undertakings, or group of enterprises engaged in a joint economic activity;

(21) ‘supervisory authority’ means an independent public authority which is established by a Member State pursuant to Article 51;

(22) ‘supervisory authority concerned’ means a supervisory authority which is concerned by the processing of personal data because:

(a) the controller or processor is established on the territory of the Member State of that supervisory authority;

(b) data subjects residing in the Member State of that supervisory authority are substantially affected or likely to be substantially affected by the processing; or

(c) a complaint has been lodged with that supervisory authority;

(23) ‘cross-border processing’ means either:

(a) processing of personal data which takes place in the context of the activities of establishments in more than one Member State of a controller or processor in the Union where the controller or processor is established in more than one Member State; or

(b) processing of personal data which takes place in the context of the activities of a single establishment of a controller or processor in the Union but which substantially affects or is likely to substantially affect data subjects in more than one Member State.

(24) ‘relevant and reasoned objection’ means an objection to a draft decision as to whether there is an infringement of this Regulation, or whether envisaged action in relation to the controller or processor complies with this Regulation, which clearly demonstrates the significance of the risks posed by the draft decision as regards the fundamental rights and freedoms of data subjects and, where applicable, the free flow of personal data within the Union;

(25) ‘information society service’ means a service as defined in point (b) of Article 1(1) of Directive (EU) 2015/1535 of the European Parliament and of the Council ;

(26) ‘international organisation’ means an organisation and its subordinate bodies governed by public international law, or any other body which is set up by, or on the basis of, an agreement between two or more countries.

1. Where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data.

2. If the data subject's consent is given in the context of a written declaration which also concerns other matters, the request for consent shall be presented in a manner which is clearly distinguishable from the other matters, in an intelligible and easily accessible form, using clear and plain language. Any part of such a declaration which constitutes an infringement of this Regulation shall not be binding.

3. The data subject shall have the right to withdraw his or her consent at any time. The withdrawal of consent shall not affect the lawfulness of processing based on consent before its withdrawal. Prior to giving consent, the data subject shall be informed thereof. It shall be as easy to withdraw as to give consent.

4. When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, the performance of a contract, including the provision of a service, is conditional on consent to the processing of personal data that is not necessary for the performance of that contract.

1. Kişisel veriler:

(a) veri öznesi ile ilgili olarak hukuka uygun, adil ve şeffaf bir biçimde işlenir (“hukuka uygunluk, adalet ve şeffaflık”);

(b) belirtilen, açık ve meşru amaçlarla toplanır ve bu amaçlara uygun olmayacak şekilde sonradan işlenmez; kamu yararına arşivleme amaçları, bilimsel veya tarihi araştırma amaçları veya istatistiki amaçlarla sonraki işleme, 89(1) maddesi uyarınca, baştaki amaçlara uygun olmadığı yönünde değerlendirilmez (“amacın sınırlandırılması”);

(c) işlenme amaçlarına uygun, işlenme amaçlarıyla ilgili ve bunlarla sınırlı olmalıdır. (“veri minimizasyonu”);

(d) doğrudur ve gerektiğinde güncel tutulur; işlenme amaçları göz önünde tutularak, doğru olmayan kişisel verilerin gecikmeksizin kalıcı olarak silinmesi veya düzeltilmesinin sağlanmasıyla ilgili makul tüm adımlar atılmalıdır (“doğruluk”);

(e) veri öznelerinin, yalnızca kişisel verilerin işlenme amaçlarının gerektirdiği sürece kimliğinin belirlenmesini sağlayan bir şekilde tutulur; kişisel veriler, veri öznesinin hakları ve özgürlüklerinin güvence altına alınması için bu Tüzük’ün gerektirdiği uygun teknik ve düzenlemeye ilişkin tedbirlerin uygulanmasına tabi olmak kaydıyla, 89(1) maddesi uyarınca yalnızca kamu yararına arşivleme amaçlarıyla, bilimsel veya tarihi araştırma amaçlarıyla ya da istatistiki amaçlarla işlendikleri sürece, daha uzun sürelerle depolanabilir (“depolamanın sınırlandırılması”);

(f) izinsiz veya hukuka aykırı işlemeye karşı ve kazara kayba, yok etmeye veya tahribe karşı koruma da dâhil olmak üzere, teknik veya düzenlemeye ilişkin uygun tedbirler kullanılarak kişisel verilerin uygun bir biçimde güvenliğini sağlayacak şekilde işlenir ("bütünlük ve gizlilik").

2. Veri sorumlusu, 1. paragrafa uygunluktan sorumludur ve bunu gösterebilmelidir ("hesap verebilirlik").

1. Personal data shall be:

(a) processed lawfully, fairly and in a transparent manner in relation to the data subject (‘lawfulness, fairness and transparency’);

(b) collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible with those purposes; further processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes shall, in accordance with Article 89(1), not be considered to be incompatible with the initial purposes (‘purpose limitation’);

(c) adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (‘data minimisation’);

(d) accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that personal data that are inaccurate, having regard to the purposes for which they are processed, are erased or rectified without delay (‘accuracy’);

(e) kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the personal data are processed; personal data may be stored for longer periods insofar as the personal data will be processed solely for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes in accordance with Article 89(1) subject to implementation of the appropriate technical and organisational measures required by this Regulation in order to safeguard the rights and freedoms of the data subject (‘storage limitation’);

(f) processed in a manner that ensures appropriate security of the personal data, including protection against unauthorised or unlawful processing and against accidental loss, destruction or damage, using appropriate technical or organisational measures (‘integrity and confidentiality’).

2. The controller shall be responsible for, and be able to demonstrate compliance with, paragraph 1 (‘accountability’).

1. Veri sorumlusu ve veri işleyen aşağıdaki durumlarda bir veri koruma görevlisi belirler:

(a) işlemenin, kendi yargı yetkisi çerçevesinde hareket eden mahkemeler haricindeki bir kamu makamı veya organı tarafından gerçekleştirilmesi;

(b) veri sorumlusunun veya veri işleyenin temel faaliyetlerinin niteliği, kapsamı ve/veya amaçları itibarıyla veri öznelerinin düzenli ve sistematik bir şekilde büyük çaplı olarak izlenmesini gerektiren işleme faaliyetlerinden meydana gelmesi veya

(c) veri sorumlusunun veya veri işleyenin temel faaliyetlerinin 9. madde uyarınca özel kategorilerdeki verilerin ve 10. maddede atıfta bulunulan mahkûmiyet kararlarına ve suçlara ilişkin kişisel verilerin büyük çaplı olarak işlenmesinden meydana gelmesi.

2. Bir teşebbüsler grubu, veri koruma görevlisine her kuruluştan kolay bir şekilde erişilebilmesi koşuluyla, tek bir veri koruma görevlisi belirleyebilir.

3. Veri sorumlusunun veya veri işleyenin bir kamu makamı ya da organı olduğu hâllerde, kurumsal yapıları ve büyüklükleri dikkate alınarak, bu tür kamu makam veya organlarının birden fazlası için tek bir veri koruma görevlisi belirlenebilir.

4. 1. paragrafta atıfta bulunulanlar haricindeki durumlarda, veri sorumlusu veya veri işleyen veya birlikler ya da veri sorumlusu veya veri işleyen kategorilerini temsil eden diğer organlar bir veri koruma görevlisi belirleyebilirler veya Birlik ya da Üye Devlet hukukunun gerektirdiği hâllerde, bir veri koruma görevlisi belirlerler. Veri koruma görevlisi, veri sorumlularını ve veri işleyenleri temsil eden bu tür birlikler ve diğer organlar adına hareket edebilir.

5. Veri koruma görevlisi mesleki nitelikler ve özellikle veri koruma hukukuna ve uygulamalarına ilişkin uzmanlık bilgisi ile 39. maddede atıfta bulunulan görevleri yerine getirme kabiliyetine dayalı olarak belirlenir.

6. Veri koruma görevlisi veri sorumlusunun veya veri işleyenin bir çalışanı olabilir veya görevlerini bir hizmet sözleşmesine dayalı olarak yerine getirebilir.

7. Veri sorumlusu veya veri işleyen veri koruma görevlisinin irtibat bilgilerini yayımlar ve denetim makamına iletir.

1. Veri sorumlusu ve veri işleyen, veri koruma görevlisinin kişisel verilerin korunmasına ilişkin tüm konulara uygun bir şekilde ve zamanında müdahil olmasını sağlar.

2. Veri sorumlusu ve veri işleyen, 39. maddede atıfta bulunulan görevlerin ifasında veri koruma görevlisine, bu görevlerin yerine getirilmesi, kişisel verilere ve işleme faaliyetlerine erişim sağlaması ve uzmanlık bilgisini muhafaza etmesi için gerekli kaynakları sağlamak suretiyle destek verir.

3. Veri sorumlusu ve veri işleyen veri koruma görevlisinin bu görevlerin yerine getirilmesi ile ilgili olarak hiçbir talimat almamasını sağlar. Veri koruma görevlisi, görevlerini yerine getirmesi nedeniyle veri sorumlusu veya veri işleyen tarafından işten çıkarılamaz ya da cezalandırılamaz. Veri koruma görevlisi, veri sorumlusunun veya veri işleyenin en üst yönetim kademesine doğrudan rapor verir.

4. Veri özneleri kişisel verilerinin işlenmesi ve bu Tüzük kapsamındaki haklarının kullanımı ile ilgili tüm hususlarla alakalı olarak veri koruma görevlisiyle irtibata geçebilir.

5. Veri koruma görevlisi, Birlik veya Üye Devlet hukuku uyarınca, görevlerinin yerine getirilmesi ile ilgili olarak sır saklama veya gizlilik ilkeleri ile bağlıdır.

6. Veri koruma görevlisi, başka görevleri ve sorumlulukları da yerine getirebilir. Veri sorumlusu veya veri işleyen, söz konusu görev ve sorumlulukların bir çıkar çatışmasına neden olmamasını sağlar.

1. Veri koruma görevlisinin asgari olarak aşağıdaki görevleri bulunur:

(a) veri sorumlusu veya veri işleyen ile işlemeyi gerçekleştiren çalışanlara, bu Tüzük ve Birlik ya da Üye Devletlerin diğer veri koruma hükümleri uyarınca yükümlülükleri hususunda bilgi verilmesi ve onlara tavsiyede bulunulması;

(b) sorumlulukların tahsisi, işleme faaliyetlerine müdahil personelin bilinçlendirilmesi ve eğitimi ve ilgili denetimler de dâhil olmak üzere, bu Tüzük’e, diğer Birlik veya Üye Devletlerin veri koruma hükümlerine ve veri sorumlusu veya veri işleyenin kişisel verilerin korunmasına ilişkin politikalarına uyumun izlenmesi;

(c) talep üzerine veri koruma etki değerlendirmesine ilişkin tavsiyelerde bulunulması ve 35. madde uyarınca bu değerlendirmenin ifasının izlenmesi;

(d) denetim makamıyla iş birliği yapılması;

(e) 36. maddede atıfta bulunulan ön istişare de dâhil olmak üzere, işlemeye ilişkin konularda denetim makamı için bir temas noktası olarak hareket edilmesi ve uygun olduğu hâllerde, diğer her türlü konu ile ilgili olarak istişarede bulunulması.

2. Veri koruma görevlisi, görevlerini yerine getirirken, işlemenin mahiyeti, kapsamı, bağlamı ve amaçlarını dikkate alarak, işleme faaliyetleri ile ilişkili riski gerektiği şekilde göz önünde bulundurur.

1. The controller and the processor shall designate a data protection officer in any case where:

(a) the processing is carried out by a public authority or body, except for courts acting in their judicial capacity;

(b) the core activities of the controller or the processor consist of processing operations which, by virtue of their nature, their scope and/or their purposes, require regular and systematic monitoring of data subjects on a large scale; or

(c) the core activities of the controller or the processor consist of processing on a large scale of special categories of data pursuant to Article 9 and personal data relating to criminal convictions and offences referred to in Article 10.

2. A group of undertakings may appoint a single data protection officer provided that a data protection officer is easily accessible from each establishment.

3. Where the controller or the processor is a public authority or body, a single data protection officer may be designated for several such authorities or bodies, taking account of their organisational structure and size.

4. In cases other than those referred to in paragraph 1, the controller or processor or associations and other bodies representing categories of controllers or processors may or, where required by Union or Member State law shall, designate a data protection officer. The data protection officer may act for such associations and other bodies representing controllers or processors.

5. The data protection officer shall be designated on the basis of professional qualities and, in particular, expert knowledge of data protection law and practices and the ability to fulfil the tasks referred to in Article 39.

6. The data protection officer may be a staff member of the controller or processor, or fulfil the tasks on the basis of a service contract.

7. The controller or the processor shall publish the contact details of the data protection officer and communicate them to the supervisory authority.

1. The controller and the processor shall ensure that the data protection officer is involved, properly and in a timely manner, in all issues which relate to the protection of personal data.

2. The controller and processor shall support the data protection officer in performing the tasks referred to in Article 39 by providing resources necessary to carry out those tasks and access to personal data and processing operations, and to maintain his or her expert knowledge.

3. The controller and processor shall ensure that the data protection officer does not receive any instructions regarding the exercise of those tasks. He or she shall not be dismissed or penalised by the controller or the processor for performing his tasks. The data protection officer shall directly report to the highest management level of the controller or the processor.

4. Data subjects may contact the data protection officer with regard to all issues related to processing of their personal data and to the exercise of their rights under this Regulation.

5. The data protection officer shall be bound by secrecy or confidentiality concerning the performance of his or her tasks, in accordance with Union or Member State law.

6. The data protection officer may fulfil other tasks and duties. The controller or processor shall ensure that any such tasks and duties do not result in a conflict of interests.

1. The data protection officer shall have at least the following tasks:

(a) to inform and advise the controller or the processor and the employees who carry out processing of their obligations pursuant to this Regulation and to other Union or Member State data protection provisions;

(b) to monitor compliance with this Regulation, with other Union or Member State data protection provisions and with the policies of the controller or processor in relation to the protection of personal data, including the assignment of responsibilities, awareness-raising and training of staff involved in processing operations, and the related audits;

(c) to provide advice where requested as regards the data protection impact assessment and monitor its performance pursuant to Article 35;

(d) to cooperate with the supervisory authority;

(e) to act as the contact point for the supervisory authority on issues relating to processing, including the prior consultation referred to in Article 36, and to consult, where appropriate, with regard to any other matter.

2. The data protection officer shall in the performance of his or her tasks have due regard to the risk associated with processing operations, taking into account the nature, scope, context and purposes of processing.

1. Bir kişisel veri ihlali olması durumunda, kişisel veri ihlalinin gerçek kişilerin hakları ve özgürlükleri açısından bir riske sebebiyet vermesinin muhtemel olmadığı haller dışında, veri sorumlusu, fazla gecikmesizin ve uygun olması hâlinde, ihlalden haberdar olduktan itibaren en geç 72 saat içinde, kişisel veri ihlalini 55. madde uyarınca yetkili denetim makamına bildirir. Denetim makamına yönelik bildirimin 72 saat içinde yapılmadığı hallerde, bu bildirimle birlikte gecikme sebeplerine de yer verilir.

2. Veri işleyen, bir kişisel veri ihlalinden haberdar olduktan sonra, fazla gecikmeksizin, veri sorumlusuna bildirimde bulunur.

3. 1. paragrafta atıfta bulunulan bildirimde asgari olarak:

(a) uygun olduğu hâllerde, ilgili veri öznesi kategorileri ve yaklaşık sayısı ile ilgili kişisel veri kaydı kategorileri ve yaklaşık sayısı da dâhil olmak üzere, kişisel veri ihlalinin mahiyeti açıklanır;

(b) veri koruma görevlisi veya daha fazla bilginin elde edilebileceği başka bir temas noktasının isim ve irtibat bilgileri iletilir;

(c) kişisel veri ihlalinin olası sonuçları açıklanır;

(d) uygun olduğu hâllerde, kişisel veri ihlalinin olası olumsuz etkilerinin azaltılmasına yönelik tedbirler de dâhil olmak üzere, kişisel veri ihlalinin ele alınması için veri sorumlusu tarafından alınan veya alınması önerilen tedbirler açıklanır.

4. Bilgilerin aynı zamanda sağlanmasının mümkün olmadığı hâllerde ve ölçüde, bilgiler daha fazla gecikmeksizin aşamalı olarak sağlanabilir.

5. Veri sorumlusu kişisel veri ihlallerini, kişisel veri ihlaline ilişkin bilgiler, etkileri ve gerçekleştirilen düzeltici işlemi de kapsayacak şekilde belgelendirir. Bu belgelendirme, denetim makamının bu maddeye uygunluğu doğrulamasını sağlar.

1. Kişisel veri ihlalinin gerçek kişilerin hakları ve özgürlükleri açısından yüksek bir riske sebebiyet vermesinin muhtemel olduğu hâllerde, veri sorumlusu kişisel veri ihlali hakkında fazla gecikmeksizin, veri öznesini bilgilendirir.

2. Bu maddenin 1. paragrafında atıfta bulunulan veri öznesine yönelik bilgilendirmede kişisel veri ihlalinin mahiyeti açık ve sade bir dille açıklanır ve asgari olarak, 33(3) maddesinin (b), (c) ve (d) bentlerinde atıfta bulunulan bilgiler ve tedbirlere yer verilir.

3. Aşağıdaki koşulların herhangi birinin yerine getirilmesi durumunda, 1. paragrafta atıfta bulunulan veri öznesine yönelik bilgilendirme gerekmez:

(a) veri sorumlusunun uygun teknik ve kurumsal koruma tedbirleri uygulaması ve kişisel verileri bu verilere erişim izni bulunmayan hiç kimse tarafından anlaşılamaz hale getiren şifreleme gibi tedbirler başta olmak üzere, bu tedbirlerin kişisel veri ihlalinden etkilenen kişisel verilere uygulanmış olması;

(b) veri sorumlusunun 1. paragrafta atıfta bulunulan veri öznelerinin hak ve özgürlüklerine ilişkin yüksek riskin gerçeğe dönüşmesinin artık muhtemel olmamasını sağlayan ek tedbirler alması;

(c) bilgilendirmenin orantısız bir çaba gerektirecek olması. Bu durumda, veri öznesinin bilgilendirilmesi yerine, veri öznelerine aynı etkililikle bilgi verilen kamuya yönelik bir bilgilendirme veya benzeri bir tedbir uygulanır.

4. Veri sorumlusunun kişisel veri ihlali hakkında veri öznesini hâlihazırda bilgilendirmediği durumda, denetim makamı, kişisel veri ihlalinin yüksek bir riske sebebiyet verme olasılığını değerlendirdikten sonra, veri sorumlusunun bu bilgilendirmeyi yapmasını şart koşabilir veya 3. paragrafta atıfta bulunulan koşullardan herhangi birinin karşılandığına karar verebilir.

1. In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours after having become aware of it, notify the personal data breach to the supervisory authority competent in accordance with Article 55, unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons. Where the notification to the supervisory authority is not made within 72 hours, it shall be accompanied by reasons for the delay.

2. The processor shall notify the controller without undue delay after becoming aware of a personal data breach.

3. The notification referred to in paragraph 1 shall at least:

(a) describe the nature of the personal data breach including where possible, the categories and approximate number of data subjects concerned and the categories and approximate number of personal data records concerned;

(b) communicate the name and contact details of the data protection officer or other contact point where more information can be obtained;

(c) describe the likely consequences of the personal data breach;

(d) describe the measures taken or proposed to be taken by the controller to address the personal data breach, including, where appropriate, measures to mitigate its possible adverse effects.

4. Where, and in so far as, it is not possible to provide the information at the same time, the information may be provided in phases without undue further delay.

5. The controller shall document any personal data breaches, comprising the facts relating to the personal data breach, its effects and the remedial action taken. That documentation shall enable the supervisory authority to verify compliance with this Article.

1. When the personal data breach is likely to result in a high risk to the rights and freedoms of natural persons, the controller shall communicate the personal data breach to the data subject without undue delay.

2. The communication to the data subject referred to in paragraph 1 of this Article shall describe in clear and plain language the nature of the personal data breach and contain at least the information and measures referred to in points (b), (c) and (d) of Article 33(3).

3. The communication to the data subject referred to in paragraph 1 shall not be required if any of the following conditions are met:

(a) the controller has implemented appropriate technical and organisational protection measures, and those measures were applied to the personal data affected by the personal data breach, in particular those that render the personal data unintelligible to any person who is not authorised to access it, such as encryption;

(b) the controller has taken subsequent measures which ensure that the high risk to the rights and freedoms of data subjects referred to in paragraph 1 is no longer likely to materialise;

(c) it would involve disproportionate effort. In such a case, there shall instead be a public communication or similar measure whereby the data subjects are informed in an equally effective manner.

4. If the controller has not already communicated the personal data breach to the data subject, the supervisory authority, having considered the likelihood of the personal data breach resulting in a high risk, may require it to do so or may decide that any of the conditions referred to in paragraph 3 are met.