Kişisel verilerin işlenmesine ilişkin kurallar

Kazakistan Cumhuriyeti Dijital Kalkınma, Yenilik ve Havacılık Bakanı'nın 21 Ekim 2020 tarih ve 395 / НҚ sayılı emriyle onaylanmıştır Kazakistan Cumhuriyeti Dijital Kalkınma, Yenilik ve Havacılık Bakanı'nın 21 Ekim 2020 tarih ve 395 / НҚ sayılı emriyle onaylanmıştır 1. Kişisel verilerin toplanması ve işlenmesine ilişkin bu Kurallar (bundan sonra Kurallar olarak anılacaktır), 21 Mayıs 2013 tarihli “Kişisel veriler ve bunların korunması hakkında” (bundan sonra Kanun olarak anılacaktır) Kazakistan Cumhuriyeti Kanununun 27-1. Maddesinin 1. paragrafının 7. bendine uygun olarak geliştirilmiştir ve kişisel verilerin toplanması ve işlenmesi prosedürünü belirler 2. Bu Kurallarda aşağıdaki temel kavramlar kullanılmaktadır: 3. Bu Kurallar, kişisel verilerin toplanması ve işlenmesi sürecinde sahipler, operatörler, konular ve üçüncü taraflar arasında ortaya çıkan ilişkiler için geçerlidir 4. Kişisel verilerin toplanması, işlenmesi, Kanun'un 9. maddesinde öngörülen durumlar haricinde, sahibi ve (veya) operatörün yanı sıra konunun veya yasal temsilcisinin rızasıyla bu Kurallar tarafından belirlenen şekilde üçüncü bir taraf tarafından gerçekleştirilir Söz konusu kişinin vefat eden (mahkeme tarafından kayıp olarak kabul edilen veya merhum ilan edilen) kişisel verilerinin toplanması, işlenmesi Kazakistan Cumhuriyeti mevzuatına uygun olarak gerçekleştirilir 5. Kişisel verilerin, kişisel verilerin sahibi ve/veya operatörü tarafından toplanmasına ve işlenmesine, gerçekleştirilen görevlerin yerine getirilmesi için gerekli ve yeterli olan Kişisel Veri Listesi tarafından belirlenen miktarda izin verilir (bundan sonra Kişisel Veri Listesi olarak anılacaktır) Kişisel verilerin listesi Kurallara uygun olarak belirlenir ve onaylanır, 12 Kasım 2013 tarih ve 1214 sayılı Kazakistan Cumhuriyeti Hükümeti tarafından onaylanan, yürüttükleri görevleri yerine getirmek için gerekli ve yeterli kişisel veriler listesinin sahibi ve (veya) operatörü tarafından belirlenir 6. Kişi veya yasal temsilcisi, kişisel verilerin yazılı olarak, elektronik belge biçiminde veya kişisel verilerin güvenliğini sağlamaya yönelik bir hizmet aracılığıyla veya Kazakistan Cumhuriyeti mevzuatına aykırı olmayan koruyucu eylem unsurlarını kullanarak başka bir şekilde toplanmasına, işlenmesine onay verir (geri çeker) 7. Kişisel verilerin toplanması ve işlenmesi, Kazakistan Cumhuriyeti Hükümeti tarafından 3 Eylül 2013 tarih ve 909 sayılı onaylanan kişisel verileri korumaya yönelik önlemlerin sahibi ve (veya) operatörü ve ayrıca üçüncü bir taraf tarafından uygulanmasına ilişkin Kurallara uygun olarak kişisel verileri korumaya yönelik önlemlerin sağlanmasına tabi olarak gerçekleştirilir 8. Kişisel verileri toplamak için, sahibi ve (veya) operatörün yanı sıra üçüncü bir şahıs, kişiden kendisine verilen kişisel verilerin bu Kurallarda belirlenen şekilde toplanması, işlenmesi için onay ister Kanun’un 8. maddesinin 3. fıkrası uyarınca kişi, kişisel verilerinin güvenliğini sağlamaya yönelik hizmet olan “elektronik devlet” web portalındaki kullanıcı hesabı aracılığıyla ve ayrıca “elektronik devlet” konusu web portalına kayıtlı abone numarası aracılığıyla tek kullanımlık şifre göndermek veya e-devlet web portalının bildirimine yanıt olarak kısa mesaj göndermek suretiyle kişisel veri toplanmasına rıza gösterme hakkına sahiptir Bir kişiden kişisel veri talep edilirken, kişisel veri listesinde belirtilen isimlerin, toplanma ve işlenme amaçlarının, isimlerin, toplanma ve işlenme amaçlarının eşleşmesi gerekir 9. Kişi, Kanunun 24'üncü maddesinin 2'nci fıkrası uyarınca, Kazakistan Cumhuriyeti kanunlarıyla belirlenen hallerde kişisel verilerini sunmakla yükümlüdür 10. Kişisel verilerin toplanması, mal sahibi ve (veya) operatörün yanı sıra üçüncü bir taraf tarafından gerçekleştirilen görevlerin yerine getirilmesi için gerekli ve yeterli olan bu Kuralların 2. Bölümüne uygun olarak gerçekleştirilir 11. Kişisel verilerin saklanması, Kazakistan Cumhuriyeti topraklarında saklanan veri tabanındaki sahibi ve (veya) operatörün yanı sıra üçüncü bir taraf tarafından gerçekleştirilir 12. Kişisel verilerin saklanma süresi, Kazakistan Cumhuriyeti mevzuatında aksi belirtilmedikçe, bunların toplanması ve işlenmesi amaçlarına ulaşıldığı tarihe göre belirlenir 13. Konu, ilgili belgelerle teyit edilen gerekçeler varsa, sahibinden ve (veya) operatörden kişisel verilerinin değiştirilmesini ve eklenmesini talep etme hakkına sahiptir 14. Sahibi ve/veya işletmeci, bir iş günü içerisinde kişisel verileri, doğruluğunu teyit eden ilgili belgelere dayanarak değiştirir ve/veya ekler 15. Kişi, kişisel verilerinin sahibi ve (veya) operatörünün yanı sıra üçüncü bir tarafın mevcudiyeti hakkında bilgi edinme ve ayrıca aşağıdakileri içeren bilgileri alma hakkına sahiptir: Aynı zamanda, bilgi almak için kişi veya yasal temsilcisi, mal sahibine ve/veya operatöre veya üçüncü tarafa yazılı olarak veya elektronik belge şeklinde veya Kazakistan Cumhuriyeti mevzuatına aykırı olmayan koruyucu eylem unsurlarını kullanarak başka bir şekilde bir itiraz (talep) gönderir 16. Kazakistan Cumhuriyeti kanunlarında başka şartlar öngörülmediği sürece, mal sahibi ve/veya işletmeci, kuruluştan veya onun yasal temsilcisinden başvurunun alındığı tarihten itibaren 3 (üç) iş günü içerisinde kuruluşa ilişkin bilgileri sağlayacaktır Konuya veya yasal temsilcisine bilgi verilmesinin reddedilmesi durumunda, mal sahibi ve/veya işletmeci, talebin alındığı tarihten itibaren 3 (üç) iş gününü aşmayan bir süre içinde, Kazakistan Cumhuriyeti kanunlarında başka şartlar öngörülmediği sürece, gerekçeli bir yanıt sunacaktır 17. Kişisel verilerin kullanımı, sahibi, işletmecisi ve üçüncü bir kişi tarafından, Kişisel Veri Listesi tarafından belirlenen, daha önce belirtilen toplama amaçları doğrultusunda gerçekleştirilir 18. Kişisel verilerin daha önce belirtilen toplama amaçlarının ötesine geçen hallerde dağıtımı, ilgili kişinin veya yasal temsilcisinin rızasıyla gerçekleştirilir 19. Kişisel veriler istatistiksel, sosyolojik, bilimsel, pazarlama araştırmaları amacıyla kişisellikten arındırılır 20. Kişiselleştirme, dağıtımdan önce mal sahibi ve/veya operatör veya üçüncü bir taraf tarafından, kişisel verilerin işlenmesine ilişkin görevlerin çözülmesine izin veren, Kazakistan Cumhuriyeti mevzuatına aykırı olmayan herhangi bir duyarsızlaştırma yöntemiyle gerçekleştirilir 21. Kişisel verileri anonimleştirme prosedürü, orijinal kişisel verilerin tersten kurtarılması olasılığını hariç tutar Sahibi ve (veya) operatörün veya üçüncü tarafın kişisel verilerin kişiselleştirilmesine ilişkin masraflarının geri ödenmesi, sahibi ve (veya) operatör veya üçüncü bir tarafla yapılan bir anlaşma ile aksi belirtilmediği sürece, kişiselleştirilmiş kişisel verileri talep eden kişinin pahasına gerçekleştirilir 22. Anonimleştirme prosedürünün açıklaması, kişisel verileri anonimleştirmek için yapılan eylemlerin açık bir yorumunu sağlar ve anonimleştirme algoritmalarını ve anonimleştirilmiş verilerin kalitesine, zahmetine ve çeşitli saldırılara karşı direncine ilişkin prosedürün özelliklerini içerir 23. Kişisel veriler ve anonimleştirilmiş veriler, sahibi ve (veya) operatörün yanı sıra üçüncü bir tarafın anonimleştirme prosedürünü kullanması durumunda ayrı olarak saklanır 24. Kişi veya yasal temsilcisi, sahibin ve (veya) operatörün yanı sıra üçüncü bir tarafın kişisel verilerin toplanması ve işlenmesi gerekliliklerine uygunluğunu doğrulamak için yetkili organa başvurur Yetkili organ, konunun veya yasal temsilcisinin itirazını, mal sahibi ve (veya) operatörün yanı sıra üçüncü bir tarafın da katılımıyla, 12 Ocak 2007 tarihli Kazakistan Cumhuriyeti Kanunu "Bireylerin ve tüzel kişilerin itirazlarının değerlendirilmesine ilişkin prosedür hakkında" belirlenen süreler dahilinde değerlendirir Kişisel verilerin toplanması, işlenmesi ve bunların toplanması, Kazakistan Cumhuriyeti mevzuatına aykırı olarak işlenmesine ilişkin koşulların ihlaline ilişkin gerçeklerin ortaya çıkarılması durumunda, yetkili kurum, sahibin ve (veya) operatörün yanı sıra üçüncü bir tarafın yanlış veya yasa dışı yollarla alınan kişisel verileri açıklığa kavuşturmasını, bloke etmesini veya yok etmesini ve ayrıca kişisel verilerin toplanması ve işlenmesine ilişkin prosedürleri mevzuata uygun hale getirmesini talep eder 25. Kişisel verilerin toplanması, işlenmesi koşullarının ihlal edildiğine dair bilgi varsa, konu sahibi ve (veya) operatörün yanı sıra üçüncü bir tarafın kişisel verilerini engellemesini talep eder Sahibi ve (veya) işletmecinin yanı sıra üçüncü bir şahıs tarafından Kazakistan Cumhuriyeti mevzuatına aykırı olarak toplanan ve işlenen kişisel veriler, ayrıca Kazakistan Cumhuriyeti Kanunu ve diğer düzenleyici yasal düzenlemelerle belirlenen diğer durumlarda, ilgili kişinin talebi üzerine imhaya tabidir 26. Sahibi ve (veya) işletmeci, toplama ve işleme koşullarının ihlal edildiğine dair bilgi olması durumunda, konuyla ilgili kişisel verileri bir iş günü içinde engeller Sahibi ve (veya) işletmeci, Kazakistan Cumhuriyeti mevzuatına aykırı olarak toplandığı, işlendiği ve ayrıca Kazakistan Cumhuriyeti Kanunu ve diğer düzenleyici yasal düzenlemelerle belirlenen diğer durumlarda kişisel verileri bir iş günü içinde imha eder 27. Kişisel veriler, sahibi ve (veya) operatörün yanı sıra üçüncü bir tarafça da imha edilebilir: 28. Kişisel verilerin imhası, bilgilerin silinmesi veya kişisel verilerin maddi taşıyıcılarının imha edilmesi yoluyla gerçekleştirilir 29. Kazakistan Cumhuriyeti Yüksek Mahkemesinin, Kazakistan Cumhuriyeti yerel ve diğer mahkemelerinin adli işlem metinleri, devlet sırlarını veya kanunla korunan diğer sırları oluşturan hükümleri içeren adli işlem metinleri ve kapalı mahkeme duruşmalarında değerlendirilen davalara ilişkin adli işlemler hariç olmak üzere, Kazakistan Cumhuriyeti Yüksek Mahkemesinin internet kaynağının “Yargı Kabinesi”, “Yargı Kanunu Bankası” hizmetlerinde tam olarak yer alır 30. Kazakistan Cumhuriyeti Yüksek Mahkemesi'nin, yerel ve Kazakistan Cumhuriyeti'nin diğer mahkemelerinin adli işlemlerinin üçüncü taraflarca toplanması, kullanılması veya dağıtılması sırasında duruşmaya katılanların güvenliğini sağlamak ve kanunla korunan sırları korumak amacıyla, kişisel veriler bunlardan hariç tutulur (kişisellikten arındırılır). Bu durumda üçüncü kişiler Kanunun gereklerine uygunluğu sağlama yükümlülüğü altına girerler 31. Bazı durumlarda, yargılamaya katılanların kişisel haklarını ve meşru çıkarlarını korumak amacıyla, Kazakistan Cumhuriyeti Yüksek Mahkemesinin İnternet kaynağının adli işlemlerde yer alan kişisel verilere ve açık yargılamada dikkate alınan belirli davalara ilişkin mahkeme oturumlarının tutanaklarına genel erişimi, yasal işlemlere katılan kişinin yanı sıra Kazakistan Cumhuriyeti Yüksek Mahkemesi daire başkanı ve başkanları, bölgesel ve eşdeğer mahkemelerin başkanlarının kararıyla sınırlıdır