(1) 数据控制者为了：
a) 防止个人数据被非法处理，
b) 防止个人数据被非法访问，
c) 确保个人数据的保存，
必须采取一切必要的技术和管理措施，以确保适当的安全水平。
(2) 个人数据由其他自然人或法人代表数据控制者处理的，数据控制者与该等人员就采取第1款规定的措施承担连带责任。
(3) 数据控制者必须在其本机构或组织内进行或委托进行必要的审核，以确保本法规定的实施。
(4) 数据控制者和数据处理者不得违反本法规定向他人披露其所知悉的个人数据，也不得将其用于处理目的以外的用途。该义务在其离职后继续有效。
(5) 被处理的个人数据被他人以非法途径获取的，数据控制者应当尽快将该情况通知相关人员和委员会。必要时，委员会可以在其网站上或者以其认为适当的其他方式公告该情况。
土耳其语原文
MADDE 12 · Veri güvenliğine ilişkin yükümlülükler
(1) Veri sorumlusu;
a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
c) Kişisel verilerin muhafazasını sağlamak,
amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
(2) Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.
(3) Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.
(4) Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.
(5) İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.