Kişisel Verilerin Korunması Kanunu’na göre Kişisel Veri; “Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlanmaktadır. Yani bir gerçek kişinin kimliğini doğrudan gösteren ya da ilişkilendirilmesi sonucunda kişinin kimliğini ortaya çıkaran her türlü bilgiye kişisel veri denilmekte.  Temel olarak bir kişinin; kimliği, fiziksel özellikleri, aile hayatı, yaptığı haberleşmeler, adres – telefon – plaka bilgileri, sosyal güvenlik – pasaport numarası, özgeçmişi, eğitim bilgileri, parmak izleri, istihdam durumu, resim – görüntü – ses kayıtları, kredi kartı bilgisi, kullandığı elektronik cihazların ip adresleri gibi bilgileri kişisel veri olarak kabul edilmekte.

Bulunulan ortam veya durum sebebiyle, herkeste bulunan birtakım özellikler de bazı zamanlar kişinin kimliğini tespite olanak sağlıyorsa, o bilgi de o kişiye özgü kişisel veri olarak kabul edilebilecektir. Örneğin aynı isim veya soy isime ya da aynı kan grubuna sahip çok sayıda insan olduğu halde, bir grup içerisinde sadece bir tane bulunuyorsa, açık şekilde kimliği bilinmese dahi, kişinin tespiti mümkün olacağından , o durum için kişisel veri kapsamına dahil edilecektir.

Öğrenilmesi halinde ilgili kişi hakkında ayrımcılık yapılmasına veya mağduriyete neden olabilecek nitelikteki veriler ise ÖZEL NİTELİKLİ KİŞİSEL VERi’dir. Din- mezhep-inanç, dernek – vakıf- sendika üyeliği, biyometrik- genetik veriler, ceza mahkumiyeti – güvenlik tedbirleri, cinsel hayat, sağlık, kılık kıyafet, felsefi inanç, siyasi düşünce, etnik köken, ırk…

Kişisel verilerin tamamen veya kısmen;

• elde edilmesi,
• kaydedilmesi,
• depolanması,
• muhafaza edilmesi,
• değiştirilmesi,
• yeniden düzenlenmesi,
• açıklanması,
• aktarılması,
• devralınması,
• elde edilebilir hâle getirilmesi,
• sınıflandırılması
• kullanılmasının engellenmesi

gibi veriler üzerinde gerçekleştirilen her türlü işlem İŞLEME olarak kabul edilmektedir.

 
Kişisel veriler işlenmeye başladıkları andan itibaren çok sayıda eyleme maruz kaldıklarından, işlenme amacının sona ermesi sebebiyle imha edileceği ana kadar ki sürede yapılacak her işlem işlenme faaliyeti kapsamında kabul edilecektir. Bu işleme faaliyetlerinin elle veya elektronik yollarla yapılması arasında bir fark gözetilmemektedir, önemli olan, veri sorumlusu ve/veya veri işleyen sıfatına sahip kişilerin, belirli ve açık bir amaç için ve bu amaçla sınırlı olmak kaydıyla, hukuka uygun bir veri işleme faaliyeti gerçekleştirmiş olmalarıdır.

Bu işleme faaliyetlerini kanuna uygun olarak gerçekleştirebilmek için birtakım şartlar aranmaktadır:

• İlgili kişinin açık rızasının varlığı,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
  

Şartlarından en az birinin bulunması gerekir. Bu şartlar kanunda düzenlendiği şekliyle sınırlıdır ve GENİŞLETİLEMEZ.

Açık rıza şartının varlığı, aranması gereken en son şart olarak belirlenmiştir. Bu demek oluyor ki, veri sorumlusu veya veri işleyen sıfatına sahip kişi, kişisel veri işleyeceği durumlarda öncelikle diğer şartların varlığını aramalı, işleme faaliyetini ona göre gerçekleştirmelidir. Eğer işleme faaliyeti bu amaçlardan hiçbirine dayanmıyorsa, açık rızanın varlığının olup olmadığı belirlenmelidir. Örnek olarak; bir taşıma sözleşmesi yapıldığında, ürünün/malın teslimi için alıcının adres bilgilerinin işlenmesi “sözleşmenin ifası” kapsamında kabul edilecek ve diğer işleme şartları aranmayacaktır.

Yukarda bahsi geçen şartlardan hiçbirine dayandırılamayan işleme faaliyeti ise açık rızaya dayanmak zorundadır aksi takdirde işlenmesi kanunen yasaklanmıştır. Açık rıza, hangi kişisel verilerin,  ne gibi amaçlarla işlenebileceği konusundaki bilgilendirme neticesinde, o konuyla sınırlı olarak, özgür iradeyle verilen izindir. Bilgilendirme, işleme faaliyetinde önce yapılmalı ve verilecek rızanın sonuçlarını da kapsamalıdır.

Aydınlatma yükümlülüğü kapsamında veri sorumluları;

• Veri sorumlusunun ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• İlgili Kişinin kanunen belirlenmiş hakları,

konularında ilgili kişileri açık ve net şekilde, her kesimin anlayabileceği bir dille, teknik terimler kullanmadan aydınlatmak zorundadır.  Aydınlatma yükümlüğü yazılı, sözlü, e-posta, ses kaydı, web sayfası, duyuru panosu veya çağrı merkezi gibi platformlar aracılığıyla yapılabilmekle birlikte, yazılı şekilde yapılması tavsiye edilmektedir.

 Eğer kişisel veriler, veri sorumluları tarafından başka kurum, kuruluş veya kişilere aktarılacaksa yine açık rıza gündeme gelecektir. Fakat açık rızanın aranmadığı haller varsa veya yeterli önlemler alınmak kaydıyla, sağlık ve cinsel hayat dışındaki kişisel veriler için belirtilen şartlardan biri bulunuyorsa ilgili kişinin açık rızası aranmaksızın aktarılabilir.

Kişisel veriler yurtdışına aktarılacaksa, açık rızanın aranmadığı hallerde veya sağlık ve cinsel hayat dışındaki kişisel veriler için belirtilen şartlardan birinin bulunduğu hallerde; kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması halinde veya yeterli korumanın bulunmaması ama Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir.

Veri aktaran veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla kişisel verinin niteliğine göre uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almalı ve veri alıcısı olan veri sorumlusu / veri alıcısı olan veri işleyen tarafından da bu tedbirlerin alındığından emin olmalıdır. Veri aktaran; veri alıcısının bu sözleşmede belirtilen yükümlülüklerini ihlâl etmesi halinde, söz konusu ihlâl düzeltilene dek veri aktarımını askıya alabilir ya da sözleşmeyi feshedebilir.