24/03/2016 tarihinde yürürlüğe giren Kişisel Verilerin Korunması Kanunu (KVKK) ile veri işleyenlere, işledikleri verilerin korunması, paylaşılması ve işlenmesi ile ilgili bazı yükümlülükler getirilmiştir. Bu yükümlülüklere uyulmaması neticesinde de Kişisel Verilerin Korunması Kurumu tarafından veri sorumlularına çok ciddi parasal cezalar kesilmektedir. Veri işleyen, veri sorumlularının 50’den fazla çalışanları olması veya yıllık mali bilanço toplamı 25 milyon liradan fazla olması halinde veya bu koşulları yerine getirmeksizin kanunun özel nitelikli veri olarak belirlediği verileri işleyen veri sorumlularının VERBİS’e kayıt zorunluluğu bulunmaktadır. Aynı zamanda bu veri sorumlularının veri envanteri hazırlama ve kişisel verileri imha ve saklama politikası düzenleme zorunluluğu bulunmaktadır. VERBİS’e kayıt zorunluluğu olsun olmasın, tüm veri sorumlularının aydınlatma yükümlülüğü kapsamında
- a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
- b) Kişisel verilerin hangi amaçla işleneceği,
- c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
- ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi
- d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür. Aynı zamanda VERBİS’e kayıt zorunluluğu olsun olmasın tüm veri sorumluları kanuna göre veri sorumlusu;
a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Kanunun 5. Maddesine göre de
(1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.
(2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:
a) Kanunlarda açıkça öngörülmesi.
b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Kişisel verilerin aktarılması da ancak kişilerin açık rızasına bağlıdır. Ancak 5. Maddenin 2. Fıkrasındaki hallerde veriler, açık rıza olmaksızın da aktarılabilir. Ancak kişisel veriler kişilerin açık rızası olmadan yurtdışına aktarılamaz.
Kurum çıkardığı rehberlerle açık rıza kavramını da düzenlemiştir. Açık rızanın belirli bir konuya ilişkin olması, yani hangi kişisel verilerin işleneceği ve aktarılacağının açıkça belirtilmesi, aydınlatmaya dayanması, yani açık rıza alınmadan önce aydınlatma metninin açık rıza veren tarafından okunmuş olması, ve özgür iradeye dayanması koşullarını aramaktadır.