Kişisel Verilerin Korunması Kanunu genel olarak kişisel verilerin işlenmesinde açık rızanın bulunmasını öngörür. Ancak bazı durumlarda kişisel verilerin işlenmesi için ilgili kişinin açık rızasının alınmasına gerek yoktur.
Kanun açık rızanın aranmasına gerek olmayan halleri 3 şekilde belirler.
Kanun kapsamına girmeyen durumlar:
- Kanun sadece gerçek kişilerle ilgili verilere uygulanır. Kurum ya da kuruluşlara ait veriler için bu kanun uygulanmaz (md. 1 "kişisel verileri işlenen gerçek kişiler" ibaresi)
- Dijital olmayan ve bir veri kayıt sistemine dahil olmayan kişisel verilere uygulanmaz (md. 1 " tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmesi"
Kanunun uygulanmayacağının belirtildiği durumlar
- Kişisel verilerin aynı konuttaki kişiler tarafından işlenmesi (md. 28/1a " Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi" )
- Kişisel verilerin anonim hale getirilerek belirli amaçlar için kullanılması (md. 28/1b "Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi")
- Kişisel verilerin belirli şartlara uyarak sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi (md. 28/1c "Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi")
- Yetkilendirilen devlet kurumlarınca işlenmesi (md. 28/1d "Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi")
- Yargı ve infaz mercilerince belirli amaçlar için işlenmesi (md. 28/1d "Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi"
Bazı durumlar için de kanunun bazı maddelerinin uygulanmasına istisnalar getirilmiştir.
Aydınlatma yükümlülüğü (md. 10), ilgili kişinin hakları (md. 11, zararın giderilmesi hariç), ve Veri Sorumluları Siciline Kayıt (md. 16) maddeleri aşağıdaki durumlarda uygulanmaz
- Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması (md. 28/2a)
- İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi (md. 28/2b)
- Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması (md 28/2c)
- Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması (md. 28/2d)
Bazı durumlarda açık rıza alınmadan da kişisel veriler işlenebilir.
- Kanunlarda açıkça öngörülmesi
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
- İlgili kişinin kendisi tarafından alenileştirilmiş olması
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması