Kanun "veri sahibi" yerine ilgili kişi tanımını kullanmaktadır. Çünkü verinin sahibi olma kavramı mülkiyeti içermektedir. Oysa ki kişisel veriyi üreten ya da sahiplenen kişi verinin ilgili olduğu kişi ile aynı olmayabilir.Örneğin iki kişi fotoğraf çektirdiğinde fotoğraf makinesinin sahibi aynı zamanda fotoğrafın da sahibi olacaktır. Ancak fotoğrafta yer alan diğer kişinin de artık bir takım hakları vardır. Kanun kişinin sahibi olmadığı varlıklar üzerinde de kişilik haklarının korunabilmesi amacıyla bir takım yeni haklar ihdas etmektedir.

Bir şirketin satış verileri düşünüldüğünde satış verilerinin sahibi şirkettir. Ancak kişilere ait bilgilerin yer alması sebebiyle şirketin satış verileri üzerinde sınırsız bir mülkiyet hakkından söz edilemez. Satış verilerinin ilgili olduğu kişilerin de haklarının gözetilmesi gerekir.

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi kişisel veridir. Kurum ya da kuruluşlara ait veriler kanun kapsamında korunan verilerden değildir.

Bilgi ile veri arasındaki fark çok incedir. Her veri bilgidir ama her bilgi veri değildir. Bir şey hakkında ya da biri ile ilgili bilinen her şey veridir. Yani bir bilginin veri olabilmesi için somut bir gerçekliğe dayanması gerekir. Örneğin “Su 100 derecede kaynar” bir bilgidir ancak veri değildir. “Ölçtüm çaydanlıktaki su 100 derecede kaynadı” cümlesinden elde edilen bilgi ise veridir. Bu ve benzeri ölçümlerden elde edilen veriler sonucunda varılan “Su 100 derecede kaynar” bilgisi çıkış noktası veri de olsa çıkarımla elde edilen bir yargıdır.

Ad soyad, doğum tarihi, sağlık bilgileri, eğitim bilgileri gibi bir kişiyle ilgili her türlü bilgi kişisel veridir. Bir bilginin kişisel veri olabilmesi için ilgili olduğu kişinin tespit edilebiliyor olması gerekir. Bilgiye sahip olanın bilginin ilgili olduğu kişiyi tespit edebilmesine gerek yoktur. Bilgi ancak hiç kimse tarafından gerçek bir kişi ile ilişkilendirilemiyorsa kişisel veri değildir.

Kanun kişisel verilerin hepsinin aynı düzeyde değerli olduğunu ve eşit şartlarda korunması gerektiğini reddetmektedir. Buna göre kişilere ait bazı veriler diğerlerine göre daha çok korunması gereken verilerdir. Bu tür veriler tanım olarak Özel Nitelikli Kişisel Veri olarak kabul edilmektedir.

Bu tür verilerin işlenmesi için gereken şartlar diğer kişisel verilere göre farklılık göstermektedir. Kanunda rıza aranmadan işlenebilecek veriler için uygulanan bazı hükümler özel nitelikli kişisel veriler için geçersizdir.

Bu tür verilerin kişilerin daha özelinde olduğu kabul edilebilir. Bu yüzden bu verilerin korunmasına yönelik daha çok tedbir yer almaktadır. Ayrıca Türk Ceza Kanunu'nda da bu tür verilerle ilgili işlenen suçlar için yaptırımlar daha ağırdır.

Kişisel verilerin işlenmesinde esas olan açık rızanın geçerli olabilmesi için üç şart vardır.

1. Kişinin rızasının alınabilmesi için rıza gösterdiği çerçevenin belirli bir konuda olması gereken. Belirli bir konu işlenecek olan kişisel verilerin çerçevesi ile işlenme şartlarının sınırlarıdır.

2. Kişinin rıza gösterdiği konu hakkında yeterli düzeyde bilgilendirilmesi gerekir. Kişinin eksik bilgilendirilmesi sonucu alınan onayın geçerli olmayacağı kuşkusuzdur.

3. Kişinin rızasının özgür iradesi ile alınması gerekir. Kişinin onay vermemesi durumunda hakkaniyete uymayan sonuçlarla karşılaşacak olması kişinin onay verirken iradesinin özgürlüğüne yapılan baskıdır. Elbette kişinin onay vermesi ile elde edeceği imkanlar ile onay vermemesi durumunda elde edecekleri arasında farklılık olacaktır. Ancak bu farklılık istenen onayın doğuracağı sonuçlarla kabul edilebilir seviyede hakkaniyete uygun olmalıdır.

Kanun kişisel verilerin işlenmesi terimini kullanmaktadır. Kanuna göre işlemek, kişisel verilerin toplanması, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanımının engellenmesi gibi her türlü işlemdir. Kanundaki uzun açıklamayı özetlemek gerekirse toplamak, saklamak ve kullanmak diyebiliriz. Çünkü bir işlem yapmak için öncelikle toplanması ve saklanması ve sonrasındaki işlem ne olursa olsun kullanılması gerekir.

Genel anlamda kişisel verilerinizin toplanması işlenmesinin ilk aşamasıdır. Sadece toplanması bile başka hiçbir işlem olmasa dahi kişisel verilerinizin işlendiği anlamına gelir. Toplama işlemi her türlü şekilde yapılabilir. Internet veya kağıt ortamında ilgili kişinin bir formu doldurulması yöntemiyle olabileceği gibi kişilerin farkında olmadığı durumlarda da toplanabilir. Örneğin güvenlik kameraları vasıtasıyla kişilerin yüzlerinin kaydedilmesi de kişisel verinin toplanmasıdır.

Toplanan kişisel veriler genel olarak kaydedilirler. Kişisel verilerin toplanması ancak kaydedilmemesi işlenmediği anlamına gelmez. Kişisel verilerin saklanması dijital ortamda olabileceği gibi kağıt ortamında da olabilir. Ancak bu durumda kağıtta olmasının amacının bir veri tabanı oluşturmak olması gerekir.

Yok edilmesine kadar geçen süreçte kişisel verilerle yapılan diğer işlemler de kişisel veridir. Kişisel veri olma özelliğini kaybeden (örneğin anonimleştirme) verilerle yapılan işlemlerde artık kişisel verilerin işlenmesinden bahsedilemez.

Veri kayıt sistemi teknik olarak veritabanı (database) olarak adlandırılan yapıdır. Buna göre birden fazla veri grubunun grup içindeki bir veya birden fazla alandaki bilgiye göre ilişkilendirilmesi gerekir. Veri kayıt sisteminin tutulduğu ortamı her türlü ortam olabilir. Dijital ortam olabileceği gibi kağıt ortamı da olabilir. Sistemdeki kayıtların belirli bir ilişki içinde tutuluyor olması yeterlidir. Çalışanların özlük dosyaları, ziyaretçi defteri kağıt ortamında saklanan veri kayıt sistemi örneklerindendir.

Kişisel verilerin korunmasında iki aktörden biridir. Gerçek bir kişiyle ilgili kişisel verileri işlemesi gerekir. Veri sorumlusu veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olmalıdır. Ayrıca kişisel verilerin ne için ve nasıl toplandığına da karar veren kişidir. Gerçek kişi olabileceği gibi kurum ve kuruluşlar da veri sorumlusu kabul edilirler.

Kişisel Verileri Koruma Kurumu tarafından tutulan ve veri sorumlularının işledikleri kişisel verilerin ne olduklarını, kimlerle ilgili bilgileri tuttukları gibi bilgileri kaydettirdikleri kamuya açık sicil sistemidir. Veri Sorumluları Sicili Hakkındaki Yönetmelik'te adı VERBİS olarak duyurulmuştur.

Veri işleyen, kişisel verilerin işleme amaçlarını ve vasıtalarını belirlemez ve veri kayıt sisteminin kurulmasından ve yönetilmesinden de sorumlu değildir. Veri işleyenin veri sorumlusuna karşı bu sorumluluklarından bir kısmını üstlense bile sorumlu olduğu taraf ilgili kişi değil veri sorumlusudur. Veri işleyen ve veri sorumlusu müştereken sorumludurlar.

İşlenme şartları ortadan kalkan kişisel verilerin silinmesi, yok edilmesi ya da anonim hale getirilmesi gerekir. Anonim hale getirilen kişisel verinin artık ilgili kişi ile bağının kurulamaması gerekir. İlgili kişi ile bağının kurulamaması, sadece veri sorumlusu tarafından değil hiç kimsenin herhangi bir yöntemle gerçekleştirilememesi gerekir.

Yönetmelik veri sorumlusunun kişisel verileri aktardığı paylaştığı veri işleyenleri ya da veri sorumlularının tek tek sayılmadığı durumlarda kategorik bilgilendirmeyi yeterli saymıştır. Buna göre alıcı grubu olarak grup üyelerinin faaliyet alanlarını ifade eden terimler ilgili kişinin bilgilendirilmesi için yeterli sayılmıştır. Veri sorumlusu grup sirketleri, pazarlama şirketleri, bankalar gibi genel tanımlamaları alıcıların öğrenilmesi açısından yeterli görmektedir.

Yönetmelik veri sorumlusu bünyesinde çalışanları kişisel verilerle ilişkileri açısından ikiye ayırmaktadır.

• 1.Kişisel Verilerin İçeriği İle Çalışmayanlar: Veri sorumlusu organizasyonu içerisinde verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birimlerin kısacası IT çalışanlarının kişisel verilerle olan ilişkileri içeriğiyle değil varlığıyladır. Kargo taşıması yapan çalışanlar gibi taşıdıkları şeyin içeriğiyle ilgilenmeyen sadece fiziksel durumlarını değiştirenler olarak ayırmaktadır. Örneğin IT departmanındaki çalışanların bir kısmı, bekçiler, depo çalışanları kişisel verilerin içeriği ile ilgilenmezler.
• 2.Kişisel Verilerin İçeriği İle Çalışanlar: veri sorumlusu organizasyonu içinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler olarak tanımlanan kişiler kişisel verilerin içeriğiyle çalışırlar. Örneğin kasiyerler, pazarlama departmanı çalışanları, muhasebeciler, yöneticiler.

İmha kişisel verilerin kişisel veri olma özelliğinin sona ermesidir. Bu ister silinme yöntemiyle, isterse yok edilme ya da anonim hale getirilsin kişisel veri olma sıfatını kaybeder. Kanun sınırları dışına çıkar. Bir verinin kişisel veri olabilmesi için ilgili olduğu gerçek kişinin belirlenebiliyor olması gerekir. Kişisel verinin tamamının silinmesi, bulunduğu ortamın yok edilmesi ya da anomim hale getirilmesi ilgili olduğu kişinin tespit edilebilmesini imkansız hale geleceğiden kişisel veri sayılmaları da mümkün olmayacaktır.

Veri tutulmaya elverişli fiziksel ortamlar. Sabit diskler, yaşınabilir diskler, bulut (gerçekte sabit disk sistemleri), CD, DVD, kağıt, kese kağıdı, akıllı kartlar (smartcard, SIMcard v.b.) ve diğer her türlü ortam

Yönetmeliklerde veri sorumluları tarafından hazırlanması öngörülen ana yapı Kişisel Veri İşleme Envanteri'dir. Bu envantere göre VERBİS (Veri Sicil Bilgi Sistemi) kayıdı gerçekleştirilecek ve Kişisel Veri Saklama Ve İmha Politikası oluşturulacaktır. Aydınlatma yükümlülüğü için de esas teşkil edecektir.

Yönetmelikteki tanıma göre bir Kişisel Veri İşleme Envanteri'nde bulunması gerekenler:

• Kişisel veri işleme amaçları
• Veri kategorisi
• Aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturulan ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreler
• Yabancı ülkelere aktarımı öngörülen kişisel veriler
• Veri güvenliğine ilişkin alınan tedbirler

İngilizcesi Retention and Destruction Policy olan bu belge veri sorumlusunun işlenen kişisel verilerle ilgili azami işleme sürelerini gösteren belgedir. Bu belge hazırlanırken veri sorumlusu, sakladıkları tüm verilerin bir analizini yapmalıdır. Analiz sonucunda hangi verilerin kişisel veri olduğu ya da olabileceği belirlenmelidir. Kişisel verilerin dahil oldukları kategoriler belirlenmelidir (adres bilgileri, telefon görüşme kayıtları, kişisel sağlık verileri vb.) Verilerin kategorileri belirlenmeli ve her veri kategorisi için işlenebilecek azami süre bulunmalıdır.