Kişisel Verilerin Korunması Hakkında Kanuna göre bu Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanacaktır.

• Bu Kanun, dijital olmayan ve bir veri kayıt sistemine dahil olmayan kişisel veriler bakımından da uygulanamaz.
• Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.
• Kanun’da kamu kurumları ile özel kuruluşlar açısından ayrım yapılmamıştır. Kanunun belirlediği usul ve esaslar tüm kurum ve kuruluşlar için geçerlidir. Dolayısıyla kamu kurumlarının işlediği kişisel veriler hakkında da bu Kanun hükümleri uygulanacaktır.
• Kanun kapsamında koruma altına alınan kişisel veriler sadece gerçek kişilere ait olan kişisel veriler olup, tüzel kişilere ait olanlar hukuken koruma altında bulunmamaktadır. Bununla birlikte tüzel kişilere ait olan verilerden gerçek kişilerin belirlenebilmesi mümkün oluyor ise, bu verilerin de Kanun kapsamında değerlendirilmesi söz konusu olacaktır.
• Kanun’da kişisel verilerin otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla (manuel) işlenmesi bakımından da herhangi bir fark öngörülmemiştir. Bu doğrultuda kişisel verilere ulaşımı kolaylaştıracak şekilde, belirli bir kritere göre yapılandırılmış her türlü sistem Kanun kapsamında değerlendirilecektir.
• Günümüzde kişisel veriler büyük oranda otomatik yollarla işlenmektedir. Daha önce otomatik olmayan yollarla işlenmiş verilerin ise pek çok yerde hızla elektronik ortama aktarıldığı görülmektedir. Buna bağlı olarak, “tamamen veya kısmen otomatik yollarla işlenen veriler” ve “herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen veriler” 6698 sayılı Kanun kapsamında koruma altına alınmıştır. Dolayısıyla Kanun otomatik olmayan yollarla işlenen verileri tamamen kapsam dışında bırakmamaktadır. Burada önemli olan otomatik olmayan yollarla işlenen verilerin veri kayıt sisteminin parçası olup olmadığıdır. Örneğin, herhangi bir kritere bağlı olmaksızın kişilerin ad ve soyadlarının rastgele bir şekilde kağıt üzerine yazılması hali, Kişisel Verilerin Korunması Kanunu kapsamına girmemekle birlikte, söz konusu isimlerin sistematik olarak bir deftere kaydedilmesi halinde, bu veri kaydı Kanun kapsamında değerlendirilecektir.
• Kanun’da “kısmen veya tamamen otomatik yolla işleme” ifadesinin ne anlama geldiği açıklığa kavuşturulmamıştır. 108 sayılı Avrupa Konseyi Sözleşmesi’nde ise “otomatik işleme” ifadesinden; verilerin kaydı, bu verilere mantıksal ve/veya aritmetik işlemlerin uygulanması, verilerin değiştirilmesi, silinmesi, geri elde edilmesi veya dağıtılması işlemlerinin otomatik veya kısmen otomatik yöntemlerle gerçekleştirilmesinin anlaşılacağı ifade edilmiştir.
• Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen veriler de Kanun kapsamında korunmaktadır. Veri kayıt sistemi, Kanunda “kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi” şeklinde tanımlanmıştır. Dolayısıyla elle işlenen verilerin herhangi bir kritere göre yapılandırılan bir kayıt sistemine dahil edilmesi durumunda, bu tür verilerle ilgili olarak da 6698 sayılı Kanun uygulanacaktır.
• Otomatik olmayan yollarla işlenen kişisel veriler, bir veri kayıt sisteminin parçası da değilse Kanun kapsamında değerlendirilmeyecektir. Fakat bu durum ilgili verilerin kişisel veri niteliğini etkilemeyeceği için, bu verilere ilişkin hukuka aykırı eylemler de 5237 sayılı Türk Ceza Kanunu kapsamında suç teşkil etmeye devam edecektir.
• 6698 sayılı Kanun’da yalnızca gerçek kişilere ait kişisel verilerin kanunun koruma kapsamı içerisine dâhil olacağı belirtilmiştir. Dolayısıyla; ilke olarak, tüzel kişilere ait kişisel verilerin korunması 6698 sayılı Kanunun kapsamı dâhilinde değildir. Fakat tüzel kişiye ait bir verinin elde edilmesi, bir veya birden fazla gerçek kişinin kimliğinin belirlenmesine neden olması halinde, bu tür verilerin de Kanunun korumasından yararlanması mümkün olabilir.
• Yurtdışında yerleşik olmakla birlikte Türkiye’de faaliyet gösteren veri sorumluları hakkında da Kanun hükümleri uygulanacaktır.