Kişisel verilerin işlenebilmesi için 7 Nisan 2016 tarihinde Resmi Gazete'de yayımlanarak yürürlüğe giren KVKK şartlarının hatırlatıldığı açıklamada, kişinin verilerinin ancak rızasıyla işlenebileceğinin altı çizildi. KVKK açıklamasında konuya ilişkin ayrıca şu ifadeler yer aldı:
Söz konusu Kurul kararında da belirtildiği üzere, öncelikle kişisel verilerin işlenmesi sırasında ilgili kişilerden alınan açık rıza, veri sorumluları tarafından bir hizmetin ifası için ön şart olarak ileri sürülemeyecektir. Kanunun 4'üncü maddesi uyarınca kişisel verilerin, hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla ve işlenme amacıyla bağlı, sınırlı ve ölçülü olma ilkelerine uygun olarak işlenmesi, hangi kişisel verilerin işleneceği veya hangi amaçlarla kimlere aktarılacağı hususlarında gerekli bilgilendirmenin yapılmış olması ve her bir işleme/aktarma faaliyetine yönelik seçenek sunulmak suretiyle ayrı ayrı açık rıza alınması gerekmektedir.
Diğer taraftan, Kanunun 'kişisel verilerin yurt dışına aktarılması' başlıklı 9'uncu maddesinde, kişisel verilerin, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamayacağı, ancak anılan hükmün ikinci fıkrası uyarınca Kanunun 5'inci maddesinin ikinci fıkrası ile özel nitelikli kişisel veriler bakımından 6'ncı maddesinin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması, yeterli korumanın bulunmaması durumunda Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurul izninin bulunması kaydıyla kişisel verilerin ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabileceği düzenlenmiştir.
