Kişisel verilerin işlenmesinde amaçların detaylandırılması, kişisel verilerin işleneceği amaçların bildirilmesi bakımından ne seviyede bir detay beklendiğinin her bir olay özelinde ayrı ayrı ele alınmasıdır. Dar bir çevreye yönelik mal ve hizmet sunan küçük ölçekli bir işletme ile bir perakende zinciri tarafından sunulan veri işleme amaçlarının aynı detayda olması beklenemez. Bir market zinciri bakımından çok farklı araçlar vasıtasıyla ve amaçlarla (sadakat programı ya da çapraz satış vb. gibi) veri işleneceği için tüm bu amaçların detaylandırılması gerekmektedir. Aynı anda birbirinden çok farklı hizmetler sunan bir web sitesinin (e-ticaret, sosyal platform vb. gibi) amaçlarını bildirirken genel ifadelerden kaçınması ve hedef kitlenin niteliklerine uygun düşen bir dil ve terminolojiyle makul bir detay seviyesinde bilgi sunması gerekir. Özel nitelikli kişisel verilerin işlendiği alanlarda, veri işleme amaçlarının diğer alanlara nazaran daha detaylı olarak sunulması gerekmektedir. Örneğin, özel nitelikli bir kişisel verinin işlenme amacının insan kaynakları faaliyetlerini yerine getirmek gibi genel bir kişisel veri işleme amacına işaret etmesi, bu noktada yeterli detayın verilmesini sağlamamaktadır. Ancak, özlük dosyasının oluşturulması amacıyla özel nitelikli kişisel verinin işlenmesi daha detaylı ve belirliliği sağlayacak şekilde kişisel veri işleme amacını ortaya koymaktadır.

Gerek kamu kurumları gerek özel kuruluşlar, bir görevin yerine getirilmesi veya bir hizmetin sunumuyla bağlantılı olarak, kişisel veri niteliğindeki bilgileri uzun süredir işlemektedirler. Bu durum kanunlardan kaynaklanabildiği gibi, bazen kişilerin rızasına veya bir sözleşmeye dayanmakta, bazen de yapılan işlemin niteliğine bağlı olarak ortaya çıkmaktadır. Belirtmek gerekir ki, kişilerin temel hak ve hürriyetlerinin veri işleme sürecinde de korunması öncelikli konulardan biridir. Ayrıca, sosyal ve ekonomik hayatın düzen içinde sürdürülmesi, kamu hizmetlerinin etkin biçimde sunumu, mal ve hizmetlerin ekonominin gereklerine uygun biçimde geliştirilmesi, dağıtımı ve pazarlanması için kişisel verilerin işlenmesi kaçınılmaz olmakla birlikte, kişisel verilerin sınırsız biçimde ve gelişigüzel toplanmasının, yetkisiz kişilerin erişimine açılmasının, ifşa edilmesinin veya amaç dışı ya da kötüye kullanımı sonucu kişisel hakların ihlal edilmesinin önüne geçilmesi gereklidir. Bunun yanı sıra, Avrupa Konseyi tarafından, tüm üye ülkelerde kişisel verilerin aynı standartlarda korunması ve sınır ötesi veri akışı ilkelerinin belirlenmesi amacıyla hazırlanan Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunmasına İlişkin 108 Sayılı Sözleşme 28 Ocak 1981 tarihinde imzaya açılmış ve ülkemiz tarafından da imzalanmıştır. Bu sözleşme 17 Mart 2016 tarihli ve 29656 sayılı Resmi Gazetede yayımlanarak iç hukuka dâhil edilmiştir. 108 Sayılı Sözleşmenin 4. maddesi çerçevesinde, iç hukukta kişisel verilerin korunmasına yönelik yasal düzenleme yapılması gerekli hale gelmiştir. Nitekim, Anayasa Mahkemesinin 9 Nisan 2014 tarih ve E:2013/122, K:2014/74 sayılı Kararında da; “Kişisel verilerin korunması hakkı, kişinin insan onurunun korunmasının ve kişiliğini serbestçe geliştirebilmesi hakkının özel bir biçimi olarak, bireyin hak ve özgürlüklerini kişisel verilerin işlenmesi sırasında korumayı [..…]” amaçladığı tespit edilerek, “kişisel verilerin ticari işletmeler için kıymetli bir varlık niteliği kazanması neticesinde, özel sektör unsurlarınca yaratılan risklerin daha yaygın ve önemli boyutlara ulaşması ve terör ve suç örgütlerinin kişisel verileri ele geçirme yönündeki faaliyetlerinin artması gibi etkenler” nedeniyle kişisel verilerin geçmişte olduğundan çok daha fazla korunmaya muhtaç olduğu ifade edilmiştir.

Kanunda Kurulun, şikâyet üzerine yapacağı inceleme sonunda şikâyet tarihinden itibaren altmış gün içinde ilgiliye bir cevap verilmezse söz konusu talebin reddedilmiş sayılacağı hükme bağlanmıştır.

Kurul, şikayet üzerine veya ihlal iddiasını öğrenmesi durumunda resen görev alanına giren konularda gerekli incelemeyi yapar. Bu inceleme, şikâyete ya da resen öğrenilen ihlal iddiasına münhasır olacaktır. Kurul, şikayet tarihinden itibaren altmış gün içinde bir cevap vermediği takdirde, talep reddedilmiş sayılır. Dolayısıyla, şikâyet tarihinden itibaren altmış günlük sürenin geçmesiyle idari yargıda dava açma süresi başlayacaktır. Kurul tarafından, şikâyet üzerine veya resen yapılacak inceleme sonucunda, ihlalin varlığının anlaşılması halinde Kurul, tespit ettiği hukuka aykırılıkların ilgili veri sorumlusu tarafından giderilmesine karar vererek, kararı ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmelidir.

Amaçla sınırlılık, kişisel verilerin korunmasında hakim olan önemli ilkelerden biridir. Kişisel veriler işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Mevcutta olmayan ve sonradan gerçekleşmesi düşünülen amaçlarla kişisel veri toplanmamalıdır. Kişisel veri işleme faaliyetinin gerçekleşmesi için gereğinden fazla kişisel veri toplanmamalı ve/veya işlenmemelidir. Buna göre, kişisel veriler yalnızca belirli amaçlar için ve gerektiği kadar toplanmalı, amacın gerektirdiği yerlerde kullanılmalıdır. Bu bakımdan, kişisel veriler toplandıktan sonra ileride ortaya çıkabilecek yeni işleme amaçları dâhilinde işleme yapılması için, verilerin ilk defa toplanması sırasında sağlanması gereken şartlar yeni amaçlar için de tekrar aranmalıdır. Örneğin, bir taşımacılık firması tarafından taşıma sözleşmesi kapsamında kaydedilen adres bilgileri, sonrasında pazarlama faaliyeti için de kullanılacaksa, bu amaçla kullanım yapılabilmesi için kişisel veri işleme şartlarının karşılanıp karşılanmadığının yeniden değerlendirilmesi gerekmektedir. Bunun yanı sıra işlenen veri, sadece veri işleme amacının gerçekleştirilmesi için gerekli olanla sınırlı tutulmalıdır. Örneğin, bir tekstil firması tarafından müşterilere ilişkin kimlik ya da iletişim verilerinin tutulması satış işlemlerinin takibi vb. amaçlarla bağdaşırken, müşterilerin finansal geçmişine ilişkin verilerin toplanmasının amaçla bağlantılı ve ölçülü olduğu söylenemez. Bunun yanında amaçla bağlantılı, sınırlı ve ölçülü olma şartının her ilgili kişi ve süreç için ayrı ayrı değerlendirilmesi gerekmektedir. Çünkü belirli bir kişi ve süreç için gerekli olan veri, bir diğer kişi için ölçüsüz olabilecektir. Bu hususa özellikle özel nitelikli veriler konusunda dikkat edilmesi gerekir. Bir iş yerinde insan kaynakları birimince çalışanların mali haklarının belirlenebilmesi için sendika üyeliği verisinin alınması ölçülü kabul edilecekken, aynı iş yerinin AR-GE birimince söz konusu verinin alınması ölçülü olarak kabul edilmeyecektir.