Kişisel verilerin yalnızca gerçek kişilere ait veriler olabilmesinin aksine, “veri sorumlusu” ve “veri işleyen” hem gerçek hem de tüzel kişi olabilmektedir.

Veri üzerinde işlem gerçekleştiren her türlü gerçek veya tüzel kişi, veri işlenmesine ilişkin amaç ve yöntemlerine göre, ya veri sorumlusudur.

Bu bağlamda, söz konusu iki kategorideki kişiler arasında gerçekleştirilecek yurt içindeki her türlü veri aktarımı için Kanunun 8. maddesinde yer alan düzenlemelerin uygulanması gerekmektedir. Öte yandan, kişisel verinin yurt dışına aktarılması, Kanunun 9. maddesi kapsamında düzenlenmiştir.

Üçüncü kişilere aktarım yapılmasına ilişkin düzenlemenin uygulamadaki en önemli iki sonucu şunlardır:

· Veri sorumlusu sıfatına sahip bir tüzel kişiliğin bünyesinde gerçekleşen veri aktarımları, üçüncü kişiye yapılan aktarımlar olarak değerlendirilemez. Kişiler, kişisel verilerini bir tüzel kişi ile paylaştıklarında, bahsi geçen tüzel kişilik, veri sorumlusu sıfatına sahip olmaktadır. Tüzel kişiliğin bünyesinde faaliyet gösteren çalışanlar veya farklı birimler arasında verilerin el değiştirmesi, bu anlamda üçüncü kişiye aktarım şeklinde değerlendirilemez.

· Bir şirketler topluluğu altında yer alan farklı şirketler arasında, veri aktarımı gerçekleştirilmesi, üçüncü kişiye veri aktarımı yapılması anlamına gelmektedir. Bir tüzel kişi bünyesinde farklı birimler arasında veri paylaşımı yapılmasının aksine, aynı şirketler topluluğu bünyesinde yer alan farklı tüzel kişiler arasında veri aktarımı gerçekleştirilmesi 8. maddenin uygulama alanındadır.