Kanunun 5. maddesinde kişisel verilerin hangi hallerde hukuka uygun olarak işlenebileceğine ilişkin veri işleme şartları düzenlenmiştir.

Bu doğrultuda kişisel veriler ancak aşağıda sıralanan şartlardan en az birinin varlığı halinde işlenebilir:

· Veri sahibinin açık rızasının varlığı,

· Kanunlarda açıkça öngörülmesi,

· Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

· Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,

· Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

· İlgili kişinin kendisi tarafından alenileştirilmiş olması,

· Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,

· İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Veri işleme amacı Kanunda bulunan “veri sahibinin açık rızası” dışındaki veri işleme şartlarından birine dayanıyorsa, bu durumda ilgili kişiden açık rıza alınmasına gerek bulunmamaktadır. Veri işleme faaliyeti rıza dışında bir dayanakla yürütülebilecekse, veri sahibine rızası için başvurulması durumunda veri sahibinin yanılma riskinin doğmaması gerekmektedir.