Yasa kapsamında, kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak kurulun izniyle yurtdışına aktarılabilecek.

Yasaya göre, herkes, kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenebilecek. Kişisel verileri işlenmişse buna ilişkin bilgi talep edebilecek. Kişisel verilerin aktarıldığı üçüncü kişileri bilebilecek. Kişisel verilerin eksik veya yanlış işlenmesi halinde bunların düzeltilmesini, silinmesini veya yok edilmesini talep edebilecek. Bu verilerin ilgili kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini isteyebilecek.
Düzenleme hükümlerine aykırı olduğu tespit edilen kişisel veriler derhal silinecek, yok edilecek veya anonim hale getirilecek. Ancak bu kanunun yayımı tarihinden önce hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmaması halinde bu kanuna uygun kabul edilecek. Yasaya göre, veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı olarak erişilmesini önlemekle yükümlü olacak.

Veri sorumlusu ayrıca, bu verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri alacak. Veri sorumluları, öğrendikleri kişisel verileri bu düzenlemedeki hükümlere aykırı olarak başkasına açıklayamayacak ve kendi şahsi çıkarları için kullanamayacak. Bu yükümlülük, görevden ayrılmalarından sonra da devam edecek.

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri sayılacak.

Özel nitelikli kişisel verilerin ilgilinin açık rızası olmaksızın işlenmesi yasak olacak. Özel nitelikli kişisel verilerin işlenmesinde ayrıca Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması şart olacak.