Vergilendirme sürecinde idare, bilgi toplamak, bu bilgilerin gizliliğini sağlamak ve yalnızca vergisel amaçlar için kullanmakla görevlidir. Vergi yükümlüsünün özel yaşamının korunması hakkının sonucu olan bu durum, hukuki temellerini esas olarak Anayasa (AY) m.20, Avrupa İnsan Hakları Sözleşmesi m.8 ve Vergi Usul Kanunu (VUK) m.5’de bulmaktadır. Bu düzenlemelerle birlikte 2016 yılında yürürlüğe giren Kişisel Verilerin Korunması Kanunu’nun (KVKK) da vergi yükümlüsünün kişisel verilerinin korunmasına yönelik yasal bir dayanak teşkil edip etmediği çalışma kapsamında ele alınmıştır. Kendine ait idari bir usul kodu (VUK) olan vergi alanında, toplanan verilerin işlenmesine ve korunmasına yönelik yeterli düzenleme bulunmaması karşısında, KVKK’nın bu alanda uygulanıp uygulanmayacağının tespiti daha önemli bir konu haline gelmektedir. Kişisel veri, KVKK m.3/1-d’de, “Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” şeklinde tanımlanmaktadır. Dolayısıyla gerçek kişi vergi yükümlülerine ait verilerin kural olarak KVKK kapsamıiçinde kaldığı ancak gerçek kişi olmayan yükümlülerin kanun kapsamı dışında kalacağını ifade etmek mümkündür. KVKK m.28’de yer alan istisna hükümlerinin anlamı ve vergi hukuku bakımından etkilerinin neler olduğu sorusu da, KVKK’nın uygulanabilirlik kapsamının belirlenmesinde ayrıca gündeme gelmektedir. Kişisel Verileri Koruma Kurulu’nun raporları da göz önünde bulundurulduğunda, otomatik bilgi değişimi anlaşmalarının fiilen başlamasıyla birlikte, vergi hukukunda kişisel verilerin korunmasına yönelik gelişmelerin ivme kazanacağı görülmektedir. Varılan sonuç açısından, KVKK teoride, mükelleflere ilişkin verilerin korunmasında başvurulabilecek yasal bir dayanak gibi gözükse de pratikte koruma sağlamadan çok uzaktır. Bu durum, AY m.20/3’te koruma altına alınan kişisel verilerin korunmasını isteme hakkı bakımından yeterli güvence standartları ile ilgili bir problematik alanı yaratmaktadır. Bu standartlara uyum için KVKK’nın veri sahibinin haklarına yönelik hükümlerinin kural olarak vergisel konularda uygulanması yahut VUK’un kişisel verilerin korunmasına ilişkin ilke ve kurallara uygun hale getirilmesi gerekmektedir. Bu hakların sınırlandırılması ise her durumda, AY m.20/3 ve AY m.13 hükümlerine uygun olmak zorundadır.