Kişisel Veri Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi ifade eder ve bu tanım ^[1]‘de yer alır. Kapsam yalnızca ad, soyad veya T.C. kimlik numarası gibi doğrudan kimliği ortaya koyan bilgilerle sınırlı değildir, telefon numarası, IP adresi, araç plakası, konum bilgisi veya fotoğraf gibi başka verilerle eşleştirildiğinde kişiyi belirlenebilir kılan her bilgi de aynı korumadan yararlanır. Bir bilginin kişisel veri sayılıp sayılmayacağı, o bilginin tek başına veya başka kayıtlarla birlikte bir gerçek kişinin tespitine imkan verip vermediğine bakılarak değerlendirilir.

KVKK’ya Göre Kişisel Veri Tanımı Nedir?

6698 sayılı Kanun’un 3. maddesinin birinci fıkrasının (d) bendi kişisel veriyi “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlar. Kanun koyucu bu tanımla kapsamı geniş tutmuş, yalnızca kimliği doğrudan ortaya koyan bilgileri değil dolaylı belirlenebilirliği sağlayan tüm bilgileri de koruma altına almıştır.

Bu tanım, Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile büyük ölçüde uyumludur. Her iki düzenlemede de esas alınan ölçüt, bilginin tek başına veya başka verilerle birlikte kullanıldığında bir gerçek kişinin kimliğini belirlemeye elverişli olup olmadığıdır.

Kişisel Verinin Unsurları Nelerdir?

Bir bilginin kişisel veri sayılabilmesi için üç unsurun birlikte bulunması gerekir: bilginin bir gerçek kişiye ait olması, ilgili kişinin kimliğini belirli veya belirlenebilir hale getirmesi ve her türlü bilgi niteliği taşıması.

Tüzel kişilere ait ticaret unvanı veya MERSİS numarası kural olarak bu kapsama girmez, ancak tüzel kişiyi temsil eden gerçek kişilerin ad, soyad veya imza gibi bilgileri kişisel veri sayılır. Bir bilginin türü önemli değildir, ekonomik, sosyal, mesleki veya dijital yaşama ilişkin her türlü bilgi bu unsurları taşıdığı sürece kişisel veri olarak korunur.

Not: Tüzel kişiye ait ticaret unvanı kişisel veri sayılmaz, ancak temsilcinin ad-soyad ve imza bilgisi kişisel veridir.

Kimliği Belirli veya Belirlenebilir Kişi Ne Demektir?

Kimliği belirli kişi, ad, soyad veya T.C. kimlik numarası gibi bilgilerle doğrudan teşhis edilebilen kişidir. Kimliği belirlenebilir kişi ise tek başına kimliği ortaya çıkarmayan ancak başka bilgi ve kayıtlarla eşleştirildiğinde tespit edilebilen kişiyi ifade eder.

IP adresi, araç plakası, telefon numarası veya kullanıcı hesabı gibi veriler tek başına kimliği göstermeyebilir. Ancak bu veriler farklı kayıtlarla ilişkilendirildiğinde belirli bir gerçek kişiye ulaşılabiliyorsa kişisel veri niteliği taşırlar, mevcut teknolojik imkanlar bu belirlenebilirlik ölçütünü oldukça geniş kılar.

Hangi Bilgiler Kişisel Veri Sayılır?

Kişisel veri kapsamı oldukça geniştir ve uygulamada sık karşılaşılan örnekler şunlardır:

• Kimlik bilgileri: ad, soyad, T.C. kimlik numarası, doğum tarihi, imza, fotoğraf.
• İletişim bilgileri: telefon numarası, e-posta adresi, ikamet adresi.
• Finansal bilgiler: IBAN numarası, banka hesap bilgileri, maaş bilgisi, kredi kartı verileri.
• Dijital veriler: IP adresi, MAC adresi, çerez kayıtları, konum bilgisi, kullanıcı hesap bilgileri.
• Özel nitelikli veriler: sağlık bilgileri, biyometrik veriler, ceza mahkumiyeti kayıtları, dini inanç ve sendika üyeliği.

Tamamen anonim hale getirilmiş, herhangi bir gerçek kişiyle ilişkilendirilemeyen bilgiler ise kişisel veri sayılmaz. Bu nedenle bir bilginin niteliği değerlendirilirken bilginin türünden çok ilgili kişiyle kurulabilen bağlantıya bakılması gerekir.

Bilgi: Tamamen anonim hale getirilmiş ve bir kişiyle ilişkilendirilemeyen bilgiler kişisel veri sayılmaz.

Kişisel Veri Sayılan Veri Türleri

Dijital Ortamda İşlenen Kişisel Veriler Nelerdir?

İnternet siteleri, mobil uygulamalar, sosyal medya platformları ve e-ticaret sistemleri aracılığıyla çok sayıda veri dijital ortamda toplanmakta ve işlenmektedir. IP adresi, kullanıcı adı, çerez kayıtları, tarayıcı geçmişi, giriş-çıkış logları ve güvenlik kamerası kayıtları bu kapsamda kişisel veri olarak değerlendirilir.

Bu tür verilerin hukuka aykırı ele geçirilmesi veya paylaşılması hem ilgili kişiler açısından ciddi mağduriyetlere hem de veri sorumluları için idari, hukuki ve cezai sorumluluğa yol açabilir. İş yerlerinde kullanılan kamera sistemleri de bu kapsama girer, konunun işveren-çalışan boyutu işveren işçiyi kamerayla izleyebilir mi yazımızda ele alınmıştır.

Kişisel Verilerin Hukuka Aykırı İşlenmesinin Sonuçları Nelerdir?

^[2] uyarınca kişisel veriler hukuka ve dürüstlük kurallarına uygun, doğru, belirli ve meşru amaçlarla, ölçülü şekilde işlenmelidir. Bu ilkelere aykırı işleme faaliyetleri hukuka aykırı kabul edilir ve idari yaptırımlara yol açabilir.

Kişisel Verileri Koruma Kurulu, ihlal tespit ettiğinde veri sorumluları hakkında idari para cezası uygulayabilir. Zarara uğrayan kişiler ayrıca genel hükümler çerçevesinde tazminat talep edebilir, fiilin niteliğine göre Türk Ceza Kanunu’nun 135 ila 140. maddelerinde düzenlenen suçlar bakımından cezai sorumluluk da gündeme gelebilir.

Verinin İmha Yöntemleri

Kişisel Veriler Ne Kadar Süre Saklanabilir?

Kişisel veriler süresiz olarak saklanamaz, yalnızca işlenme amacı için gerekli olan süre boyunca muhafaza edilebilir. Vergi, iş hukuku veya sosyal güvenlik mevzuatı gibi alanlarda özel saklama süreleri öngörülmüşse bu süreler esas alınır, mevzuatta açık bir süre yoksa makul bir süre veri sorumlusu tarafından belirlenir.

Saklama süresi sona erdiğinde veriler ^[3] uyarınca üç yöntemden biriyle ortadan kaldırılır, bu yöntemler arasındaki fark aşağıdaki tabloda gösterilmiştir:

Kişisel Veri İhlali Nedir ve İhlal Halinde Ne Yapılmalıdır?

Kişisel veri ihlali, işlenen verilerin yetkisiz kişilerce ele geçirilmesi, ifşa edilmesi, değiştirilmesi veya erişilemez hale gelmesi sonucunu doğuran her türlü güvenlik olayını kapsar. Siber saldırılar kadar çalışan hataları, yanlış kişiye veri gönderilmesi veya fiziksel evrak kaybı da bu kapsama girer.

^[4] uyarınca kişisel verilerin kanuni olmayan yollarla ele geçirildiğinin tespiti halinde veri sorumlusu, durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirmekle yükümlüdür. İhlalin kaynağının belirlenmesi, etkilenen sistemlerin güvenliğinin sağlanması ve delillerin korunması bu sürecin öncelikli adımlarıdır.

Uyarı: Kişisel verilerin hukuka aykırı ele geçirildiğinin tespiti halinde ilgili kişiye ve Kurul’a en kısa sürede bildirim yapılması zorunludur.

Veri Sorumlusunun Kişisel Verilere İlişkin Yükümlülükleri Nelerdir?

Veri sorumlusu, kişisel verilerin işleme amaç ve vasıtalarını belirleyen ve veri kayıt sisteminin yönetiminden sorumlu gerçek veya tüzel kişidir. Verileri Kanun’un 4. maddesindeki ilkelere uygun işlemek, gerekli hallerde aydınlatma yapmak ve açık rıza almak, veri güvenliği için teknik ve idari tedbir uygulamak bu sıfatın temel gerekleridir.

Veri işleyen kullanılması veya hizmetin dış kaynaklı temin edilmesi veri sorumlusunun sorumluluğunu ortadan kaldırmaz, veri sorumlusu veri işleyenin yeterli tedbirleri alıp almadığını denetlemekle de yükümlüdür.

Kişisel Verilerin Korunmasına İlişkin Temel İlkeler Nelerdir?

^[5]‘te düzenlenen ilkeler, veri işleme faaliyetinin her aşamasında bağlayıcıdır. Kişisel veriler hukuka ve dürüstlük kurallarına uygun olmalı, doğru ve güncel tutulmalı, belirli ve meşru amaçlarla, amaçla bağlantılı ve ölçülü şekilde işlenmeli ve gerekli süre kadar muhafaza edilmelidir.

Amaçla bağlantılı ve ölçülü olma ilkesi, veri sorumlularının ihtiyaçtan fazla veri toplamasını veya toplanan veriyi başka bir amaçla kullanmasını engeller. İşleme amacı ortadan kalkmış verilerin sistemlerde tutulmaya devam edilmesi bu ilkeyle bağdaşmaz.

İlgili Kişinin Kişisel Verileri Üzerindeki Hakları Nelerdir?

^[6] ilgili kişiye verisinin işlenip işlenmediğini öğrenme, işleme amacını sorgulama, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış verilerin düzeltilmesini isteme ve şartları oluştuğunda verilerin silinmesini veya yok edilmesini talep etme hakkı tanır.

İlgili kişi, otomatik sistemlerle yapılan analiz sonucunda aleyhine ortaya çıkan bir sonuca itiraz edebilir ve hukuka aykırı işleme nedeniyle uğradığı zararın giderilmesini isteyebilir. Bu hakların kullanılması için önce veri sorumlusuna başvuru yapılması gerekir, başvurudan sonuç alınamazsa Kişisel Verileri Koruma Kurumu’na şikayet yolu açılır.

Kişisel Veriler Yurt İçine ve Yurt Dışına Nasıl Aktarılır?

Yurt içi aktarım ^[7]‘de düzenlenir ve açık rızanın bulunması ya da Kanun’un 5. ve 6. maddelerindeki şartlardan birinin varlığı halinde mümkündür. Yurt dışına aktarım ise ^[8] kapsamında daha sıkı şartlara bağlanmıştır, 2024 değişiklikleriyle yeterlilik kararı, uygun güvenceler ve arızi haller çerçevesinde yeni bir sistem benimsenmiştir.

Önemli: Yurt dışına aktarımda 2024 değişiklikleriyle yeterlilik kararı, uygun güvenceler ve arızi haller çerçevesinde yeni bir sistem benimsenmiştir.

Bulut bilişim hizmetleri, yabancı sunucular veya yurt dışında faaliyet gösteren yazılım sağlayıcıları kullanıldığında bu aktarım şartlarının sağlanıp sağlanmadığının ayrıca değerlendirilmesi gerekir.

Yargı Kararlarında Kişisel Veri Kavramı Nasıl Yorumlanmaktadır?

Yargıtay 12. Ceza Dairesi’nin 17.02.2014 tarihli, 2013/9669 E. ve 2014/3760 K. sayılı kararında kişisel veri kavramı, kişinin sınırlı bir çevreyle paylaştığı nüfus bilgileri, adli sicil kaydı, sağlık bilgileri, banka hesap bilgileri gibi kişiyi belirleyen veya belirlenebilir kılan her türlü bilgi olarak açıklanmıştır. Aynı kararda herkes tarafından bilinen veya kolayca ulaşılabilen bilgilerin kişisel veri sayılmayacağı da vurgulanmıştır.

Yargıtay’ın güncel kararları arama kayıtlarını, fotoğrafları ve cep telefonu numarasını da somut olayın özelliklerine göre kişisel veri kapsamında değerlendirmekte, rıza dışı ele geçirme ile paylaşımı ise Türk Ceza Kanunu’nun 136. maddesi kapsamında cezalandırılabilir bulmaktadır.

Kişisel Veri Kavramı Hakkında Daha Fazla Bilgi

Kişisel veri kavramının doğru anlaşılması, KVKK uyum sürecinin ilk ve en temel adımıdır. Konunun genel çerçevesi ve idari yaptırımlar için KVKK Nedir? Cezalar ve Tüm Detaylar yazımıza, kurumsal uyum eğitimleri için Kişisel Verilerin Korunması Kanunu (KVKK) eğitimi içeriğimize, silme ve unutulma taleplerine ilişkin detaylar için ise unutulma hakkı ve şartları yazımıza bakılabilir. 6698 sayılı Kanun’un tam metnine 6698 sayılı Kişisel Verilerin Korunması Kanunu bağlantısından, Kurul kararlarına ise Kişisel Verileri Koruma Kurumu resmi sitesinden erişilebilir.

Kişisel Veri Nedir Hakkında Sıkça Sorulan Sorular

Kişisel veri kavramına ilişkin en çok merak edilen sorular aşağıda yanıtlanmıştır.

Av. Şamil Kaya

Ankara Üniversitesi Hukuk Fakültesi’nden 2014 yılında onur derecesiyle mezun olmuştur. Lise öğrenimini yatılı şekilde Erdoğan Akdağ Anadolu Öğretmen Lisesi’nde 2010 yılında birincilikle tamamlayan Şamil Kaya, 2018 yılında başladığı Anadolu Ünivers...

Tüm yazıları