Kişisel Veri

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), kişisel veriyi “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlar (m. 3). Tanım bilinçli olarak geniştir: bir bilginin kişisel veri sayılması için kişinin adını içermesi gerekmez; o bilginin tek başına ya da başka bilgilerle birlikte bir kişiyi tanımlamaya elverişli olması yeterlidir.

Belirlenebilirlik Ölçütü

Bir bilgi, makul araçlarla başka bilgilerle eşleştirildiğinde bir kişiyi ayırt etmeye yarıyorsa kişisel veridir. Bu nedenle müşteri numarası, plaka, IP adresi, konum bilgisi veya bir çalışanın sicil numarası, adı yanında yazmasa da kişisel veri sayılabilir. Buna karşılık tüzel kişilere ait bilgiler, örneğin bir şirketin unvanı, vergi numarası veya cirosu, KVKK anlamında kişisel veri değildir.

Sık Sorulan Örnekler

• Kurumsal e-posta adresi: Çalışanın adını ve soyadını içeren bir kurumsal adres, belirli bir kişiyi gösterdiği için kişisel veridir; “info” veya “destek” gibi bir kişiye bağlanmayan genel adresler ise kural olarak değildir. Bu konuda işten ayrılan çalışanların kurumsal e-postaları hakkındaki yazımıza bakabilirsiniz.
• Fotoğraf ve görüntü: Bir kişiyi tanımaya elverişli fotoğraf ve kamera kayıtları kişisel veridir. Yüz tanıma gibi özel teknik işlemlerden geçirildiğinde özel nitelikli kişisel veri olan biyometrik veriye dönüşebilir. Görüntü üzerindeki haklar için Kişinin Fotoğrafı ve Görüntüsü Üzerindeki Haklar yazımıza bakabilirsiniz.
• Ses kaydı, yazışma ve davranış verileri: Çağrı merkezi kayıtları, mesajlaşma içerikleri, internet sitesindeki gezinme ve satın alma geçmişi de bir kişiye bağlanabildiği ölçüde kişisel veridir.

Anonim Veri Kişisel Veri midir?

Hiçbir şekilde kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmiş, yani anonimleştirilmiş veri, artık kişisel veri değildir ve KVKK kapsamı dışındadır. Ancak yalnızca adın silinmesi veya bir kodla değiştirilmesi çoğu zaman yeterli değildir: verinin başka kaynaklarla birleştirilerek kişiye yeniden bağlanabildiği durumlarda veri kişisel olmaya devam eder.

Neden Önemli?

Bir bilginin kişisel veri olup olmadığı, KVKK’daki bütün yükümlülüklerin başlangıç noktasıdır: işleme şartı, aydınlatma yükümlülüğü, veri güvenliği, saklama süreleri ve yurt dışına aktarım kuralları ancak kişisel veri işlendiğinde devreye girer. Şirketlerin kişisel veri envanteri hazırlarken ilk yaptığı iş de hangi bilgilerin bu kapsama girdiğini belirlemektir.