6698 Sayılı Kişisel Verilerin Korunması Kanunu'nun "Tanımlar" başlıklı 3. maddesinde kişisel veri, "Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" şeklinde tanımlanmıştır.

Tanımdan da anlaşılacağı üzere kişisel verinin 3 temel unsuru bulunmaktadır:

1)Gerçek kişiye ilişkin olma

2)Kişiyi belirli veya belirlenebilir kılma

3)Her türlü bilgi

Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesi demektir.

Yani kişisel veri, verilerin kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıması veya herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm halleri kapsar.

Gerçek Kişiye İlişkin Olma;

Kişisel Verilerin Korunmasıyla İlgili Seçilmiş Güncel Gelişmeler 26 Kişisel Verilerin Korunmasıyla İlgili Seçilmiş Güncel Gelişmeler 26

Sunulan  Anayasa Mahkemesi kararında da ifade edildiği üzere, kişisel veri kavramı "gerçek kişiye ait verileri" kapsamaktadır.İlgili kararda;

"Kişisel veri kavramı esasında gerçek kişiler için geliştirilmiştir. Bu kavramın ortaya çıkmasından önce gerçek kişiler bakımından hukuki koruma, kişilik haklarının korunması ve 'özel hayatın gizliliği' (mahremiyet hakkı) kavramları çerçevesinde sağlanmıştır. Gelişen insan hakları hukukuna paralel olarak insan onuru, bireyin özerkliği ve bilgilerin geleceğini belirleme hakkı gibi kavramlar geliştirilmiştir. Son kırk yılda Birleşmiş Milletler, OECD ve Avrupa Konseyi çalışmaları ve uluslararası metinlerde kişisel veri kavramı yerleşmiştir (bkz.; Elif Küzeci, Kişisel Verilerin Korunması, Ankara 2010, s. 67 vd., 116 vd.; Hayrunnisa Özdemir, Elektronik Haberleşme Alanında Kişisel Verilerin Özel Hukuk Hükümlerine Göre Korunması, Ankara 2009, s. 26 vd; Selen Uncular, İş İlişkisinde İşçinin Kişisel Verilerinin Korunması, Ankara 2014, s. 29 vd.; Doğan Kılınç, Anayasal Bir Hak Olarak Kişisel Verilerin Korunması, AÜHFD Y. 61, S. 3, 2012, s. 1089 vd.). Nitekim Avrupa Birliği ülkelerinde veri koruma düzenlemelerinin temelini teşkil eden 94/46-EC sayılı Avrupa Veri Koruma Direktifinde gerçek kişiler bakımından kişisel verilerin korunması esas alınmış, ancak 2002/58 - EC sayılı Avrupa Parlamentosu ve Konsey Direktifi'nde yalnızca elektronik haberleşme sektörüne ilişkin olarak gerçek ve tüzel kişilerin veri sahibi kabul edilebileceği belirtilmiştir. Avrupa Konseyi tarafından hazırlanan "Kişisel Nitelikteki Verilerin Otomatik isleme Tabi Tutulması Karsısında Şahısların Korunmasına Dair Sözleşme"nin 2. maddesinde kişisel veri; "Kimliği belirtilen veya belirtilebilen gerçek kişiyle ilgili tüm bilgiler" olarak tanımlanmıştır (Kılınç, agm. s. 1094.)." ifadelerine yer verilmiştir.

Bilginin biçimi açısından bakıldığında, bir bilginin kişisel veri kabul edilip edilmeyeceğine karar verilirken hangi biçimde olduğu (alfabetik, sayısal, görsel, duysal gibi) veya hangi mecrada bulunduğu (elektronik veya fiziksel ortamda) önem arz etmeyecektir. Bu bağlamda ses kayıtları ve resimler diğer unsurları da içerdikleri sürece kişisel veri olarak kabul edilecektir.

Genel olarak verinin bir kişiye “ilişkin” olması, onun bu kişi hakkında olması anlamına gelir. Birçok durumda bu bağlantı kolaylıkla kurulabilecektir.

Bilginin Kişiyi Belirlenebilir Kılması;

Bir kişinin “kimliği belirli” kabul edilebilmesi, onun bir topluluk içerisindeyken bu topluluğun diğer üyelerinden ayırt edilebilmesini gerektirir. Bu doğrultuda “kimliği belirlenebilir” ifadesi de kişinin kimliği henüz belirlenmiş olmasa da kimliğinin belirlenmesinin mümkün olması anlamına gelecektir.

Anlaşılacağı üzere bu unsurun yerine getirilmesi açısından alt eşik, “kimliği belirlenebilir” olmak durumudur.

 Her Türlü Bilgi Kavramı;

Her türlü bilgi deyimi ile aslında sadece bireyin kesin teşhisini sağlayan ad, soyad, doğum tarihi, doğum yeri gibi bilgiler değil; aynı zamanda bireyin belirlenebilir kılınmasını sağlayan fiziki, ailevi, ekonomik, sosyal ve buna benzer özelliklere ilişkin bilgiler de kastedilmektedir.

Dolayısıyla bireyin sadece kimliğini ortaya koyan bilgiler değil; telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, e-posta adresi, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile bilgileri, sağlık bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri olarak kabul edilmektedir.

Kanunda hangi bilgilerin kişisel veri olarak kabul edileceğine ilişkin sınırlı sayım yoluna gidilmediğinden, kapsamının genişletilmesi mümkündür. Önemli olan verinin kişi ile ilişkilendiriliyor olması ya da onu tanımlayabilmesidir.

Kişisel Verileri Koruma Kurumu tarafından "kişisel veri" kavramına ilişkin olarak  rehberlerde yer verilen örneklere göre;

  • Bir video gözetim sistemi tarafından yakalanan bireylerin görüntüleri bireylerin tanınabilir olması halinde kişisel veri kapsamında sayılabilir.
  • Telefon bankacılığı sisteminde, müşterinin bankaya talimat verdiği ses kaydı kişisel veri olarak kabul edilebilir.
  • Bir velayet davasında ailesine ilişkin çocuğa yaptırılan çizim, çocuğun ailesine karşı duygularını göstereceği için kişisel veri kapsamındadır. Diğer yandan, bu çizim aracılığıyla anne ve babanın aile içindeki davranışları da anlaşılabiliyorsa, çizim aynı zamanda anne ve babanın da kişisel verisi sayılır.
  • Bir şirketin ticaret unvanı ya da adresi gibi tüzel kişiliğe ilişkin bilgiler (gerçek bir kişiyle ilişkilendirileceği durumlar hariç) kişisel veri sayılmamaktadır.
  • Ad ve soyad tek başına kişisel veridir ve bir gerçek kişiyi belirleyebilir. Ancak ad ve soyad her zaman bir gerçek kişiyi belirlemek için yeterli olmayabilir, bazı durumlarda bir gerçek kişiyi tespit edebilmesi için ad ve soyadı ile birlikte başka bilgilere de gerek duyulabilir.
  • Takma isimler, lakaplar tek başına veya başka kaynaklarla birleştirildiğinde kişiyi tanımlamayı sağlayacak nitelikte ise bu tarz veriler kişisel veri olarak kabul edilir.Ancak, yine de bilginin ait olduğu gerçek kişinin belirlenebilirliğinin tespitinde, her somut olay özelinde, verinin kişiyi tanımlayabilme kabiliyeti dikkate alınarak değerlendirme yapılmalıdır.
  • İşçi özlük dosyasında tutulan bilgiler, sağlık kayıtlarında yer alan bilgiler veya bir kimsenin resmi ya da video kaydı için bu bilgilerin ilgili kişiye ilişkin olduğuna şüphe yoktur. Ancak bazı hallerde bağlantı bu örneklerde olduğu kadar açık olmayabilir. Örneğin bilginin ilk derecede bir kişi ile değil bir nesne ile ilgili olması durumunda doğrudan değil dolaylı bir bağlantıdan söz edilecektir.
  • Bir evin satış değeri, bir nesne hakkında bilgidir. Belirli bir bölgedeki ev fiyatlarını göstermek için kullanıldığında bu veri Kanunun koruma alanı dışında kalacaktır. Ancak belirli şartlar altında aynı verinin kişisel veri kabul edilmesi de mümkündür. Gerçekten de ev, sahibinin bir malvarlığıdır ve örneğin bu kişinin vergi yükümlülüklerinin sınırının ortaya çıkarılmasında kullanılabilir. Bu bağlamda evin satış değeri bilgisinin kişisel veri olduğu kabul edilecektir.
  • Taksi konumlarının takip edilmesi kişisel veri kabul edilebilir. Bir taksi şirketi, araçlarının konumunun gerçek zamanlı olarak belirlenmesine imkan sağlayan bir sistem kurar. Veri işlemenin amacı, taksi çağıran kişiye, ona en yakın araç yönlendirilerek müşterilere daha iyi hizmet sunmak ve yakıt tasarrufu yapmaktır. Amaçlar içerisinde taksi sürücülerinin performanslarının ölçülmesi yer almamaktadır.
  • Telefon bankacılığı, müşterinin bankayı telefon ile arayarak sesli talimat vermesi ve bunların kaydedilmesi halinde, ilgili ses kayıtları kişisel veri olarak değerlendirilebilir.
  • Güvenlik kameralarının kaydettiği görüntülerde kişilerin belirlenebilir olması halinde, video kayıtları kişisel veri niteliğinde olacaktır.
  • Kan grubu bilgisi, motorlu taşıt plakası, pasaport numarası, özgeçmiş vb. bilgiler de KVKK kapsamında değerlendirilmektedir. Yukarıda verdiğimiz kişisel veri örneklerinden de anlaşılacağı üzere bu veriler kişisel veri, bu verileri işlemek de kişisel veri işleme faaliyeti sayılmaktadır.

Editör: Av. Esra Ülkü Bayram