6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesini düzenleyen temel mevzuattır. Kanunun uygulanabilmesi için öncelikle "kişisel veri" kavramının doğru anlaşılması gerekmektedir. Bu yazıda, KVKK kapsamında kişisel verinin tanımı, hangi verilerin kişisel veri sayıldığı ve yaygın örnekleri hakkında genel bir çerçeve sunulmaktadır.
Kişisel Veri Tanımı
KVKK'nın 3. maddesinde kişisel veri, "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlanmaktadır. Bu tanım, bilginin belirli bir kişiyle ilişkilendirilebilir olması gerektiğini vurgulamaktadır. Anonim hale getirilmiş veya geri dönüşü olmayacak şekilde kişiyi tanımlayamayacak hale getirilmiş veriler, genel olarak kişisel veri kapsamı dışında değerlendirilebilir. Ancak anonimleştirme tekniklerinin hukuki geçerliliği Kurul kararları ve mevzuat ile şekillenmektedir.
Kişisel Veri Örnekleri
Web siteleri ve işletmeler tarafından sıklıkla işlenen kişisel verilere genel çerçevede şu örnekler verilebilir:
- Kimlik bilgileri: Ad, soyad, T.C. kimlik numarası, doğum tarihi
- İletişim bilgileri: E-posta adresi, telefon numarası, adres
- Finansal bilgiler: IBAN, kart bilgileri (genellikle ödeme kuruluşları üzerinden), fatura bilgileri
- Teknik veriler: IP adresi, çerez verileri, cihaz bilgisi (belirli koşullarda kişi ile ilişkilendirilebilir)
- İşlem geçmişi: Sipariş kayıtları, ziyaret logları, form gönderim kayıtları
Kişisel Veri Kategorileri
Kişisel veriler, KVKK ve Kurul kararları çerçevesinde çeşitli şekillerde gruplandırılabilir. Özel nitelikli kişisel veriler (sağlık, biyometrik, siyasi görüş vb.) ek koruma gerektirir ve ayrı bir rehber konusudur. Genel kişisel veriler ise Kanunun 5. maddesinde sayılan işleme şartlarına uygun olarak işlenebilir.
Belirlenebilirlik Kriteri
Bir verinin kişisel veri sayılabilmesi için ilgili kişinin "belirli" veya "belirlenebilir" olması gerekir. Doğrudan isim, kimlik numarası gibi veriler belirli kişiyi işaret eder. IP adresi, çerez kimliği gibi veriler ise diğer bilgilerle birleştirildiğinde kişiyi belirlenebilir kılabildiği için genel çerçevede kişisel veri olarak değerlendirilebilir. Somut durumunuzda bir verinin kişisel veri sayılıp sayılmayacağı hukuk danışmanınızla netleştirilebilir.
Web Sitelerinde Sık İşlenen Kişisel Veriler
İletişim formları, üyelik kayıtları ve çerezler aracılığıyla toplanan veriler genellikle kişisel veri kapsamındadır. Ad, e-posta ve telefon gibi doğrudan tanımlayıcı veriler açıkça kişisel veridir. Analytics araçlarıyla toplanan IP adresi, oturum süresi, sayfa ziyaretleri gibi veriler, tek başına veya diğer verilerle birleştirildiğinde kişiyi tanımlamaya elverişli olabilir; bu nedenle KVKK kapsamında değerlendirilmesi önerilir.
Anonim ve İstatistiksel Veriler
Veriler, geri dönüşü olmayacak şekilde anonimleştirildiğinde kişisel veri kapsamından çıkabilir. Ancak anonimleştirme tekniklerinin yeterliliği ve kalıcılığı Kurul tarafından değerlendirilmektedir. İstatistiksel amaçlarla toplanan ve hiçbir şekilde bireye ulaşılamayan agregat veriler, genel çerçevede kişisel veri sayılmayabilir. Bu ayrımın somut faaliyetinize göre netleştirilmesi hukuk danışmanı ile yapılabilir.
Sonuç
Kişisel veri kavramı, KVKK uyum sürecinin temelini oluşturmaktadır. Hangi verilerin kişisel veri sayıldığının doğru tespiti, aydınlatma yükümlülüğü, veri güvenliği ve diğer yükümlülüklerin kapsamını belirler. Web sitenizde veya işletmenizde işlediğiniz verileri bu çerçevede gözden geçirmeniz ve gerekirse hukuk danışmanından destek almanız önerilir.