Kişisel Veri Nedir
Av. Burak ÜÇÜNCÜ
(Yazının fikri mülkiyet hakları yazara aittir. Makalenin herhangi bir bölümünün başka bir yayında kullanılmasına ancak atıfta bulunulması şartı ile izin verilir. İzinsiz çoğaltılamaz, tüm saklıdır)
Kişisel veri tanımına girmeden evvel veri kavramının üzerinde durmak gerekir. Veri; bilgi kırıntısı, parçacığıdır. Bu parçacıklar bir araya geldiğinde eğer bir anlam ifade ediyorsa o zaman bilginin varlığından bahsederiz. Diğer bir deyişle, anlamlı hale gelen veriler bize bilgi sonucunu verir. Kişisel veri işleme ise, kişisel verinin konu olduğu her türlü eylemi ifade eder.
Kişisel Verilerin Korunması Kanunu (“KVKK”) anlamında kişisel veri ise, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir (KVKK m.7/1).
KVKK anlamında bir verinin, kişisel veri olarak kabul edilmesi için bazı unsurlar gereklidir. Öncelikle bir veri var olmalı, varolan veri gerçek kişiye ilişkin olmalı, verinin kimliği belli veya belirlenebilir olmalıdır.
Kişisel veri tanımlaması yapılırken salt bilgisayar verisi veya elektronik verilerden bahsedilmemektedir. Kişisel veri, sadece bir bilgisayar verisi olarak kabul edilirse kişisel verilerin korunması kapsamı daralacaktır. Yine KVKK’da yapılan tanımlamada da kişisel verinin bilgisayar verisi olup olmadığı noktasında herhangi bir sınırlama yapılmadığı gibi, kişisel verinin tutulduğu ortam yönünden de herhangi bir ayrım yapılmamış ve her türlü bilginin kişisel veri olduğu ifade edilmiştir.
Yargıtay Hukuk Genel Kurulu da 17.06.2015 T. 2014/56 E. 2015/1679 K. Sayılı ilamı ile; “kişisel verinin sayısal olarak sınırlandırılmasının mümkün olmadığına, bireyin kimliğini ortaya çıkartan, bir kişiyi belirli kılan ve karakterize eden kişinin kimlik, ekonomik ve dijital bilgileri, tabiiyeti, kanaatleri, ırk, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançları, dernek, vakıf ve sendika üyeliği, sağlık bilgileri, fotoğrafları, parmak izi, sağlık verileri, telefon mesajları, telefon rehberi, sosyal paylaşım sitelerinde yazdığı veya paylaştığı yazı, fotoğraf, ses veya görüntü kayıtlarının kişisel veriler olarak kabul edilebileceğine” hükmetmiştir.
Bu yüzden bir verinin elektronik veya fiziksel ortamda tutuluyor olması o verinin kişisel veri olma niteliğini etkilememektedir. Ayrıca varolan verinin doğru ya da yanlış olması da kişisel veri olma niteliğine etki etmez. Yine varolan verinin özel hayata ilişkin olması da gerekli değildir. Verinin konusu bakımından KVKK herhangi bir sınırlama yapmamıştır. Her konuya ilişkin gereken unsurları taşıyan tüm veriler kişisel veridir. Yani gerçek kişiye ilişkin karakterize edilebilen tüm veriler kişisel veri olarak kabul edilir.
Bir veriye kişisel veri diyebilmek için o verinin gerçek kişiye ilişkin olması gerekir. Bu yüzden tüzel kişiye ait verilerin kişisel veri olarak kabulü mümkün değildir. Kişisel Verilerin Korunması Kanunu yürürlüğe girmeden evvel kanun taslağında tüzel kişilerin verileri de koruma kapsamına alınmış ancak kanun yürürlüğe girdiğinde isabetli bir hareketle tüzel kişiler kapsamdan çıkarılmıştır. Yani KVKK, tüzel kişilerin verilerini kanun kapsamına almamış, KVKK anlamında tüzel kişilerin verilerine koruma bahşetmemiştir. Ancak tüzel kişilik içerisindeki gerçek kişilerin verileri elbette kişisel veri olarak kabul edilecektir.
Yine bir diğer gerekli olan unsur ise veri kimliğinin belli veya belirlenebilir olmasıdır. Bir veri, direkt veya dolaylı olarak bir gerçek kişiyi işaret ediyorsa, kişisel veri olduğunu söyleyebiliriz. Belli veya belirlenebilir olma unsuru, verinin kimliğinin direkt olarak belirli olması veya belirlenebilir olması halini ifade eder. Yani örneklendirmek gerekirse, TC kimlik numarası benzersiz bir veridir. Her Türk vatandaşına özgü olarak devlet tarafından tanımlanmıştır. O yüzden bir TC kimlik numarası direkt olarak bir gerçek kişiyi ifade eder. Bu yüzden TC kimlik numaraları kişisel veridir.
Verinin kimliğinin belirlenebilir olması ise, bir veriye bakıldığında direkt olarak bir gerçek kişi anlaşılmasa dahi dolaylı yoldan verinin kimliği belirlenebiliyorsa, burada kişisel veriden bahsederiz. Örneğin adres bilgisi verinin kimliğinin belirlenebilir olmasına örnektir. “Şimşek Mah. Yıldırım Sok. Yıldız Apt. No: 1/8 Yenimahalle/Ankara’da oturan 35 yaşındaki genç erkek” ifadesine bakıldığında direkt olarak bir gerçek kişi anlaşılmasa da dolaylı olarak veri ile işaret edilen gerçek kişi tespit edilebilirse (ki edilebilecektir) bu takdirde kişisel veriden bahsederiz. Bu sebeple adres bilgisi de belirlenebilir bir kişisel veri olacaktır.
Kanun, kişisel verinin tanımı anlamında yukarıdaki unsurlar dışında herhangi bir sınırlama yapmamıştır. Bu anlamda oldukça geniş bir koruma çerçevesi mevcuttur. Yukarıda saydığım KVKK’da yer alan unsurları taşıyan her veri, kişisel veridir.