7 Nisan Kişisel Verileri Koruma Günü

Kişisel Verileri Koruma Kurumu için tıklayınız....

Kişisel Veri Ne Demektir?

Kişisel Veri Kanunu'na göre;

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Bu bağlamda sadece bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan bilgiler değil, aynı zamanda kişinin fiziki, ailevi, ekonomik, sosyal ve sair özelliklerine ilişkin bilgiler de kişisel veridir. Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesini ifade eder. Yani verilerin; kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıması veya kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm halleri kapsar. İsim, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi veriler dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel verilerdir.

Genel Olarak Kişisel Veri

Kişisel veri kavramı, kanunda "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" şeklinde tanımlanmıştır. Buna göre kişisel veri kavramının dört unsuru vardır:

1. Kimliği belirli veya belirlenebilir
2. Gerçek kişiye
3. İlişkin
4. Her türlü bilgi

Kanunun bu tanımı, Adalet Komisyonu Raporu'nda da sıklıkla atıfta bulunulan Avrupa Birliği Direktifi ile aynı doğrultudadır. Bu bağlamda Madde 29 Çalışma Grubu'nun 4/2007 sayılı görüşünden özetle aşağıdaki açıklamalar kaleme alınmıştır.

"Kimliği belirli veya belirlenebilir"

Bir kişinin "kimliği belirli" kabul edilebilmesi, onun bir topluluk içerisindeyken bu topluluğun diğer üyelerinden ayırt edilebilmesini gerektirir. Bu doğrultuda "kimliği belirlenebilir" ifadesi de kişinin kimliği henüz belirlenmiş olmasa da kimliğinin belirlenmesinin mümkün olması anlamına gelecektir. Anlaşılacağı üzere bu unsurun yerine getirilmesi açısından alt eşik, "kimliği belirlenebilir" olmak durumudur.

Belirtmek gerekir ki her ne kadar bir kişinin kimliğinin belirli hale gelmesinin en yaygın şekli ad ve soyadının tespit edilmesi olsa da, bir kişinin kimliğinin belirli olması için ad ve soyad bilgisi her zaman gerekmeyebilir. Örneğin internet ortamında, belirli cihazların davranışları ve dolayısıyla bu cihazları kullanan kişilerin davranışları tespit edilebilmektedir. Böylece ad, soyad veya adres gibi bilgilere ihtiyaç duyulmaksızın, kişinin sosyo-ekonomik, psikolojik, felsefi veya diğer bağlamlarda kategorize edilmesi ve internete bağlandığı cihaz aracılığıyla gerçekleştirdiği davranışların ona atfedilmesi mümkündür. Bir kişinin kimliğinin belirli hale gelme ihtimali, artık yalnızca onun ad ve soyadının tespit edilmesi anlamına gelmemektedir. Nitekim Kanun'daki kişisel veri tanımı da bu göz önüne alınarak geniş bir biçimde yapılmıştır.

Kimliği belirlenebilir olma durumu değerlendirilirken veri sorumlusu veya üçüncü kişilerin, ilgili kişinin kimliğini belirlemek yolunda makul çerçevede muhtemel başvurabileceği tüm yollar göz önüne alınmalıdır. Bununla birlikte bu yolların gerektirdiği çaba ve veri sorumlusunun amacı gibi kriterler de değerlendirilebilmelidir.

Örnek:

Güvenlik kameraları

Veri sorumluları güvenlik kameraları ile bir alanı gözetlediğinde, kimliği belirli hale gelme olgusunun yalnızca belirli durumlarda ve oldukça düşük yüzdelerde gerçekleştiğini ve bu nedenle bu durumlar gerçekleşmeden önce kişisel veri işlenmediğini savunabilmektedirler. Ancak güvenlik kameraları kurulurken veri sorumlusunun amacı, gerektiği durumda kayıt altına alınan herkesin kimliğinin belirlenebilmesi olduğu için kişisel verilerin işlendiğinin kabul edilmesi gerekir. Bazı kişilerin video kayıtlarında yer alması ancak pratikte kimliğinin belirli hale getirilmemesi bu sonucu değiştirmeyecektir.

Örnek:

Dinamik IP adresleri

Madde 29 Çalışma Grubu, İnternette Mahremiyet adlı çalışmasında internet protokolü (IP) adreslerinin, kimliği belirlenebilir kişilere ilişkin olduğunu belirtmektedir. Nitekim internet servis sağlayıcıları ve yerel ağ yöneticileri, atadıkları dinamik IP adreslerini ve bunların tarih, zaman, süre bilgilerini düzenli olarak kaydettikleri için, internet kullanıcılarını birbirlerinden ayırt edebilmektedir. Öte yandan Avrupa Adalet Divanı da Breyer kararında dinamik IP adreslerinin dahi birtakım şartlarda kişisel veri kabul edilmesi gerektiğini belirtmiştir.

"Her türlü bilgi"

Öncelikle belirtilmelidir ki Kanundaki "her türlü bilgi" ifadesi, kanunkoyucunun, kişisel veri kavramının sınırlarını olabildiğince geniş tutmak yönündeki iradesini ortaya koymaktadır.

Bilginin mahiyeti açısından bakıldığında, kişisel veri kavramı, bir kişi hakkındaki her türlü bilgiyi, objektif veya sübjektif niteliğine bakılmaksızın içerecektir. Kişinin sağlık durumu gibi objektif bilgiler ve kişi hakkındaki görüşler gibi sübjektif bilgilerin tamamı kişisel veri kabul edilebilecektir.

Bilginin "kişisel veri" niteliğinde olması için doğru veya ispatlanmış olması da gerekmez. Nitekim Kanun da kişisel verilerin eksik ve yanlış olabileceğini öngörmüş ve ilgili kişinin haklarını sayarken böylesi bilgilerin düzeltilmesini isteme hakkını tanımıştır.

Bilginin içeriği açısından bakıldığında, kişisel veri kavramı, herhangi bir bilgi sağlayan her türlü veriyi içerecektir. Burada "kişisel" ifadesinin, verinin kapsamına özel hayatın gizliliği bağlamında bir sınırlandırma getirmediği belirtilmelidir. Zira Kanunun amaç başlıklı ilk maddesine "başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak" ifadeleri kullanılmaktadır. Anlaşılacağı üzere özel hayatın gizliliği vurgulanmış olsa da korunan menfaat bununla sınırlı değildir. Bu yönden bakıldığında, kişinin herkes tarafından bilinen bir bilgisi de kişisel veri kabul edilmelidir.

Örnek:

Telefon bankacılığı

Haberin devamını okumak için buraya tıklayınız.