Ankara --:-- · —
bilgi@utuhukuk.com
0536 593 16 00
UTU Hukuk ve Danışmanlık5 dk okumaGüncelleme:
7 Nisan 2016 tarihinde yürürlüğe giren Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenme şartlarını düzenlemektedir. Yazımızda öncelikle temel kavramlara yer verilecektir.
Güncellik notu
Bu yazı, yayımlandığı tarihteki mevzuat ve uygulamaya göre hazırlanmıştır. Özel nitelikli kişisel verilerin işlenme şartları başta olmak üzere, kişisel verilerin korunması mevzuatında o tarihten bu yana değişiklik olmuş olabilir. Güncel durum için bir avukata danışmanız önerilir.
Kişisel veri, Kanun’da; “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlanmıştır.
Bu tanımdan anlaşılacağı üzere bir bilginin kişisel veri niteliğinde olabilmesi için;
Kişisel verinin üç unsuru
-Gerçek kişiye ilişkin olma,
-Gerçek kişinin kimliği belirli ve belirlenebilir olması ve
-Kanun’un aradığı anlamda bilgi ve kişi arasında ilişkin olma unsurunun gerçekleşmesi gerekmektedir.
Kişisel veri kavramının ne olduğunun kavranabilmesi açısından söz konusu kriterlerin üzerinde ayrıntılı olarak durmakta fayda vardır:
Kanun’un koruduğu kişisel veriler, yalnızca gerçek kişilere ilişkin verilerdir. Dolayısıyla tüzel kişilere ilişkin veriler kural olarak kişisel veri sayılmazlar.
Gerçek kişiye ilişkin bir bilginin kişisel veri sayılabilmesi için, söz konusu gerçek kişinin kimliği belirli veya belirlenebilir olmalıdır. Bir kişinin belirli olması, yer aldığı gruptaki diğer kişilerden ayırt edilebilmesi anlamına gelir. Belirlenebilir olma ise, kişinin diğer kişilerden mevcut veriler kullanılarak ayırt edilememesine rağmen birtakım ek verilerle ayırt edilebilir olması durumunu ifade eder.
Belirli kişi
Yer aldığı gruptaki diğer kişilerden ayırt edilebilen kişi.
Belirlenebilir kişi
Mevcut verilerle ayırt edilemeyen ancak birtakım ek verilerle ayırt edilebilen kişi.
Ek bilgiye ulaşma ölçütü
Bahsedilen ek bilgiye ulaşmak hukuken yasaklanmamışsa ve veri sorumlusu açısından ulaşılması önemli ölçüde güçlük yaratmıyorsa o zaman o verinin kişisel veri olduğu kabul edilir.
Genel olarak, gerçek kişiye ilişkin olma şartı, bilginin doğrudan söz konusu gerçek kişi hakkında olması ile sağlanır. Ancak bilginin doğrudan kişi hakkında olmadığı bazı durumlarda da ilişkin olma şartının gerçekleşebileceği kabul edilmektedir.
Yukarıda ifade edilen üç şartı taşıyan her türlü bilgi, kişisel veri sayılır. Örnek vermek gerekirse; ad ve soyad, adres, TCKN, telefon numarası, vergi numarası, medeni hal, meslek, doğum tarihi, cinsiyet, özgeçmiş, adli sicil kaydı, dernek üyeliği, maaş, özlük bilgileri, IP adresi, IMEI numarası, konum bilgisi, fotoğraf, video, ses kaydı, sağlık raporu, kan grubu, parmak izi, göz rengi, DNA bilgisi, engel durumu, seyahat ve alışveriş bilgileri gibi bilgiler kişisel veridir.
Özel nitelikli kişisel veriler;
olmak üzere Kanun’da tahdidi olarak sayılmıştır. Başka bir deyişle, sınırlı olarak belirlenmiştir.
Veri Sorumlusu (Controller)
Kişisel verilerin işleme amacını ve vasıtasını belirleyen, sistemi kurup yöneten gerçek veya tüzel kişidir.
Veri İşleyen (Processor)
Veri sorumlusunun belirlediği amaçlar ve yöntem çerçevesinde kişisel veriyi işleyen kişidir.
Veri sahibi kısaca “kişisel verisi işlenen gerçek kişiyi” ifade etmektedir.
Kanun’da kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem kişisel verilerin işlenmesi olarak tanımlanmıştır.
Hukuka uygunluk sebepleri
Kişisel verilerin işlenmesinde hukuka uygunluk sebeplerinin tespit edilebilmesi için öncelikle bir verinin kişisel veri mi yoksa özel nitelikli kişisel veri mi olduğu hususunun saptanması gerekmektedir. Çünkü kanunda genel hukuka uygunluk sebepleri ile özel nitelikli verilerin işlenmesinde hukuka uygunluk sebepleri ayrı ayrı belirlenmiştir.
Ticari elektronik ileti gönderimlerinde onay yönetimine ilişkin kurallar için İleti Yönetim Sistemi (İYS) başlıklı yazımıza bakabilirsiniz.
İlgili yazılar: Yapay Zekâ · Yapay Zekâ ve Hukuk · KVKK Kapsamındaki Gelişmeler
Kanun’da kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanmıştır. Bunun için bilginin gerçek kişiye ilişkin olması, kişinin kimliğinin belirli veya belirlenebilir olması ve bilgi ile kişi arasında ilişkin olma unsurunun bulunması gerekir.
Kanun’un koruduğu kişisel veriler yalnızca gerçek kişilere ilişkin verilerdir; tüzel kişilere ilişkin veriler kural olarak kişisel veri sayılmaz.
Kişinin mevcut verilerle diğerlerinden ayırt edilememesine rağmen ek verilerle ayırt edilebilir olmasıdır. Ek bilgiye ulaşmak hukuken yasaklanmamışsa ve veri sorumlusu için önemli ölçüde güçlük yaratmıyorsa o veri kişisel veri kabul edilir.
Kişilerin ırkı, kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık-kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri Kanun’da sınırlı olarak sayılmıştır.
Verilerin elde edilmesi, kaydedilmesi, depolanması, muhafazası, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem kişisel verilerin işlenmesi sayılır.
Görüşme talebi
UTU Hukuk Danışmanlık olarak şirketler hukuku alanında avukatlık ve danışmanlık hizmeti vermekteyiz.
Formu doldurun, sizi arayalım. Dilerseniz doğrudan da ulaşabilirsiniz:
Şirketler Hukuku alanındaki diğer yazılarımız