Kişisel veri nedir?

Kişiye ilişkin bilgi ölçütü

6698 sayılı Kanunun 3. maddesi tanımında hem belirli hem belirlenebilir gerçek kişiyi kapsar. İsim yazmasa da başka bilgilerle makul biçimde kişiye ulaşılabiliyorsa veri kişisel olabilir. Çalışan numarası, plaka veya cihaz kaydı bağlama göre kişiyi gösterebilir. Bilginin doğru veya yanlış olması onu otomatik tanım dışına çıkarmaz; kişiyle ilgili hatalı kayıt da düzeltme hakkını gündeme getirebilir. Tanım yalnız özel veya mahrem bilgilerle sınırlı değildir.

Gerçek kişi ve tüzel kişi

Şirketin tüzel kişiliğine ilişkin bilgi her durumda kişisel veri sayılmaz; ancak şirket kaydı içindeki çalışan, ortak veya yetkili gerçek kişinin bilgisi kapsamda olabilir. Kurumsal e-posta adresi kişiye bağlanıyorsa ayrıca değerlendirilir. Bir sözleşmenin ticari belge olması içindeki imza, iletişim ve kimlik bilgilerini kişisel olmaktan çıkarmaz. Aynı dosyada ticari sır ile kişisel veri farklı hukuki korumalar olarak birlikte bulunabilir.

Veri, anonim bilgi ve özel kategori

Kimliği belirlenebilir kişiyle bağ korunuyorsa kodlama veya maskeleme her zaman anonimleştirme değildir. Gerçek anonimlikte diğer verilerle eşleştirme yoluyla dahi kişiyle bağlantı kurulamaması gerekir. Sağlık, biyometrik ve diğer kanunda sayılan özel nitelikli kategoriler daha sıkı koşullara tabidir. Bir bilginin hassas algılanmasıyla kanuni özel kategori içinde olması ayrıdır; kategori listesi sınırsız biçimde genişletilmemelidir. Her veri için işleme amacı ve dayanak ayrıca incelenir.

Hangi işlemler veri işlemedir?

Toplama, kaydetme, saklama, aktarma, değiştirme ve erişilebilir kılma gibi işlemler kapsamda olabilir. Yalnız internette yayınlama veri işleme değildir. İşverenin bordro dosyası tutması veya mağazanın müşteri numarasını sistemde saklaması da değerlendirilir. Kanunun otomatik olmayan kayıt sistemleri için kapsam koşulu ayrıca önemlidir. Dosyanın dijital olmaması her zaman kanun dışında olduğunu göstermez; sistematik dosyalama ve kullanım niteliği araştırılır.

Hukuki sebep ve amaç

Her kişisel veri için mutlaka açık rıza alınması gerektiği düşüncesi yanlıştır. Kanunda sayılan sözleşme, hukuki yükümlülük veya diğer işleme şartları somut faaliyette uygulanabilir. Ancak bir şartın varlığı sınırsız veri toplama yetkisi vermez. Amaç belirli ve meşru olmalı, işlenen veri bu amaçla bağlantılı ve ölçülü kalmalıdır. Bir işlemin zorunlu olması, ona ilgisiz sağlık veya konum bilgisinin de toplanmasını haklı kılmaz.

Aydınlatma ve ilgili kişinin bilgisi

Veri sorumlusu kimliğini, işleme amaçlarını, aktarımı, toplama yöntemini ve hukuki sebebi kanuni kapsamda açıklamalıdır. Aydınlatma, kişinin bütün işlemleri onaylaması demek değildir. 2026/347 sayılı Kurul ilke kararı, aydınlatma ile açık rıza metinlerinin ayrı düzenlenmesi gerektiğini vurgular. Bilgilendirmenin okunduğuna dair kayıt ile işleme rızası farklıdır. Başka şirketin metnini aynen almak faaliyetin gerçek veri akışını açıklamayabilir.

İşyerindeki güncel örnek

Kurulun 16 Eylül 2026 tarihli 2026/2035 ilke kararı, kurumsal e-posta denetiminde işverenin teknik erişiminin sınırsız hukuki yetki olmadığını açıklar. Hesabın işverene ait olması yazışmalardaki kişisel verileri korumasız bırakmaz. Denetimin amacı, kapsamı ve önceden bilgilendirme önemlidir. Bu örnek, iş için kullanılan bir araç içindeki bilginin de kişisel veri olabileceğini gösterir; işin yapılması ile sürekli içerik denetimi aynı şey değildir.

Saklama ve silme

Veriler, ilgili mevzuatta öngörülen veya amaç için gerekli süre kadar saklanmalıdır. Kanuni saklama zorunluluğu sürerken her silme talebi kabul edilmeyebilir. Buna karşılık artık gerek kalmayan verinin belirsiz süreyle tutulması da uygun değildir. Silme, yok etme ve anonimleştirme farklı teknik ve hukuki sonuçlar taşır. İşleme sebebinin sona erip ermediği ile uyuşmazlıkta hakkın korunması ihtiyacı birlikte değerlendirilmelidir.

İlgili kişi hangi hakları kullanır?

Kişi verisinin işlenip işlenmediğini öğrenme, bilgi isteme, düzeltme ve koşulları varsa silme veya diğer hakları kullanabilir. Başvuru veri sorumlusuna yöneltilir; yalnız şirketin genel müşteri hizmetine belirsiz mesaj atılması talebi somutlaştırmayabilir. Hangi veri, hangi işlem ve hangi sonuç istendiği açıklanmalıdır. Kimlik doğrulaması yapılırken de gereksiz ek veri istenmesi ayrı sorun yaratabilir; başvuru ve cevap kayıtları korunur.

Süreler ve şikâyet

Veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırır. Kurula şikâyet bakımından cevabın öğrenilmesinden itibaren otuz ve başvurudan itibaren her halde altmış gün sınırları dikkate alınır. Kurula şikâyet, tazminatın kendiliğinden ödenmesi anlamına gelmez; özel hukuk ve diğer yollar kendi koşullarına tabidir. Başvuru tarihi, alınan cevap ve hangi talebin karşılanmadığı belgelenmelidir. Kurumun kanuni yetkisi dışındaki talepler doğru mercie yönlendirilir.

Temsili olay ve karşı örnek

Müşteri numarası tek başına isim içermese de şirketin sistemindeki hesapla kişiye bağlanıyorsa kişisel veridir. Gerçekten geri döndürülemeyen toplu istatistik farklı değerlendirilebilir. Çalışanın yüz fotoğrafı her kullanımda otomatik biyometrik veri sayılmaz; kişiyi benzersiz tanımlamak için özel teknik işleme bağlamı önemlidir. Bu örnekler verinin adından çok kullanım ve eşleştirme imkânının neden incelendiğini açıklar. Yanlış kategorilendirme yanlış hukuki sebep seçimine yol açabilir.

Başvuru dosyasını somutlaştırma

Kayıt örneği, ilgili ekran, sözleşme, aydınlatma metni ve gönderilmiş başvuru birlikte hazırlanabilir. Verinin hangi kişiyle bağlantılı olduğu ve kim tarafından işlendiği açıklanır. Birden çok şirket varsa veri sorumlusu ile onun adına işlem yapanın rolleri ayrılır. Sadece KVKK ihlali var demek yerine hangi ilkenin veya hakkın etkilendiği gösterilir. Böylece gereksiz tüm belge yığını yerine incelenebilir ve amaca uygun bir hukuki talep kurulabilir.

Sık sorulan sorular