Kişisel Veriler Nelerdir? Örnekler, Özel Nitelikli Veriler ve Sayılmayanlar

Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ait her türlü bilgidir. Ad ve T.C. kimlik numarası gibi doğrudan tanımlayan bilgilerin yanında, IP adresi, çerez kimliği, araç plakası veya konum gibi başka verilerle birleşince kişiyi belirlenebilir kılan bilgiler de kişisel veridir. Kanun, sağlık ve din gibi bir grubu "özel nitelikli" sayar ve daha sıkı kurallara bağlar. Bir bilginin kişisel veri olup olmadığını belirleyen şey bilginin türü değil, bir gerçek kişiyle ilişkilendirilebilmesidir.

Kişisel veri sayılan bilgiler

Özel nitelikli kişisel veriler

Kanunun 6. maddesinde sayılan ve öğrenilmesi kişiyi ayrımcılığa uğratabilecek veriler: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleri, biyometrik ve genetik veriler. Liste sınırlıdır; sayılmayan bir veri özel nitelikli sayılmaz.

1 Haziran 2024'te yürürlüğe giren 7499 sayılı Kanun değişikliğiyle bu verilerin işlenme şartları GDPR'a paralel olarak yeniden düzenlendi: açık rıza dışında, kanunda öngörülme, ilgili kişinin kendisinin alenileştirmesi, istihdam ve sosyal güvenlik yükümlülükleri, sağlık hizmeti gibi istisnalar getirildi. Bu verileri işleyen şirketler için Kurul'un belirlediği ek güvenlik tedbirleri zorunludur; ana faaliyeti bu verileri işlemek olan şirketlerin VERBİS kayıt eşiği de daha düşüktür. Ayrıntı: özel nitelikli kişisel veriler hangi durumlarda işlenebilir.

Kişisel veri sayılmayan bilgiler

• Tüzel kişi bilgileri: Şirket unvanı, vergi numarası, şirket adresi. Ancak şirketin çalışanına ait ad ve e-posta kişisel veridir.
• Anonim veriler: Hiçbir şekilde bir kişiyle ilişkilendirilemeyecek hale getirilmiş veriler. Anonimleştirme geri döndürülebiliyorsa veri anonim değil, "takma adlı"dır ve kişisel veri olmaya devam eder.
• Vefat etmiş kişilerin verileri: KVKK kapsamında değildir; ancak yaşayan yakınlarını belirlenebilir kılıyorsa onlar açısından kişisel veri olabilir.

Web sitesinde toplanan kişisel veriler

Bir web sitesi sahibi, farkında olmadan şu verileri işler:

• Form alanları: ad, e-posta, telefon, mesaj
• Sunucu logları: IP adresi, tarayıcı bilgisi, ziyaret zamanı
• Çerezler ve benzeri tanımlayıcılar: analitik kimlikleri (_ga), reklam kimlikleri (_fbp), oturum kimlikleri
• Gömülü içerikler: YouTube videosu, harita, sosyal medya eklentileri; bunlar üçüncü tarafa veri gönderir
• Canlı destek ve sohbet araçları: konuşma içeriği

Bu listeyi çıkarmak KVKK uyumunun ilk adımıdır; çerez ve tanımlayıcı kısmını ücretsiz çerez taraması otomatik listeler. Hangi verinin hangi hukuki sebeple işlendiği ve ne kadar saklandığı için KVKK rehberine bakabilirsiniz.

Sıkça sorulan sorular

Ad soyad tek başına kişisel veri midir?

Evet. Yaygın bir ad olsa bile kişiyi belirlenebilir kılma potansiyeli taşır; bağlamla birleşince belirler.

IP adresi kişisel veri midir?

Evet. Kurul kararlarında ve GDPR uygulamasında IP adresi kişisel veri sayılır; dinamik IP de dahil.

Çerez kimliği kişisel veri midir?

Evet. Tek başına ad içermez, ama aynı tarayıcıdan gelen ziyaretleri birleştirir ve kişiyi belirlenebilir kılar; bu yüzden zorunlu olmayan çerezler rıza gerektirir.

Şirket e-postası (ad.soyad@sirket.com) kişisel veri midir?

Evet, çünkü bir gerçek kişiyi belirler. info@ gibi genel adresler kişisel veri değildir.

Anonim anket verisi kişisel veri midir?

Gerçekten anonimse hayır. Ancak IP, zaman damgası veya serbest metin yanıtları kişiyi belirlenebilir kılıyorsa kişisel veridir.