KVKK’ nın 3/d maddesinde; “kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder” şeklinde tanımlanmıştır. Buna göre kişisel veri kavramının iki unsuru vardır:
a) Kimliği belirli veya belirlenebilir gerçek kişi
b) Her türlü bilgi
A. Kişinin belirli veya belirlenebilir olması: Kişisel veri, gerçek kişiye ilişkin olup, tüzel kişilere ilişkin veriler kişisel verinin tanımının dışındadır. Dolayısıyla Tüzel kişilik hakkındaki herhangi bir bilgi KVKK kapsamınca kişisel veri sayılmamaktadır. Dolayısıyla, bir şirketin ticaret unvanı, vergi sicil numarası ya da adresi gibi tüzelkişiliğe ilişkin bilgiler kişisel veri sayılmayacaktır. (Bir gerçek kişiyle ilişkilendirilebilecekleri durumlar haricinde)
Eldeki bilgi ile günümüz teknolojik imkânları kullanılarak elde edilen bilgi birleştirildiğinde bir gerçek kişiyi işaret ediyorsa bu bilgi kişisel veri kapsamındadır.
Örneğin, sadece arkadan bakıldığında gözüken, boynunda kendisine özgü dövmesi bulunan müşteri A, fiziki olarak yapacağı alışveriş sırasında şirket güvenlik kamerasında yüzü gözükmeyecek şekilde sadece sırtı ve dövmesi gözükecek şekilde şirkete ait güvenlik kamerası tarafından kayıt altına alınmıştır.
Müşteri A, şirkete, görüntüsünün kendisine ait bir kişisel veri olduğunu ve kendisine herhangi bir şekilde Aydınlatma yapılmadan, güvenlik kamerası aracılığı ile kişisel verisinin şirket tarafından kayıt altına alındığını bu sebeple görüntülerin silinmesi istediğini söylemiştir.
Şirket ise cevap olarak müşteri A ‘ ya, bu görüntü kayıtlarına bakıldığında görüntüdeki kişinin Müşteri A ‘nın olup olmadığının belli olmadığına, sadece sırtı dönük bir kişinin olduğunu, görüntünün belirli bir kişiyi tanımlamaya, belirlemeye yeterli olmadığını dolayısıyla kişisel veri olarak nitelendirilmediği şeklinde cevap vermiştir.
Bu olayda bu kısma kadar şirket haklı olsa da günümüz teknolojik imkânlarını kullanarak görüntü büyütülüp netleştirildiğini ve kişinin boynunda dövme görüntüsü yakalandığında artık bu kamera kaydı Müşteri A ‘ nın kişisel verisi haline gelmiştir. Çünkü şirket, müşteri A ‘ nın kişisel verisi olan görüntüsünü kayıt altına almıştır.
Yani Müşteri A’ya özgü olan dövme görüntüsü ile kamera kaydı bir personeli belirlenebilir hale getirmiştir.
B. Her türlü bilgi: Her türlü bilgi ifadesi son derece geniş olup, bir gerçek kişiyi tanımlayan tüm bilgileri kapsar.
Örneğin şirket bünyesinde çalışan personelin:
Adı, soyadı, doğum tarihi ve doğum yeri gibi personelin sadece kimliğini ortaya koyan bilgiler değil; telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmişi, resmi, görüntü ve ses kayıtları, parmak izleri, IP adresi, e-posta adresi, hobiler, tercihleri, etkileşimde bulunduğu kişiler, müşteri şikâyet raporları, çalışan performans değerlendirme raporları, mülakat değerlendirme raporları, kullanıcı işlem kayıtları, grup üyelikleri, hakkında yazılmış olan bilgi, belge, rapor, mektup, davet yazısı ve analizler, aile bilgileri, özgeçmiş, bordro, fatura, banka dekontları, kredi kartı ekstreleri, nüfus cüzdanı fotokopileri, sağlık bilgileri gibi personeli doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler, kişisel veri olarak kabul edilmektedir.
Ayrıca personele ait takma isimler, mahlas ve lakaplar tek başına veya başka kaynaklarla birleştirildiğinde kişiyi tanımlamayı sağlayabilecek nitelikte ise, bu tarz veriler de kişisel veri olarak kabul edilecektir.
Ancak yine de bunların kişisel veri olup olmadığı her somut olayın özelliğine göre “kişiyi tanımlayabilme” kabiliyeti dikkate alınarak değerlendirilmelidir.
Comments