Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. Ad, T.C. kimlik numarası, telefon numarası, fotoğraf ve bir kişiyle ilişkilendirilebilen araç plakası bu kapsama girebilir. Bilginin yalnız başına kişinin adını göstermesi gerekmez; başka kayıtlarla birlikte kişinin kimliğini belirlenebilir kılması da yeterlidir. KVKK bakımından inceleme, bilginin hangi kişiye ilişkin olduğu ve o kişiyi belirlemeye elverişli olup olmadığıyla başlar.
1. Bir Bilgi Ne Zaman Kişisel Veri Sayılır?
Kişisel veri sayılmak için bilginin bir gerçek kişiye ilişkin olması ve bu kişinin belirli veya belirlenebilir olması gerekir. KVKK m.3 tanımı şöyle kurar:
d) Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.3)
T.C. kimlik numarası kişinin kimliğini doğrudan gösterir. Araç plakası ise başka bir kayıtla ilişkilendirildiğinde kişiyi belirlenebilir kılabilir. Dolayısıyla kişisel veri, yalnız kimlik belgesinde yazılı bilgilerden oluşmaz. Kişisel Verileri Koruma Kurumunun Kişisel Verilerin Korunması Kanunu Hakkında Sıkça Sorulan Sorular rehberi de bu ayrımı doğrudan ve dolaylı belirlenebilirlik üzerinden açıklar (Mart 2025, s.21–22).
Tanımdaki “her türlü bilgi” ifadesi, genel kişisel veri kavramının kapalı bir örnek listesi olmadığını gösterir. Bilginin konusu, biçimi ve tutulduğu ortam değişse de gerçek kişiyle ilişkisi incelenir.
2. Kişisel Veri Örnekleri Nelerdir?
Bir gerçek kişiyi belirli veya belirlenebilir kılan kimlik, iletişim, görüntü, ses ve kişiye ilişkin diğer bilgiler kişisel veridir. Kurumun aynı rehberinde sayılan örnekler arasında şunlar bulunur:
| Bilgi grubu | Örnekler | Değerlendirmede esas alınan ilişki |
|---|---|---|
| Kimlik bilgileri | Ad, soyad, doğum tarihi, T.C. kimlik numarası, pasaport numarası | Bilginin belirli bir gerçek kişiye ait olması |
| İletişim bilgileri | Telefon numarası, e-posta adresi | İletişim bilgisinin bir gerçek kişiyle ilişkilendirilebilmesi |
| Kayıtlarla ilişkilendirilebilen bilgiler | Motorlu taşıt plakası, sosyal güvenlik numarası | Kayıt üzerinden gerçek kişinin belirlenebilmesi |
| Görsel ve işitsel bilgiler | Fotoğraf, görüntü ve ses kaydı | Kaydın gerçek kişiyi belirli veya belirlenebilir kılması |
| Kişiye ilişkin diğer bilgiler | Özgeçmiş, aile bilgileri, hobiler ve tercihler | Bilginin belirli veya belirlenebilir kişiye ilişkin olması |
Bu örnekler kişisel verilerin tamamı değildir. Kurul da 28.05.2020 tarihli ve 2020/435 sayılı kararında kişisel veri kavramını yalnız kişinin kesin kimliğini gösteren bilgilerle sınırlamamış; fiziksel, ailevi, ekonomik ve sosyal özelliklerine ilişkin bilgilerin kişiyle ilişkisini dikkate almıştır. Bu kararın özlük dosyasına ilişkin somut değerlendirmesi aşağıda açıklanmıştır.
2.1. Takma İsim veya Kullanıcı Adı Kişisel Veri midir?
Takma isim, tek başına ya da başka kaynaklarla birlikte gerçek kişiyi tanımlayabiliyorsa kişisel veri olabilir. KVKK m.3’teki belirlenebilirlik ölçütü burada da geçerlidir. Kurumun SSS rehberi, müstear ad, mahlas ve lakap bakımından her olayda kişinin tanımlanabilme imkânının değerlendirilmesini ister (s.22). Bu nedenle yalnız gerçek ad yerine başka bir ad kullanılması, veriyi kendiliğinden anonim yapmaz.
3. Şirketlere Ait Bilgiler Kişisel Veri midir?
KVKK m.3’teki kişisel veri tanımı gerçek kişiye ilişkindir. Yalnız şirketin tüzel kişiliğine ait ticaret unvanı, MERSİS numarası ve ciro gibi bilgiler bu tanımın dışında kalır. Ancak bilginin bir gerçek kişiyle ilişkilendirilebildiği durumlar ayrıca değerlendirilir. Şirketin belgesinde bulunması, çalışana veya başka bir gerçek kişiye ait bilgiyi kişisel veri olmaktan çıkarmaz.
Kurumun SSS rehberi bu ayrımı açıklar: şirket bilgileri, gerçek kişiyle ilişkilendirilebildikleri durumlar hariç, tüzel kişiliğe ilişkin bilgidir (s.21). Bilginin kime ait olduğu ile onu kimin işlediği de farklı sorulardır. Şirket, verisi korunan gerçek kişi olmamakla birlikte veri sorumlusu veya veri işleyen olabilir.
4. Kişisel Veri ile Özel Nitelikli Kişisel Veri Arasındaki Fark Nedir?
Özel nitelikli kişisel veriler, genel kişisel veri kavramının içinde bulunan ve KVKK m.6’da ayrıca sayılan kategorilerdir. Kişisel veri örnekleri sınırlı değildir; özel nitelikli kategorilerin kapsamı ise kanundaki listeye göre belirlenir:
(1) Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.6)
Örneğin T.C. kimlik numarası bir kişisel veridir; ancak bu listede yer alan özel nitelikli veri kategorilerinden biri değildir. Sağlık bilgisi ise kanunda ayrıca sayılmıştır. Ayrım, hangi işleme şartlarının uygulanacağı açısından önemlidir. Kategoriler ve işleme şartları özel nitelikli kişisel veriler makalesinde ele alınmıştır.
5. Kişisel Verilerin İşlenmesi Ne Demektir?
Kişisel veriyi toplamak, kaydetmek, saklamak, açıklamak veya aktarmak veri işleme kapsamına girebilir. İşleme yalnız bir bilginin başkasına verilmesi değildir; bilginin muhafaza edilmesi de tanımda yer alır:
e) Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.3)
İşlemenin hukuka uygunluğu ayrıca incelenir. KVKK m.5’in ikinci fıkrası, sayılan şartlardan biri varsa açık rıza aranmaksızın işleme yapılabileceğini düzenler:
(2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.5)
Bu şartlar arasında, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmak kaydıyla taraflara ait verilerin işlenmesinin gerekli olması ve veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için işlemenin zorunlu olması da bulunur. Açık rıza her işlemenin tek dayanağı değildir. Açık rızanın şartları ve geri alınması, işlemenin hangi hukuki sebebe dayandığıyla birlikte değerlendirilir. Aydınlatma ile açık rızanın farkı bu nedenle önem taşır.
Bir işleme şartının bulunması, verilerin her amaçla veya süresiz tutulabileceği anlamına gelmez. KVKK m.4; amaçla bağlantılı, sınırlı ve ölçülü işlemeyi, doğru ve gerektiğinde güncel bilgiyi, belirli ve meşru amacı ve gerekli saklama süresini ayrıca düzenler:
ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.4)
5.1. Kâğıt Dosyalardaki Bilgiler de KVKK Kapsamına Girer mi?
Otomatik olmayan yollarla işlenen kişisel veriler, bir veri kayıt sisteminin parçası olmak kaydıyla KVKK kapsamına girer. Bu koşul, kâğıt üzerindeki her not ile belirli ölçütlere göre tutulan kayıt sistemini ayırır. KVKK m.2 kapsamı şöyle belirler:
(1) Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.2)
Kurulun 28.05.2020 tarihli ve 2020/435 sayılı kararında, çalışan kendisine ait yazılı savunma ve istifa dilekçelerinin örneklerini istemiştir. Veri sorumlusu, talebin kişisel veri hakkında bilgi değil belge örneği talebi olduğunu ileri sürmüştür. Kurul, belgelerin içeriğinin kişiyi belirli veya belirlenebilir kıldığını değerlendirmiş ve muhafaza işlemini de ele almıştır:
Bu minvalde, şikayet başvurusunda bulunan kişinin ilgili kişi, kargo firmasının veri sorumlusu, ilgili kişiye ait istifa dilekçesinin özlük dosyası kapsamında muhafaza edilmesinin ise veri işleme faaliyeti olduğu,
(Kişisel Verileri Koruma Kurulu, 28.05.2020 tarihli ve 2020/435 sayılı karar)
Kurul, kişisel veri içeren savunma yazısı ve istifa dilekçelerinin birer örneğinin ilgili kişiye verilmesi için veri sorumlusuna talimat vermiştir. Karar, her belge talebinin koşulsuz kabul edileceği anlamına gelmez; burada belirleyici olan belgelerin ilgili kişiye ait bilgiler içermesi ve özlük dosyası içinde muhafaza edilmesidir. Böylece hem belgenin içeriği hem de saklama işlemi değerlendirilmiştir.
6. İsmi Silinen Bilgi Anonim Hâle Gelir mi?
İsmin silinmesi tek başına anonimleştirme değildir. Kalan bilgiler başka kayıtlarla eşleştirildiğinde gerçek kişi belirlenebiliyorsa, KVKK m.3’teki anonim hâle getirme ölçütü karşılanmaz:
b) Anonim hâle getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.3)
Dolayısıyla değerlendirme yalnız ad-soyad sütununun çıkarılıp çıkarılmadığıyla bitmez. Verinin kalan içeriği ve başka verilerle ilişkilendirilme imkânı da incelenir. Gerçek kişiyle ilişkinin korunması ile bu ilişkinin kurulamayacağı biçimde anonimleştirme farklı sonuçlardır.
7. Kişisel Verileri İşlenen Kişi Hangi Haklara Sahiptir?
Kişi, kendisi hakkında veri işlenip işlenmediğini öğrenmek ve işlenmişse bilgi istemek için veri sorumlusuna başvurabilir. KVKK m.11 bu hakkı açıkça tanır:
a) Kişisel veri işlenip işlenmediğini öğrenme, b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.11)
Aynı maddede işleme amacını ve verilerin amaca uygun kullanılıp kullanılmadığını öğrenme, aktarılan üçüncü kişileri bilme ve yanlış ya da eksik verilerin düzeltilmesini isteme hakları da düzenlenmiştir. Silme veya yok etme talebi ise m.7’de öngörülen şartlara bağlıdır; her talep verinin derhâl silinmesi sonucunu doğurmaz.
Başvurunun muhatabı, ilgili verilerin işlenmesinden sorumlu olan veri sorumlusudur. KVKK m.13’e göre talepler yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle iletilir:
(1) İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.13)
Kullanılabilecek yöntemler, başvuruda bulunması gereken bilgiler ve cevap süresi veri sorumlusuna KVKK başvurusu makalesinde açıklanmıştır. Kişisel verinin tanımı, başvuruda hangi bilgi ve işlemin konu edildiğini açıkça belirlemek bakımından da önemlidir.
Sıkça Sorulan Sorular
Kişisel veri ne demektir?
KVKK m.3'e göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bilginin kişiyi doğrudan adlandırması şart değildir; başka kayıtlarla ilişkilendirildiğinde kişinin belirlenmesini sağlaması da bu kapsamdadır.
Telefon numarası ve e-posta adresi kişisel veri midir?
Bir gerçek kişiyle ilişkilendirilebilen telefon numarası ve e-posta adresi kişisel veridir. Belirleyici ölçüt, bilginin ilgili kişiyi doğrudan veya başka bilgilerle birlikte belirlenebilir kılmasıdır.
Araç plakası kişisel veri midir?
Araç plakası, bir kayıtla ilişkilendirildiğinde gerçek kişinin belirlenmesini sağlayabiliyorsa kişisel veri niteliğindedir. Plaka üzerinde kişinin adının yazmaması bu değerlendirmeyi tek başına değiştirmez.
T.C. kimlik numarası özel nitelikli kişisel veri midir?
T.C. kimlik numarası kişiyi doğrudan belirleyen kişisel veridir. KVKK m.6'da sayılan özel nitelikli veri kategorileri arasında yer almaz. Bununla birlikte işlenmesi genel kişisel veri kurallarına tabidir.
Şirketin bilgileri kişisel veri sayılır mı?
Yalnız tüzel kişiliğe ait ticaret unvanı, MERSİS numarası ve ciro gibi bilgiler kişisel veri tanımının dışındadır. Bilginin bir gerçek kişiyle ilişkilendirilebildiği durumlar ayrıca değerlendirilir; şirket belgesindeki çalışana ait bilgi kişisel veri olabilir.
Kâğıt dosyada tutulan bilgiler KVKK kapsamına girer mi?
Otomatik olmayan yollarla işlenen kişisel veriler, bir veri kayıt sisteminin parçasıysa KVKK'nın kapsamına girer. Kurulun 2020/435 sayılı kararında istifa dilekçesinin özlük dosyasında muhafaza edilmesi veri işleme faaliyeti olarak değerlendirilmiştir.
İsim silinince veri anonim hâle gelir mi?
İsmin silinmesi tek başına anonimleştirme anlamına gelmez. KVKK m.3'e göre anonim hâle getirme, başka verilerle eşleştirilse dahi bilginin kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilememesini gerektirir.
İlgili çalışma alanı: Bilişim Hukuku ve KVKK
← Tüm makaleler