Tanımlar

İlgili Kişi

Kişisel verisi işlenen gerçek kişi
Kanun "veri sahibi" yerine ilgili kişi tanımını kullanmaktadır. Çünkü verinin sahibi olma kavramı mülkiyeti içermektedir. Oysa ki kişisel veriyi üreten ya da sahiplenen kişi verinin ilgili olduğu kişi ile aynı olmayabilir.Örneğin iki kişi fotoğraf çektirdiğinde fotoğraf makinesinin sahibi aynı zamanda fotoğrafın da sahibi olacaktır. Ancak fotoğrafta yer alan diğer kişinin de artık bir takım hakları vardır. Kanun kişinin sahibi olmadığı varlıklar üzerinde de kişilik haklarının korunabilmesi amacıyla bir takım yeni haklar ihdas etmektedir.

Bir şirketin satış verileri düşünüldüğünde satış verilerinin sahibi şirkettir. Ancak kişilere ait bilgilerin yer alması sebebiyle şirketin satış verileri üzerinde sınırsız bir mülkiyet hakkından söz edilemez. Satış verilerinin ilgili olduğu kişilerin de haklarının gözetilmesi gerekir.

Kişisel Veri

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi kişisel veridir. Kurum ya da kuruluşlara ait veriler kanun kapsamında korunan verilerden değildir.

Bilgi ile veri arasındaki fark çok incedir. Her veri bilgidir ama her bilgi veri değildir. Bir şey hakkında ya da biri ile ilgili bilinen her şey veridir. Yani bir bilginin veri olabilmesi için somut bir gerçekliğe dayanması gerekir. Örneğin “Su 100 derecede kaynar” bir bilgidir ancak veri değildir. “Ölçtüm çaydanlıktaki su 100 derecede kaynadı” cümlesinden elde edilen bilgi ise veridir. Bu ve benzeri ölçümlerden elde edilen veriler sonucunda varılan “Su 100 derecede kaynar” bilgisi çıkış noktası veri de olsa çıkarımla elde edilen bir yargıdır.

Ad soyad, doğum tarihi, sağlık bilgileri, eğitim bilgileri gibi bir kişiyle ilgili her türlü bilgi kişisel veridir. Bir bilginin kişisel veri olabilmesi için ilgili olduğu kişinin tespit edilebiliyor olması gerekir. Bilgiye sahip olanın bilginin ilgili olduğu kişiyi tespit edebilmesine gerek yoktur. Bilgi ancak hiç kimse tarafından gerçek bir kişi ile ilişkilendirilemiyorsa kişisel veri değildir.

Özel Nitelikli Kişisel Veri

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri
Kanun kişisel verilerin hepsinin aynı düzeyde değerli olduğunu ve eşit şartlarda korunması gerektiğini reddetmektedir. Buna göre kişilere ait bazı veriler diğerlerine göre daha çok korunması gereken verilerdir. Bu tür veriler tanım olarak Özel Nitelikli Kişisel Veri olarak kabul edilmektedir.

Bu tür verilerin işlenmesi için gereken şartlar diğer kişisel verilere göre farklılık göstermektedir. Kanunda rıza aranmadan işlenebilecek veriler için uygulanan bazı hükümler özel nitelikli kişisel veriler için geçersizdir.

Bu tür verilerin kişilerin daha özelinde olduğu kabul edilebilir. Bu yüzden bu verilerin korunmasına yönelik daha çok tedbir yer almaktadır. Ayrıca Türk Ceza Kanunu'nda da bu tür verilerle ilgili işlenen suçlar için yaptırımlar daha ağırdır.

Açık Rıza

Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza
Kişisel verilerin işlenmesinde esas olan açık rızanın geçerli olabilmesi için üç şart vardır.

1. Kişinin rızasının alınabilmesi için rıza gösterdiği çerçevenin belirli bir konuda olması gereken. Belirli bir konu işlenecek olan kişisel verilerin çerçevesi ile işlenme şartlarının sınırlarıdır.

2. Kişinin rıza gösterdiği konu hakkında yeterli düzeyde bilgilendirilmesi gerekir. Kişinin eksik bilgilendirilmesi sonucu alınan onayın geçerli olmayacağı kuşkusuzdur.

3. Kişinin rızasının özgür iradesi ile alınması gerekir. Kişinin onay vermemesi durumunda hakkaniyete uymayan sonuçlarla karşılaşacak olması kişinin onay verirken iradesinin özgürlüğüne yapılan baskıdır. Elbette kişinin onay vermesi ile elde edeceği imkanlar ile onay vermemesi durumunda elde edecekleri arasında farklılık olacaktır. Ancak bu farklılık istenen onayın doğuracağı sonuçlarla kabul edilebilir seviyede hakkaniyete uygun olmalıdır.

Kişisel Verilerin İşlenmesi

Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem
Kanun kişisel verilerin işlenmesi terimini kullanmaktadır. Kanuna göre işlemek, kişisel verilerin toplanması, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanımının engellenmesi gibi her türlü işlemdir. Kanundaki uzun açıklamayı özetlemek gerekirse toplamak, saklamak ve kullanmak diyebiliriz. Çünkü bir işlem yapmak için öncelikle toplanması ve saklanması ve sonrasındaki işlem ne olursa olsun kullanılması gerekir.

Genel anlamda kişisel verilerinizin toplanması işlenmesinin ilk aşamasıdır. Sadece toplanması bile başka hiçbir işlem olmasa dahi kişisel verilerinizin işlendiği anlamına gelir. Toplama işlemi her türlü şekilde yapılabilir. Internet veya kağıt ortamında ilgili kişinin bir formu doldurulması yöntemiyle olabileceği gibi kişilerin farkında olmadığı durumlarda da toplanabilir. Örneğin güvenlik kameraları vasıtasıyla kişilerin yüzlerinin kaydedilmesi de kişisel verinin toplanmasıdır.

Toplanan kişisel veriler genel olarak kaydedilirler. Kişisel verilerin toplanması ancak kaydedilmemesi işlenmediği anlamına gelmez. Kişisel verilerin saklanması dijital ortamda olabileceği gibi kağıt ortamında da olabilir. Ancak bu durumda kağıtta olmasının amacının bir veri tabanı oluşturmak olması gerekir.

Yok edilmesine kadar geçen süreçte kişisel verilerle yapılan diğer işlemler de kişisel veridir. Kişisel veri olma özelliğini kaybeden (örneğin anonimleştirme) verilerle yapılan işlemlerde artık kişisel verilerin işlenmesinden bahsedilemez.

Veri Kayıt Sistemi

Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi
Veri kayıt sistemi teknik olarak veritabanı (database) olarak adlandırılan yapıdır. Buna göre birden fazla veri grubunun grup içindeki bir veya birden fazla alandaki bilgiye göre ilişkilendirilmesi gerekir. Veri kayıt sisteminin tutulduğu ortamı her türlü ortam olabilir. Dijital ortam olabileceği gibi kağıt ortamı da olabilir. Sistemdeki kayıtların belirli bir ilişki içinde tutuluyor olması yeterlidir. Çalışanların özlük dosyaları, ziyaretçi defteri kağıt ortamında saklanan veri kayıt sistemi örneklerindendir.

Veri Sorumlusu

Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi
Kişisel verilerin korunmasında iki aktörden biridir. Gerçek bir kişiyle ilgili kişisel verileri işlemesi gerekir. Veri sorumlusu veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olmalıdır. Ayrıca kişisel verilerin ne için ve nasıl toplandığına da karar veren kişidir. Gerçek kişi olabileceği gibi kurum ve kuruluşlar da veri sorumlusu kabul edilirler.

Veri Sorumluları Sicili

Kişisel verileri işleyen gerçek ve tüzel kişilerin, veri işlemeye başlamadan önce kaydolmak zorunda oldukları kamuya açık sicil sistemi
Kişisel Verileri Koruma Kurumu tarafından tutulan ve veri sorumlularının işledikleri kişisel verilerin ne olduklarını, kimlerle ilgili bilgileri tuttukları gibi bilgileri kaydettirdikleri kamuya açık sicil sistemidir. Veri Sorumluları Sicili Hakkındaki Yönetmelik'te adı VERBİS olarak duyurulmuştur.

Veri İşleyen

Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi
Veri işleyen, kişisel verilerin işleme amaçlarını ve vasıtalarını belirlemez ve veri kayıt sisteminin kurulmasından ve yönetilmesinden de sorumlu değildir. Veri işleyenin veri sorumlusuna karşı bu sorumluluklarından bir kısmını üstlense bile sorumlu olduğu taraf ilgili kişi değil veri sorumlusudur. Veri işleyen ve veri sorumlusu müştereken sorumludurlar.

Anonim Hale Getirme

Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi
İşlenme şartları ortadan kalkan kişisel verilerin silinmesi, yok edilmesi ya da anonim hale getirilmesi gerekir. Anonim hale getirilen kişisel verinin artık ilgili kişi ile bağının kurulamaması gerekir. İlgili kişi ile bağının kurulamaması, sadece veri sorumlusu tarafından değil hiç kimsenin herhangi bir yöntemle gerçekleştirilememesi gerekir.

Alıcı Grubu

Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi
Yönetmelik veri sorumlusunun kişisel verileri aktardığı paylaştığı veri işleyenleri ya da veri sorumlularının tek tek sayılmadığı durumlarda kategorik bilgilendirmeyi yeterli saymıştır. Buna göre alıcı grubu olarak grup üyelerinin faaliyet alanlarını ifade eden terimler ilgili kişinin bilgilendirilmesi için yeterli sayılmıştır. Veri sorumlusu grup sirketleri, pazarlama şirketleri, bankalar gibi genel tanımlamaları alıcıların öğrenilmesi açısından yeterli görmektedir.

İlgili Kullanıcı

Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler
Yönetmelik veri sorumlusu bünyesinde çalışanları kişisel verilerle ilişkileri açısından ikiye ayırmaktadır.

  • 1.Kişisel Verilerin İçeriği İle Çalışmayanlar: Veri sorumlusu organizasyonu içerisinde verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birimlerin kısacası IT çalışanlarının kişisel verilerle olan ilişkileri içeriğiyle değil varlığıyladır. Kargo taşıması yapan çalışanlar gibi taşıdıkları şeyin içeriğiyle ilgilenmeyen sadece fiziksel durumlarını değiştirenler olarak ayırmaktadır. Örneğin IT departmanındaki çalışanların bir kısmı, bekçiler, depo çalışanları kişisel verilerin içeriği ile ilgilenmezler.
  • 2.Kişisel Verilerin İçeriği İle Çalışanlar: veri sorumlusu organizasyonu içinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler olarak tanımlanan kişiler kişisel verilerin içeriğiyle çalışırlar. Örneğin kasiyerler, pazarlama departmanı çalışanları, muhasebeciler, yöneticiler.

İmha

Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi
İmha kişisel verilerin kişisel veri olma özelliğinin sona ermesidir. Bu ister silinme yöntemiyle, isterse yok edilme ya da anonim hale getirilsin kişisel veri olma sıfatını kaybeder. Kanun sınırları dışına çıkar. Bir verinin kişisel veri olabilmesi için ilgili olduğu gerçek kişinin belirlenebiliyor olması gerekir. Kişisel verinin tamamının silinmesi, bulunduğu ortamın yok edilmesi ya da anomim hale getirilmesi ilgili olduğu kişinin tespit edilebilmesini imkansız hale geleceğiden kişisel veri sayılmaları da mümkün olmayacaktır.

Kayıt Ortamı

Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam
Veri tutulmaya elverişli fiziksel ortamlar. Sabit diskler, yaşınabilir diskler, bulut (gerçekte sabit disk sistemleri), CD, DVD, kağıt, kese kağıdı, akıllı kartlar (smartcard, SIMcard v.b.) ve diğer her türlü ortam

Kişisel Veri İşleme Envanteri

Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter
Yönetmeliklerde veri sorumluları tarafından hazırlanması öngörülen ana yapı Kişisel Veri İşleme Envanteri'dir. Bu envantere göre VERBİS (Veri Sicil Bilgi Sistemi) kayıdı gerçekleştirilecek ve Kişisel Veri Saklama Ve İmha Politikası oluşturulacaktır. Aydınlatma yükümlülüğü için de esas teşkil edecektir.

Yönetmelikteki tanıma göre bir Kişisel Veri İşleme Envanteri'nde bulunması gerekenler:

  • Kişisel veri işleme amaçları
  • Veri kategorisi
  • Aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturulan ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreler
  • Yabancı ülkelere aktarımı öngörülen kişisel veriler
  • Veri güvenliğine ilişkin alınan tedbirler

Kişisel Veri Saklama ve İmha Politikası

Veri sorumlularının, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptıkları politika
İngilizcesi Retention and Destruction Policy olan bu belge veri sorumlusunun işlenen kişisel verilerle ilgili azami işleme sürelerini gösteren belgedir. Bu belge hazırlanırken veri sorumlusu, sakladıkları tüm verilerin bir analizini yapmalıdır. Analiz sonucunda hangi verilerin kişisel veri olduğu ya da olabileceği belirlenmelidir. Kişisel verilerin dahil oldukları kategoriler belirlenmelidir (adres bilgileri, telefon görüşme kayıtları, kişisel sağlık verileri vb.) Verilerin kategorileri belirlenmeli ve her veri kategorisi için işlenebilecek azami süre bulunmalıdır.

Periyodik İmha

Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi
Yönetmelik kişisel verilerin silinmesi, yok edilmesi veya imha edilmesi işlemlerinin her gün yapılmasını öngörmemektedir. Tabi olduğu mevzuata göre işlenme şartları ortadan kalkan veriler veri sorumlusunun uygun göreceği belirli aralıklarla imha edilmelidir. Periyodik imha, kişisel verilerin imha sıklığını göstermektedir. Haftalık, aylık ya da üç aylık gibi dönemler seçilebilir.

Veri Sorumluları Sicili'ne kaydolması gerekenler ile kaydolması gerekmeyenlerin seçebilecekleri zaman aralıkları farklıdır. Yönetmelik sicile kaydolmak zorunda olanlar için daha uzun periyot kullanılmasına izin verirken, kaydolmak zorunda olmayanların imha işlemlerini daha sık yapmasını istemektedir.