Kişisel Veri Nedir? Hangi Bilgiler Kişisel Veri Sayılır?

Günümüz dijital çağında, işletmelerin faaliyetlerini sürdürebilmesi için veri toplamak, işlemek ve saklamak kaçınılmaz bir gereklilik haline geldi. Ancak bu süreç, özellikle KOBİ'ler için, ciddi yasal sorumlulukları ve etik yükümlülükleri de beraberinde getiriyor. Bu sorumlulukların başında ise kişisel veri kavramını doğru anlamak ve buna uygun hareket etmek geliyor. Müşterilerinizin, çalışanlarınızın veya iş ortaklarınızın bilgilerini işlerken, hangi verinin kişisel veri kapsamına girdiğini bilmek, hem yasal uyumluluğunuzu sağlamak hem de itibarınızı korumak açısından hayati öneme sahiptir.

Peki, tam olarak kişisel veri nedir ve işletmelerin günlük operasyonlarında karşılaştığı hangi bilgiler bu kategoriye girer? Bu rehber, KOBİ'lerin kişisel veri kavramını derinlemesine anlamalarına, ilgili yasal çerçevelere (özellikle KVKK) uyum sağlamalarına ve veri koruma stratejilerini güçlendirmelerine yardımcı olmayı amaçlamaktadır. İşletmenizin veri işleme süreçlerini gözden geçirirken, bu bilgilerin size yol göstereceğine eminiz.

Kişisel Veri Nedir? Temel Tanım ve Kavramlar

Kişisel Verilerin Korunması Kanunu (KVKK) Madde 3'e göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Bu tanım, oldukça geniş bir alanı kapsar ve bir kişinin doğrudan veya dolaylı olarak kimliğini ortaya çıkarabilecek her türlü veriyi içerir. Önemli olan, bilginin bir gerçek kişiyle ilişkilendirilebilme potansiyelidir.

KVKK ve Kişisel Veri Kavramı

Türkiye'deki KVKK, kişisel verilerin işlenmesi, korunması ve aktarılmasına ilişkin temel yasal çerçeveyi oluşturur. Kanun, veri sorumlularına (yani verileri işleyen gerçek veya tüzel kişilere) bir dizi yükümlülük getirir. Bu yükümlülükleri yerine getirebilmek için, öncelikle hangi verilerin kişisel veri olduğunu bilmek şarttır.

Doğrudan ve Dolaylı Belirlenebilirlik

• Doğrudan Belirlenebilirlik: Kişinin kimliğini doğrudan gösteren bilgilerdir. Örneğin, adı, soyadı, T.C. kimlik numarası gibi bilgiler.
• Dolaylı Belirlenebilirlik: Bir veya birden fazla veri parçasının bir araya getirilmesiyle kişinin kimliğinin ortaya çıkarılabildiği bilgilerdir. Örneğin, bir kişinin doğum tarihi, cinsiyeti ve mesleği gibi bilgiler tek başına kişisel veri olmayabilir, ancak bu bilgiler bir araya getirildiğinde belirli bir kişiyi işaret ediyorsa, kişisel veri haline gelir.

Örnek Senaryo: Bir e-ticaret siteniz var. Müşterinizden aldığı ürünün iadesi için sadece ürün kodu ve sipariş numarası bilgisi talep ediyorsunuz. Bu bilgiler tek başına kişisel veri sayılmayabilir. Ancak, bu kod ve numara ile müşterinin adını, adresini ve telefon numarasını içeren kayıtlarınıza ulaşabiliyorsanız, bu dolaylı belirlenebilirlik nedeniyle kişisel veri işleme faaliyeti gerçekleştirmiş olursunuz.

Hangi Bilgiler Kişisel Veri Sayılır? Kategoriler ve Örnekler

Kişisel veri kavramının genişliğini anlamak için, farklı veri türlerini ve bunların nasıl kişisel veri haline geldiğini incelemek önemlidir. İşte işletmelerin sıklıkla karşılaştığı ve kişisel veri olarak kabul edilen başlıca bilgi kategorileri:

1. Kimlik Bilgileri

Bir kişinin kimliğini doğrudan veya dolaylı olarak belirlemeye yarayan en temel bilgilerdir.

• Adı, Soyadı
• T.C. Kimlik Numarası (veya yabancı kimlik numarası)
• Doğum Tarihi ve Yeri
• Cinsiyet
• Medeni Hali
• Anne Adı, Baba Adı
• Uyruk
• İmza

2. İletişim Bilgileri

Kişiye ulaşılmasını sağlayan bilgilerdir.

• Telefon Numarası (cep, ev, iş)
• E-posta Adresi
• Adres (ev, iş)
• Faks Numarası

3. Finansal Bilgiler

Kişinin mali durumuyla ilgili verilerdir.

• Banka Hesap Bilgileri (IBAN, hesap numarası)
• Kredi Kartı Bilgileri (maskelenmiş olsa bile)
• Gelir Bilgileri
• Borç Bilgileri
• Vergi Kimlik Numarası

4. Çalışan Bilgileri

İşletmelerin çalışanlarından topladığı ve özlük dosyalarında tuttuğu bilgilerdir.

• Özlük Bilgileri (işe giriş/çıkış tarihleri, pozisyon, unvan)
• Eğitim Bilgileri (mezuniyet, sertifikalar)
• Performans Değerlendirmeleri
• Disiplin Kayıtları
• Maaş ve Yan Haklar
• SGK Sicil Numarası

5. Müşteri Bilgileri

Ürün veya hizmet alan müşterilere ait verilerdir. Müşteri yönetimi, bu verilerin KVKK'ya uygun işlenmesini gerektirir.

• Alışveriş Geçmişi
• Tercihler ve İlgi Alanları
• Müşteri Numarası (kişiyle ilişkilendirilebiliyorsa)
• Şikayet ve Destek Talepleri

6. Dijital ve Konum Bilgileri

İnternet kullanımı veya cihazlar aracılığıyla toplanan verilerdir.

• IP Adresi
• Çerez (Cookie) Bilgileri (kişiyle ilişkilendirilebiliyorsa)
• Konum Verileri (GPS, Wi-Fi)
• Cihaz Tanımlayıcıları (IMEI, MAC adresi)
• Kullanıcı Adı/Şifre (şifreler genellikle şifreli saklanır)

7. Görsel ve İşitsel Kayıtlar

Kişinin fiziksel görünümünü veya sesini içeren verilerdir.

• Fotoğraflar
• Video Kayıtları (CCTV kameralarından alınan görüntüler)
• Ses Kayıtları (çağrı merkezi görüşmeleri)

Özel Nitelikli Kişisel Veriler: Daha Yüksek Koruma Gerektiren Bilgiler

KVKK, bazı kişisel verileri "özel nitelikli kişisel veri" olarak tanımlayarak bunlara daha sıkı koruma önlemleri getirmektedir. Bu verilerin işlenmesi için genel kişisel verilere göre daha katı şartlar aranır. İşletmelerin bu kategoriye giren verileri işlemeden önce çok daha dikkatli olması ve yasalara tam uyum sağlaması zorunludur.

Özel Nitelikli Kişisel Veri Kategorileri

• Irk ve Etnik Köken: Kişinin ırkını veya etnik kökenini gösteren her türlü bilgi.
• Siyasi Düşünce: Bir kişinin siyasi görüşleri veya siyasi partiye üyeliği.
• Felsefi İnanç, Din, Mezhep: Kişinin inançları veya dini tercihleri.
• Dernek, Vakıf veya Sendika Üyeliği: Kişinin bu tür kuruluşlara üyeliği.
• Sağlık Bilgileri: Kişinin fiziksel veya zihinsel sağlığına ilişkin her türlü bilgi (hastalık geçmişi, kan grubu, alerjiler, engellilik durumu vb.).
• Cinsel Hayat: Kişinin cinsel hayatına ilişkin bilgiler.
• Ceza Mahkûmiyeti ve Güvenlik Tedbirleriyle İlgili Veriler: Kişinin sabıka kaydı veya hakkında uygulanan güvenlik tedbirleri.
• Biyometrik Veriler: Parmak izi, yüz tanıma verisi, retina taraması gibi kişiyi biyolojik özellikleriyle tanımlayan veriler.
• Genetik Veriler: Kişinin genetik yapısına ilişkin bilgiler.

Önemli Not: Özel nitelikli kişisel verilerin işlenmesi için kişinin açık rızası veya kanunda açıkça belirtilen istisnai durumlar (örneğin, kamu sağlığının korunması, iş sağlığı ve güvenliği) gereklidir. KOBİ'ler, özellikle çalışanlarından veya müşterilerinden bu tür verileri toplarken azami özen göstermelidir.

KOBİ'ler İçin Kişisel Veri İşlemenin Önemi ve Riskleri

KOBİ'ler, genellikle büyük şirketler kadar kapsamlı hukuk departmanlarına veya veri koruma uzmanlarına sahip olmadıkları için kişisel veri konusunda daha savunmasız olabilirler. Ancak bu durum, sorumluluklarını azaltmaz. Kişisel verilerin doğru yönetilmesi, işletmenizin sürdürülebilirliği ve itibarınız için kritik öneme sahiptir.

Neden Önemli?

1. Yasal Uyum: KVKK'ya uymamak, ciddi idari para cezalarına yol açabilir. Bu cezalar, KOBİ'lerin mali yapısını olumsuz etkileyebilir.
2. Müşteri Güveni: Müşteriler, verilerinin güvende olduğunu bilmek ister. Veri ihlalleri veya yanlış veri işleme uygulamaları, müşteri kaybına ve marka itibarının zedelenmesine neden olabilir. Müşteri sadakati, veri güvenliği ile doğrudan ilişkilidir.
3. İtibar Yönetimi: Bir veri ihlali haberi, işletmenizin piyasadaki algısını derinden sarsabilir. Bu da yeni müşteri kazanmayı zorlaştırır.
4. Operasyonel Süreklilik: Yasal süreçler ve veri ihlali soruşturmaları, işletmenizin operasyonel süreçlerini aksatabilir ve kaynaklarınızı tüketebilir.

Olası Riskler

• Veri İhlalleri: Siber saldırılar, yanlışlıkla veri sızıntıları veya yetkisiz erişimler.
• Yasal Yaptırımlar: KVKK'ya aykırılık nedeniyle idari para cezaları ve hatta hapis cezaları.
• Dava ve Tazminat Talepleri: Verileri zarar gören kişilerin açabileceği davalar.
• İtibar Kaybı: Müşterilerin, iş ortaklarının ve kamuoyunun güvenini kaybetme.

KOBİ'ler Kişisel Verileri Nasıl Korumalı?

Kişisel verilerin korunması, sadece büyük şirketlerin değil, her ölçekten işletmenin önceliği olmalıdır. KOBİ'ler için uygulanabilir ve etkili adımlar atmak, hem yasal yükümlülükleri yerine getirmek hem de iş sürekliliğini sağlamak adına büyük önem taşır.

1. Aydınlatma Yükümlülüğü ve Açık Rıza

Kişisel veri toplarken, ilgili kişiyi (müşteri, çalışan vb.) verilerinin hangi amaçla, nasıl ve kimlerle paylaşılacağı konusunda aydınlatmak zorunludur. Özel nitelikli kişisel veriler veya açık rıza gerektiren durumlarda, açık rızanın yazılı veya elektronik ortamda, bilgilendirilmiş bir şekilde alınması gerekir.

2. Veri İşleme Envanteri Oluşturma

İşletmenizin hangi kişisel verileri, hangi amaçla, kimlerden topladığını, ne kadar süreyle sakladığını ve kimlerle paylaştığını gösteren bir envanter hazırlamak, veri yönetimi süreçlerinizin temelini oluşturur. Bu envanter, riskleri belirlemenize ve eksiklikleri gidermenize yardımcı olur.

3. Teknik ve İdari Tedbirler

Veri güvenliğini sağlamak için hem teknik hem de idari tedbirler almalısınız:

• Teknik Tedbirler: Verilerin şifrelenmesi, güvenlik duvarları, antivirüs programları, düzenli yedekleme, güçlü parola politikaları, yetkilendirme matrisleri.
• İdari Tedbirler: Çalışanlara KVKK eğitimi verilmesi, gizlilik sözleşmeleri, erişim yetkilerinin kısıtlanması, veri imha politikaları, veri işleme sözleşmeleri.

4. Veri Saklama ve İmha Politikaları

Kişisel veriler, işlendikleri amaç için gerekli olan süre kadar saklanmalı, bu süre dolduktan sonra güvenli bir şekilde silinmeli, yok edilmeli veya anonim hale getirilmelidir. Bir veri saklama ve imha politikası oluşturmak ve buna uymak önemlidir.

5. Veri Sorumluları Siciline Kayıt (VERBİS)

KVKK kapsamında, belirli büyüklükteki KOBİ'lerin ve tüm veri sorumlularının Veri Sorumluları Sicili'ne (VERBİS) kayıt olması zorunludur. İşletmenizin bu yükümlülük kapsamında olup olmadığını kontrol etmelisiniz.

6. KOBİ GO ile Veri Yönetimi Süreçlerini Kolaylaştırma

KOBİ GO gibi bulut tabanlı iş yönetim platformları, kişisel veri yönetimi süreçlerinde KOBİ'lere önemli avantajlar sunar. Örneğin, CRM modülü sayesinde müşteri verilerini güvenli bir şekilde merkezi bir yerde tutabilir, yetkilendirmelerle erişimi kısıtlayabilir ve veri silme/anonimleştirme süreçlerini daha kolay yönetebilirsiniz. Ayrıca, platformun sunduğu raporlama ve denetim özellikleri, KVKK uyumluluğunuzu izlemenize ve gerekli önlemleri almanıza yardımcı olabilir. KOBİ GO, veri güvenliği standartlarına uygun altyapısıyla, verilerinizin korunmasına katkıda bulunur.

Sıkça Sorulan Sorular

1. Anonimleştirilmiş veri kişisel veri sayılır mı?

Anonimleştirilmiş veri, kişisel verinin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Bu durumda veri kişisel veri niteliğini kaybeder ve KVKK kapsamında korunmaz.

2. Bir işletme, çalışanlarının sağlık bilgilerini toplayabilir mi?

Çalışanların sağlık bilgileri özel nitelikli kişisel veridir. Bu tür veriler ancak iş sağlığı ve güvenliği, çalışma mevzuatı gibi kanunlarda açıkça belirtilen durumlarda veya kişinin açık rızasıyla işlenebilir. İşletmelerin bu konuda çok dikkatli olması ve yasalara tam uyum sağlaması gerekir.

3. Sosyal medya profillerindeki bilgiler kişisel veri midir?

Evet, bir kişinin sosyal medya profilinde yer alan adı, soyadı, fotoğrafı, iletişim bilgileri ve diğer paylaşımları, kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu için kişisel veri olarak kabul edilir. Bu verilerin işletmeler tarafından izinsiz toplanması veya kullanılması KVKK ihlali teşkil edebilir.

4. IP adresi kişisel veri midir?

Evet, IP adresi tek başına bir kişiyi doğrudan belirlemese de, diğer bilgilerle (internet servis sağlayıcısı kayıtları gibi) birleştirildiğinde bir kişiyi belirlenebilir hale getirebildiği için kişisel veri olarak kabul edilir.

5. KOBİ'ler veri sorumlusu mudur?

Evet, KOBİ'ler de kişisel verileri işledikleri sürece (örneğin müşteri bilgileri, çalışan bilgileri) KVKK kapsamında veri sorumlusu sayılırlar ve ilgili tüm yükümlülüklere tabidirler.

6. Veri ihlali durumunda KOBİ ne yapmalı?

Veri ihlali meydana geldiğinde, KOBİ'nin bu durumu en kısa sürede (72 saat içinde) Kişisel Verileri Koruma Kurumu'na bildirmesi ve etkilenen kişilere gerekli bilgilendirmeyi yapması yasal bir zorunluluktur. Ayrıca, ihlalin nedenlerini araştırmak ve tekrarını önlemek için gerekli önlemleri almak da önemlidir.

Sonuç

Kişisel veri kavramı, modern iş dünyasının vazgeçilmez bir parçası haline gelmiştir ve KOBİ'ler için yasal uyumluluk, itibar yönetimi ve müşteri güveni açısından kritik bir öneme sahiptir. Hangi bilgilerin kişisel veri sayıldığını, özel nitelikli kişisel verilerin ne anlama geldiğini ve bu verileri nasıl korumanız gerektiğini anlamak, işletmenizin geleceği için temel bir adımdır.

KOBİ GO olarak, işletmenizin tüm süreçlerini tek bir platformda yönetirken, veri güvenliği ve KVKK uyumluluğunuzu desteklemeyi hedefliyoruz. Müşteri ilişkileri yönetimi, stok takibi, ön muhasebe gibi kritik işlevleri güvenli bir altyapıda sunarak, kişisel verilerinizi korumanıza ve yasalara uygun hareket etmenize yardımcı oluyoruz. Veri koruma yükümlülüklerinizi yerine getirirken, iş süreçlerinizde verimliliği artırmak için KOBİ GO'nun sunduğu avantajları keşfedin.