Kişisel veri nedir?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.3, kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Tanımın iki ayağı vardır: bilgi bir gerçek kişiye ait olmalı ve o kişiyi doğrudan ya da başka verilerle birleştiğinde dolaylı olarak belirlenebilir kılmalıdır. Ad soyad, T.C. kimlik numarası, doğum tarihi, telefon, e-posta ve adres gibi klasik örneklerin yanında araç plakası, IP adresi, konum bilgisi, fotoğraf, ses kaydı, özgeçmiş ve banka hesap numarası da kişisel veridir. Tüzel kişilere ait bilgiler ise — bir gerçek kişiyi işaret etmedikçe — kanunun kapsamı dışında kalır.

Kanunun m.6'sı bir alt küme olarak özel nitelikli kişisel verileri sayar: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler. Bu liste sınırlı sayıdadır ve kıyas yoluyla genişletilemez. Özel nitelikli veriler, öğrenilmeleri hâlinde ayrımcılığa veya mağduriyete yol açma riski taşıdığı için hem işleme şartları hem alınması gereken güvenlik önlemleri bakımından daha sıkı korunur.

Kişisel verilerin işlenmesi, verinin elde edilmesinden silinmesine kadar üzerinde yapılan her işlemi kapsar: kaydetme, depolama, değiştirme, aktarma, sınıflandırma ve kullanılmasının engellenmesi dahil (m.3). İşleme ancak m.5'teki şartlardan birine dayanıyorsa hukuka uygundur: ilgili kişinin açık rızası, kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğü, verinin ilgili kişice alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması, ya da temel hak ve özgürlüklere zarar vermemek kaydıyla veri sorumlusunun meşru menfaati. Diğer şartlardan biri varken ayrıca açık rıza istemek gerekmez. Hangi işlemenin hangi şarta dayandığını kayıt altına almak yeterlidir.

Özel nitelikli verilerde çıta daha yüksektir: m.6 işlemeyi kural olarak yasaklar ve yalnızca maddede sayılan hâllere izin verir. 12 Mart 2024'te yayımlanan 7499 sayılı Kanun'la yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklik bu şartları genişletti: istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu işlemeler — örneğin işe giriş sağlık raporunun alınması — artık açık rıza aranmadan yapılabilir. Her durumda m.4'teki genel ilkeler geçerlidir: hukuka ve dürüstlük kurallarına uygunluk, doğruluk, belirli ve meşru amaç, amaçla bağlantılı ve ölçülü işleme, gerektiği kadar saklama.

KVKK m.10, veri sorumlusuna verileri elde ederken ilgili kişiyi aydınlatma yükümlülüğü getirir. Uygulamada aydınlatma metni denen bu bilgilendirme, veri sorumlusunun ve varsa temsilcisinin kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve ilgili kişinin m.11'deki haklarını — bilgi isteme, düzeltme, silme, itiraz gibi — içermek zorundadır. Aydınlatma bir rıza metni değildir ve rızaya bağlanamaz: veri hangi şarta dayanılarak işlenirse işlensin, en geç verinin elde edildiği anda yapılır. İş başvurusu formu, işe giriş evrakı ve çalışan portalı gibi veri toplanan her nokta için ayrıca düşünülmelidir.

Veri sorumluları için bir de sicil vardır: VERBİS, yani Veri Sorumluları Sicil Bilgi Sistemi. Kayıt yükümlülüğü herkesi kapsamaz. Kişisel Verileri Koruma Kurulu kararlarıyla belirlenen güncel istisnaya göre yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'nin altında olan, ana faaliyeti özel nitelikli veri işleme olmayan veri sorumluları kayıttan muaftır. Eşiklerden birini aşan işverenler ise VERBİS'e kaydolmak ve kişisel veri işleme envanterine dayanan sicil bildirimlerini güncel tutmak zorundadır. Eşikler Kurul kararıyla değişebildiğinden yıllık bir kontrol yerinde olur.

KVKK m.11, herkese kendi verisi üzerinde dokuz başlıkta hak tanır: kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında verinin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmiş verinin düzeltilmesini isteme, m.7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, düzeltme, silme ve yok etme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç doğmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Hakların kullanımı iki aşamalı ve süreye bağlıdır. İlgili kişi önce veri sorumlusuna başvurur. Veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırmak zorundadır — işlem ayrıca bir maliyet gerektiriyorsa yalnızca Kurulca belirlenen tarifedeki ücret alınabilir (m.13). Başvuru reddedilir, verilen cevap yetersiz bulunur ya da süresinde cevap verilmezse ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir (m.14). Veri sorumlusuna başvurmadan doğrudan Kurula gidilemez. Bu yüzden işverenin çalışan ve aday taleplerini karşılayacak bir başvuru kanalı ile otuz günlük bir yanıt rutini kurması gerekir.

Veri güvenliği yükümlülüğü m.12'dedir: veri sorumlusu, verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak için uygun teknik ve idari tedbirleri almak zorundadır. Verilerin başkaları tarafından ele geçirilmesi hâlinde m.12/5, durumun ilgili kişiye ve Kurula «en kısa sürede» bildirilmesini emreder. Kurulun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı bu ifadeyi somutlaştırdı: Kurula bildirim, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılır. Süre ihlalin gerçekleştiği ana göre değil, veri sorumlusunun ihlali öğrendiği ana göre işler. İlgili kişilere bildirim ise onlar belirlendikten sonra makul en kısa sürede yapılır.

Yurt dışına aktarım rejimi 12 Mart 2024 tarihli 7499 sayılı Kanun'la yeniden yazıldı ve 1 Haziran 2024'te yürürlüğe girdi. Yeni m.9 üç kademelidir: önce Kurulun yeterlilik kararı bulunan ülke, sektör veya uluslararası kuruluşlara aktarım gelir. Yeterlilik kararı yoksa uygun güvencelerden biri sağlanır — standart sözleşme, bağlayıcı şirket kuralları, taahhütname ya da kurumlar arası anlaşma. Bunların hiçbiri yoksa yalnızca m.9/6'daki arızi hâllere dayanılabilir. Standart sözleşme kullanan veri sorumlusu, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirimde bulunmak zorundadır. Usul ve esaslar 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan yönetmelikte düzenlendi. Eski düzenin açık rızaya dayalı aktarım imkânı ise geçici m.3 uyarınca yalnızca 1 Eylül 2024'e kadar uygulandı. Yurt dışında barındırılan bir İK ya da bordro yazılımı kullanan işverenin, bu üç kademeden hangisine dayandığını yazılı olarak belirlemesi gerekir.

Yaptırım tarafı m.18'dedir ve tutarlar her yıl yeniden değerleme oranında güncellenir. Kişisel Verileri Koruma Kurumunun açıkladığı 2026 tutarlarına göre aydınlatma yükümlülüğünü yerine getirmeyene 85.437 TL'den 1.709.200 TL'ye, veri güvenliği yükümlülüklerini yerine getirmeyene 256.357 TL'den 17.092.242 TL'ye, Kurul kararlarını yerine getirmeyene 427.263 TL'den 17.092.242 TL'ye, VERBİS'e kayıt ve bildirim yükümlülüğüne aykırı davranana 341.809 TL'den 17.092.242 TL'ye kadar idari para cezası verilir. Standart sözleşmenin süresinde bildirilmemesi ise 90.308 TL'den 1.806.177 TL'ye kadar cezaya bağlanmıştır. Bunlar idari yaptırımlardır — kişisel verilerin hukuka aykırı kaydedilmesi, ele geçirilmesi veya yok edilmemesi ayrıca Türk Ceza Kanunu m.135–140 kapsamında suç oluşturur (KVKK m.17).

İş ilişkisi, baştan sona bir kişisel veri işleme sürecidir. İşveren, özlük dosyasındaki kimlik, adres, eğitim ve askerlik bilgilerini, bordro için ücret, banka hesabı, SGK sicil ve vergi bilgilerini, izin ve devam kayıtlarını, performans notlarını, iş e-postası ve sistem kayıtlarını işler. Sağlık raporları, engellilik bilgisi ve adli sicil kaydı özel nitelikli veridir. Aday CV'leri de unutulmamalıdır: işe alım gerçekleşmese bile başvuruyla birlikte kişisel veri işlenmeye başlar, bu yüzden aydınlatma yükümlülüğü daha başvuru formunda karşılanır ve seçilmeyen adayların verileri için de bir saklama kuralı belirlenir.

Saklama disiplini işin görünmeyen yarısıdır: KVKK m.7, işleme sebebi ortadan kalkan verilerin silinmesini, yok edilmesini veya anonim hâle getirilmesini emreder. İK verilerinde bu kural, mevzuattaki saklama süreleriyle birlikte okunur. İşyeri kayıt ve belgeleri 5510 sayılı Kanun m.86 uyarınca 10 yıl, çalışanların kişisel sağlık dosyaları ilgili yönetmelik gereği işten ayrılıştan itibaren 15 yıl saklanır. Doğru kurgu, her veri kategorisi için amacı, hukuki sebebi ve saklama süresini kayıt altına alan bir envanter ile süresi dolan kayıtları düzenli olarak gözden geçirip temizleyen bir rutindir.

Silme, yok etme ve anonim hâle getirme usulleri ayrı bir yönetmelikte düzenlenmiştir. Kişisel veri saklama ve imha politikası hazırlamış veri sorumluları periyodik imhayı politikada belirledikleri aralıkta yapar ve bu aralık altı ayı geçemez. Politika hazırlama yükümlülüğü bulunmayanlar ise silme, yok etme veya anonim hâle getirme yükümlülüğünün doğduğu tarihi izleyen üç ay içinde imhayı tamamlar. İmha işlemlerine ilişkin kayıtlar, başka hukuki yükümlülükler saklı kalmak üzere en az üç yıl saklanır. Pratikte bu, her veri kategorisi için mevzuattaki saklama süresi ile imha döngüsünün birlikte kurulması demektir.