Kişisel Verilerin Korunması Kanunu Kapsamında Hangi Bilgiler Kişisel Veridir?
Kişisel verinin tanımı oldukça basit görünse de kapsamı o kadar geniştir ki; bazen taraflar bu tip bir veriyle muhatap olduğunda bile, onun kişisel veri olduğunun farkına varmaz.
Kişisel veri olarak kabul edilen bilgilerin çok çeşitli olduğunu biliyoruz. Bunlara ait birkaç örneği aşağıda bulabilirsiniz:
- Kişinin kimlik bilgileri
- İletişim bilgileri
- Adres
- Hobiler
- Tutulan takım
- E-posta adresi
- Mektuplar
- İş başvuru formları
- Performans değerlendirme raporları
- Mülakat görüşme tutanakları
- Müşteri şikâyet formları
- Özgeçmişler
- Kredi kartı ya da banka hesabı ekstreleri
- Parmak izi
- Sağlık bilgileri
- Grup üyelikleri
Bu liste o kadar uzatılabilir ki; neredeyse bu kitabın tümünü böyle bir listeyle doldurmak mümkün olur. O halde işin uygulama tarafında olanlar, hangi bilginin kişisel veri olduğunu ve hangisinin olmadığını nasıl belirleyebilir?
Burada devreye kişisel verinin diğer iki ana unsuru girer. Bunların ilki oldukça basit: Veri gerçek kişiye ait olmalı. İkincisi ise detaylandırılması gereken bir konudur: Veri kişiyi belirli ya da belirlenebilir kılmalı.
Her şeyden önce; kişinin kimliğini açıkça ortaya koyan her bilgi kişisel veridir. Bu herkes için son derece basit ve anlaşılır olsa gerek. Örneğin kimlik, ehliyet, kredi kartı eks- tresi, maaş bordrosu ya da özgeçmiş bu duruma en temel örneklerdir.
Kişinin kimlik bilgilerinin üzerinde yazılı olduğu her tür evrak, haliyle bu kabildendir. Ancak kişiyi doğrudan işaret etmeyen bazı bilgiler bile kişisel veri olarak kabul edilebilir.
Yukarıda kişisel verinin unsurlarından bahsederken “kişiyi belirli ya da belirlenebilir kılma” demiştik. Kişinin kimlik bilgilerinin açıkça yazılı olduğu veriler “kişiyi belirli kılan” verilerken, bir de “kişiyi belirlenebilir kılan” verilecek olacaktır.
Bazı bilgiler kişinin kimliğini doğrudan göstermese bile, herhangi başka bir kayıtla ilişkilendirilerek kişinin belirlenmesini sağlayabilir.
O halde bir bilgi edinildiğince, bunun illa kişiyi doğrudan işaret etmesi gerekmez. Örneğin bir ayakkabı mağazasının sahip olduğu “müşterinin ayakkabı numarası” bilgisi bile, kişiyi doğrudan işaret etmese bile, başka bilgilerle bir araya getirildiğinde kişiyi belirlemeye yardımcı olabileceği için bir tür kişisel veri kabul edilmelidir.