Kişisel veri nedir

Açılış sahnesi

Onur, Ilgaz Finans'taki üçüncü gününde, İzmir'deki bölge ofisinde bayi destek hattına bakıyor. Ekranına bir otomobil bayisinin satış danışmanından mesaj düşüyor: "Selam, 35 ile başlayan şu plakalı aracın sahibi geçen hafta kredi başvurusu yaptı, sonuç çıktı mı? Müşteri bizi arayıp duruyor." Mesajda bir isim yok, bir kimlik numarası yok. Yalnızca yedi karakterlik bir plaka.

Onur sistemde plakayı aratıyor. Başvuru karşısına çıkıyor: bir ad, bir soyad, bir maaş bilgisi, bir ret gerekçesi. Cevabı yazmak üzereyken duraksıyor. Bayi zaten aracı satan taraf; müşteriyi tanıyor. Ama mesajı yazan kişinin kim olduğunu Onur bilmiyor. Bir de şu soru aklına takılıyor: içinde hiçbir isim olmayan bir mesaja cevap vermek kişisel veri paylaşmak sayılır mı?

Onur, Ilgaz Grup ve bayi bu ders için kurgulandı. Onur'un sorusu ise her kurumda, her gün sorulan türden.

Bu derste ne olacak

Onur'un sorusunun cevabı, kanunun kişisel veriyi nasıl tanımladığında saklı. Bu derste o tanımı parçalarına ayıracağız: bilginin bir gerçek kişiye ilişkin olması ve o kişinin belirli ya da belirlenebilir olması. Asıl iş ikinci parçada; çünkü işyerindeki bilgilerin çoğu bir isim taşımaz, ama bir kişiye götürür. Plaka, müşteri numarası, ses kaydı, sicil numarası, kurumsal e-posta adresi bu yüzden tek tek ele alınacak. Sonra madalyonun öteki yüzüne bakacağız: bir bilgi ne zaman gerçekten anonimdir ve kanun anonimliği neden bu kadar zor bir ölçüte bağlar? Ders, işinin başında kendine soracağın tek bir soruyla bitecek.

Kanun ne diyor

Kişisel Verilerin Korunması Kanunu kişisel veriyi tek bir cümleyle tanımlar.

Tanımın üç kelimesi çalışanın kararını belirler. "Her türlü" bilgi demek, bilginin biçiminin önemsiz olduğu demektir: yazı, rakam, fotoğraf, ses, konum, bir tablo satırı. "Gerçek kişi" demek, kanunun insanları koruduğu, şirketleri korumadığı demektir. "Belirlenebilir" kelimesi ise en geniş kapıyı açar: kişinin adını bilmek gerekmez, ona ulaşmanın bir yolu bulunması yeter.

Kanunun kapsamı da aynı sınırı çizer.

Uygulamada

Belirli ve belirlenebilir

Kimliği belirli kişi, adını ve soyadını bildiğin kişidir. Belirlenebilir kişi ise adı ekranda yazmasa da başka bir bilgiyle bulunabilen kişidir. İşyerinde dolaşan bilginin büyük kısmı ikinci türdendir ve çalışanların en sık yanıldığı yer de burasıdır.

Onur'un önündeki plaka bu yüzden kişisel veridir. Plaka bir aracı gösterir, araç çoğu zaman bir insana kayıtlıdır ve Ilgaz Finans'ın kendi kredi dosyası o insanın adını taşır. Mesajda isim olmaması bir şey değiştirmez; Onur'un vereceği cevap bir kişinin kredi başvurusunun sonucunu söyleyecektir.

Şirket bilgisi ile kişi bilgisi

Kanun gerçek kişiyi korur. Bir şirketin unvanı, vergi numarası, cirosu ya da fabrika adresi bu kanunun konusu değildir; bunlar sözleşmedeki gizlilik hükümleri ve ticari sır kurallarıyla korunur. Sınır ise şirketin içindeki insanda başlar.

Anonim veri: zor bir ölçüt

Kişisel verinin karşısında anonim veri durur. Anonim veri kanunun kapsamı dışındadır; ama bir veriyi anonim saymak sanıldığından çok daha zordur.

Bu yüzden "isimleri sildik" bir anonimleştirme yöntemi değil, olsa olsa ilk adımdır. Gerçek anonimleştirmenin yöntemleri M07-D03'te, analitik verinin anonim olup olmadığını sınamak ise M15-D03'te ele alınacak.

Gri alan

Tanım kısa, uygulaması her zaman öyle değil. Kanun "belirlenebilir"in kimin imkânıyla ölçüleceğini söylemiyor: yalnızca bilgiyi elinde tutan kurumun mu, yoksa bilgiye ulaşabilecek herhangi birinin mi? Bir otoparkın plaka kaydı, otopark işletmecisi için sahibine ulaşılamayan bir dizi karakter olabilir; aynı kayıt bir bayinin satış dosyasıyla birleştiğinde bir isme dönüşür. Kurumun kendi kayıtlarıyla kişiye ulaşabildiği bir bilgide tartışma yoktur; asıl belirsizlik başkasının elindeki bilgiyle kurulan bağlantıdadır.

İkinci gri alan şahıs işletmesidir. Bir limited şirketin vergi numarası kanunun dışındadır; tek bir kişinin sahibi olduğu bir esnaf işletmesinin vergi numarası, cirosu ve banka hesabı ise o kişinin mali durumunu da söyler. Aynı tedarikçi listesinde iki satır farklı muamele görebilir.

Üçüncüsü vefat eden kişidir. Kanun ölen kişinin verisini açıkça düzenlemiyor. Ama ölen bir müşterinin borcu, adresi ya da sağlık bilgisi çoğu zaman yaşayan yakınlarına da ilişkin bilgidir ve o yakınlar için kişisel veri olabilir.

Bu üç durumda kural basit bir tedbirdir: emin değilsen bilgiyi kişisel veri say ve sorunu hukuk birimine götür. Kurul önündeki bir incelemede somut olayın bütün koşulları tartılır; çalışanın işi o tartıyı tek başına yapmak değil, şüpheyi zamanında dile getirmektir.

Senin masanda

Her gün işinde dokunduğun bilgilere bir soruyla bak: bu bilgiyle, şirketin içinde ya da dışında biri bu kişiye ulaşabilir mi? Cevap evetse ya da emin değilsen, elindeki şey kişisel veridir ve kanunun bütün kuralları onun için de geçerlidir.

Bir tabloyu, bir ekran görüntüsünü ya da bir ses kaydını paylaşmadan önce isim sütununa değil, geri kalan sütunlara bak. Müşteri numarası, plaka, adres, doğum tarihi, sicil numarası tek başına ya da birlikte kişiyi gösteriyorsa, isimsiz liste de kişisel veri listesidir.

Bir başkası sana isimsiz bir bilgiyle soru sorduğunda, Onur'un yaptığını yap ve dur. Soruyu soranın kim olduğunu ve o bilgiye hangi sıfatla ihtiyaç duyduğunu bilmeden cevap verme; plakanın arkasındaki kişinin kredi sonucu, isim geçmese de o kişiye aittir. Onur bayiye sonucu yazmadı. Danışmanın kimliğini bayinin kayıtlı yetkilisinden doğruladı ve müşterinin kendisinin aranacağını söyledi.

"Anonim" kelimesini kendi işinde dikkatli kullan. Bir raporu anonim diye dağıtacaksan, raporu okuyacak birinin kimi kastettiğini tahmin edip edemeyeceğini sor. Küçük ekiplerde ve az kişilik gruplarda bu tahmin çoğu zaman kolaydır.

Kendin dene

Aklında kalsın

Kişisel veri, kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. Biçimi önemli değildir; yazı, rakam, ses ve görüntü aynı tanıma girer.

Bilginin bir isim taşıması gerekmez. Plaka, müşteri numarası, tesisat numarası, sicil numarası, hesap numarası ve ses kaydı, kişiye ulaşmanın bir yolu varsa kişisel veridir; o yol çoğu zaman kurumun kendi sistemidir.

Kanun gerçek kişiyi korur. Şirketin kendi bilgisi kapsam dışıdır; şirketin içindeki insanın bilgisi kapsam içidir.

Anonim veri kanunun dışındadır ama ölçütü serttir: veri, başka verilerle eşleştirilse bile kimseye bağlanamamalıdır. İsim silmek anonimleştirmek değildir. Emin olmadığında bilgiyi kişisel veri say ve sor.

Sonraki derse köprü

Onur'un gördüğü kredi dosyasında bir de engellilik raporu vardı: müşteri, taksit erteleme talebine sağlık durumunu belgeleyerek başvurmuştu. Bir maaş bilgisi ile bir sağlık raporu aynı dosyada durduğunda kanun ikisine aynı mesafede mi durur? M01-D02, kanunun ayrıca koruduğu özel nitelikli kişisel verileri ele alacak ve işyerinde en sık karşılaşılan üç türünü, sağlık, biyometrik veri ve sendika üyeliğini tanıtacak.

Kendini sına

Soru 1 · Kavram

Kanuna göre bir bilginin kişisel veri sayılması için hangisi yeterlidir?

• A) Bilginin kişinin adını ve soyadını içermesi
• B) Bilginin gizli tutulması gereken bir bilgi olması
• C) Bilginin kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin olması
• D) Bilginin bilgisayar ortamında kayıtlı olması

Cevap: C. Kanunun 3. maddesi tek ölçüt koyar: bilginin belirli ya da belirlenebilir bir gerçek kişiye ilişkin olması. Ad ve soyad kimliği belirlemenin yollarından yalnızca biridir; bilginin gizli olması da gerekmez. Kanun otomatik olmayan yollarla, bir kayıt sisteminin parçası olarak işlenen veriyi de kapsar.

Soru 2 · Senaryo

Bir bayiden "şu plakalı aracın sahibinin kredi başvurusu ne oldu?" diye bir mesaj geliyor; mesajda isim yok. En doğru davranış hangisi?

• A) İsim geçmediği için sonucu yazmak
• B) Soranın kimliğini ve bu bilgiye hangi sıfatla ihtiyaç duyduğunu doğrulamadan bilgi vermemek
• C) Plakayı silip sonucu yalnızca "olumlu" ya da "olumsuz" diye yazmak
• D) Mesajı yok saymak ve hiç dönüş yapmamak

Cevap: B. Plaka, şirketin kendi kredi dosyası üzerinden bir kişiye götürdüğü için kişisel veridir; kredi sonucu da o kişiye ilişkin bilgidir. Sonucu tek kelimeyle yazmak da bilgiyi paylaşmaktır. Mesajı yok saymak ise iş ilişkisini gereksiz yere bozar; doğru yol önce kimliği ve gerekçeyi doğrulamaktır.

Soru 3 · Tuzak

Hangisi bu kanun anlamında kişisel veri DEĞİLDİR?

• A) Bir tedarikçi limited şirketin unvanı ve cirosu
• B) Bir çalışanın ad.soyad biçimindeki kurumsal e-posta adresi
• C) Adı geçmeyen bir müşterinin çağrı merkezi ses kaydı
• D) Bir haneye bağlı tesisat numarası ve aylık tüketimi

Cevap: A. Kanun gerçek kişiyi korur; bir limited şirketin unvanı ve cirosu tüzel kişiye ait bilgidir ve başka kurallarla korunur. Kurumsal e-posta adresi adı geçen çalışanı belirler, ses kaydı bir insana ilişkindir, tesisat numarası şirketin abonelik sistemi üzerinden tek bir haneye ve onun sahibine götürür.

Soru 4 · Uygulama

Dört kişilik bir ekipte yapılan bir anketin raporunda isim yok, ama her yanıtın yanında yaş aralığı, cinsiyet ve kıdem yazıyor. Rapor için hangisi doğrudur?

• A) İsim olmadığı için anonimdir ve serbestçe paylaşılabilir
• B) Yalnızca kıdem bilgisi silinirse kesin olarak anonim olur
• C) Anket gönüllü olduğu için kanunun kapsamı dışındadır
• D) Bilgiler birleşince kişiye ulaşılabildiği için kişisel veri olarak kalır

Cevap: D. Kanun anonimliği "başka verilerle eşleştirilerek dahi" kişiye bağlanamama ölçütüne bağlar. Dört kişilik bir ekipte yaş aralığı ve cinsiyet tek başına da kişiyi gösterebilir; tek bir sütunu silmek sonucu kesinleştirmez. Anketin gönüllü olması verinin kişisel veri olup olmadığını değiştirmez.