Madde 3

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 2. maddesi, Kanunun kişi ve işleme yöntemi bakımından uygulama alanını belirler.1 Kanunun 3. maddesi ise bu incelemede kullanılacak temel kavramları tanımlar.2 Bu iki hüküm farklı sorulara cevap verir. Bir kaydın kişisel veri niteliğinde olması, o kayıt üzerindeki her faaliyetin KVKK kapsamında bulunduğunu tek başına gösteremez. Özellikle otomatik olmayan işlemede ayrıca veri kayıt sistemi bağlantısının bulunması gerekir.3

Kişisel veri, veri sorumlusu veya işleme tanımının gerçekleşmesi, faaliyetin hukuka uygun olduğunu göstermez. Verinin hangi şartla işlenebileceği, ne kadar süre saklanabileceği ve ilgili kişinin hangi hakkı kullanabileceği yalnız tanım hükmünden çıkarılamaz. Bu sorular sırasıyla genel ilkeler, işleme şartları, silme yükümlülüğü ve ilgili kişi haklarını düzenleyen hükümlerle birlikte cevaplandırılacaktır.4

Tanımların bugünkü kapsamı yasama sürecinde iki önemli değişiklik geçirmiştir. 2008 tarihli tasarı, ilgili kişi ve kişisel veri tanımlarına tüzel kişileri de dahil etmişti.5 2014 tarihli tasarı bu kavramları gerçek kişilerle sınırlamış ve veri sorumlusunu veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişi olarak tanımlamıştır. Kabul edilen metinde veri sorumlusunun işleme amaçlarını ve vasıtalarını belirlemesi de açıkça tanıma eklenmiştir.6 Yasama sürecindeki bu tercihler kavramların geçmişini açıklar, ancak yürürlükteki sınırlar kabul edilen metne göre belirlenecektir.

Kişisel veri tanımı üç unsurdan oluşur. Ortada bir bilgi bulunmalı, bu bilgi bir gerçek kişiyle ilgili olmalı ve kişinin kimliği belirli veya belirlenebilir olmalıdır.1 Tanımdaki her türlü bilgi ibaresi, korumayı önceden belirlenmiş veri türleriyle sınırlamaz. Buna karşılık bir bilginin önemli, gizli veya kişiye özgü görünmesi de tek başına yeterli değildir. Bilgi ile gerçek kişi arasında kurulabilen ilişki gösterilmelidir.2

Bu ilişki önce bilginin içeriğinde aranabilir. Sağlık kaydı, değerlendirme formu veya bir kişi hakkında tutulan görüş, içeriği itibarıyla o kişiyle ilgilidir. Bilgi doğrudan kişi hakkında görünmese bile belirli bir kişiyi değerlendirmek, ona nasıl davranılacağına karar vermek veya davranışını etkilemek amacıyla kullanılıyorsa amaç bakımından bağ kurulabilir. İşlemenin kişinin hakları ya da menfaatleri üzerinde etkide bulunması veya böyle bir etki doğurmasının muhtemel olması da kişiyle ilişkiyi sonuç bakımından gösterebilir.3

İçerik, amaç ve sonuç birbirinin zorunlu tamamlayıcısı değildir. Bunlardan biri, somut olayda bilgi ile kişi arasındaki bağı kurmaya yetebilir. Üstelik aynı bilgi farklı kişilerle farklı sebeplerle ilgili olabilir. Bir kayıt içeriği nedeniyle bir kişi hakkında bilgi verirken, başka biri hakkında karar almak için kullanılması nedeniyle o ikinci kişiyle de ilişki kurabilir.4 Bu sebeple kişisel veri niteliği yalnız kaydın adı veya biçimi üzerinden değil, kaydın hangi bağlamda ve ne için kullanıldığı gözetilerek değerlendirilecektir.

Tüzel kişiye ait bir kayıtta gerçek kişinin adının bulunması da bu ayrımı gerektirir. Adın kayıtta geçmesi, kişiyle ilişkiyi her olayda kendiliğinden kurmaz. Kayıt kişinin davranışını anlatıyor, kişi hakkında karar vermek için kullanılıyor veya onun hak ve menfaatlerini etkiliyorsa kişisel veri niteliği kazanabilir. Kayıt yalnız tüzel kişinin borcu, adresi veya ticari faaliyeti hakkındaysa gerçek kişiyle ayrıca bir bağ kurulması gerekir.5

Kişisel Verileri Koruma Kurulu, 2022/103 sayılı kararda bu ölçütleri şirket unvanı bakımından uygulamıştır. İncelenen sosyal medya paylaşımında şirket unvanı bir gerçek kişinin adını taşıyordu. Kurul, paylaşım ve yorumların tüzel kişiliği hedeflediğini, şirketin unvanı, borcu, adresi ve vergi kimlik numarası bilgilerinin somut olayda gerçek kişinin hak ve menfaatleri üzerinde etkide bulunmadığını ve kişiye belirli biçimde davranılması amacıyla kullanılmadığını kabul etmiştir. Bu nedenle söz konusu bilgileri o gerçek kişi bakımından kişisel veri saymamıştır.6 Karar, gerçek kişi adı taşıyan bütün şirket unvanları için genel bir sonuç vermez. Değerlendirme, kaydın kullanıldığı bağlama göre yapılacaktır.7

Anayasa Mahkemesi de KVKK'den önce verdiği E.2014/74, K.2014/201 sayılı kararda kişisel veriyi belirli veya belirlenebilir kişiler hakkındaki geniş bilgi alanı içinde açıklamıştır.8 Bu karar anayasal korumanın kapsamını gösterir. KVKK bakımından yapılacak nitelendirmede ise Kanunun 3. maddesindeki gerçek kişiyle ilişki ve belirlenebilirlik unsurları esas alınacaktır.

Kişinin adı, kimlik numarası veya ayırt edici görüntüsü kayıtta açıkça yer alıyorsa kayıt belirli bir gerçek kişiyi doğrudan gösterir. Bu tür bir tanımlayıcı bulunmadığında inceleme sona ermez. Kayıt, başka bilgilerle birleştirildiğinde belirli bir gerçek kişiye ulaşılabiliyorsa belirlenebilirlik söz konusu olabilir.1

Her teorik eşleştirme ihtimali belirlenebilirlik için yeterli değildir. Ek bilginin kimde bulunduğu, bu bilgiye hukuken ve fiilen erişilip erişilemeyeceği, erişimin gerektirdiği zaman, emek ve maliyet somut olayın şartları içinde incelenecektir.2 Üçüncü kişideki bilgiye ulaşmak hukuken yasaksa veya elde etme imkanı gerçekte kullanılamayacak kadar uzaksa, yalnız varsayımsal bir imkan üzerinden kişi belirlenebilir sayılamaz. Buna karşılık veriyi elinde tutan kişinin makul biçimde başvurabileceği hukuki veya fiili bir yol varsa ek bilgi değerlendirmeye dahil edilebilir.3

Bu yaklaşım, aynı veri setinin farklı kişiler bakımından neden başka sonuçlar doğurabileceğini de açıklar. Doğrudan tanımlayıcıların kodla değiştirilmesi, veri ile kişi arasındaki bağı ortadan kaldırmaz. Eşleştirme anahtarını elinde bulunduran veya bu anahtara makul biçimde ulaşabilen kişi, kodu yeniden gerçek kişiyle ilişkilendirebilir. Anahtara erişemeyen alıcı bakımından ise kendi imkanları ayrıca incelenecektir.4 Dolayısıyla takma ad kullanımı, tek başına anonim hale getirme sonucu doğurmaz.

Görüntüler bakımından da yalnız yüzün bir bölümünün kapatılmış olması belirlenebilirliği mutlaka sona erdirmez. Kurul, 2022/630 sayılı kararda gözler kapatılmış olsa da kaş ve bıyık gibi ayırt edici yüz unsurlarının açık kaldığını belirlemiş ve fotoğraftaki kişinin belirlenebilir olduğu sonucuna ulaşmıştır.5 Başka bir görüntü hakkında aynı sonuca varılıp varılamayacağı, görüntüde kalan unsurlar ve erişilebilir ek bilgiler birlikte değerlendirilerek belirlenecektir.6

İlgili kişi, bir dosyayı elinde bulunduran, sözleşmenin tarafı olan veya başvuruyu yapan kişi değil, kişisel verisi işlenen gerçek kişidir.1 Bu sıfatın belirlenmesinde kaydın kimin adına tutulduğundan önce, kayıttaki bilginin hangi gerçek kişiyle ilgili olduğu araştırılacaktır.

Tüzel kişi kendi ticari ve kurumsal verileri bakımından ilgili kişi değildir. Bununla birlikte bir tüzel kişiye ait sicil, sözleşme veya yazışma kaydı, aynı zamanda ortağın, yöneticinin, çalışanın ya da temsilcinin kişisel verisini içerebilir. Kurumsal bilgi ile gerçek kişiye ilişkin bilgi aynı belgede yer alsa bile bunların hukuki niteliği ayrı ayrı belirlenecektir.2

Kurul, 2018/131 sayılı kararda tüzel kişinin kendi verilerine erişme talebini KVKK kapsamında ilgili kişi başvurusu saymamıştır. Aynı başvuruda şirket ortakları ve yetkilileri hakkında bilgi istenmiş olsa da talep bu kişiler tarafından veya onların yasal temsilcileri aracılığıyla yapılmadığı için KVKK m.11 ve m.13 kapsamında kabul edilmemiştir.3 Buna göre şirketin başvurusu, ortak veya yetkilinin kendi kişisel verileri için yapacağı başvurunun yerine geçemez.

Kurul, 2019/273 sayılı kararda kişiliğin ölümle sona erdiğinden hareketle vefat etmiş eşe ait sağlık kaydını başvurucunun kendi kişisel verisi olarak kabul etmemiştir.4 Ancak ölen kişiye ait bir kayıt, yaşayan kişinin sağlık durumu, mirasçılığı veya başka bir kişisel özelliği hakkında da bilgi veriyorsa yaşayan kişiyle kurulan bağ ayrıca incelenecektir.5 Böyle bir durumda korumanın konusu ölen kişinin kişiliği değil, kaydın yaşayan gerçek kişi hakkında taşıdığı bilgidir.

Kişisel verilerin işlenmesi, yalnız verinin ilk kez toplanmasını anlatmaz. Elde etme, kaydetme, saklama, değiştirme, açıklama, aktarma, erişilebilir hale getirme, sınıflandırma ve kullanılmasını engelleme, Kanunda sayılan işleme örnekleridir.1 Sayım sınırlı değildir. Veri üzerinde gerçekleştirilen başka bir faaliyet de niteliğine göre işleme sayılabilir.2

İşleme tanımının genişliği ile Kanunun uygulama alanı aynı mesele değildir. KVKK m.2, kişisel verilerin tamamen veya kısmen otomatik yolla işlenmesini yöntem bakımından Kanunun uygulama alanına alır. Otomatik olmayan bir işlemede ise kişisel verinin bulunması tek başına yeterli olmaz. Faaliyetin, kişisel verilerin belirli ölçütlere göre yapılandırıldığı bir veri kayıt sisteminin parçası olması gerekir.3

Bu şart, fiziki kayıtların bütünüyle kapsam dışında olduğu anlamına gelmez. Kişi adına, tarihe, dosya numarasına veya başka bir ayırıcı ölçüte göre düzenlenen ve aranan kayda bu ölçüt üzerinden ulaşılmasını sağlayan fiziki arşiv veri kayıt sistemi oluşturabilir. Buna karşılık başka kayıtlarla bağlantısı bulunmayan gelişigüzel bir el yazısı not, yalnız kişisel veri içerdiği için veri kayıt sisteminin parçası sayılamaz.4 Ayrım, ortamın kağıt veya elektronik olmasına değil, kayıtların belirli ölçütlere göre yapılandırılıp yapılandırılmadığına dayanır.

Kurulun 2019/47 sayılı kararında kişisel bilgilerin çeşitli mercilere yazılan dilekçelerde paylaşıldığı ileri sürülmüştür. Kurul, şikayet edilen kişinin kısmen veya tamamen otomatik yolla ya da bir veri kayıt sisteminin parçası olarak gerçekleştirdiği bir işleme faaliyeti tespit edememiş ve bu kişiyi veri sorumlusu saymamıştır.5 Karar, bütün dilekçeleri veya fiziki kayıtları Kanun dışında bırakan genel bir kural oluşturmaz. Başka bir olayda dilekçelerin düzenli bir dosya sistemi içinde tutulduğu gösterilirse veri kayıt sistemi şartı yeniden değerlendirilecektir.6

Veri sorumlusu, kişisel verilerin hangi amaçla ve hangi vasıtalarla işleneceğine karar veren gerçek veya tüzel kişidir. Kanundaki tanım, bu kişinin veri kayıt sisteminin kurulmasından ve yönetilmesinden de sorumlu olduğunu belirtir.1 Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işler.2

Bu sıfatlar, tarafların sözleşmede kendilerine verdiği adla değil, somut işleme faaliyetindeki yetki ve görev dağılımıyla belirlenir. Verinin neden işleneceği, hangi kişi ve veri kategorilerinin kapsama alınacağı, veriye kimin erişeceği, verinin ne kadar süre saklanacağı ve kimlere aktarılacağı gibi temel tercihler veri sorumlusunu gösterir. Yalnız yazılımın seçilmesi, güvenlik yönteminin uygulanması veya veri sorumlusunun çizdiği sınırlar içinde teknik ayrıntıların kararlaştırılması ise tek başına veri sorumlusu sıfatı doğurmaz.3

Kurulun 2020/71 sayılı kararı da amaç ve temel araçlar üzerindeki karar yetkisini esas alır. Kararda veri sorumlusunun işlemenin neden ve nasıl yapılacağını belirlediği, veri işleyenin ise verilen yetki ve talimat çerçevesinde daha çok teknik aşamalarda hareket ettiği açıklanmıştır.4 Bununla birlikte bir teknik tercihin tali olup olmadığı soyut biçimde söylenemez. Tercih işleme amacını veya kişilerin hakları üzerindeki etkiyi esaslı biçimde değiştiriyorsa rol tespitindeki ağırlığı somut olayda ayrıca değerlendirilecektir.5

KVKK, ortak veri sorumlusu kavramını ayrıca tanımlamaz. Buna rağmen bir işleme faaliyetinin amacı ve temel vasıtaları birden çok kişinin ortak ya da birbirini tamamlayan kararlarıyla belirlenebilir. Bu halde her aktörün işleme amacının ve temel vasıtaların belirlenmesine ne ölçüde katıldığı ile veri üzerindeki fiili etkisi incelenecektir. Katkıların eşit olmaması veya aktörlerden birinin veriye doğrudan erişememesi, ortak sorumluluk ihtimalini tek başına ortadan kaldıramaz.6

Kurul, 2021/1303 sayılı kara liste kararında araç kiralama firmaları ile yazılım şirketlerinin konumunu bu çerçevede değerlendirmiştir. Yazılım şirketlerinin verileri kendi veri tabanlarında toplaması, başka araç kiralama firmalarının erişimine açması ve aktarımın nasıl yapılacağına kendi ticari faaliyeti içinde karar vermesi ortak veri sorumluluğu sonucunda etkili olmuştur. Kurul, sözleşmedeki sorumsuzluk kayıtlarını sıfatın belirlenmesi bakımından yeterli görmemiştir.7

Aynı hizmet sağlayıcı her işleme faaliyetinde aynı sıfatı taşımak zorunda değildir. Müşterinin belirlediği amaç ve süre doğrultusunda yalnız depolama hizmeti sunan şirket bu faaliyet bakımından veri işleyen olabilir. Aynı şirket, elde ettiği verileri kendi ticari amacı için bir risk havuzunda birleştiriyor ve kimlerin erişeceğine kendisi karar veriyorsa bu ayrı faaliyet bakımından veri sorumlusu sayılabilir.8 Bu nedenle sıfat, şirketin bütünü için bir kez değil, her işleme faaliyetinin amacı ve esaslı araçları bakımından ayrı ayrı belirlenecektir.

Açık rıza, herhangi bir kabul beyanından ibaret değildir. KVKK, rızanın belirli bir konuya ilişkin olmasını, bilgilendirmeye dayanmasını ve özgür iradeyle açıklanmasını arar.1 Bu unsurlardan biri bulunmadığında beyan, Kanundaki açık rıza tanımını karşılayamaz.

Belirli bir konuya ilişkin olma şartı, ilgili kişinin hangi işleme faaliyetine izin verdiğini anlayabilmesini gerektirir. Birbiriyle ilgisiz amaçların tek bir genel kabul içinde birleştirilmesi, rızanın kapsamını belirsizleştirir. Bilgilendirmeye dayanma şartı ise ilgili kişinin işlenecek veriler, amaç ve rızanın sonuçları hakkında kararını vermeden önce yeterli bilgiye sahip olmasını gerektirir.2

Özgür irade, rıza verilmemesi halinde ilgili kişinin gerçek bir seçim imkanına sahip olup olmadığıyla ilgilidir. İşleme faaliyeti hizmetin sunulması için gerekli olmadığı halde hizmete erişim bu faaliyete rıza gösterilmesine bağlanmışsa, rızanın serbestçe verilip verilmediği kuşkulu hale gelir.3 Her hizmet ve veri işleme ilişkisi kendiliğinden geçersiz değildir. İşlemenin hizmet için gerekli olup olmadığı, taraflar arasındaki güç dengesi ve rıza vermemenin doğuracağı sonuçlar birlikte değerlendirilecektir.

Kurul, 2023/692 sayılı kararda sağlık kuruluşunun randevu sayfasındaki pazarlama onayını incelemiştir. Tanıtım amacıyla veri işleme sağlık hizmetinin sunulması için gerekli olmadığı halde onay kutusu işaretlenmeden randevu işlemi tamamlanamıyordu. Kurul, bu uygulamanın ilgili kişinin özgür iradesini sakatladığı sonucuna ulaşmıştır.4

Açık rızanın bilgilendirmeye dayanması ile KVKK m.10'daki aydınlatma yükümlülüğü birbirine karıştırılmamalıdır. Kurul, 2026/347 sayılı İlke Kararında aydınlatmanın işleme şartından bağımsız olduğunu ve işleme açık rızaya dayanıyorsa aydınlatma metni ile açık rıza metninin ayrı düzenlenmesi gerektiğini belirtmiştir.5 İşlemenin açık rızaya dayandırılıp dayandırılamayacağı ve rıza geri alındıktan sonra başka bir işleme şartıyla sürdürülüp sürdürülemeyeceği ise KVKK m.5 kapsamında ayrıca değerlendirilecektir.6

Anonim hale getirme, kullanılan yöntemin adına değil, ulaşılan hukuki sonuca göre belirlenir. KVKK'ye göre veri, başka verilerle eşleştirilse dahi belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemiyorsa anonim hale getirilmiştir.1 Bu sebeple yalnız adın, kimlik numarasının veya başka bir doğrudan tanımlayıcının çıkarılması yeterli olmayabilir.

Veri setindeki dolaylı tanımlayıcılar veya erişilebilir ek bilgiler kişiye yeniden ulaşmayı mümkün kılıyorsa kişiyle bağ kopmamıştır. Böyle bir veri setinde yeniden belirleme imkanının maliyeti, gerektirdiği zaman, mevcut teknoloji ve ek bilgiye erişebilecek kişiler göz önünde bulundurulacaktır.2 Değerlendirme, varsayımsal olarak herhangi bir kişinin değil, somut şartlarda makul biçimde kullanılabilecek imkanların esas alınmasını gerektirir.

Takma ad kullanımı bu nedenle anonim hale getirmeden ayrılır. Kod ile gerçek kişi arasındaki eşleştirme anahtarı mevcut olduğu sürece veri, anahtara erişebilen kişi bakımından yeniden ilişkilendirilebilir.3 KVKK m.7'de düzenlenen silme ve yok etme de anonim hale getirmeyle aynı işlem değildir. Bu yöntemlerden hangisinin uygulanacağı, işleme sebeplerinin ortadan kalkması ve ilgili imha yükümlülükleri çerçevesinde belirlenecektir.4

Kurum, Kurul ve Başkan aynı makamı anlatmaz. Kişisel Verileri Koruma Kurumu, kamu tüzel kişiliğine sahip idari teşkilattır.1 Kişisel Verileri Koruma Kurulu, Kanunla verilen görev ve yetkileri bağımsız biçimde kullanan karar organıdır.2 Başkan ise hem Kurulun hem Kurumun başkanıdır.3

Şikayet üzerine veya resen inceleme sonunda karar veren makam Kişisel Verileri Koruma Kuruludur.4 Kurumun teşkilatı, Kurulun görevleri ve Başkanın yetkileri ise KVKK'nin 19 ila 25. maddelerinde ayrı ayrı düzenlenmiştir.5