Kişisel Veri Nedir? Tanım, Örnekler ve Özel Nitelikli Veriler

KVKK kişisel veriyi “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlar. Tanımdaki üç unsur kapsamı belirler:

• Her türlü bilgi: Yazı, sayı, görüntü, ses, konum ya da bir kişi hakkındaki değerlendirme; kâğıtta da dijitalde de olabilir.
• Belirli ya da belirlenebilir: Ad soyad kişiyi doğrudan belirler. Plaka, müşteri numarası ya da IP adresi ise başka bir kayıtla eşleşince kişiye ulaştırır; bu da yeterlidir.
• Gerçek kişi: Yalnız insanlar. Şirketin unvanı, vergi numarası ya da cirosu kişisel veri değildir; ama şirket çalışanının adı ve kurumsal e-posta adresi kişisel veridir.

Verisi işlenen kişiye ilgili kişi, verinin işlenme amacını ve yöntemini belirleyen kuruma veri sorumlusu denir. Kanundaki “işleme” de geniştir: veriyi elde etmek, kaydetmek, saklamak, değiştirmek, aktarmak ve sınıflandırmak işlemedir.

Bir kurumda bu verilerin çoğu tek bir sistemde değil, dağınık durur: insan kaynakları klasörlerinde, e-posta eklerinde, kullanıcı bilgisayarlarındaki Excel dosyalarında, test veritabanlarında ve yedeklerde.

KVKK'nın 6. maddesi, açığa çıktığında kişide ayrımcılığa ya da ağır mağduriyete yol açabilecek verileri ayrı bir grupta toplar. Liste sınırlıdır: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.

Bu verilerin işlenme şartları daha dardır ve veri sorumlusu Kişisel Verileri Koruma Kurulu'nun belirlediği ek önlemleri almak zorundadır. İş yerinde sık görülen örnekler: personel dosyasındaki sağlık raporu ve kan grubu, adli sicil kaydı, parmak izi ya da yüz tanımalı giriş sistemi, din hanesi bulunan eski tip nüfus cüzdanının fotokopisi.

KVKK anonim hâle getirmeyi, verinin başka verilerle eşleştirilse bile hiçbir surette belirli bir kişiyle ilişkilendirilemeyecek hâle getirilmesi olarak tanımlar. Gerçekten anonim veri kişisel veri değildir ve Kanun kapsamı dışındadır.

Ama adı silmek yetmez. Doğum tarihi, posta kodu ve cinsiyet birlikte birçok kişiyi tek başına belirleyebilir. Adı bir müşteri numarasıyla değiştirmek ise takma ad kullanmaktır (pseudonymization): eşleştirme tablosu kurumda durduğu sürece veri hâlâ kişisel veridir.

AB'nin GDPR düzenlemesindeki tanım KVKK'ya çok yakındır ve çevrimiçi tanımlayıcıları açıkça sayar; takma adlı veriyi de açıkça kişisel veri kabul eder. Özel kategori listesi ise farklıdır: GDPR'da kılık ve kıyafet, dernek ve vakıf üyeliği yoktur, cinsel yönelim açıkça yer alır; ceza mahkûmiyeti verisi ayrı bir maddede düzenlenir.

KVKK uyumunda hazırlanan kişisel veri işleme envanteri, birimlerin beyanına dayanır: hangi süreçte hangi veri, hangi amaçla işleniyor. Gerçekte veri beyan edilmeyen yerlerde de durur: paylaşılan klasörlerde unutulmuş listeler, e-posta ekleri, bulut depolama ve eski yedekler.

Hassas Veri Keşfi bu boşluğu kapatır: dosya sunucularını, veritabanlarını ve uç noktaları tarayıp T.C. kimlik numarası, IBAN ve kart numarası gibi örüntüleri bulur, dosyayı sınıflandırır ve kimin eriştiğini gösterir. Bulunan veri ya gerekmiyorsa silinir ya da erişimi daraltılıp şifrelenir.

Veri sızarsa KVKK, veri sorumlusunun durumu ilgili kişiye ve Kurula en kısa sürede bildirmesini ister (md. 12); Kurul, kendisine yapılacak bildirim için bu süreyi 72 saat olarak yorumlar. Hangi verinin nerede durduğunu bilmeyen kurum, bu sürede neyin sızdığını da söyleyemez.

Kişisel veri sızdığında zarar yalnız kuruma değil, verisi sızan kişiye de yansır. Arşivden iki örnek:

• Psikoterapi kayıtlarının sızması · 2020 · Hassas verinin şantaj aracına dönüşmesi

  Bir psikoterapi hizmetinin sistemlerinden hasta kayıtları ve terapi notları çalındı. Kurumdan ödeme alamayan saldırgan hastalara doğrudan yazıp kayıtlarını yayımlamakla tehdit etti. Verilerin bir bölümü internete sızdırıldı; binlerce kişi kendi adına şantaj e-postası aldı.

  Sonuç: On binlerce kişinin son derece hassas sağlık bilgisi açığa çıktı; olay şirketin faaliyetlerinin sona ermesine kadar uzandı.

  Önleyen çözüm: Hassas kayıtların nerede durduğu ve kimin eriştiği önceden bilinir. Hassas Veri Keşfi

• Dosya transfer yazılımı · 2023 · İnternete açık sistemde sıfırıncı gün

  İnternete açık dosya transfer sunucularındaki sıfırıncı gün açığı toplu biçimde istismar edildi. Saldırganlar savunmasız sistemlerden veri çekti; tedarikçi ilişkileri yüzünden doğrudan hedef olmayan kurumların verisi de sızdı. Yeni mağdurlar aylarca açıklanmaya devam etti.

  Sonuç: 2.700'den fazla kuruluş ve 95 milyondan fazla kişi etkilendi; tedarikçiler hedef olmayan kurumları da olaya çekti.

  Önleyen çözüm: İnternete açık her sunucu envantere girer ve sahibiyle birlikte izlenir. Varlık Envanteri