Birçok kuruluş hala “kişisel verilerin” tam olarak ne olduğundan emin değiller.
Bu bir endişe kaynağıdır çünkü kuruluşlar uyumluluk gereksinimlerini karşılamazlarsa veri ihlalleri ve maddi para cezaları alma riskiyle karşı karşıya kalırlar.
‘Kişisel veriler’ kimliği belirli veya belirlenebilir bir gerçek kişi (veri sahibi) ile ilgili herhangi bir bilgi anlamına gelir.
Başka bir deyişle kişisel veri, belirli bir kişi hakkında açık olan her türlü bilgi olarak tanımlanmaktadır.
GDPR Bunu şu şekilde tanımlar;
Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Bu kapsamda bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi kesin tanıyı sağlayan bilgilerin yanı sıra kişinin fiziksel, ailevi, ekonomik, sosyal ve diğer özelliklerine ilişkin bilgiler de söz konusudur.
Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde gerçek bir kişiyle ilişkilendirilerek o kişinin kimliğinin belirlenebilir hale getirilmesi anlamına gelir.
Bir kişinin “belirlenmiş” sayılabilmesi için, bir topluluk içinde bulunduğu süre içinde o topluluğun diğer üyelerinden ayırt edilmesini gerektirir. Buna göre, “kimliği belirlenebilir” ifadesi, kişinin kimliği henüz tespit edilmemiş olsa dahi, kişinin kimliğinin tespit edilmesinin mümkün olduğu anlamına gelecektir. Anlaşılacağı üzere, bu unsurun yerine getirilmesi için alt eşik “tanımlanabilir” olmaktır.
KVKK ise genel olarak şu şekilde tanımlamıştır;
Kişisel veri kavramı, kanunda “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” şeklinde tanımlanmıştır. Buna göre kişisel veri kavramının dört unsuru vardır:
- Kimliği belirli veya belirlenebilir
- Gerçek kişiye
- İlişkin
- Her türlü bilgi
Kanunun bu tanımı, Adalet Komisyonu Raporu’nda da sıklıkla atıfta bulunulan Avrupa Birliği Direktifi ile aynı doğrultudadır. Bu bağlamda Madde 29 Çalışma Grubu’nun 4/2007 sayılı görüşünden özetle aşağıdaki açıklamalar kaleme alınmıştır.
KİŞİSEL VERİLER NELERDİR?
- Kimlik; adı soyadı, anne ve babasının adı, anne kızlık soyadı, doğum tarihi, doğum yeri, medeni hali, nüfus cüzdanı seri numarası, pasaport numarası,
- İletişim; adres, e-posta adresi, telefon numarası,
- Personel; bordro bilgileri, geçmiş disiplin soruşturmaları, uçağa biniş-biniş evrak kayıtları, mal beyan bilgileri, özgeçmiş bilgileri, performans değerlendirme raporları,
- Hukuki İşlem; Adli makamlarla yazışmalardaki bilgiler, dava dosyasındaki bilgiler,
- Müşteri İşlemi; çağrı merkezi kayıtları, fatura, senet, çek bilgileri, sayaç bilgileri, sipariş bilgileri, talep bilgileri,
- Fiziksel Mekan Güvenliği; çalışanların ve ziyaretçilerin giriş çıkış kayıt bilgileri, kamera kayıtları vb.
- İşlem Güvenliği; IP adresi bilgileri, web sitesi giriş bilgileri, akılda kalan kelime, şifre ve şifre bilgileri gibi,
- Risk yönetimi; ticari, teknik, idari riskleri yönetmek için işlenen bilgiler gibi,
- Finans; bilanço bilgileri, finansal performans bilgileri, kredi ve risk bilgileri, varlık bilgileri,
- Profesyonel deneyim; diploma bilgileri, katıldıkları eğitimler, hizmet içi eğitim bilgileri, sertifikalar, transkript bilgileri,
- Pazarlama; alışveriş geçmişi bilgileri, anket, çerez kayıtları, kampanya çalışması sonucu elde edilen bilgiler,
- Görsel ve Ses Kayıtları; görsel ve işitsel kayıtlar, gerçek kişi fotoğrafları, ses kayıtları, araç fotoğrafı vb.
NİTELİKLİ VERİLER NELERDİR?
- Irk ve etnik köken; ırk ve etnik köken hakkında bilgi gibi,
- Siyasal Düşünce Bilgisi; siyasi görüş, siyasi parti üyelik bilgileri gibi,
- Felsefi İnanç; Din, Mezhep ve Diğer İnançlar, dini mensubiyet hakkında bilgiler, felsefi inanç hakkında bilgiler, mezhep aidiyeti hakkında bilgiler, diğer inançlar hakkında bilgiler,
- Dernek Üyeliği ve Birlik üyeliği,
- Sağlık Bilgisi; engelli bilgileri, kan grubu bilgileri, kişisel sağlık bilgileri, kullanılan cihaz ve protez bilgileri,
- Cinsel Yaşam; kişisel cinsel tercih, cinsel yaşam hakkındaki diğer bilgiler,
- Suç geçmişine ilişkin bilgiler, Ceza Hükümlülükleri ve Güvenlik sebebi ile alınan diğer tedbirleri,
- Biyometrik Veri avuç içi bilgileri, parmak izi bilgileri, retina tarama bilgileri, yüz tanıma bilgileri,
- Genetik Veriler,
- Diğer; Çocuk sayısı, aile kitapçığı, araç bilgileri (araç plakası, marka, model, model yılı, motor şase numarası, ehliyet tescil tarihi, ehliyet örneği, hasarsızlık bilgisi), poliçe bilgileri (varsa poliçe olup olmadığı, hangi firmadan, poliçe numarası, poliçe süresi), boy, kilo, planlanan seyahat güzergahı ve süresi, yabancıların oturma izni bilgileri, konut bilgileri, askeri personel bilgileri, referans bilgileri imzası,
- İstihdam Verileri Şirket, bölüm, çalışma şekli, meslek, imza, maaş,
- Web Sitesi Kullanım Verileri Başvuru formunun doldurulma tarihi, alınan veya alınmayan teklifler, üyelik tarihi, siteye giriş sıklığı/zamanları, son giriş tarihi,
- Şirketin ticari itibarının korunması amacıyla toplanan itibar yönetimi bilgileri ve bu kapsamda oluşturulan değerlendirme raporları ile yapılan işlemlere ilişkin bilgiler.
- Olay yönetimi bilgileri; Şirketin ticari hak ve menfaatleri ile müşterilerinin hak ve menfaatlerinin korunmasına yönelik olaylara karşı gerekli hukuki, teknik ve idari tedbirlerin alınması amacıyla işlenen kişisel veriler.
Kuruluşlar kişisel verileri nasıl ele almalıdır?
Sakladığınız bilgilerin kişisel veri olup olmadığından emin değilseniz, dikkatli olmak en iyisidir. Kişisel verilerin işlenmesinin gerekli olan ile sınırlı olduğundan emin olmak ve verileri yalnızca amacını karşıladığı sürece saklamak anlamına gelmektedir.
Ayrıca, özellikle kişisel verileriniz özel bir kategorisiyse, bilgileri takma isim olarak kullanmayı ve/veya şifrelemeyi de kesinlikle dikkate almalısınız. Takma isimlendirme, tanımlayıcı bilgileri yapay tanımlayıcılarla değiştirerek verilerinizi maskelemenizi sağlar.
Verileri korumanın merkezinde yer almasına ve kişisel verilerin gizliliğinin ve güvenliğinin korunmasına yardımcı olabilmesine rağmen, takma ad kullanmanın sınırları vardır. Şifreleme ayrıca tanımlayıcıları başka bir şeyle değiştirerek bilgileri gizler. Ancak takma ad, verilere erişimi olan herkesin veri kümesinin bir bölümünü görüntülemesine izin verirken, şifreleme yalnızca onaylanmış kullanıcıların tüm veri kümesine erişmesine izin verir. Takma isimlendirme ve şifreleme aynı anda veya ayrı ayrı ihtiyacınıza ve veri özelliğine göre kullanılabilir.
Belgelendirme Hizmetlerimiz için: certification@cfecert.co.uk – 0 212 951 0534
Eğitim Hizmetlerimiz için: training@cfecert.co.uk – 0 212 951 0533
