E-ticaret sözlüğüHukuk ve tüketici

Kişisel veri nedir?

Kişisel veri, kimliği belirli veya başka bilgilerle belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. Sipariş kaydı, saklama ve aktarım süreçlerinde amaç, hukuki dayanak ve güvenlik birlikte ele alınır.

Son kontrol: 26 Ekim 20263 resmî kaynakGündem Masası

Tanım

Kişisel veri, kimliği belirli veya başka bilgilerle belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir.

Bir bakışta

Tanım6698 md. 3; gerçek kişiyle ilişki

Temel ilkeMd. 4; amaçla sınırlı ve ölçülü işleme

AydınlatmaMd. 10; gerçek veri akışına uygun bilgi

AnonimlikEşleştirmeyle dahi kişi belirlenememeli

İnternet satışında hangi bilgiler kişisel veridir?

6698 sayılı Kişisel Verilerin Korunması Kanunu md. 3, kişisel veriyi gerçek kişiyle bağlantısı üzerinden tanımlar. Ad, soyad, teslimat adresi, telefon ve kişiyi tanıtan e-posta adresi sipariş sürecindeki örneklerdir. Kişinin kimliğinin yalnız o kayda bakılarak anlaşılması şart değildir. Başka kayıtlarla eşleştirme sonucunda belirlenebilmesi de tanımın içindedir. Bu nedenle müşteri adını ayrı tabloda tutmak, sipariş tablosundaki kişiye bağlanabilir bilgilerin niteliğini kendiliğinden değiştirmez. Veriyi değerlendirirken yalnız ekranda görünen alana değil, kurulabilen bağlantılara bakın.

Tüzel kişiliğe ait ticaret unvanı veya şirket cirosu ile gerçek kişiye ilişkin bilgiyi ayırın. Bir çalışanı belirleyen kurumsal e-posta veya şirket yetkilisinin telefon bilgisi, şirketle çalışıyor olmanız nedeniyle kapsam dışına çıkmaz. Gerçek kişi satıcının kendi bilgileri de aynı tanım üzerinden ele alınır. KVKK değerlendirmesinin başlangıcı, veri satırının kime ilişkin olduğunu belirlemektir. Veri sorumlusu sıfatı ise verisi korunan kişiden farklıdır: işleme amaçlarını ve araçlarını belirleyen tarafı ifade eder.

Veri işleme yalnız bilgiyi toplamak mıdır?

Kanun md. 3 kapsamında kişisel veriyi kaydetmek, saklamak, değiştirmek, açıklamak ve aktarmak da işleme faaliyetidir. Sipariş listesini indirip arşivlemek, müşterinin yeni adresini kaydetmek veya teslimat için gerekli bilgiyi taşıyıcıya iletmek farklı işleme adımları oluşturur. Bilgi zaten sistemde bulunduğunda da kullanımın amacı ve dayanağı kontrol edilir. Satıcı, verinin hangi aşamada kime açıldığını göstermelidir. Bir dosyanın bilgisayara indirilmesiyle oluşan yeni kopya da erişim ve saklama düzeninin içinde tutulmalıdır.

Kanun md. 5, olağan kişisel veriler için işleme şartlarını düzenler. Açık rıza bunlardan biridir; sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerekli işleme gibi başka şartlar da bulunur. Açık rıza isteyen tek bir kutuyla bütün veri kullanımlarını kapsadığınızı varsaymayın. Her amaç için uygun hukuki şartı belirleyin. Sağlık, biyometrik ve genetik veri gibi md. 6 kapsamındaki özel nitelikli verilerde ise o maddenin güncel şartları ve yeterli önlemler gerekir. Olağan sipariş alanlarıyla bu verileri aynı değerlendirme listesine koymayın.

Satıcı ne kadar bilgi istemeli?

Kanun md. 4, verilerin belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü işlenmesini ister. “İleride işimize yarayabilir” düşüncesiyle sipariş formuna gereksiz alan eklemek bu ilkeye uygun bir gerekçe sağlamaz. Her alan için hangi işin yapılacağını, neden gerekli olduğunu ve ne kadar tutulacağını yazın. Zorunlu sipariş ihtiyacı ile farklı bir isteğe bağlı amaç için istenen bilgiyi ayırın. Satış tamamlandığında saklama gereğini ilgili mevzuat ve işleme amacı üzerinden izleyin; bütün kayıtlar için gelişigüzel tek süre seçmeyin.

Kurgusal bir formda 8 kişisel veri alanı bulunduğunu varsayalım. İşleme amacı, gereklilik ve hukuki şart incelemesinde 5 alanın gerekli ve dayanaklı, diğer 3 alanın ise gereksiz olduğu kabul edilsin. Gereksiz alanlar çıkarıldığında form 8 yerine 5 alan toplar; azalma 3 ÷ 8 × 100 = %37,5 olur. Bu oran kanuni başarı ölçüsü veya güvenlik puanı değildir. Kanun bütün mağazalar için 5 alanlık sınır koymaz. Örneğin sonucu, her alanın gerçek ihtiyaca göre sorgulanmasıdır; kalan alanların hukuka uygunluğu ayrıca kendi şartlarına bağlıdır.

Maskeleme ile anonimleştirme arasındaki fark nedir?

Müşteri adının yerine bir sipariş numarası göstermek, numara üzerinden kişiye geri ulaşılabiliyorsa anonimleştirme sağlamaz. Kanun md. 3’te anonim hale getirme, başka verilerle eşleştirme yapılsa dahi gerçek kişiyle bağ kurulamaması üzerinden tanımlanır. Ekranda yıldızlarla kapatılan telefonun tam haline başka kayıttan ulaşılabiliyorsa kişisel veriyle çalışmaya devam edersiniz. Maskeleme erişimi azaltan bir önlem olabilir; anonimliğin sağlandığını söylemek için geri ilişkilendirme imkanını da inceleyin. Raporun dışa aktarılan kopyalarında da aynı bağlantı kontrolünü yapın.

Kanun md. 7, işleme sebepleri ortadan kalktığında silme, yok etme veya anonimleştirme yükümlülüğünü düzenler; diğer kanunların saklama hükümleri saklıdır. Kurumun açıklamasında silme, ilgili kullanıcılar açısından erişim ve tekrar kullanımın kaldırılması; yok etme ise hiç kimsenin geri getiremeyeceği hale getirme olarak ayrılır. Sipariş ekranından bir satır kaldırıldığında yedekler ve dışa aktarılan listeler unutulmamalıdır. Hangi yöntemin hangi kayıt grubuna uygulandığını saklama ve imha düzeninde göstermek, işlemin sonucunu takip etmeyi sağlar.

Bilgilendirme ve güvenlik nasıl tamamlanır?

Kanun md. 10 uyarınca veri sorumlusunun kimliği, amaçlar, aktarım alıcıları ve amaçları, toplama yöntemi, hukuki sebep ve kişinin hakları açıklanır. KVKK aydınlatma metni bu gerçek akışa göre hazırlanmalıdır. Gizlilik politikası başlığı altında genel cümleler bulunması, eksik bilgilendirmeyi tamamlamaz. Md. 12 kapsamındaki teknik ve idari önlemlerle erişimi göreve göre sınırlandırın ve kayıtların korunmasını sağlayın. Md. 11’deki haklar için KVKK başvuru formu ve ulaşılabilir iletişim yolu sunun; düzeltme veya silme talebini ilgili kayda ve hukuki koşullara göre sonuçlandırın.

06 · Örnek

Örnek: Formdaki gereksiz veri alanlarının çıkarılması

Kurgusal formda 8 kişisel veri alanı vardır. İncelemede 5 alanın gerekli ve hukuki dayanaklı, diğer 3 alanın gereksiz olduğu varsayılır.

Her alanın amacını ve işleme şartını kontrol edin: toplam 8 alan.
Gereksiz 3 alanı formdan çıkarın: 8 − 3 = 5.
Azalmayı hesaplayın: 3 ÷ 8 × 100 = %37,5.
Kalan 5 alanın bilgilendirme, erişim ve saklama düzenini kurun.

Sonuç

Form 5 alan toplar; %37,5 azalma yalnız bu kurgunun sonucudur. Kanuni alan sınırı veya güvenlik puanı değildir.

07 · Fark

Kişisel veri ile karıştırılan kavramlar

Kişisel veri ≠ Tüzel kişi verisi

Şirketin kendisine ilişkin bilgi, gerçek kişiyle ilişkilendirilebildiği durumlar dışında kişisel veri tanımına girmez.

Kişisel veri ≠ Anonim veri

Başka verilerle eşleştirildiğinde dahi gerçek kişiyle bağ kurulamaz; isim alanının gizlenmesi yeterli değildir.

Kişisel veri ≠ Özel nitelikli kişisel veri

Sağlık ve biyometrik veri gibi md. 6’da belirtilen veriler, bu maddenin işleme şartlarına ve yeterli önlemlere tabidir.

08 · Satıcı için

Satıcı ne yapmalı?

Sipariş ve müşteri kayıtlarında gerçek kişiye bağlanabilen alanları belirleyin.
Her alan için amaç, gereklilik ve hukuki şartı yazın.
Gereksiz veri alanlarını toplamadan formdan çıkarın.
Gerçek aktarım ve kullanım akışına göre aydınlatmayı hazırlayın.
Göreve göre erişimi sınırlandırıp saklama ve imha düzenini kurun.
İlgili kişinin başvurularını kayıtla eşleştirerek sonuçlandırın.

09 · Devamı

İlgili rehberler

10 · Sık sorulanlar

Kişisel veri hakkında sık sorulanlar

Sipariş numarası kişisel veri olabilir mi?

Sipariş numarası başka kayıtlarla eşleştirildiğinde gerçek kişiyi belirlemeyi sağlıyorsa kişisel veri kapsamında ele alınır. Adı aynı ekranda göstermemek bu bağlantıyı ortadan kaldırmaz.

Şirketin bütün bilgileri kişisel veri midir?

Tüzel kişiliğin kendisine ilişkin bilgi, gerçek kişiyle ilişkilendirilebildiği durumlar dışında kişisel veri değildir. Çalışanı veya yetkiliyi belirleyen telefon ve e-posta bilgileri gerçek kişi bağlantısıyla değerlendirilir.

Her veri için açık rıza gerekli mi?

6698 md. 5, açık rızanın yanında sözleşmenin ifasıyla doğrudan ilgili ve gerekli işleme gibi başka şartlar da içerir. Her işleme amacı için hukuki şart belirlenmeli; özel nitelikli verilerde md. 6 uygulanmalıdır.

Telefonu yıldızla gizlemek anonimleştirme midir?

Tam veriye veya kişiye başka kayıtlar üzerinden ulaşılabiliyorsa anonimleştirme sağlanmaz. Anonimlikte başka verilerle eşleştirme yapılsa dahi gerçek kişiyle ilişki kurulamaması gerekir.

Satış bitince bütün müşteri verileri silinir mi?

Md. 4 ve 7 kapsamında işleme amaçları, sebeplerin devamı ve diğer kanunların saklama hükümleri kontrol edilir. İşleme sebepleri sona eren kayıtlar uygun silme, yok etme veya anonimleştirme işlemine alınır.