Hakan ARSLAN

7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmiş bulunan 6698 sayılı Kişisel Verilerin Korunması Kanununa göre “veri sorumlusu” kavramı, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade etmektedir.Çalışmamız kapsamında öncelikle, söz konusu tanımlamada yer verilen “kişisel veri”, “kişisel verilerin işlenmesi” ve “veri kayıt sistemi” kavramlarını açıklayacak olursak;

İlk olarak, 6698 sayılı Kanunun 3 üncü maddesine göre “kişisel veri” kavramı; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Söz konusu tanımlamadan hareketle kişisel veriyi, kişisel olmayan verilerden ayırabilmek için temelde iki ölçütten yararlanıldığı söylenebilir. İlk olarak, Kanun kapsamında bulunan bir kişisel veriden söz edebilmek için, verinin bir gerçek kişiye ilişkin olması ve bu gerçek kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir.

Kanunun 3 üncü maddesi hükmüne göre kişisel veri; “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” şeklinde tanımlanmıştır. Bu bilgiler, kişinin kimliği, sağlık durumu, eğitim geçmişi, istihdam durumu, ikamet adresi, araç plakası, IP adresi, kredi kartı bilgisi, dernek, vakıf ya da sendika üyelikleri gibi hususları da kapsamaktadır.

Kişisel veriler, bir gerçek kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini doğrudan belirleyen somut bir mahiyet taşıyabileceği gibi, Türkiye Cumhuriyeti kimlik numarası veya vergi ya da sigorta numarası gibi herhangi bir başka kayıtla ilişkilendirilmesi sonucunda dolaylı olarak dahi gerçek bir kişinin belirlenebilmesini mümkün kılan tüm verileri kapsayan bir mahiyette olabilecektir.

Nitekim, Kanunun gerekçesinde de telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi verilerin dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel veri olarak kabul edilmesi gerektiğine işaret edilmiştir.