İlgili Kişi
Kişisel verisi işlenen gerçek kişi
Bir şirketin satış verileri düşünüldüğünde satış verilerinin sahibi şirkettir. Ancak kişilere ait bilgilerin yer alması sebebiyle şirketin satış verileri üzerinde sınırsız bir mülkiyet hakkından söz edilemez. Satış verilerinin ilgili olduğu kişilerin de haklarının gözetilmesi gerekir.
Kişisel Veri
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi
Bilgi ile veri arasındaki fark çok incedir. Her veri bilgidir ama her bilgi veri değildir. Bir şey hakkında ya da biri ile ilgili bilinen her şey veridir. Yani bir bilginin veri olabilmesi için somut bir gerçekliğe dayanması gerekir. Örneğin “Su 100 derecede kaynar” bir bilgidir ancak veri değildir. “Ölçtüm çaydanlıktaki su 100 derecede kaynadı” cümlesinden elde edilen bilgi ise veridir. Bu ve benzeri ölçümlerden elde edilen veriler sonucunda varılan “Su 100 derecede kaynar” bilgisi çıkış noktası veri de olsa çıkarımla elde edilen bir yargıdır.
Ad soyad, doğum tarihi, sağlık bilgileri, eğitim bilgileri gibi bir kişiyle ilgili her türlü bilgi kişisel veridir. Bir bilginin kişisel veri olabilmesi için ilgili olduğu kişinin tespit edilebiliyor olması gerekir. Bilgiye sahip olanın bilginin ilgili olduğu kişiyi tespit edebilmesine gerek yoktur. Bilgi ancak hiç kimse tarafından gerçek bir kişi ile ilişkilendirilemiyorsa kişisel veri değildir.
Özel Nitelikli Kişisel Veri
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri
Bu tür verilerin işlenmesi için gereken şartlar diğer kişisel verilere göre farklılık göstermektedir. Kanunda rıza aranmadan işlenebilecek veriler için uygulanan bazı hükümler özel nitelikli kişisel veriler için geçersizdir.
Bu tür verilerin kişilerin daha özelinde olduğu kabul edilebilir. Bu yüzden bu verilerin korunmasına yönelik daha çok tedbir yer almaktadır. Ayrıca Türk Ceza Kanunu'nda da bu tür verilerle ilgili işlenen suçlar için yaptırımlar daha ağırdır.
Açık Rıza
Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza
1. Kişinin rızasının alınabilmesi için rıza gösterdiği çerçevenin belirli bir konuda olması gereken. Belirli bir konu işlenecek olan kişisel verilerin çerçevesi ile işlenme şartlarının sınırlarıdır.
2. Kişinin rıza gösterdiği konu hakkında yeterli düzeyde bilgilendirilmesi gerekir. Kişinin eksik bilgilendirilmesi sonucu alınan onayın geçerli olmayacağı kuşkusuzdur.
3. Kişinin rızasının özgür iradesi ile alınması gerekir. Kişinin onay vermemesi durumunda hakkaniyete uymayan sonuçlarla karşılaşacak olması kişinin onay verirken iradesinin özgürlüğüne yapılan baskıdır. Elbette kişinin onay vermesi ile elde edeceği imkanlar ile onay vermemesi durumunda elde edecekleri arasında farklılık olacaktır. Ancak bu farklılık istenen onayın doğuracağı sonuçlarla kabul edilebilir seviyede hakkaniyete uygun olmalıdır.
Kişisel Verilerin İşlenmesi
Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem
Genel anlamda kişisel verilerinizin toplanması işlenmesinin ilk aşamasıdır. Sadece toplanması bile başka hiçbir işlem olmasa dahi kişisel verilerinizin işlendiği anlamına gelir. Toplama işlemi her türlü şekilde yapılabilir. Internet veya kağıt ortamında ilgili kişinin bir formu doldurulması yöntemiyle olabileceği gibi kişilerin farkında olmadığı durumlarda da toplanabilir. Örneğin güvenlik kameraları vasıtasıyla kişilerin yüzlerinin kaydedilmesi de kişisel verinin toplanmasıdır.
Toplanan kişisel veriler genel olarak kaydedilirler. Kişisel verilerin toplanması ancak kaydedilmemesi işlenmediği anlamına gelmez. Kişisel verilerin saklanması dijital ortamda olabileceği gibi kağıt ortamında da olabilir. Ancak bu durumda kağıtta olmasının amacının bir veri tabanı oluşturmak olması gerekir.
Yok edilmesine kadar geçen süreçte kişisel verilerle yapılan diğer işlemler de kişisel veridir. Kişisel veri olma özelliğini kaybeden (örneğin anonimleştirme) verilerle yapılan işlemlerde artık kişisel verilerin işlenmesinden bahsedilemez.
Veri Kayıt Sistemi
Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi
Veri Sorumlusu
Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi
Veri Sorumluları Sicili
Kişisel verileri işleyen gerçek ve tüzel kişilerin, veri işlemeye başlamadan önce kaydolmak zorunda oldukları kamuya açık sicil sistemi
Veri İşleyen
Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi
Anonim Hale Getirme
Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi
Alıcı Grubu
Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi
İlgili Kullanıcı
Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler
- 1.Kişisel Verilerin İçeriği İle Çalışmayanlar: Veri sorumlusu organizasyonu içerisinde verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birimlerin kısacası IT çalışanlarının kişisel verilerle olan ilişkileri içeriğiyle değil varlığıyladır. Kargo taşıması yapan çalışanlar gibi taşıdıkları şeyin içeriğiyle ilgilenmeyen sadece fiziksel durumlarını değiştirenler olarak ayırmaktadır. Örneğin IT departmanındaki çalışanların bir kısmı, bekçiler, depo çalışanları kişisel verilerin içeriği ile ilgilenmezler.
- 2.Kişisel Verilerin İçeriği İle Çalışanlar: veri sorumlusu organizasyonu içinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler olarak tanımlanan kişiler kişisel verilerin içeriğiyle çalışırlar. Örneğin kasiyerler, pazarlama departmanı çalışanları, muhasebeciler, yöneticiler.
İmha
Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi
Kayıt Ortamı
Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam
Kişisel Veri İşleme Envanteri
Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter
Yönetmelikteki tanıma göre bir Kişisel Veri İşleme Envanteri'nde bulunması gerekenler:
- Kişisel veri işleme amaçları
- Veri kategorisi
- Aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturulan ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreler
- Yabancı ülkelere aktarımı öngörülen kişisel veriler
- Veri güvenliğine ilişkin alınan tedbirler
Kişisel Veri Saklama ve İmha Politikası
Veri sorumlularının, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptıkları politika
Periyodik İmha
Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi
Veri Sorumluları Sicili'ne kaydolması gerekenler ile kaydolması gerekmeyenlerin seçebilecekleri zaman aralıkları farklıdır. Yönetmelik sicile kaydolmak zorunda olanlar için daha uzun periyot kullanılmasına izin verirken, kaydolmak zorunda olmayanların imha işlemlerini daha sık yapmasını istemektedir.