2. Kişisel veri ve işleme kavramları

Bir kaydın bir insanla ilişkilendirilebilmesi, ondan sonuç çıkarılması ve kimlikle bağının kaldırılması farklı incelemeler gerektirir. Kişisel veri kavramının kapsamı belirlenmeden işleme şartlarına geçildiğinde, korunan bilgiyle onu kullanan kişinin faaliyeti birbirine karışabilir. Bu bölümde önce kaydın anlamı ve belirlenebilirlik, ardından farklı veri türleriyle işleme biçimleri ele alınmaktadır. Anonimleştirme ile yalnız görünürlüğü veya erişimi değiştiren yöntemlerin son başlıkta ayrılması, sonraki saklama ve imha incelemesinin kavramsal temelini oluşturmaktadır.

2.1. Veri, enformasyon ve bilgi; olgusal bilgi, kanaat ve çıkarım

Bir işyerinin giriş kaydında “09.18” yazması, tek başına ne olduğunu açıklamaz. Bu sayının tarih, çalışan ve kart geçişiyle ilişkilendirilmesi, hangi olayın kaydedildiğini anlaşılır hâle getirir. Aynı kayıttan çalışanın işe geç kaldığı sonucuna varmak ise ayrıca mesai başlangıcını, izin durumunu ve kaydın gerçekten o çalışanın girişini gösterip göstermediğini bilmeyi gerektirir. Bir kaydı tutmak, kaydın anlamını açıklamak ve ondan sonuç çıkarmak aynı işlem değildir.

Veri, enformasyon ve bilgi kavramları bu farklılıkları anlamaya yardımcı olur. Veri, değerlendirmeye konu edilen kayıt, işaret veya gözlemi; enformasyon, bunların bağlam içinde taşıdığı anlamı açıklamak için kullanılabilir. Bilgi ise bu içeriğin anlaşılması, başka bilgilerle ilişkilendirilmesi ve kullanılması yönünü öne çıkarabilir. Bununla birlikte bu üç kavramın sınırları üzerinde tek bir kabul bulunduğu söylenemez. Bilgi bilimi alanındaki tanımlar, kavramları bazen birbirini izleyen basamaklar, bazen insanın kavrayışıyla dış dünyadaki kayıtlar arasındaki farklı ilişkiler üzerinden açıklar.¹

Bu nedenle “veri hamdır, işlenince enformasyon olur, enformasyon da bilgiye dönüşür” biçimindeki sıra, bazı süreçleri açıklayan bir model olarak kullanılabilir; her durumda geçerli bir hukuk kuralı değildir. Bir kaydın hangi aşamada daha anlamlı hâle geldiğini göstermekle, o kaydın ne zaman hukuki koruma kazanacağını belirlemek farklı sorulardır. 6698 sayılı Kanun da kişisel veriyi yalnız ham kayıtlarla sınırlamaz; tanımında gerçek kişiye ilişkin “her türlü bilgi” ifadesini kullanır. Bilgisayardaki sayısal kayıtla kişi hakkında hazırlanmış ayrıntılı değerlendirme, farklı biçimlerde olsalar da kişisel veri niteliği taşıyabilir.²

Olgusal bilgi, kanaat ve çıkarım

Olgusal bilgi, gerçekleştiği ileri sürülen bir durumu veya olayı anlatır. Bir giriş kartının belirli saatte okutulduğu kaydı buna örnektir. Kaydın olgusal olması, onun hatasız olduğu anlamına gelmez; cihaz saati yanlış olabilir veya kartı başka biri kullanmış olabilir. Dolayısıyla kaydın neyi gösterdiği ile gösterdiği şeyin doğru olup olmadığı ayrı incelenmelidir.

Kanaat, bir kişinin başka bir kişi, durum veya davranış hakkındaki değerlendirmesidir. “Çalışan dikkatli değildir” cümlesi bir giriş saatini bildirmekten farklıdır. Değerlendirme belirli gözlemlere dayanabilir; ancak hangi ölçüte göre kurulduğu ve kime ait olduğu da önem taşır. Kişisel verilerin korunması bakımından kanaatin değer taşıması için herkesçe kabul edilmiş bir gerçek olması gerekmez. Madde 29 Veri Koruma Çalışma Grubunun kişisel veri kavramına ilişkin görüşü, olgusal kayıtların yanında kredi güvenilirliği ve mesleki yeterlilik gibi alanlardaki öznel değerlendirmeleri de bilgi kavramı içinde ele alır.³

Çıkarım ise eldeki kayıtlardan hareketle doğrudan kaydedilmemiş bir sonuca ulaşılmasıdır. Geçmiş giriş saatlerinden çalışanın gelecek ay da geç kalma ihtimalinin yüksek olduğu sonucunun üretilmesi buna örnektir. İster bir insan tarafından yapılsın ister bir yazılımla üretilsin, çıkarımın gözlemlenmiş olguyla aynı şey olmadığı gözden kaçırılmamalıdır. Tahminin dayandığı kayıtlar, kullanılan ölçütler ve ulaşılan sonucun belirsizliği birbirinden ayrılmalıdır. Bir olasılık değerlendirmesini kesin gerçekleşmiş olay gibi sunmak, neyin bilindiğiyle neyin varsayıldığını karıştırır.

Bu sınıflar her zaman birbirinden bütünüyle kopuk değildir. Kanaat bir çıkarıma dayanabilir; çıkarımın sonucu başka bir işlemde yeni girdi olarak kullanılabilir. Hukuki inceleme bakımından önemli olan, ifadeyi yalnız bulunduğu sütuna yerleştirmek değildir. Gözlem, yorum ve tahminin birbirine karıştırılması kişinin nasıl değerlendirildiğini anlamayı ve hatanın nerede doğduğunu belirlemeyi güçleştirir.

Bilginin türü ile hukuki değerlendirme

Bir değerlendirme veya tahminin kişisel veri olup olmadığı, onun bu adla anılmasına göre belirlenmez. Hangi kişiyle ilişkili olduğu ve o kişinin belirli ya da belirlenebilir bulunup bulunmadığı incelenir. Örneğin “terfiye uygundur” notunun belirli çalışan hakkında tutulması hâlinde, notun öznel bir kanaat içermesi tek başına onu koruma dışına çıkarmaz. Buna karşılık belirli bir insanla bağlantısı bulunmayan soyut bir önerme, yalnız kaydedilmiş olduğu için kişisel veri olmaz.

Bilginin doğruluğunun denetlenmesi de türüne uygun yapılmalıdır. Bir sınav kâğıdındaki yanlış cevabın sonradan doğru cevaba dönüştürülmesiyle, cevabın yanlış öğrenciye ait gösterilmesinin düzeltilmesi aynı talep değildir. Avrupa Birliği Adalet Divanı, Nowak kararında sınav cevaplarının kişisel veri niteliğini kabul ederken veri düzeltme hakkının adayın yanlış cevaplarını sonradan değiştirmesine imkân vermediğini de belirtmiştir. Kişisel veri olarak korunmak, her görüşün istenilen içerikle değiştirilmesini isteme yetkisiyle özdeş değildir.⁴

Bu ayrımlar, kişisel verinin unsurlarını incelerken kayıtların yalnız biçimine veya doğruluk iddiasına bakılmasını önler. Önce bilginin ne söylediği, gözlem mi değerlendirme mi çıkarım mı içerdiği anlaşılmalı; ardından kişiyle ilişkisi ve belirlenebilirlik ölçütü uygulanmalıdır.

2.2. Kişisel verinin unsurları ve belirlenebilirlik ölçütü

Bir işyerinin araç çizelgesinde çalışanların adları bulunmasın. Çizelgede yalnız kullanılan araç, görev yeri ve mesai saati yer alsın. Bu kayıt, dışarıdan bakan biri için bir araç hareketini gösterebilir. Buna karşılık o aracı belirtilen saatte yalnız bir çalışanın kullandığını bilen iş arkadaşı, kaydın kime ilişkin olduğunu anlayabilir. İşveren de görev listesiyle bağlantı kurarak aynı sonuca ulaşabilir. İsimlerin çıkarılması, kaydın insanlarla bağlantısını mutlaka ortadan kaldırmaz.

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veriyi “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlar. Bu tanımda birbirinden ayrılması gereken sorular vardır: Ortada hangi bilgi bulunmaktadır? Bilgi hangi insanla, hukuki ifadesiyle hangi gerçek kişiyle ilişkilidir? O kişi belirlenmiş midir veya belirlenebilir mi? Öğretide tanımın iki, üç ya da dört unsur altında incelenmesi, bu soruların farklı biçimlerde gruplandırılmasından kaynaklanabilir. Unsurların sayısı üzerindeki tercih, kanuni tanıma yeni bir koşul eklememelidir.⁵

Bilginin kişisel veri niteliği: doğruluk ve gizlilik

“Her türlü bilgi” ifadesi, korumanın nüfus veya iletişim bilgileriyle sınırlı olmadığını gösterir. Bir kişinin davranışı hakkında tutulan kayıt, mesleki yeterliliğine ilişkin değerlendirme veya gelecekteki tercihleri hakkında yapılan çıkarım da tanımın diğer unsurlarını taşıyabilir. Bilginin sayıyla, yazıyla, görüntüyle veya sesle ifade edilmesi, tek başına farklı bir sonuca yol açmaz. Önemli olan, kullanılan biçimin hangi kişi hakkında ne ifade ettiğidir.⁶

Kişisel veri olmak için bilginin doğru olması gerekmez. Çalışanın işe geç geldiğini gösteren hatalı kayıt, sırf yanlış olduğu için koruma dışında kalmaz. Kayıt belirli çalışana ilişkin bir iddia taşımaktadır; yanlışlığın giderilmesi ihtiyacı da bu ilişkiden doğar. Kanunun doğru ve gerektiğinde güncel veri işleme ilkesi, bilginin kişisel veri olup olmadığından ayrı bir sorudur. Benzer şekilde, bir değerlendirmeye katılmamak, değerlendirmenin ilgili kişiye ilişkin bilgi niteliğini ortadan kaldırmaz. Avrupa Birliği Adalet Divanı da Nowak kararında sınav cevaplarını ve değerlendiricinin yorumlarını, bu bilgiler adayın bilgi ve yeterliliğini ortaya koyduğu için kişisel veri olarak ele almıştır.⁷

Gizlilik de tanımın genel koşulu değildir. Bir bilginin kamuya açık bulunmasıyla kişisel veri olması birbirini dışlamaz. Aleniyet, belirli bir işlemenin hukuki dayanağını veya kişinin korunmaya değer beklentisini etkileyebilir; fakat bu etkiler önce veri niteliğinin belirlenmesini gerektirir. Bir kişinin kendi yayımladığı iletişim bilgisinin hangi amaçla yeniden kullanılabileceği, o bilginin kişisel veri olup olmadığından sonra incelenmelidir. Ceza hukukunda özel hayatın gizliliğini ihlal suçu ile kişisel verilere ilişkin suçlar arasında yapılacak ayrım da kişisel verinin genel tanımıyla özdeş değildir.⁸

Bilginin gerçek kişiyle ilişkisi

Bir belgenin konusu doğrudan bir insan olduğunda ilişki çoğu kez açıktır. Buna karşılık nesneye, işleme veya olaya ilişkin kayıtlarda bağlantının ayrıca açıklanması gerekir. Bir aracın bakım gideri, yalnız aracın teknik durumunu gösterebilir. Aynı kayıt belirli sürücünün kullanım biçimini değerlendirmek için tutuluyorsa sürücüyle de ilişki kazanabilir. Böyle bir durumda nesneye ilişkin bilgi ile kişiye ilişkin bilgi arasında her zaman kesin bir sınır bulunmaz.

Karşılaştırmalı hukukta ilişki; bilginin içeriği, kullanılma amacı veya kişi üzerindeki etkisi üzerinden açıklanır. Bilgi doğrudan insanın bir özelliğini anlatabilir; belirli kişiyi değerlendirmek için kullanılabilir veya onun hak ve menfaatleri üzerinde sonuç doğurabilir. Bu ölçütler, her olayda birlikte bulunması gereken üç ayrı şart değildir. Nowak kararında da içerik, amaç veya etki yoluyla kurulan ilişki kabul edilmiştir. Bu yaklaşım, Türk hukukundaki “ilişkin” ifadesini açıklamakta yararlıdır; ancak yabancı bir kararın bütün sonuçları, somut Türk hukuku dayanağı incelenmeden aktarılmamalıdır.⁹

Bir bilgi aynı anda birden fazla kişiyle ilişkili olabilir. Yönetici tarafından hazırlanan çalışan değerlendirmesi, çalışanın performansı kadar yöneticinin değerlendirme faaliyeti hakkında da bilgi taşıyabilir. Bu nedenle bir belgenin tek bir kişinin verisi olduğu varsayımıyla hareket edilmemelidir. Her kişi bakımından bilginin içeriği ve bağlantısı ayrı incelenir. Aynı şekilde, şirketle ilgili bir belgenin gerçek kişi olan temsilci, çalışan veya müşteri hakkında da bilgi içermesi mümkündür. Şirketin ticari sırrının korunmasıyla gerçek kişinin kişisel verisinin korunması bu noktada farklı hukuki gerekçelere dayanabilir.¹⁰

Kişinin belirli olması ve belirlenebilirliği

Kimliğin belirli olması, kişinin ilgili bağlamda diğer kişilerden ayırt edilebilmesini ifade eder. Bunun mutlaka adın ve soyadın öğrenilmesiyle gerçekleşmesi gerekmez. İşverenin çalışan numarasını belirli çalışanla eşleştirmesi veya bir sistemin aynı kullanıcıyı önceki etkileşiminden tanıması, ismin kayıtta bulunmamasına rağmen kişiye özgü işlem yapılmasını sağlayabilir. Adın bilinememesi ile kişinin ayırt edilememesi aynı durum değildir.¹¹

Belirlenebilirlikte ise bağlantı henüz kurulmamış olmakla birlikte kurulması mümkündür. Araç çizelgesindeki kayıt görev listesiyle birleştirildiğinde belirli çalışana ulaşılması bunun örneğidir. Kanunun madde gerekçesi de mevcut verilerin başka kayıtlarla ilişkilendirilmesi yoluyla kişinin tanımlanabilir hâle gelmesini kapsar. Bu nedenle tek tek sıradan görünen bilgilerin birlikte ne gösterdiği önem taşır. Görev, zaman ve yer bilgisi tek başına geniş bir topluluğa ilişkin olabilirken birleşimleri tek bir insanı gösterebilir.¹²

Bu değerlendirme, yalnız bir veri türünün adına bakılarak yapılamaz. Bir numaranın, cihaz kaydının veya satırın benzersiz olması, onun mutlaka belirli bir insanı gösterdiğini kanıtlamaz. Ortak kullanılan araç, cihaz veya kullanıcı hesabı söz konusu olduğunda kayıtla insan arasındaki bağ ayrıca araştırılmalıdır. Buna karşılık aynı kaydın farklı verilerle birleştirilmesi, tek başına görünmeyen bağlantıyı ortaya çıkarabilir. Böylece hem “isim yoksa kişisel veri yoktur” hem “benzersiz kayıt varsa kişi mutlaka belirlenmiştir” biçimindeki otomatik sonuçlardan kaçınılır.¹³

Ek bilgi, üçüncü kişiler ve bağlam

Ek bilginin kimde bulunduğu, belirlenebilirlik tartışmasının temel sorunlarından biridir. Bir yaklaşıma göre başka bir kişinin elindeki belirleme imkânı da hesaba katılmalıdır. Diğer yaklaşım, veriyi elinde bulunduran somut aktörün bu imkânlara erişip erişemeyeceğine ağırlık verir. Tartışma, bütün ek bilgilerin aynı elde bulunmasını aramakla herhangi birinin teorik olarak kurabileceği her bağlantıyı yeterli saymak arasında somut bir değerlendirme gerektirir.

Avrupa Birliği Adalet Divanının Breyer kararında, internet sitesini ziyaret eden kişinin, internet bağlantısında kullanılan ve zaman içinde değişebilen dinamik IP adresiyle kimlik bilgisinin farklı kişilerde bulunması belirleyici olmuştur. Mahkeme, bilgilerin mutlaka tek elde toplanmasını aramamış; ek bilgiyi edinip birleştirmek için kullanılabilecek hukuki imkânı ve araçların kullanılmasının makul olasılığını incelemiştir. Bu değerlendirmede hukuki engel, gerekli zaman, maliyet ve emek önem taşır. Ancak karar, bütün IP adresleri ve bütün veri sahipleri hakkında bağlamdan bağımsız bir hüküm olarak okunamaz.¹⁴

Türk hukukundaki tanım, bu etkenleri Avrupa Birliği Genel Veri Koruma Tüzüğü’ndeki (GDPR) ayrıntıyla saymaz. Bununla birlikte kişiyi belirlenebilir kılan ilişkinin gerçekten kurulup kurulamadığı somut olayda açıklanmalıdır. Kurulun 2024/275 sayılı kararının yayımlanan özetinde, seçim anketine katılanların adlarının baş harfleri, kısmen maskelenmiş telefonları ve mahalle bilgileri birlikte değerlendirilmiştir. İsimlerin kısaltılması, kişileri tanıyan üçüncü kişilerin bağlantı kurabilmesi karşısında anonimlik sonucunu kendiliğinden doğurmamıştır. Bu örnek, veriyi yayımlayanın kullandığı etiket kadar erişebilen kişilerin bilgisine de bakılması gerektiğini gösterir; fakat tek olaydan üçüncü kişilerin bütün teorik imkânlarını sınırsızca hesaba katan genel bir ölçüt çıkarılamaz.¹⁵

Veri niteliği, aktör ve yükümlülüğün ayrılması

Aynı veriyle karşılaşan kişilerin imkânlarının farklı olması, uygulanacak yükümlülüğün de hangi aktör ve işlem bakımından incelendiğini belirlemeyi gerektirir. Doğrudan kimlik bilgilerinin yerine kod kullanılan kayıtlarda bu soru daha belirgin hâle gelir. Avrupa Birliği Adalet Divanı, 2025 tarihli bir kararında bu şekilde takma adlandırılmış verilerin her kişi için her durumda kişisel veri sayılacağı görüşünü kabul etmemiştir. Buna karşılık verileri toplayan aktörün aydınlatma yükümlülüğünü, sonraki alıcının belirleme imkânından ayrı ele almıştır. Alıcının kişiyi belirleyememesi, veriyi toplayanın toplama anındaki yükümlülüğünü kendiliğinden ortadan kaldırmaz. Kararın 2018/1725 sayılı Tüzük bağlamı ve incelenen işleme zamanı korunmalıdır.¹⁶

Türk hukuku bakımından da değerlendirmeyi “veri kişiseldir” veya “kişisel değildir” etiketinde bitirmemek gerekir. Önce hangi bilginin hangi insanla ilişkilendirildiği ve o insanın nasıl ayırt edilebildiği belirlenir. Ardından Kanunun uygulanma alanı, işlemenin amacı ve hukuki dayanağı ile aktörün yükümlülükleri incelenir. Bilginin kişisel veri olması her işlemenin yasak olduğu anlamına gelmediği gibi, belirli bir alıcıya ilişkin sınırlı bir değerlendirme de önceki bütün işlemleri koruma rejiminin dışına çıkarmaz.

Araç çizelgesine dönüldüğünde, kayıtla çalışan arasındaki bağlantıyı görev listesi kuruyorsa bu listenin nerede bulunduğu ve ona kimlerin erişebildiği önemlidir. İşverenin, iş arkadaşının ve çizelgeyi dışarıdan alan hizmet sağlayıcının bilgileri aynı olmayabilir. Kayıtları paylaşmadan önce yalnız adların silinip silinmediğini kontrol etmek bu nedenle yeterli değildir. Kişiyle bağlantının hangi bilgiler ve imkânlarla yeniden kurulabildiği ortaya konulmalıdır.

2.3. Kimlik, iletişim, konum, görüntü, ses, çevrim içi tanımlayıcı ve türetilmiş veriler

Bir ulaşım uygulamasında hesap açan kişi adını ve telefon numarasını bildirir. Yolculuk sırasında hareket noktası ve varış yeri kaydedilir; yolculuk bittikten sonra sürücü yolcuya puan verebilir. Bu örnekte kişisel veri, kişinin forma yazdığı bilgilerle sınırlı değildir. Hizmetin kullanılması sırasında oluşan kayıtlar ve kişi hakkında sonradan üretilen değerlendirmeler de incelenmelidir. Her kayıt için hangi insanla nasıl ilişki kurulduğu sorulur; verinin uygulama tarafından üretilmiş olması korumayı kendiliğinden kaldırmaz.

Kimlik ve iletişim bilgileri

Ad, soyad ve kimlik numarası kişiyi tanımaya; telefon numarası, e-posta ve adres ise ona ulaşmaya yarayabilir. Bunlar uygulamada kullanılan veri gruplarıdır; Kanundaki “her türlü bilgi” ifadesini daraltan kapalı bir liste oluşturmaz. Aynı bilgi birden fazla işlev görebilir. Telefon numarası hem iletişim kurmak hem hesaba giriş yapan kişiyi doğrulamak için kullanılabilir. İncelemede alanın adı kadar onunla ne yapıldığı da önem taşır.¹⁷

Bir iletişim adresinin kişisel veri niteliği, mutlaka o adresin resmî sahibiyle sınırlı değildir. Aile üyelerinin ortak kullandığı numara veya işyerindeki ortak e-posta hesabı bakımından, belirli iletişimin kime ilişkin olduğu ayrıca araştırılır. Belirli çalışan adına düzenlenmiş kurumsal e-posta adresi ise mesleki amaçla kullanıldığı için kişisel veri niteliğini kaybetmez. Bir şirketin genel iletişim adresiyle belirli çalışanının adresi bu nedenle aynı gerekçeyle değerlendirilmemelidir.

Konum, görüntü ve ses

Konum kaydı bir cihazın veya aracın belirli zamanda nerede bulunduğunu gösterebilir. Kaydın belirli insanla bağlantısı kurulduğunda, onun yolculuğu veya hareketleri hakkında da bilgi verir. Bir aracın konumu her durumda araç sahibinin konumu değildir; aracı o sırada kimin kullandığı önemlidir. Tek bir yer bilgisiyle zaman içinde biriken hareket dizisi de aynı kapsamda bilgi taşımaz. Kurul, araç kiralama yazılımlarına ilişkin 2021/1303 sayılı kararının yayımlanan özetinde, konum izlemenin işyeri, ikamet ve ziyaret edilen yerlerden hareketle yaşam alışkanlıklarını ve özel nitelikli bilgileri açığa çıkarabileceğine dikkat çekmiştir.¹⁸

Görüntü ve ses kayıtlarında da kişiyle bağlantı farklı yollarla kurulabilir. Yüzün tanınması, konuşanın sesinden anlaşılması veya kayıt içindeki yer ve olayın başka bilgilerle eşleştirilmesi bu bağlantıyı sağlayabilir. Yüzün görünmemesi, kaydın bütünüyle anonim olduğunu göstermez. Örneğin varsayımsal bir işyeri kaydında görev, kıyafet ve çekim saati yalnız bir çalışanı gösterebilir. Önceki başlıktaki belirlenebilirlik incelemesi burada kaydın bütününe uygulanır.

Görüntü veya sesin kişisel veri olmasıyla biyometrik veri olarak işlenmesi farklı sorulardır. Kurumun Mart 2025 tarihli biyometrik veri rehberi, fiziksel, fizyolojik veya davranışsal ayırt edici özelliklerin teknik işlemle ortaya çıkarılmasına ve bu özelliklerin kimliği tanımlamak ya da doğrulamak için kullanılmasına ağırlık verir. Bu yaklaşımda bir fotoğrafın saklanması ile yüz özelliklerinden kimlik eşleştirmesi yapılması aynı işlem değildir. Benzer şekilde, telefon görüşmesinin verilen talimatı belgelemek için kaydedilmesiyle kişinin ses özelliklerinden kimliğinin doğrulanması ayrılır. Öğretide Şıracı da görüntü ve ses örneklerini işleme amacı ve yöntemi bakımından ayırmaktadır.¹⁹

Bu ayrım, biyometrik işlem bulunmadığında özel nitelikli veri bulunamayacağı anlamına gelmez. Görüntü veya konuşma içeriği sağlık, din veya Kanunun 6. maddesinde sayılan başka bir kategoriye ilişkin bilgi taşıyabilir. Dolayısıyla “biyometrik değil” sonucu, kaydın içeriğinin ayrıca incelenmesini gereksiz kılmaz. Özel nitelikli verilerin işlenme şartları, verinin bu niteliği belirlendikten sonra uygulanır.²⁰

Çevrim içi tanımlayıcılar

IP adresi, kullanıcı hesabı numarası ve çerez içindeki tanımlayıcı, ad içermeden de çevrim içi hareketlerin ilişkilendirilmesine yarayabilir. Bununla birlikte bir cihazı veya tarayıcıyı ayırt etmekle belirli insanı ayırt etmek her zaman örtüşmez. Ortak cihaz kullanımı, hesap paylaşımı ve ek bilgilere erişim imkânı değerlendirmeyi etkiler. Breyer kararındaki dinamik IP adresi incelemesi de tanımlayıcının soyut adına değil, ilgili aktörün ek bilgiyle bağlantı kurma imkânına dayanır.²¹

Çerez, internet sitesinin kullanıcı cihazında sakladığı küçük bir metin dosyasıdır. Oturumun sürdürülmesi, tercihlerin hatırlanması veya hareketlerin izlenmesi gibi farklı amaçlarla kullanılabilir. Kurumun Temmuz 2025 tarihli çerez rehberi de yalnız kişisel veri işlenmesinde kullanılan çerezleri kapsamına alır. Bu nedenle her çerezin kişisel veri içerdiği varsayılmamalı; çerezdeki kayıt ile diğer verilerin birlikte ne gösterdiği incelenmelidir. Kişisel veri işleniyorsa hangi işleme şartına dayanılacağı ayrıca belirlenir; bütün çerezler için tek bir rıza sonucu çıkarılamaz.²²

Değerlendirmeler ve türetilmiş veriler

Kişinin bildirdiği veriyle onun hakkında üretilen veri aynı kaynaktan gelmeyebilir. Bir yolcunun puan ortalaması sürücülerin değerlendirmelerinden; bir risk tahmini ise önceki işlemlerin analizinden oluşabilir. Sonucun yeni üretilmiş olması, onu kişiye ilişkin bilgi olmaktan çıkarmaz. Kurulun 2020/65 sayılı kararının resmî özetinde yolculara verilen puanlar ve puan ortalaması kişisel veri işleme incelemesine konu olmuştur. Kararın somut puanlama faaliyetine ilişkin hukuka aykırılık değerlendirmesinden, bütün puanlama yöntemlerinin yasak olduğu sonucu çıkarılamaz.²³

Türetilen bilgi ayrıca kendi içeriği bakımından değerlendirilir. Alışveriş veya hareket kayıtlarından kişi hakkında sağlık durumuna ilişkin bir tahmin üretiliyorsa, yalnız başlangıçtaki kayıtların hangi gruba konulduğuna bakmak yeterli olmaz. Ortaya çıkan ifadenin ne söylediği, hangi kişiyle ilişkilendirildiği ve ne amaçla kullanıldığı incelenir. Tahmin, gözlemlenmiş bir olgu gibi sunulmamalıdır. Verinin bir insan tarafından değerlendirilmesi veya yazılım tarafından hesaplanması, bu ayrımları ortadan kaldırmaz; otomatik analiz sonucuna ilişkin hakların ayrıca incelenmesini gerektirebilir.²⁴

2.4. Gerçek kişi, tüzel kişiyle bağlantılı veriler ve ölen kişilere ilişkin sorunlar

Bir şirketin sözleşme dosyasında şirketin unvanı, temsilcisinin adı ve imzası birlikte bulunabilir. Bir hastane dosyası ise hasta öldükten sonra da ailesi ve mirasçıları bakımından önemini koruyabilir. Bu belgelerin kime ait olduğu sorusu tek başına yeterli değildir. Bilginin hangi kişiyle ilişkili olduğu, korunan menfaatin kime ait bulunduğu ve talebi kimin hangi sıfatla ileri sürdüğü ayrı belirlenmelidir.

Korunan gerçek kişi

Kanunun kişisel veri tanımındaki gerçek kişi, hukuk dilinde insanı ifade eder. İlgili kişi de kişisel verileri işlenen gerçek kişidir. Korumanın doğması için insanın ergin, çalışan, müşteri veya sözleşmenin tarafı olması gerekmez. Çocuk da kendi verileri bakımından ilgili kişidir. Onun haklarını hangi koşullarda kendisinin veya temsilcisinin kullanacağı ise veri niteliğinden ayrı bir meseledir. Türk Medenî Kanununun her insanın hak ehliyetini kabul etmesi ile belirli işlemleri bizzat yapabilmeye ilişkin fiil ehliyeti kuralları bu ayrımın genel hukuk zeminini oluşturur.²⁵

Şirketin verisi ile şirketteki insanların verileri

Tüzel kişi, hukuk düzeninin ayrı bir varlık olarak tanıdığı kişi veya mal topluluğudur. Şirket, dernek ve vakıf gibi tüzel kişilerin hukuki varlığı, onları 6698 sayılı Kanun bakımından ilgili kişi hâline getirmez. Kanun gerçek kişiye ilişkin bilgiyi korur. Bununla birlikte bir şirket belgesinin gerçek kişiler hakkında da bilgi taşıması mümkündür. Temsilcinin adı ve imzası, çalışanın ücreti veya müşterinin ödeme kaydı, belgenin şirketin sisteminde bulunması nedeniyle koruma dışına çıkmaz.²⁶

Bu nedenle şirketin toplam satış tutarıyla belirli çalışanın satış performansı aynı değerlendirmeye tabi değildir. İlk bilgi yalnız tüzel kişinin faaliyetini gösterebilir; ikinci bilgi belirli insanın çalışması hakkında değerlendirme yapılmasına elverişlidir. Benzer şekilde, tek başına şirketin borcunu gösteren kayıt ile o borç için kişisel güvence veren gerçek kişinin sorumluluğunu gösteren kayıt ayrılır. Belgeye bir bütün olarak “şirket verisi” etiketi koymak, içindeki gerçek kişi bilgilerini görünmez kılmamalıdır.

Bilginin korunması ile onu talep edenin sıfatı da birbirinden ayrılır. Kurulun 2018/131 sayılı kararının resmî özetinde, tüzel kişiliğe ait verilere erişim talebi Kanun kapsamında görülmemiştir. Şirket ortakları ve yetkilileri olan gerçek kişilerin verilerine ilişkin talep de bu kişiler yerine şirket tüzel kişiliği tarafından yapıldığı için 11 ve 13. maddeler kapsamında değerlendirilmemiştir. Bu sonuç, yetkililerin verilerinin kişisel veri olmadığını göstermez; somut başvuruyu yapanla bilgisi işlenen kişinin farklılığına dayanır. Temsil yoluyla hak kullanılması ayrıca incelenmelidir.²⁷

Tüzel kişinin kendisine ilişkin bilginin 6698 sayılı Kanun kapsamında kişisel veri olmaması, onun bütün hukuki korumalardan yoksun olduğu anlamına gelmez. Türk Medenî Kanununun tüzel kişilerin hak ehliyetine ilişkin düzenlemesi ve kişiliğin korunmasına yönelik genel hükümleri farklı bir koruma zemini sunar. Somut uyuşmazlıkta kişisel veri talebiyle başka bir hakka dayanan talebin dayanağı ve koşulları ayrı kurulmalıdır.²⁸

Ölüm, erişim talebi ve özel düzenleme

Türk Medenî Kanununun 28. maddesine göre kişilik ölümle sona erer. Kurul da 2019/273 sayılı kararının yayımlanan özetinde bu hükümle ilgili kişi tanımını birlikte değerlendirmiştir. Ölen eşinin tedavi bilgilerini isteyen başvurucunun talebi, verilerin başvurucunun kendisine ilişkin olmaması ve ölmüş kişiye ait bulunması nedeniyle Kanunun 11. maddesi kapsamında görülmemiştir. Bu yaklaşımda yakınlık veya mirasçılık, ölenin bütün veri haklarını aynı kapsamda kullanma sonucunu kendiliğinden doğurmaz.²⁹

Buna karşılık erişim yetkisi başka bir düzenlemeden doğabilir. Kişisel Sağlık Verileri Hakkında Yönetmeliğin 11. maddesinin birinci fıkrası, mirasçılık belgesini sunan yasal mirasçıların ölenin sağlık verilerini ayrı ayrı alabilmesini düzenler. Kurulun 2020/507 sayılı kararının resmî özetinde de ölen babanın sağlık verilerinin bu Yönetmelik kapsamında talep edilebilmesi ile Kuruma yapılan başvurunun 6698 sayılı Kanun kapsamında değerlendirilmesi ayrılmıştır. Dolayısıyla bir başvurunun bu Kanun kapsamına girmemesi, veriyi elinde tutanın her talebi aynı gerekçeyle reddedebileceği anlamına gelmez; erişimin başka bir hukuki dayanağının bulunup bulunmadığı araştırılır.³⁰

Yaşayan kişilerin kendi verileri ve ölüm sonrası koruma tartışması

Ölen kişiye ilişkin bir kayıt, yaşayan bir insanın da kişisel verisi olabilir. Bunun açık bir örneği, Kurulun 2021/241 sayılı kararının resmî özetinde görülür. Uyuşmazlık ölen eşin hayat sigortası poliçesine erişimle ilgilidir. Kurul, ölen kişinin verilerine ilişkin genel yaklaşımını korurken, sigortanın lehtarı olan kanuni mirasçıların bu sıfatları nedeniyle ilgili kişi niteliği kazandığını kabul etmiştir. Burada lehtar, sigortadan yararlanacak kişiyi ifade eder. Poliçeyi özetleyen belgede yer alan veriler mirasçılar bakımından da kişisel veri olarak değerlendirilmiş; somut olayda bu belge verilmiş olduğundan erişim hakkının sağlandığı sonucuna ulaşılmıştır.³¹

Bu ayrım yalnız sigorta ilişkisine özgü değildir. Varsayımsal bir örnekte ölen kişinin mesaj arşivi, yazıştığı ve hayatta olan insanların özel hayatına ilişkin bilgiler de içerebilir. Arşiv sahibinin ölümü, yazışmanın diğer taraflarının kişiyle ilişki ve belirlenebilirlik koşullarını taşıyan verilerini ortadan kaldırmaz. Benzer şekilde aileye ilişkin bir sağlık kaydının yaşayan yakınlar hakkında ne gösterdiği ayrıca incelenir. Böyle bir bağlantının bulunması, bütün yakınlara aynı hastalığın veya özelliğin kesin olarak yüklenebileceği anlamına gelmez.³²

Ölümden sonra kişilik değerlerinin korunmasının hangi hukuki temele dayanacağı öğretide ayrıca tartışılmaktadır. Hatırayı koruma yaklaşımı, yakınların kendi kişilik değerlerinin zedelenmesinden hareketle ölenin değerlerini dolaylı biçimde korumaya yönelir. Ölüm sonrası kişiliğin korunması yaklaşımı ise ölenin belirli değerlerinin doğrudan korunmasını savunur. Uçak bu görüşleri karşılaştırmakta ve özel bir yasal düzenleme önermektedir. Yakınların kendi haklarına dayanması, ölenin haklarının miras yoluyla geçmesi ve yeni bir koruma düzeni önerilmesi aynı hukuki açıklama değildir. Mevcut başvuru yolunun kapsamı belirlenirken bu ayrımlar korunmalıdır.³³

2.5. İşleme faaliyetleri, otomatik işleme ve veri kayıt sistemi

Bir işletme müşterisinin iletişim bilgisini kaydeder, hizmet tamamlandıktan sonra dosyayı arşive kaldırır ve bir süre sonra siler. İşletmenin artık müşteriye mesaj göndermemesi, veriyi işlemeyi bıraktığını göstermez. Verinin muhafaza edilmesi de işleme faaliyetidir. Bu nedenle kişisel veri hukukunda yalnız verinin ilk kez nasıl toplandığına veya üzerinde analiz yapılıp yapılmadığına bakılmaz; verinin elde tutulduğu ve kullanıldığı süreç birlikte incelenir.

Toplamadan saklamaya ve kullanımı engellemeye

Kanun işleme kavramını geniş tutar. Elde etme, kaydetme, depolama ve muhafaza etmenin yanında değiştirme, yeniden düzenleme, açıklama, aktarma, devralma, elde edilebilir hâle getirme, sınıflandırma ve kullanılmasını engelleme de tanımda sayılır. Sayımın sonunda yer alan “gibi” sözcüğü, bunların sınırlı bir liste oluşturmadığını gösterir. Öğretide Turan Başara da tanımı, elde etme ve saklamadan imhaya kadar veriler üzerinde gerçekleştirilen işlemleri kapsayan bir süreç olarak açıklamaktadır.³⁴

Gündelik dilde “işlemek” çoğu zaman bir malzemeyi değiştirerek yeni bir ürün elde etmeyi çağrıştırır. Kanundaki kavram bu anlamla sınırlı değildir. Veri üzerinde yeni bir hesaplama yapılmaması veya içeriğin değiştirilmemesi, saklama ya da aktarım faaliyetini işleme olmaktan çıkarmaz. Örneğin müşteri listesinin olduğu gibi bir hizmet sağlayıcıya gönderilmesinde de kişisel veriyle ilgili yeni bir işlem gerçekleşir.

Son satırdaki ayrım özellikle önemlidir. Bir işlemin kişinin korunmasına hizmet etmesiyle işleme sayılması birbiriyle çelişmez. Kanun zaten belirli koşullarda silme, yok etme veya anonim hâle getirme öngörür. İşlemenin amacı ve hukuki dayanağı, işlemin kavramsal olarak var olup olmadığından sonra değerlendirilir.³⁵

İnsan müdahalesi ve otomatik işleme

Kanunun kapsamı, kişisel verilerin tamamen veya kısmen otomatik yollarla işlenmesini içerir. Kısmen otomatik işleme de kapsandığı için insanın sürece katılması, işlemi kendiliğinden kapsam dışına çıkarmaz. Bir çalışanın müşteri bilgilerini bilgisayar programına girmesi, bu bilgilerin programda saklanması ve aranabilmesi buna örnektir. İşlemin başında insanın bulunmasıyla sonraki aşamalarda teknik araçların kullanılması birlikte ele alınmalıdır.³⁶

Burada otomatik işleme ile yalnız otomatik analiz sonucunda kişi aleyhine karar verilmesi aynı kavram değildir. Bir kaydın bilgisayarda tutulması, herhangi bir puanlama veya olumsuz karar bulunmadan da işleme oluşturabilir. Kanunun 11. maddesinde düzenlenen, verilerin münhasıran otomatik sistemlerle analizi sonucunda kişinin aleyhine sonuç çıkmasına itiraz hakkı ise daha özel bir duruma ilişkindir. Bu hakkın koşulları bütün otomatik işleme faaliyetlerinin tanımına eklenmemelidir.³⁷

Otomatik olmayan kayıtların sistemle ilişkisi

Kişisel verilerin yalnız kâğıtta tutulması da Kanunun uygulanmasını mutlaka dışlamaz. Otomatik olmayan işleme bakımından veri kayıt sisteminin parçası olma koşulu aranır. Kanun veri kayıt sistemini, kişisel verilerin belirli ölçütlere göre yapılandırılarak işlendiği kayıt sistemi olarak tanımlar. Buradaki sistemin mutlaka bir yazılım veya elektronik veri tabanı olması gerekmez. Çalışan adına göre düzenlenmiş fiziksel özlük dosyaları veya hasta numarasına göre erişilebilen kâğıt dosyalar bu yapıyı gösterebilir.³⁸

Önemli olan yalnız kâğıtların aynı dolapta bulunması değildir. Hangi ölçüte göre düzenlendikleri, kayıtlar arasında nasıl bağlantı kurulduğu ve belirli kişiye ilişkin bilginin nasıl bulunabildiği araştırılır. Turan Başara, belirli ölçütlerle tutulan hastane doğum kayıtlarını sistem içinde işlemeye; bir telefon numarasının arızi olarak kâğıda yazılmasını ise sistem bulunmayan duruma örnek verir. Ancak somut olayda o kâğıdın başka bir kayıt düzeninin parçası olup olmadığı da kontrol edilmelidir. Tek bir sayfanın incelenmesi, sayfanın bağlı olduğu bütünü görmeye yetmeyebilir.³⁹

Otomatik olmayan bir kaydın veri kayıt sisteminin parçası olmamasıyla içindeki bilginin kişisel veri olmaması farklı sonuçlardır. Bir kişinin telefon numarası, sistem koşulu bulunmadığı için o insanla ilişkisini kaybetmez. Koşul burada Kanunun söz konusu işleme faaliyetine uygulanması bakımından önem taşır. Diğer hukuk hükümlerine göre koruma veya sorumluluk bulunup bulunmadığı ayrıca incelenir; Kanun kapsamı dışında kalmak, hukuka aykırı kullanıma genel izin oluşturmaz.⁴⁰

İşlemenin tespiti, hukuki sıfat ve hukuka uygunluk

Bir faaliyet işleme olarak nitelendirildikten sonra inceleme tamamlanmış olmaz. Hangi verinin, kim tarafından, hangi amaç ve araçlarla işlendiği belirlenmelidir. Veriyi elde etmek, kurum içinde saklamak ve başka bir alıcıya göndermek farklı sorular doğurabilir. İlk toplama işleminin bir hukuki dayanağının bulunması, sonraki her kullanımın aynı gerekçeyle hukuka uygun olduğunu göstermeye yetmez.

Ayrıca kişisel veri işleyen herkes, Kanundaki teknik anlamıyla “veri işleyen” sıfatını taşımaz. Bu sıfat, veri sorumlusunun verdiği yetkiye dayanarak onun adına işlem yapan aktöre ilişkindir. İşlemenin amaç ve araçlarını belirleyen veri sorumlusu da kişisel veri işler. Dolayısıyla yapılan faaliyetin adı ile aktörün hukuki sıfatı ayrı belirlenmeli; işleme kavramından doğrudan doğruya bir rol veya sorumluluk sonucu çıkarılmamalıdır.⁴¹

2.6. Anonimleştirme, takma ad kullanımı, maskeleme ve şifreleme arasındaki ayrımlar

Bir işveren, çalışanlarına ilişkin değerlendirme tablosunu paylaşmadan önce adları kaldırabilir, çalışanlara kod verebilir, ekrandaki bazı alanları yıldızlayabilir veya dosyayı şifreleyebilir. Bu işlemler aynı sonucu doğurmaz. Kimisinin işlevi veriyi daha az görünür kılmak, kimisinin işlevi bağlantıyı ek bilgiye bağlamak, kimisinin hedefi ise kişiyle ilişkiyi ortadan kaldırmaktır. Hukuki değerlendirme, kullanılan işlemin adına değil ortaya çıkan kayıt ve bağlantılara dayanmalıdır.

Anonimleştirme ile takma ad kullanımı

Kanun’un anonim hâle getirme tanımı, başka verilerle eşleştirilse dahi bilginin kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilememesini esas alır. İmha Yönetmeliği de geri döndürme ve başka verilerle eşleştirme gibi, kayıt ortamına ve faaliyet alanına uygun teknikler kullanıldığında aynı sonucun korunmasını arar. Dolayısıyla adların silinmesi, anonimleştirme sonucuna ulaşmak için tek başına yeterli bir ölçüt değildir; geriye kalan bilgilerin birlikte kimi gösterebildiği de incelenir.⁴²

Takma ad kullanımında ise kişinin adı veya başka doğrudan tanımlayıcısı yerine bir kod kullanılabilir; kodun hangi kişiye karşılık geldiği ek bilgiyle kurulabilir. Örneğin “Çalışan K17” kaydının hangi kişiye ait olduğunu gösteren eşleştirme listesi işverende duruyorsa, işveren bakımından kişiyle bağlantı kaybolmamıştır. Listeye erişimin sınırlandırılması önemli bir koruma sağlayabilir; fakat işverenin bu verileri bütünüyle anonim kabul etmesini sağlamaz. Öksüzoğlu da takma ad verme ile anonimleştirmeyi, kimliğin belirlenmesi ihtimalinin kalıcı biçimde engellenip engellenmemesi bakımından ayırmaktadır.⁴³

Ek bilgi yalnız bir kod listesinden ibaret değildir. İsimler ve eşleştirme listesi çıkarılsa bile görev, çalışma yeri ve zaman gibi bilgiler belirli çalışanı gösterebilir. Bu nedenle kod listesini kaldırmakla bütün belirlenebilirlik sorunlarının çözüldüğü varsayılmamalıdır. Anonimleştirmede incelenen sonuç, doğrudan tanımlayıcının görünmemesinden daha geniştir; belirlenebilirliğin bağlam içindeki ölçütleri yukarıda 2.2’de açıklanmıştır.

Maskeleme ve şifrelemenin farklı işlevleri

Maskeleme, belirli alanların silinmesi, kapatılması veya yıldızlanması gibi işlemlerle görünür bilgiyi azaltabilir. Ancak bir ekranda telefon numarasının bir kısmının gizlenmesi, arka plandaki tam kaydın ortadan kalktığını göstermez. Ayrıca maskelenmeyen alanlar birlikte kişiyi belirlenebilir kılabilir. Bu nedenle maskelemenin bir anonimleştirme yönteminin parçası olabilmesiyle, her maskeleme uygulamasının anonim sonuç üretmesi ayrı tutulmalıdır. Kurum rehberi de yöntemlerin uygulanmasının ardından verinin belirli kişiyi tanımlayamaz olması gerektiğini belirtir.⁴⁴

Şifreleme, içeriği uygun çözme imkânı olmadan okunamayacak biçime dönüştürür; anahtar, içeriğin yeniden okunabilmesi bakımından belirleyicidir. Eşleştirme listesinin bir kodla insan arasında bağlantı kurması ile şifre çözme anahtarının içeriği okunabilir kılması aynı teknik işlem değildir. Bununla birlikte işverenin anahtarla dosyayı açıp belirli çalışana ilişkin bilgiye ulaşabildiği örnekte, dosyanın şifreli saklanması kişisel veri niteliğini ortadan kaldırmaz. Korunan şey erişimdir; kişiyle bağlantı işveren bakımından sürmektedir.⁴⁵

Anahtarı elinde bulundurmayan bir alıcının durumu ayrıca tartışılabilir. Spindler ve Schmechel, Avrupa Birliği hukuku bakımından, anahtara ve diğer belirleme araçlarına makul biçimde ulaşamayan aktör için şifreli verinin anonim sayılabilmesi görüşünü savunur. Bu, “şifrelenen her veri anonimdir” önermesi değildir; aktörün imkânlarına bağlı bir yaklaşımdır. Üstelik alıcının bağımsız hareket etmesiyle veri sorumlusunun talimatı altında işlem yapması da aynı değildir. EDPB’nin 2026’da görüşe açtığı anonimleştirme metni bu rol ayrımını özellikle ele alır. Bu karşılaştırmalı tartışma, Türk hukukundaki tanımın ve imha koşullarının yerine doğrudan geçirilemez.⁴⁶

Yöntem, sonuç ve işlemenin hukuka uygunluğu

Bu dört kavramı ayırmak için, hangi alanın değiştirildiği kadar hangi bağlantının korunduğu da sorulmalıdır. Aşağıdaki tablo, işverenin elindeki çalışan verisi örneğine ilişkindir; yöntemin her uygulamada aynı hukuki sonucu doğurduğu anlamına gelmez.

Anonim bir çıktı elde edilmesiyle o çıktıyı üretirken yapılan işlemler de ayrılmalıdır. Henüz kişiyle bağlantılı kayıtların seçilmesi, bir araya getirilmesi ve dönüştürülmesi kişisel veri üzerinde gerçekleşir. Sonucun kişisel veri tanımını artık taşımaması, önceki toplama veya kullanımın hukuka aykırılığını geriye dönük olarak gidermez. EDPB’nin görüşe açık metni de anonim bilgi elde etmeye yönelik işlemlerin veri koruma gereklerinden bağımsız olmadığını açıklar; Türk hukukunda bu ayrım, Kanun’un işleme tanımı ve genel hükümleri birlikte okunarak kurulmalıdır.⁴⁷

Sonuç ile elde tutulan asıl nüsha da karıştırılmamalıdır. Anonim olduğu belirlenen bir istatistik çıktısının yanında çalışanların adlarını ve değerlendirmelerini içeren asıl dosya korunuyorsa, bu dosyaya ilişkin saklama ve güvenlik soruları devam eder. İmha yükümlülüğünün hangi kayıt bakımından yerine getirildiği, yalnız bir çıktı üretilmiş olmasına bakılarak belirlenemez. Teknik işlem, hukuki sebep ve geriye kalan kayıt birlikte incelenmelidir; silme, yok etme ve anonimleştirmenin imha sürecindeki uygulanması aşağıda 14. bölümde ele alınmaktadır.⁴⁸