Kişisel veriler: örnekler ve açıklamalarla eksiksiz rehber

Kişisel veriler (KV), doğrudan veya dolaylı olarak belirlenmiş bir gerçek kişiyle ilgili herhangi bir bilgidir. Daha basit ifadeyle, eğer bir bilgi kümesi kimden bahsedildiğini anlamayı mümkün kılıyorsa (isim belirtilmese bile), bu kişisel veridir. Bunlar sadece pasaport bilgilerini değil, çerezleri (cookie), IP adreslerini, satın alma geçmişini ve konum verilerini de kapsar.

Bu makalede yasal tanımı ele alacak, dijital ortamdan güncel örnekler verecek ve hangi verilerin özel koruma gerektirdiğini açıklayacağız.

Yasal tanım ve kriterler

Rusya Federasyonu'nda temel düzenleme, 152 sayılı Federal Kanun "Kişisel Veriler Hakkında" ile yapılmaktadır. Bu kanunun 3. maddesine göre kişisel veriler, doğrudan veya dolaylı olarak belirlenmiş veya belirlenebilir bir gerçek kişiye (kişisel veri öznesine) ilişkin herhangi bir bilgidir.

Anahtar kriter tanımlanabilirliktir.

1. Doğrudan tanımlama: Veriler bir kişiyi kesin olarak işaret eder (ad-soyad, vergi kimlik numarası, sigorta poliçe numarası).
2. Dolaylı tanımlama: Veriler kendi başına anonimleştirilmiş olabilir, ancak başka bilgilerle birleştirildiğinde kimliği belirlemeye olanak tanır. Örneğin, küçük bir şehirde "X Şirketinin Genel Müdürü" unvanı belirli bir kişiyi kesin olarak işaret edebilir.

Kişisel verilere tam olarak neler dahildir: örnekler

Teknolojiler geliştikçe kişisel veri listesi kapalı değildir. Ancak en sık karşılaşılan ana veri gruplarını belirleyebiliriz.

1. Temel tanımlayıcılar

• Soyadı, adı, babasının adı.
• Doğum tarihi ve yeri.
• Pasaport serisi ve numarası, sürücü belgesi.
• Vergi kimlik numarası, sosyal güvenlik numarası.
• Kayıt adresi ve fiili ikamet adresi.

2. İletişim ve dijital izler

• Cep telefonu numarası.
• E-posta adresi (özellikle kurumsal veya ad içeren, örneğin [email protected]).
• IP adresi.
• Çerezler (cookie) ve tarayıcı oturum verileri.
• Konum verileri (hareket geçmişi, harita işaretlemeleri).
• Sosyal ağlarda ve mesajlaşma uygulamalarındaki takma adlar (nicknames), eğer hesabı gerçek bir kişiyle ilişkilendirmeye olanak tanıyorlarsa.

3. Biyometrik veriler

Bunlar, bir kişinin fizyolojik ve biyolojik özelliklerini karakterize eden ve kimliğinin tespitinde kullanılan bilgilerdir.

• Parmak izleri.
• Göz retinası veya iris taramaları.
• Fotoğraflar ve video kayıtları (eğer otomatik kimlik doğrulama için kullanılıyorsa, örneğin FaceID sistemi).
• Ses örnekleri.

4. Özel (hassas) kategori veriler

Kanun, işlenmesi yalnızca katı istisnai durumlarda izin verilen verileri ayırır (152-FZ'nin 10. maddesi). Bunlar şunlarla ilgili bilgilerdir:

• Irksal ve ulusal köken.
• Siyasi görüşler.
• Dini ve felsefi inançlar.
• Sağlık durumu (teşhisler, muayene sonuçları).
• Özel hayat.
• Sabıka kaydı.

5. Mesleki ve finansal veriler

• Çalıştığı yer, unvan, maaş seviyesi.
• Banka kartı bilgileri (buradaki temel koruma ödeme sistemlerinin standartlarıyla düzenlenmesine rağmen, bu veriler de kişisel veridir).
• Sipariş ve satın alma geçmişi.

Kişisel veri olmayanlar

Her insan bilgisi kişisel veriler yasası kapsamında korunmaz. İstisnalar şunlardır:

1. Anonimleştirilmiş veriler. Belirli bir kişinin kimliğinin geri izlenemeyeceği istatistikler. Örneğin, "Uygulamamızın kullanıcılarının %60'ı 25-30 yaş arası erkeklerdir."
2. Kuruluşlarla ilgili bilgiler. Şirket adı, tüzel kişinin vergi kimlik numarası, ofis adresi — bunlar kişisel veri değildir, çünkü özne tüzel kişiliktir, gerçek kişi değil.
3. Bireysel girişimcilerin ve tüzel kişilerin iletişim bilgileri. E-posta genel şirket iletişimi olarak belirtilmişse ([email protected]) veya telefon satış departmanıyla iletişim için kuruluşun web sitesinde verilmişse, bu genellikle doğrudan kişiliğine bağlı olmadıkça belirli bir çalışanın kişisel verisi olarak kabul edilmez.

Kişisel verilerle çalışırken sık yapılan hatalar

Birçok web sitesi sahibi ve işletme yasayı istemeden ihlal eder. İşte en yaygın hatalar:

• Gereğinden fazla veri toplamak. Hizmet için gerekli olmayan yerlerde babasının adını veya doğum tarihini belirtmeyi talep etmek (örneğin, haber bültenine abone olurken). Veri minimizasyonu ilkesi ihlal edilir.
• Onayın olmaması. "Kişisel verilerin işlenmesine onay veriyorum" kutucuğu ve gizlilik politikasına bağlantı olmadan geri bildirim formu yayınlamak.
• Verileri "sonsuz" saklamak. Veri silme sürelerinin olmaması. Kanun, işleme amaçlarına ulaşıldığında kişisel verilerin silinmesini gerektirir.
• Bildirim yapmadan verileri üçüncü taraflara aktarmak. Gizlilik politikasında bunu yansıtmadan, müşteri veritabanlarına erişim sağlayan üçüncü taraf analiz veya bülten hizmetlerinin kullanılması.
• Güvensiz saklama. Şifreleri ve müşteri veritabanlarını şifrelemeden herkese açık sunucularda açık biçimde saklamak.

SSS: Popüler sorulara yanıtlar

Veriler açık kaynaklardan alındığında işleme için onay gerekir mi? Evet, genel kural onay gerektirir. Ancak istisnalar vardır: veriler kamuya açıksa (örneğin rehberler) ve kişi bunları kendisi yayınladıysa, işleme mümkündür, ancak veri öznesi kullanımlarını yasaklama hakkına sahiptir. Her durumda, operatör veri kullanımının vatandaşın haklarını ihlal etmediğinden emin olmalıdır.

IP adresi kişisel veri midir? Evet, Roskomnadzor'un pozisyonuna ve yargı uygulamasına göre, IP adresi kullanıcıyı dolaylı olarak tanımlamaya olanak tanır (sağlayıcı, yaklaşık konum, cihaz). Bu nedenle, çerez banner'ları ve sunucu günlükleri aracılığıyla IP adreslerinin toplanması düzenlemeye tabidir.

Müşteri verilerinin silinmesini isterse ne yapılmalı? Operatör, saklama için başka yasal dayanak yoksa (örneğin, vergi kanununun işlem verilerini 5 yıl saklama gerekliliği gibi), 152-FZ'ye göre 30 günü aşmayan bir sürede işlemeyi durdurmak ve verileri imha etmekle yükümlüdür.

Web sitesinde veri toplama nasıl doğru şekilde düzenlenir?

1. "Gizlilik Politikası"na bir bağlantıyı footer'a ve her veri toplama formunun yanına yerleştirin.
2. Kullanıcının aktif olarak işaretlemesi gereken onay metni içeren bir onay kutusu (checkbox) ekleyin (önceden işaretli kutu ihlal riski taşır).
3. Politikada veri toplama amaçlarını belirtin.

Özet

Kişisel veriler, açık pasaport bilgilerinden internetteki dijital izlere kadar geniş bir bilgi yelpazesidir. Bunlarla çalışmanın temel ilkesi: yasallık, adalet ve şeffaflık. Gerçekten ihtiyaç duyulanı toplayın, güvenli bir şekilde saklayın ve kullanıcıların bilgilerini kontrol etmelerine olanak tanıyın. Bu kurallara uyulması sadece cezalardan korunmanızı sağlamakla kalmaz, aynı zamanda müşterilerinizin markanıza olan güvenini de artırır.