GDPR kapsamında kişisel veri nedir?

Lead toplama, pazarlama veya satışla uğraşıyorsanız, büyük olasılıkla şöyle bir şey düşünmüşsünüzdür:

“İnternette duruyorsa ve herkes görebiliyorsa… kullanabilirim, değil mi?”

Kısa cevap: duruma göre değişir. Nedeni de basit: GDPR, bir verinin “kamuya açık” mı yoksa “özel” mi olduğuna değil, o verinin bir kişiyi tanımlayıp tanımlamadığına (ya da tanımlayabilir olup olmadığına) bakar.

Gerçek örneklerle, jargon kullanmadan ve lafı dolandırmadan somutlaştıralım.

Önce: GDPR “kişisel veri” derken neyi kastediyor?

Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilgili her türlü bilgidir.

Önemli olan kısım “belirlenebilir” sözcüğünde. Verinin içinde “TC kimlik no” ya da “pasaport” yazması gerekmez. O veriyle doğrudan veya dolaylı olarak belirli bir kişiye ulaşabiliyorsanız, GDPR devreye girer.

Kolay (ve çok yaygın) örnekler

• Ad ve soyad
• E-posta (evet, mesleki olsa bile)
• Telefon numarası
• Birinin kimliğinin belirlenmesine imkân veriyorsa Instagram kullanıcı adı
• Bir kişiye ait olduğunda profil fotoğrafı
• IP adresi (birçok bağlamda)
• Konum verileri

Ve dikkat: bir veri tek başına kimliği belirlemese bile, diğer verilerle birleştirildiğinde birinin kimliğini belirlemeye yarıyorsa kişisel veri olabilir.

Peki bir verinin “kamuya açık” olması ne anlama geliyor?

Verinin herkesin erişimine açık olması (örneğin bir web sitesinde ya da sosyal ağda yayımlanmış olması), onun kişisel veri niteliğini ortadan kaldırmaz.

“Kamuya açık” ifadesi verinin nerede olduğunu anlatır; verinin ne olduğunu ya da nasıl kullanılabileceğini değil.

Bunu hızlı bir benzetmeyle düşünün:

• Bir evin kapısının açık olması, o evi “herkesin evi” yapmaz.
• Bir e-postanın internette görünür olması, o e-postayı “kuralsız” yapmaz.

Mesleki veriler: onlar da kişisel veri mi?

Evet, çoğu zaman. Bu nokta en çok yanlış anlaşılanlardan biri.

nombre@empresa.com türünde bir e-posta genellikle belirli bir kişiye bağlıdır (ad + soyad ya da ad + unvan). Bu da onu pratikte kişisel veri haline getirir.

E-posta daha genel olduğunda bile (örneğin info@empresa.com), durum bağlama göre değişir: arkasında kimliği belirlenebilir bir kişi varsa ya da verinin kullanımı sonunda belirli birini etkiliyorsa, GDPR'ın kapsamına girebilir.

Basit bir kural

“Bu bilgi şu kişiye ait” diyebiliyorsanız, onu kişisel veri olarak değerlendirin.

Peki şirket verileri? GDPR uygulanır mı?

GDPR şirketleri değil, gerçek kişileri korur. Ancak gerçek hayatta pek çok “şirket” verisi kişilere bağlıdır:

• “İletişim: Laura Gómez” yazan bir kurumsal web sitesi
• Bir serbest çalışanın Instagram profili
• Ad ve soyadı olan bir satış temsilcisinin e-postası

Veri kimliği belirlenebilir bir kişiyle ilişkilendirildiği anda, artık “sadece bir şirket” değildir.

Büyük hata: “Kamuya açıksa kullanabilirim”

Bu, lead toplamada sorun (ve şikâyet) doğuran klasik yanılgıdır.

Bir verinin kamuya açık olması bazı kararları etkileyebilir (örneğin kullanılan hukuki dayanağı ya da veri sahibinin makul beklentisini), ancak bu bir serbest geçiş izni değildir.

Kişisel verilerde, kamuya açık olsalar bile her zaman önemli olan ilkeler vardır:

• Amaç: onu ne için kullandığınız konusunda net olun
• Minimizasyon: yalnızca gerekli olanı kullanın
• Şeffaflık: kim olduğunuz ve neden iletişime geçtiğiniz konusunda saklambaç oynamayın
• Haklara saygı: örneğin itirazları ele almak

Hızlı kontrol listesi: bu kişisel veri mi?

Şüphedeyseniz kendinize şu soruları sorun:

• Bu veri gerçek bir kişiyi mi ifade ediyor?
• Birinin kimliğinin doğrudan veya dolaylı olarak belirlenmesine imkân veriyor mu?
• Kimlik belirlemek için başka verilerle birleştirilebilir mi?
• Veriyi kullanmam belirli bir kişiyi etkileyebilir mi?

Bir veya daha fazlasına “evet” cevabı verdiyseniz, onu kişisel veri olarak değerlendirin.

Lead toplama yapıyorsanız bunu anlamak neden ilginizi çekmeli?

Çünkü hukuki “korkuların” çoğu teknoloji kullanmaktan değil, asgari bir ölçüt olmadan veri kullanmaktan kaynaklanır.

Lead toplamada risk genellikle “bir e-posta kullanmak” değildir, şunlardır:

• gerekenden fazla veri kullanmak,
• şeffaflık olmadan iletişime geçmek,
• itiraz hakkını iyi yönetmemek,
• ya da işlemenin hukuki dayanağını gerekçelendirememek.

Kapanış: hata yapmamak için işe yarar bir fikir

GDPR'da “kişisel veri”, “gizli veri” anlamına gelmez. “Bir kişiyle bağlantı kuran veri” anlamına gelir.

Buradan sonra önemli olan yalnızca onu nereden aldığınız değil, nasıl kullandığınız, ne için kullandığınız ve hangi güvenceleri uyguladığınızdır.

Bu makale bilgilendirme amaçlıdır ve kişiye özel hukuki danışmanlık niteliği taşımaz.