İlgili Kişi Kimdir? Tüzel Kişi Verileri KVKK’ya Göre Nasıl Değerlendirilir?

1. İlgili Kişi Kavramı Nedir?

Veri koruma mevzuatında ilgili kişi, kişisel verileri işlenen gerçek kişiyi ifade eder. Yani, bir veri işleme faaliyeti sonucunda kimliği belirli veya belirlenebilir hale gelen kişi ilgili kişidir.

Bu nedenle, veri koruma yasalarının odağında tüzel kişiler değil, gerçek kişilerin özel hayatlarının gizliliği ve veri güvenliği yer alır. Yasal düzenlemeler, yalnızca gerçek kişilere ait verilerin korunacağını açıkça vurgular; tüzel kişilere ait veriler kural olarak bu kapsamın dışındadır.

2. Tüzel Kişilere Ait Veriler Neden Kural Olarak Kapsam Dışıdır?

Şirketler, dernekler, vakıflar gibi tüzel kişiler de çeşitli veriler üretir ve bu veriler işlenir. Ancak veri koruma hukuku, tüzel kişilerin değil, gerçek kişilerin temel hak ve özgürlüklerini korumayı hedeflediği için, tüzel kişiye ait veriler doğrudan kişisel veri sayılmaz.

Örneğin:

• Bir şirketin vergi numarası,
• Ticaret sicil numarası,
• Genel merkez adresi,
• Kurumsal unvanı

gibi veriler, doğrudan tüzel kişiye ilişkindir ve kural olarak kişisel veri koruma rejiminin kapsamı dışında değerlendirilir.

3. Tüzel Kişi Verilerinin Gerçek Kişiyi Belirlediği Durumlar

Her ne kadar tüzel kişi verileri kural olarak kapsam dışı olsa da, bu veriler bir gerçek kişiyi belirliyor veya belirlenebilir kılıyorsa, bu durumda kişisel veri koruma rejimi devreye girer.

Örneğin:

• Şirket ortağının, tek başına şirketi temsil etmeye yetkili bir gerçek kişi olması ve buna ilişkin bilgilerin işlenmesi,
• Tüzel kişi verisinin; belirli bir yönetici, imza yetkilisi veya hissedarla kolayca ilişkilendirilebilmesi,
• Tüzel kişi verilerinin, başka veri setleriyle birleştiğinde belirli bir gerçek kişinin kimliğini ortaya çıkarabilmesi.

Bu durumda veri seti, artık yalnızca tüzel kişiye ait bir veri olmaktan çıkar ve gerçek kişiyi belirlenebilir kılan kişisel veri niteliği kazanır. Böylece, veri işleme faaliyetinin KVKK ve benzeri düzenlemelere uygun olması zorunlu hale gelir.

4. Tüzel Kişi Verilerinde Korunma İlkesi

Tüzel kişilere ait verilerin korunmasındaki temel prensip, tüzel kişinin menfaatlerini korumak değil; bu verilerle bağlantılı gerçek kişilerin gizliliğini ve haklarını güvence altına almaktır.

Örneğin; bir tüzel kişinin sahibi, ortağı veya yöneticisi gerçek bir kişiyse, bu kişiye ilişkin bilgiler (ad-soyad, iletişim bilgisi, imza yetkisi vb.) kişisel veri niteliğindedir ve koruma kapsamındadır.

Veri koruma yönetmelikleri, belirli görev veya pozisyonlar nedeniyle atanmış ya da atanacak gerçek kişilere öncelik tanır. Bu, tüzel kişilerin hukuki konumunun yanında, o tüzel kişiyi temsil eden gerçek kişilerin verilerinin de korunmasını kapsar.

5. Tüzel Kişi Verilerinin İşlenmesi ve Sorumluluklar

Tüzel kişiye ait verilerin işlenmesi de, içinde gerçek kişiyi belirlenebilir kılan unsurlar barındırıyorsa; diğer kişisel veriler gibi yasal düzenlemelere uygun biçimde yürütülmelidir.

Bu çerçevede:

• Veri işleme amaçları açık, meşru ve belirli olmalı,
• Veri toplama ve işleme sırasında gerekli hukuki sebepler ve rızalar (gerekiyorsa) temin edilmeli,
• Verilerin güvenliği ve gizliliği için teknik ve idari tedbirler alınmalı,
• Veri ihlali durumunda ilgili kişi ve mercilere gerekli bildirimler yapılmalı,
• İlgili kişilerin erişim, düzeltme, silme gibi haklarına saygı gösterilmelidir.

Kısacası, veri seti tüzel kişi verisi gibi görünse bile, arka planda gerçek kişiye dokunduğu ölçüde veri sorumlularının aynı titizliği göstermesi beklenir.

6. Sonuç Olarak

İlgili kişi kavramı, veri koruma hukukunun merkezinde yer alır ve kişisel verileri işlenen gerçek kişileri ifade eder. KVKK ve benzeri düzenlemeler, bu kişilerin verilerini koruma altına alır.

Tüzel kişilere ait veriler, kural olarak kişisel veri koruma rejiminin dışında olsa da; bir gerçek kişiyi doğrudan veya dolaylı olarak belirlenebilir kıldığı ölçüde kişisel veri haline gelir ve koruma kapsamına girer. Bu nedenle veri işleme süreçlerinde:

• Sadece “tüzel kişi verisi” denilerek rehavet içine girilmemeli,
• Verilerin hangi gerçek kişilerle ilişkilendirilebildiği dikkatle analiz edilmeli,
• İlgili kişilerin haklarına ve veri koruma ilkelerine aynı titizlikle uyulmalıdır.

Sonuç olarak, veri koruma süreçleri; ister gerçek kişi ister tüzel kişi verisi işlensin, insan odaklı bir yaklaşımla tasarlanmalı ve ilgili kişilerin haklarına saygı temel ilke olarak kabul edilmelidir.

7. Sık Sorulan Sorular (SSS)