Kişisel veri nedir? Tanım, örnekler ve neyin kişisel veri olmadığı

KVKK m. 3/1-d · Muhammet Çay · Yayın 2026-09-02

Kısa cevap: Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir (KVKK m. 3/1-d). Ad ve TCKN kadar, tek başına isim taşımayan IP adresi, plaka, çerez kimliği, konum ve müşteri numarası da elinizdeki diğer kayıtlarla birleştirildiğinde kişiyi işaret ediyorsa kişisel veridir. Şirket ve diğer tüzel kişilere ait bilgiler ile geri döndürülemez biçimde anonim hâle getirilmiş veriler kapsam dışıdır.

Uyarı: Bu sayfa bir dokümantasyon aracının açıklayıcı içeriğidir, hukuki görüş değildir. Kanun'un resmî metni için mevzuat.gov.tr; kendi durumunuz için bir hukukçuya danışın.

Kanun'daki yeri

Kanun'un 3. maddesi kişisel veriyi 'kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi' olarak tanımlar. Tanımın ağırlığı 'belirlenebilir' kelimesindedir: bir kayıtta isim geçmiyor olması onu kapsam dışına çıkarmaz. Ölçüt, o bilginin sizin veya makul biçimde erişebileceğiniz başka kayıtların yardımıyla bir kişiye bağlanıp bağlanamayacağıdır.

Bu yüzden IP adresi, çerez kimliği, plaka, cihaz kimliği, konum kaydı, sipariş numarası ve müşteri numarası tek başlarına anlamsız görünseler de çoğu şirkette kişisel veridir — çünkü şirketin elinde o numarayı kişiye bağlayan bir tablo zaten vardır. Aynı mantıkla, bir çalışanın kişisel cep numarası kurumsal bir sistemde tutuluyor olması onu 'şirket verisi' yapmaz (Kurul 2022/1147).

Kapsam dışında kalanlar da tanımdan çıkar: Kanun yalnız gerçek kişileri korur, bu nedenle bir şirketin unvanı, vergi numarası ve ticari bilgileri kişisel veri değildir; içinde bir gerçek kişiyi işaret eden bilgi varsa (yetkilinin adı, imzası, cep numarası) o bilgi kişisel veri olur. Geri döndürülemez biçimde anonim hâle getirilmiş veriler de Kanun kapsamı dışındadır; ancak takma adlaştırma (bir kodun arkasına saklama) anonimleştirme değildir ve veriyi kapsam dışına çıkarmaz.

Sık karıştırılan kavram: Özel nitelikli kişisel veri

Her özel nitelikli veri aynı zamanda kişisel veridir; tersi doğru değil. Özel nitelikli olanlar Kanun'un 6. maddesinde sınırlı sayıda sayılır (sağlık, biyometrik, genetik, din, ceza mahkûmiyeti, sendika üyeliği ve diğerleri) ve işleme şartları çok daha dardır. Maaş, TCKN, adres gibi veriler ne kadar hassas görünürse görünsün bu listede olmadıkları için genel kişisel veridir. Ayrım pratikte belirleyicidir: kan grubunu üyelik formuna yazan spor salonu, sıradan bir iletişim bilgisi topluyormuş gibi davrandığı için ceza almıştır (Kurul 2022/1357).

Uygulamadan örnekler

• Bir e-ticaret sitesinin sunucu kaydındaki IP adresi ve sipariş numarası → müşteri tablosuyla eşleştiğinde kişisel veridir; ziyaretçi giriş yapmamış olsa bile çerez kimliği aynı kapsama girebilir.
• Bir OSGB'nin listesindeki 'ABC Ltd. Şti., vergi no 123…' → tüzel kişi bilgisi, kişisel veri değil; aynı satırdaki 'İSG uzmanı Ayşe Yılmaz, 05xx…' → kişisel veri.
• Otoparkın plaka kayıtları → araç sahibi ya da abonelik kaydıyla eşleşebildiği için kişisel veri; kaç aracın giriş yaptığının günlük toplamı → kimseye bağlanamadığı için kişisel veri değil.

İlgili belge ve araçlar

• Özel nitelikli kişisel veri nedir?
• Kişisel veri envanteri nasıl hazırlanır
• KVKK hangi şirketler için zorunlu?
• Belge sihirbazı: şirketiniz için envanter ve metinler

Sık sorulan sorular