Kişisel Verileri Koruma Kurumu Tarafından Yayımlanan T.C. Kimlik Numaralarının İşlenmesi Hakkında Rehber

Türkiye Cumhuriyeti Kimlik Numarası (T.C. Kimlik Numarası) bilgileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) tarafından genel nitelikte kişisel veri olarak kabul edilir. Ancak, uygulamada, farklı verilerin işlenmesi ile elde edilebilecek sonuç aynı iken, doğrudan T.C. Kimlik Numarası verilerinin işlenmesinin, kişinin diğer kişisel verilerine erişmesine izin vermesi nedeniyle eleştirilmekteydi.

TC Kimlik Numaralarının işlenmesinin çok hassas bir konu olduğu tartışmasızdır. Kişisel Verileri Koruma Kurulu’nun (Kurul) yakın zamanlı bir kararında, (TC Kimlik Numarasının yemek kartı hizmeti sunan veri sorumlusuna ait mobil uygulamada işlenmesi hakkında karar), TC Kimlik Numarasının genel nitelikte kişisel veri kategorisinde yer almasına rağmen, genel nitelikte diğer kişisel verilere göre daha önemli bir veri olduğunu ve veri ihlali durumunda ilgili kişiler için daha büyük zararlara yol açabileceğini belirtti. Ayrıca, ilgili kişilerin haklarını daha az sınırlayan diğer verilerin işlenmesinin TC kimlik numarası işlenmesine kıyasla daha uygun olduğu; bu suretle, TC kimlik numarasının işlenmesinin Kanun’da belirtilen genel ilkelerden kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine, Kanun’da belirtilen genel ilkelere aykırıdır. Bu nedenle, ilgili karar, aynı amaca T.C. kimlik numarası işlenmeden de ulaşılabilir.

Veri sorumluları tarafından uygulamada çok sayıda örnekte TCKN doğrudan işlenmesine ilişkin eleştiri ve şikâyetlerin artması nedeniyle Kişisel Verileri Koruma Kurumu (Kurum) tarafından 16 Ocak 2024 tarihinde TCKN işlenmesinde dikkat edilmesi gereken hususlar hakkında bir Rehber yayınlandı.

Rehber, TC Kimlik Numarasının resmi, özgün ve değiştirilemez nitelikte olduğu ve ilgili kişilerin diğer kişisel verilerine erişmesini kolaylaştırdığı için veri sorumluları tarafından işlenmesinin tercih edildiğini belirtiyor. Bununla birlikte, Kurul kararları ile birlikte, TC Kimlik Numarası’nın özel nitelikli kişisel veriler arasında yer almamasına rağmen, ilgili kişiler üzerinde zararlı bir etkisi olabilir. Bu nedenle, genel nitelikli kişisel veriler arasında yer alsa da, özel nitelikli kişisel veriler arasında yer almamasına rağmen, bunlardan daha önemli olduğu belirlenmiştir.

Rehber ayrıca, Kanun’un 4. Maddesi’nde yer alan genel ilkelerden, kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ilkesi hakkında daha fazla bilgi vermektedir. T.C. Kimlik Numarası işlenmesinin, başka bir kişinin kişisel verilerini işleyerek aynı amaca ulaşmak mümkün iken, T.C. Kimlik Numarası işlenmesinin ilgili kişilerin kişisel verilerinin korunmasını isteme hakkını daha da kısıtlayacağı ve gereklilik ve orantılılık ilkelerini ihlal edeceği tespit edilmiştir. Bu nedenle, Rehber, bir mobil uygulamada kişinin kimliğini doğrulamak için telefon numarasını kullanmanın mümkün olduğunu ancak TC kimlik numarası kullanımının gereklilik ve orantılılık ilkelerine aykırı olduğunu göstermektedir. Ayrıca, kişisel verilerinin korunmasına daha az müdahale eden yöntemlerin tercih edilmesi gerektiği vurgulanmaktadır.

Rehberin devamında, veri işleme faaliyetleri için TC Kimlik Numarası’nın işlenmesinin ve ibraz edilmesinin gerektiği haller aşağıdaki şekilde sıralanmıştır: