Özel Nitelikli Kişisel Veri Nedir?

Özel Nitelikli Kişisel Veri Nedir?

İlgili hizmet sayfası → Fikri Mülkiyet Avukatı: Marka, telif, haksız rekabet ve dijital hukuk uyuşmazlıkları için hizmet sayfası.

Kısa cevap: Özel nitelikli kişisel veriler, öğrenilmesi halinde ilgili kişi hakkında ayrımcılık veya mağduriyet doğurma riski taşıdığı için kanunla ayrı bir korumaya alınan verilerdir. KVKK md. 6/1 bu verileri tek tek sayar; liste kapalıdır ve yorum yoluyla genişletilmez¹.

Bu verilerin işlenmesi, olağan kişisel verilerden farklı bir şart listesine ve ek güvenlik tedbirlerine bağlıdır. KVKK md. 5/2'deki genel hukuka uygunluk sebepleri burada doğrudan uygulanmaz.

---

1. Kanunun Saydığı Kategoriler

KVKK md. 6/1 uyarınca özel nitelikli kişisel veriler şunlardır: kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

Listenin kapalı olması iki yönlü sonuç doğurur. Bir yandan, hassas görünen ancak listede yer almayan veriler bu rejime girmez; mali durum, kredi notu ve konum bilgisi özel nitelikli sayılmaz. Diğer yandan, listedeki bir kategoriye giren veri hangi bağlamda işlenirse işlensin özel niteliğini korur.

İki kategori uygulamada sıkça gözden kaçar. Biyometrik veri, kişiyi tekil olarak tanımlamaya elverişli fiziksel veya davranışsal özelliklerin işlenmesiyle oluşur; parmak izli giriş sistemleri, yüz tanıma ve avuç içi damar okuma bu kapsamdadır. Ceza mahkumiyeti ve güvenlik tedbiri verisi ise adli sicil kaydını kapsar; işe alımda rutin biçimde istenen adli sicil belgesi, özel nitelikli veri işleme faaliyetidir.

Önemli: Bir verinin özel nitelikli olup olmadığı, içeriğinden çıkarılabilecek sonuca göre de belirlenir. Yalnızca izin türünü gösteren bir devamsızlık kaydı olağan veridir; ancak raporun teşhisi veya ilaç bilgisini içermesi halinde kayıt sağlık verisine dönüşür. İnsan kaynakları süreçlerinde bu geçiş çoğunlukla fark edilmeden gerçekleşir.

---

2. 2024 Değişikliği Sonrası İşleme Şartları

KVKK md. 6, 2024 yılında 7499 sayılı Kanunla yeniden düzenlenmiştir. Önceki metinde sağlık ve cinsel hayat verileri diğer özel nitelikli verilerden ayrı bir rejime tabiydi; değişiklikle bu ikilik kaldırılmış ve tüm kategoriler için ortak bir şart listesi kurulmuştur.

Güncel düzenlemeye göre özel nitelikli kişisel veriler şu hallerde işlenebilir:

• İlgili kişinin açık rızasının bulunması
• Kanunlarda açıkça öngörülmesi
• Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumdaki kişinin veya bir başkasının hayatı ya da beden bütünlüğünün korunması için zorunlu olması
• İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
• Sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması
• Siyasi, felsefi, dini veya sendikal amaçlı vakıf, dernek ve kar amacı gütmeyen kuruluşların, mevzuata ve amaçlarına uygun faaliyetleri kapsamında, mevcut veya eski üyeleri ile düzenli temasta olduğu kişilere yönelik olması ve üçüncü kişilere açıklanmaması

Değişikliğin pratik sonucu, sağlık verisi bakımından işveren tarafındaki alanın netleşmesidir. Önceki metinde işverenin sağlık verisi işlemesi büyük ölçüde açık rızaya sıkışmışken, güncel düzenleme istihdam ve iş sağlığı güvenliği yükümlülüklerini ayrı bir dayanak olarak tanımlar. İş ilişkisindeki uygulama çerçevesi çalışan kişisel verileri nasıl işlenir başlığındadır.

---

3. Ek Güvenlik Tedbirleri

İşleme şartının varlığı tek başına yeterli değildir. KVKK md. 6/4 uyarınca özel nitelikli kişisel verilerin işlenmesinde ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması zorunludur.

Kurulun belirlediği önlemler üç başlıkta toplanır. İdari tedbirler: veriye erişen personel için özel eğitim, gizlilik taahhüdü, yetki kapsamının açıkça tanımlanması, yetki değişikliklerinde erişimin derhal kapatılması. Teknik tedbirler: verinin şifreli saklanması, şifre anahtarlarının ayrı ortamda tutulması, erişim loglarının düzenli tutulması, güvenlik güncellemelerinin takibi. Aktarım tedbirleri: elektronik ortamda kriptografik yöntemlerle aktarım, fiziki ortamda evrak güvenliği ve kilitli taşıma.

Bu önlemler alınmadan yapılan işleme, geçerli bir şarta dayansa dahi KVKK md. 12 ihlali oluşturur. Kişisel Verileri Koruma Kurulu'nun yerleşik yaklaşımında, özel nitelikli veri içeren ihlallerde yaptırım takdiri verinin niteliği nedeniyle üst sınıra yaklaşmaktadır.

---

4. Aktarım ve İmha Rejimi

Özel nitelikli verilerin aktarımı, olağan verilerden ayrı bir dikkat gerektirir. Yurt içi aktarımda KVKK md. 8 uyarınca md. 6'daki şartların varlığı aranır. Yurt dışına aktarımda ise md. 9'un kademeli yapısı işler; yeterlilik kararı yoksa uygun güvence, o da yoksa arızi hal koşulu sağlanmalıdır. Bulut tabanlı insan kaynakları veya sağlık yazılımı kullanan işletmelerde bu zincir çoğunlukla eksik kurulur. Aktarım çerçevesi yurt dışına kişisel veri aktarımı nasıl yapılır başlığındadır.

İmha tarafında da özel bir hassasiyet vardır. Saklama süresi dolan özel nitelikli veriler, KVKK md. 7 uyarınca silinir, yok edilir veya anonim hale getirilir. Anonim hale getirmede geri döndürülebilirlik riski bu veri türünde daha ağır sonuç doğurur; kısmi maskeleme çoğunlukla yetersiz kalır. Yöntem farkları kişisel veri anonim hale getirme nedir başlığında açıklanmıştır.

---

Uygulamada

Şirketlerin ilk hatası, özel nitelikli veriyi işlediklerinin farkında olmamalarıdır. Envanter çalışmalarında en sık atlanan kalemler şunlardır: işe giriş sağlık raporu, adli sicil belgesi, engelli istihdam kaydı, sendika aidatı kesintisi gösteren bordro satırı, yemekhanede tutulan diyet tercihi ve parmak izli devam kontrol sistemi. Bu kalemler tespit edilmeden alınan güvenlik tedbirleri hedefini bulmaz.

İkinci hata, biyometrik giriş sistemlerinin ölçülülük testinden geçirilmemesidir. Kurul yaklaşımında biyometrik veri işleme, aynı amaca kartlı veya şifreli sistemle ulaşılabildiği hallerde ölçüsüz sayılmaktadır. Sisteme geçmeden önce alternatiflerin değerlendirildiğini gösteren yazılı bir gerekçe hazırlanmalı, çalışana biyometrik olmayan bir seçenek sunulmalıdır. Aksi halde alınan rıza özgür irade unsurunu taşımaz.

Üçüncü hata, açık rızanın refleks olarak kullanılmasıdır. İstihdam ilişkisinde rıza, çalışanın işverene bağımlılığı nedeniyle tartışmalıdır. 2024 değişikliğinden sonra istihdam ve iş sağlığı güvenliği yükümlülükleri ayrı bir dayanak sunduğuna göre, rıza yerine bu dayanağa geçilmesi hem hukuken güçlü hem de operasyonel olarak sürdürülebilirdir.

Dördüncü nokta erişim yetkisidir. Özel nitelikli veriye kimin eriştiğini gösteren log kaydı tutulmuyorsa, bir ihlal iddiasında veri sorumlusunun savunma imkanı fiilen kalmaz. Erişim kaydı, hem ihlal tespitinin hem de sorumluluğun sınırlandırılmasının tek aracıdır.

---

İlgili içerikler için bkz. Haksız Rekabet, Kişisel Verilerin Korunması: Temel Çerçeve ve Yükümlülükler, Açık Rıza Hangi Hallerde Gerekmez?, Çalışan Kişisel Verileri Nasıl İşlenir?.

Dipnotlar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu md. 5, md. 6, md. 7, md. 8, md. 9, md. 12, RG 07.04.2016/29677. ↩