Özel Nitelikli Kişisel Veriler ve 2024 Değişikliği (KVKK m.6)

Kanun bazı verileri, ihlal edilmeleri hâlinde ayrımcılığa ve mağduriyete yol açma riski nedeniyle özel nitelikli saymış ve daha sıkı bir rejime bağlamıştır. Bu alan, 12 Mart 2024 tarihli 7499 sayılı Kanunla köklü biçimde değişmiş ve yeni hükümler 1 Haziran 2024 itibarıyla yürürlüğe girmiştir. İnternetteki birçok kaynak hâlâ değişiklik öncesi düzeni anlatmaktadır; uyum çalışmasında güncel metnin esas alınması şarttır.

Hangi Veriler Özel Nitelikli?

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.

Bu sayım sınırlıdır; kıyas yoluyla genişletilemez. Buna karşılık bir verinin dolaylı olarak özel nitelikli veri açığa çıkarması hâlinde de aynı korumanın uygulanacağı kabul edilir. Örneğin yalnızca bir dernek üyeliğini gösteren kayıt, o derneğin niteliği itibarıyla siyasi düşünceyi ele veriyorsa özel nitelikli veri işlenmiş sayılır.

2024 Öncesi ve Sonrası: Ne Değişti?

Eski düzende sağlık ve cinsel hayat dışındaki özel nitelikli veriler yalnızca kanunlarda öngörülen hâllerde açık rıza aranmaksızın işlenebiliyordu. Bu, uygulamada çok dar bir alan bırakıyor ve pek çok meşru işlemeyi zorunlu olarak rızaya bağlıyordu.

7499 sayılı Kanunla madde, Avrupa Birliği Genel Veri Koruma Tüzüğü esas alınarak yeniden yazıldı ve işleme sebepleri genişletildi. Artık tüm özel nitelikli veri kategorileri için ortak ve daha geniş bir şartlar listesi uygulanır.

İşleme Şartları (m.6/3)

• İlgili kişinin açık rızasının bulunması
• Kanunlarda açıkça öngörülmesi
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumdaki kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
• İlgili kişinin alenileştirdiği verilere ilişkin ve alenileştirme iradesine uygun olması
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
• Sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması
• Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluşların; mevzuatına ve amaçlarına uygun, faaliyet alanıyla sınırlı ve üçüncü kişilere açıklanmamak kaydıyla mevcut veya eski üyeleri ile düzenli temasta olduğu kişiler bakımından işlemesi

Uygulamada en çok kullanılan iki sebep

İşveren bakımından istihdam ve iş sağlığı güvenliği sebebi kritik önemdedir: işe giriş sağlık raporları, periyodik muayeneler ve iş kazası kayıtları artık rızaya bağlı olmaksızın işlenebilir. Sağlık kuruluşları bakımından ise tıbbi teşhis ve tedavi sebebi temel dayanaktır.

Ek Önlemler Zorunluluğu

Özel nitelikli verilerin işlenmesinde, Kurulca belirlenen yeterli önlemlerin alınması zorunludur. Uygulamada beklenen tedbirler şunlardır:

• Ayrı ve yazılı bir özel nitelikli veri politikası
• Erişim yetkilerinin sıkı biçimde sınırlandırılması ve yetki matrisi
• Verilere erişen personel için ayrıca gizlilik taahhüdü ve düzenli eğitim
• Şifreleme ve güvenli aktarım yöntemleri
• Fiziksel ortamda saklanıyorsa kilitli ve erişimi kayıt altına alınan alanlar
• Erişim ve işlem loglarının tutulması

Bu önlemlerin alınmamış olması, işleme şartı mevcut olsa bile veri güvenliği yükümlülüğünün ihlali sayılır ve idari para cezası gerektirir.

Biyometrik Veri: Özel Bir Risk Alanı

Parmak izi ve yüz tanıma ile çalışan personel devam kontrol sistemleri, ölçülülük ilkesi bakımından sıkı denetlenir. Aynı amaca kart okuyucu gibi daha az müdahaleci bir yöntemle ulaşılabiliyorsa, biyometrik veri işlenmesi ölçüsüz kabul edilebilir. Bu tür sistemlerde alternatif yöntem sunulması ve kullanımın gerçekten gerekli olduğunun belgelenmesi gerekir.

Uyum Kontrol Listesi

• Envanterde özel nitelikli veriler ayrıca işaretlendi mi?
• Her biri için hangi işleme şartına dayanıldığı yazılı mı?
• Rıza gerekmeyen hâllerde gereksiz rıza alınıyor mu?
• Ek teknik ve idari önlemler belgelendi mi?
• Saklama süreleri ayrıca ve daha kısa belirlendi mi?

Sıkça Sorulan Sorular

Özel nitelikli veriler hangileridir?

Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek vakıf sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri verileri ile biyometrik ve genetik verilerdir. Sayım sınırlıdır.

2024’te ne değişti?

7499 sayılı Kanunla madde yeniden yazıldı ve 1 Haziran 2024’te yürürlüğe girdi. Sağlık ve cinsel hayat dışındaki veriler için yalnızca kanunda öngörülme şartı arayan dar rejim kaldırıldı; tüm kategoriler için genişletilmiş ortak bir şartlar listesi getirildi.

İşveren çalışanın sağlık raporunu rızasız işleyebilir mi?

İstihdam ile iş sağlığı ve güvenliği alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması hâlinde işlenebilir. Ancak ek teknik ve idari önlemlerin alınmış olması gerekir.

Parmak iziyle mesai takibi yapılabilir mi?

Ölçülülük denetimine tabidir. Aynı amaca kart okuyucu gibi daha az müdahaleci bir yöntemle ulaşılabiliyorsa biyometrik veri işlenmesi ölçüsüz kabul edilebilir; alternatif sunulması ve gerekliliğin belgelenmesi beklenir.

Bilgilendirme: Bu rehber genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. İdari para cezası tutarları her yıl yeniden değerleme oranında güncellenir; işlem öncesi güncel tutarları teyit edin.

İlgili Rehberler

• Kişisel Veri İşleme Şartları ve Açık Rıza (KVKK m.5)
• KVKK İdari Para Cezaları ve İtiraz Yolu
• Bilişim ve Kişisel Veriler Hukuku — tüm rehberler
• Bilişim Hukuku Rehberi