Özel Nitelikli Kişisel Veriler ve 2024 Değişikliği (KVKK m.6)

Özel nitelikli kişisel verilerin rejimi, 2/3/2024 tarihli ve 7499 sayılı Kanunla kökten değişti. Değişiklik 1 Haziran 2024‘te yürürlüğe girdi. Eskiden bu veriler kural olarak yalnızca açık rızayla işlenebiliyordu; artık yedi ayrı hukuka uygunluk sebebi var ve sağlık ile cinsel hayat verilerine ilişkin özel ayrım kaldırıldı.

1) Hangi Veriler Özel Niteliklidir? (m.6/1)

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.

Liste sınırlı sayıdadır: maddede sayılmayan bir veri, ne kadar hassas görünürse görünsün özel nitelikli sayılmaz.

Sayılmayan veriler m.5 rejimine tabidir; bu ayrım dosyanın ilk kararıdır. Genel rejim için işleme şartları ve açık rıza incelememize bakabilirsiniz.

2) Kural: İşlenmesi Yasaktır (m.6/3)

Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi; … hâlinde mümkündür.

Birinci satır kurgunun yönünü belirler: işleme bir hak değil, yasağın istisnasıdır.

Bu nedenle her işleme faaliyetinde, dayanılan sebebin hangi bent olduğu açıkça gösterilmelidir.

3) Yedi Hukuka Uygunluk Sebebi

Dördüncü satırda iki şart birliktedir: veri hem alenileştirilmiş olmalı hem işleme alenileştirme iradesine uygun olmalıdır.

Altıncı satır bir özne şartı taşır: bu sebep herkes için değil, sır saklama yükümlülüğü altındakiler ile yetkili kurum ve kuruluşlar için işler.

Yedinci satır 2024 değişikliğiyle eklenen sebeptir ve uygulamada en geniş etkiyi doğuran hükümdür.

(g) bendindeki üç kayıt

Üçüncü satır bu bendi diğerlerinden ayırır: veri, kuruluşun dışına çıkarılamaz.

4) Yeterli Önlemler Şartı (m.6/4)

Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

Birinci satır kritik bir noktadır: bu şart, hukuka uygunluk sebebinin yerine geçmez, ona eklenir.

Dolayısıyla geçerli bir sebep bulunsa dahi, yeterli önlemler alınmamışsa işleme hukuka aykırı hâle gelir.

Üçüncü satırdaki “şarttır” ifadesi tavsiye değil zorunluluk bildirir.

5) 2024 Öncesi ve Sonrası

Değişikliğin boyutunu görmek için iki rejimi yan yana koymak gerekir.

Birinci satır değişikliğin özüdür: Kanun artık özel nitelikli veriler arasında iç ayrım yapmaz.

Üçüncü satır ise en büyük pratik farkı doğurur: eski düzenlemede sağlık verisi, uygulamada esas olarak sağlık kurumları ve ilgili kamu kurumları tarafından işlenebiliyordu. Sağlık verilerine özgü rejim için sağlık verilerinin korunması incelememize bakabilirsiniz.

Değişikliğin gerekçesi

Üç satırın ortak noktası aynıdır: eski metin bu alanlarda hukuki dayanak bırakmıyordu.

Bu nedenle (f) bendi yalnızca bir genişletme değil, uygulamadaki bir tıkanıklığın çözümüdür.

6) Yapısal Bir Not: Fıkra Numaraları

Maddenin iç yapısı da değişmiştir ve bu, kaynak taramasında karışıklık yaratır.

İkinci satır önemlidir: eski ikinci fıkra — özel nitelikli verilerin ilgilinin açık rızası olmaksızın işlenemeyeceğine ilişkin hüküm — mülgadır.

Bu nedenle “KVKK m.6/2 uyarınca açık rıza zorunludur” biçimindeki ifadeler güncel değildir; yürürlükteki hüküm üçüncü fıkradır.

7) m.5 ile m.6 Karşılaştırması

İki maddenin sebep listeleri aynı değildir ve fark, uygulamada en çok hata yapılan noktadır.

Sekizinci satır en kritik farktır: meşru menfaat, özel nitelikli veriler bakımından bir hukuka uygunluk sebebi değildir.

Altıncı satır da aynı ölçüde önemlidir: bir sözleşmenin ifası için gerekli olması, özel nitelikli veriyi işlemeye tek başına dayanak oluşturmaz.

Yedinci satır ise nüans taşır: genel hukuki yükümlülük sebebi m.6’da yoktur; yükümlülük ancak istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarında sayılmıştır.

Pratik sonuç

Üçüncü satır, iki rejim arasındaki farkın yalnızca sebep listesinde olmadığını gösterir.

8) Açık Rızanın Üç Unsuru

Açık rızaya dayanılacaksa, Kanunun tanımındaki üç unsur birlikte gerçekleşmelidir.

Birinci satır uygulamada en çok ihlal edilen unsurdur: “tüm verilerimin işlenmesine onay veriyorum” biçimindeki metinler belirlilik şartını karşılamaz.

Üçüncü satır ise hizmetin rızaya bağlanmasını sorunlu hâle getirir; rıza vermemenin bir yaptırımı varsa özgürlük tartışılır.

Bu nedenle başka bir hukuka uygunluk sebebi varken açık rızaya dayanmak, çoğu zaman daha zayıf bir tercihtir.

Açık rıza ile diğer sebepler bir arada kullanılabilir mi?

İkinci ve üçüncü satır aynı soruna işaret eder: ilgili kişi rızasını geri aldığında işlemenin devam edip etmeyeceği belirsiz kalır.

Bu nedenle her işleme faaliyeti için tek bir hukuka uygunluk sebebi belirlenmelidir.

9) Yeterli Önlemler Ne Anlama Gelir?

Kurul, özel nitelikli verileri işleyen veri sorumluları için alınması gereken önlemleri ayrıca belirlemiştir. Bu önlemler üç başlıkta toplanabilir.

Birinci satırdaki yetki matrisi en sık denetlenen unsurdur: özel nitelikli veriye kimlerin erişebildiği tanımlı olmalıdır.

İkinci satır bakımından ise erişim kayıtlarının tutulması önem taşır; bir ihlal iddiasında kimin ne zaman eriştiği ancak bu kayıtlardan görülür.

Üçüncü satır dijital olmayan kayıtları kapsar ve kâğıt dosyalarla çalışan yapılarda sıkça ihmal edilir.

Aktarımda ek dikkat

İkinci satır 2024 değişikliğinin ikinci ayağıdır: yurt dışına aktarım rejimi de 7499 sayılı Kanunla yeniden kurgulanmıştır.

Yeni yapıda aktarım, yeterlilik kararı, uygun güvenceler ve belirli hâllerde arızi aktarım olmak üzere kademeli bir usule bağlanmıştır.

Arızi aktarım istisnaları, niteliği gereği süreklilik arz eden aktarımlara uygulanmaz.

10) Uyum Adımları

Üçüncü adım uyum çalışmasının çekirdeğidir ve 2024 değişikliği sonrasında yeniden yapılmalıdır.

Eski envanterlerde çoğu faaliyet açık rızaya bağlanmıştır; oysa artık daha sağlam bir sebep bulunabilir.

Beşinci adım bunun doğal sonucudur: hukuki sebep değişince aydınlatma metni de değişmelidir.

Envanter gözden geçirilirken sorulacaklar

• Bu veri gerçekten özel nitelikli mi?
• Hangi bende dayanıyoruz?
• Bendin tüm şartları sağlanıyor mu?
• Açık rızaya gereksiz yere mi dayanıyoruz?
• Yeterli önlemler uygulanıyor mu?
• Veri ne kadar süreyle saklanıyor?

Dördüncü madde 2024 sonrasında en verimli sorudur: pek çok faaliyet artık rızasız yürütülebilir.

Altıncı madde ise çoğu envanterde boş bırakılır ve denetimde eksiklik oluşturur.

11) Yaptırım ve İtiraz

Üçüncü satır 2024 değişikliğinin üçüncü ayağıdır ve idari para cezalarına karşı başvurulacak yargı yolunu etkilemiştir.

Bu konunun ayrıntısı için ilgili incelememize bakılabilir; burada önemli olan, m.6 ihlalinin yaptırımsız kalmadığıdır.

12) Mevzuat Haritası

Dördüncü satır bu yazının merkezidir; üçüncü satır onun karşılaştırma ölçüsüdür.

Altıncı ve dokuzuncu satır birlikte okunmalıdır: 2024 değişikliği m.6, m.9 ve kabahatler hükümlerini birlikte etkilemiştir.

Sayıların tamamı bir arada

İkinci satır maddenin en ayırt edici sayısıdır ve 2024 öncesiyle karşılaştırıldığında değişimin ölçüsünü verir.

Üçüncü satır ise açık rızaya dayanılacaksa ayrıca sağlanması gereken şartları gösterir.

Tek cümlelik özet

2024 değişikliği, özel nitelikli verilerde açık rıza tekelini kaldırdı ve rejimi genel verilere yaklaştırdı.

Ancak iki fark korundu: meşru menfaat hâlâ bir sebep değildir ve yeterli önlemler hâlâ zorunludur.

13) Genel İlkeler de Aynen Uygulanır (m.4)

Bir hukuka uygunluk sebebi bulmak, işlemeyi tek başına hukuka uygun kılmaz. Kanunun genel ilkeleri her hâlde geçerlidir.

Dördüncü satır özel nitelikli verilerde en ağır basan ilkedir: bir bende dayanılsa bile, gereğinden fazla veri toplanamaz.

Beşinci satır ise denetimde ilk sorulan husustur; süresiz saklama, geçerli bir sebep bulunsa dahi ihlal oluşturur.

İkinci satır sağlık verilerinde ayrı bir ağırlık taşır; güncelliğini yitirmiş bir kayıt zarar doğurabilir.

İki katmanlı test

Üç katmanın tamamı sağlanmadıkça işleme hukuka uygun sayılmaz.

Uygulamada en çok atlanan üçüncü katmandır ve yalnızca özel nitelikli verilere özgüdür.

14) Maddenin Kelime Kelime Okunması (m.6)

Dördüncü satır sıkça zorlanır: bir kanunda konunun genel olarak düzenlenmiş olması, açıkça öngörülme anlamına gelmez.

Altıncı satır ise eşiği yükseltir; işlemenin yararlı veya pratik olması yetmez, zorunlu olmalıdır.

Dokuzuncu satırdaki “ayrıca” sözcüğü, yeterli önlemlerin sebebin yerine geçmediğini lafzen gösterir.

15) Dört Senaryo

Birinci satır 2024 öncesinde en tartışmalı alandı; artık açık bir bende dayanmaktadır.

Dördüncü satır ise en riskli olanıdır: adlî sicil talebi için genellikle özel bir kanun hükmü aranır ve her pozisyon için bu dayanak bulunmaz.

Üçüncü satırda ise bent kullanılabilir olsa dahi verinin kuruluş dışına çıkarılması yasaktır.

Riskli uygulamalar

İkinci ve üçüncü satır 2024 sonrasında da geçerliliğini korur; değişiklik bu iki sebebi eklememiştir.

Birinci satır ise en yaygın hatadır ve genellikle eski aydınlatma metinlerinden devralınır.

16) Kapanış

Altıncı satır bu yazının en pratik uyarısıdır: pek çok kurumsal doküman hâlâ eski rejime göre yazılmıştır.

Beşinci satır ise özel nitelikli verilere özgü tek ek yükümlülüktür ve envanterlerde çoğu zaman boş bırakılır.

Tek cümlelik özet

Artık soru “açık rıza aldık mı” değil, “hangi bende dayanıyoruz ve şartları tam mı” sorusudur.

Çünkü 2024 sonrasında açık rıza bir zorunluluk olmaktan çıkıp yedi seçenekten biri hâline geldi.

17) Rıza Geri Alınırsa Ne Olur?

Açık rızaya dayanılan hâllerde ilgili kişi rızasını geri alabilir; sonuç, dayanılan sebebe göre değişir.

Üçüncü satır, her faaliyet için tek sebep belirlenmesi gerektiğinin somut gerekçesidir.

Birinci satırın sonucu ise Kanunun ayrı bir maddesine bağlanır.

Sebep ortadan kalkınca

Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir.

İkinci satır önemli bir yükümlülük doğurur: veri sorumlusu, talebi beklemeden harekete geçmek zorundadır.

Dördüncü satır ise sınır çizer; başka bir kanun saklamayı emrediyorsa silme yükümlülüğü o ölçüde geri çekilir.

Özel nitelikli verilerde bu mekanizma ayrı bir önem taşır: sebep sona erdiğinde veri, yeterli önlemlerle korunuyor olsa dahi tutulmaya devam edilemez.

Üç seçenek arasındaki fark

Üçüncü satır özel nitelikli verilerde dikkatli uygulanmalıdır: anonimleştirme geri döndürülemez olmalı, aksi hâlde veri hâlâ kişisel veri sayılır.

Seçim veri sorumlusuna aittir; ancak hangi yöntemin uygulandığı belgelenmelidir.

Kanun, bu üç yönteme ilişkin usul ve esasların yönetmelikle düzenleneceğini de öngörmüştür.

Ayrıca kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklıdır; bu nedenle sektörel mevzuatta özel bir saklama süresi öngörülmüşse, önce o hüküm dikkate alınır.

Pratikte en sağlıklı yöntem, özel nitelikli veri içeren her kayıt türü için saklama süresini ve süre sonunda uygulanacak yöntemi baştan tablolaştırmaktır; böylece hem sebep sona erdiğinde ne yapılacağı hem de hangi mevzuatın saklamayı emrettiği tek bakışta görülür.

Bu tablo, denetim sırasında istenen ilk belgelerden biridir ve envanterle birlikte okunduğunda veri sorumlusunun m.6 rejimine hâkim olup olmadığını doğrudan gösterir.

Hazırlanması da güç değildir: kayıt türü, hukuki sebep, saklama süresi ve imha yöntemi olmak üzere dört sütun çoğu yapı için yeterlidir.

18) Sık Yapılan Sekiz Hata

• Açık rızayı tek yol sanmak. Artık yedi sebep var.
• Eski fıkra numarasına atıf yapmak. m.6/2 mülgadır.
• Sağlık verisini ayrı rejimde sanmak. Ayrım kaldırıldı.
• Listeyi genişletmek. Kategoriler sınırlı sayıdadır.
• Yeterli önlemleri atlamak. Sebep tek başına yetmez.
• Alenileştirmeyi tek şart sanmak. İrade uygunluğu da aranır.
• (e) bendini herkese uygulamak. Özne şartı vardır.
• (g) bendinde veriyi dışarı vermek. Üçüncü kişilere açıklanamaz.

19) Kontrol Listesi

• Verinin özel nitelikli olup olmadığını belirleyin.
• Hangi bende dayanıldığını yazın.
• Bent şartlarını tek tek kontrol edin.
• Yeterli önlemleri uygulayın.
• Aydınlatma yükümlülüğünü yerine getirin.
• Saklama süresini belirleyin.
• Erişim yetkilerini sınırlayın.
• Kayıtları belgeleyin.

İlgili incelemelerimiz: işleme şartları ve açık rıza (KVKK m.5), KVKK idari para cezaları ve itiraz yolu ve sağlık verilerinin korunması.

Sıkça Sorulan Sorular

Özel nitelikli kişisel veriler hangi maddede sayılır?

6698 sayılı Kanunun 6 ncı maddesinin birinci fıkrasında.

Hangi veriler bu kapsamdadır?

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

Liste genişletilebilir mi?

Hayır. Kategoriler sınırlı sayıdadır; maddede sayılmayan bir veri ne kadar hassas görünürse görünsün özel nitelikli sayılmaz.

Sayılmayan hassas veriler ne olur?

6 ncı madde değil, 5 inci maddedeki genel işleme rejimi uygulanır.

Bu veriler işlenebilir mi?

Kural yasaktır. Madde “özel nitelikli kişisel verilerin işlenmesi yasaktır” der; işleme ancak maddede sayılan hâllerde mümkündür.

Kaç hukuka uygunluk sebebi var?

Yedi: açık rıza, kanunlarda açıkça öngörülme, fiili imkânsızlık, alenileştirme, bir hakkın tesisi-kullanılması-korunması, sağlık amaçlı işleme ve istihdam ile sosyal güvenlik alanındaki hukuki yükümlülükler; ayrıca belirli kuruluşlara ilişkin bent.

Bu rejim ne zaman değişti?

2/3/2024 tarihli ve 7499 sayılı Kanunla; değişiklik 1 Haziran 2024 tarihinde yürürlüğe girmiştir.

Eskiden durum neydi?

Sağlık ve cinsel hayat dışındaki özel nitelikli veriler açık rıza veya kanunlarda öngörülme hâlinde; sağlık ve cinsel hayat verileri ise açık rıza dışında yalnızca sınırlı sağlık amaçlarıyla işlenebiliyordu.

Sağlık ve cinsel hayat ayrımı devam ediyor mu?

Hayır. Değişiklikle bu iç ayrım kaldırılmış, tüm özel nitelikli veriler aynı sebep listesine tabi kılınmıştır.

En önemli yeni sebep hangisi?

İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması.

Bu sebep neden eklendi?

Sigortacılık sektörü, çalışma mevzuatı, iş sağlığı ve güvenliği ile sosyal hizmetler alanlarında sağlık verisine ihtiyaç bulunmasına rağmen eski metnin hukuki dayanak bırakmamasından.

Alenileştirme tek başına yeterli mi?

Hayır. Madde iki şart arar: verinin ilgili kişi tarafından alenileştirilmiş olması ve işlemenin alenileştirme iradesine uygun olması.

Sağlık amaçlı işlemeyi herkes yapabilir mi?

Hayır. Bu sebep yalnızca sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar için işler.

Sağlık amaçlı işleme hangi amaçları kapsar?

Kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı.

Dernek ve vakıflara özgü bent nedir?

Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluşların, mevcut veya eski üyelerine ve mensuplarına yönelik işlemesi.

Bu bentte hangi kayıtlar var?

Üç kayıt: tabi olunan mevzuata ve amaçlara uygun olmak, faaliyet alanıyla sınırlı olmak ve üçüncü kişilere açıklanmamak.

Veriyi kuruluş dışına verebilir miyim?

Hayır. Bu bent “üçüncü kişilere açıklanmamak” kaydını içerir.

Hukuka uygunluk sebebi bulmak yeterli mi?

Hayır. Maddenin dördüncü fıkrası uyarınca ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

Yeterli önlemler alınmazsa ne olur?

Geçerli bir sebep bulunsa dahi işleme hukuka aykırı hâle gelir; bu şart sebebin yerine geçmez, ona eklenir.

Yeterli önlemleri kim belirler?

Kurul.

m.6/2 uyarınca açık rıza zorunlu değil mi?

Bu ifade güncel değildir. Eski ikinci fıkra 7499 sayılı Kanunla yürürlükten kaldırılmıştır; yürürlükteki hüküm üçüncü fıkradır.

Maddenin bugünkü yapısı nasıl?

Birinci fıkra tanım listesi, ikinci fıkra mülga, üçüncü fıkra yasak ve yedi sebep, dördüncü fıkra yeterli önlemler şartı.

Açık rıza artık gerekmiyor mu?

Açık rıza sebeplerden yalnızca biridir; başka bir sebep varsa açık rıza aranmaz.

Genel verilerle farkı nedir?

Genel veriler 5 inci maddedeki şartlara, özel nitelikli veriler ise 6 ncı maddedeki daha dar listeye tabidir ve ayrıca yeterli önlem şartı taşır.

Biyometrik veri özel nitelikli midir?

Evet. Madde biyometrik ve genetik verileri açıkça sayar.

Adli sicil bilgisi kapsamda mı?

Evet. Ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler maddede sayılmıştır.

Sendika üyeliği kapsamda mı?

Evet. Dernek, vakıf ya da sendika üyeliği maddede yer alır.

İşveren çalışanın sağlık raporunu işleyebilir mi?

Değişiklikten sonra istihdam ile iş sağlığı ve güvenliği alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması hâli bir sebep olarak öngörülmüştür; yine de yeterli önlemler şartı ayrıca aranır.

Her işlemede bent göstermeli miyim?

İşleme yasağın istisnası olduğundan, dayanılan sebebin hangi bent olduğu açıkça gösterilmelidir.

En sık yapılan hata nedir?

Açık rızayı tek yol sanmak ve mülga ikinci fıkraya atıf yapmak.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Kamu ihale mevzuatı ve Kamu İhale Genel Tebliği sık güncellenmektedir; somut ihalede ilan, ihale dokümanı ve işlem tarihinde yürürlükte olan hükümler esas alınmalıdır.