This article is published in Turkish.
Özel Nitelikli Kişisel Verilerin İşlenmesi
KVKK Madde 6 kapsamında özel nitelikli (hassas) kişisel veriler, sağlık ve cinsel hayat verileri, biyometrik ve genetik veriler, işlenme şartları, Kurul tarafından belirlenen yeterli önlemler ve pratik uygulamalar.
1. Giriş
Özel nitelikli kişisel veriler, işlenmeleri halinde ilgili kişinin ayrımcılığa maruz kalmasına veya mağdur olmasına yol açabilecek hassas verilerdir. Bu verilerin korunması, veri koruma hukukunun temel önceliklerinden birini oluşturur. KVKK, özel nitelikli kişisel verilerin işlenmesini daha sıkı kurallara bağlamış ve Kurul tarafından belirlenen yeterli önlemlerin alınmasını zorunlu kılmıştır.
2. Özel Nitelikli Kişisel Veri Tanımı
KVKK'nın 6. maddesi, özel nitelikli kişisel verileri sınırlı sayıda (numerus clausus) belirlemiştir. Bu liste genişletilemez; ancak Kanun'da sayılan kategoriler geniş yorumlanabilir.
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
2.1. Özel Nitelikli Veri Kategorileri
| Kategori | Örnekler | Risk |
|---|---|---|
| Irk ve etnik köken | Milliyet, etnik grup, kabile aidiyeti | Ayrımcılık |
| Siyasi düşünce | Parti üyeliği, siyasi görüş, oy tercihi | Siyasi baskı |
| Felsefi inanç | Ateizm, agnostisizm, veganizm | İnanca dayalı ayrımcılık |
| Din, mezhep, diğer inançlar | İslam, Hristiyanlık, mezhep aidiyeti | Dini ayrımcılık |
| Kılık ve kıyafet | Başörtüsü, kipa, dini semboller | Görünüme dayalı ayrımcılık |
| Dernek, vakıf, sendika üyeliği | Üyelik bilgileri, aktivizm | Örgütlenme özgürlüğü ihlali |
| Sağlık verileri | Hastalık, tedavi, ilaç, engellilik | Sağlık ayrımcılığı |
| Cinsel hayat | Cinsel yönelim, cinsel tercihler | Mahremiyet ihlali |
| Ceza mahkumiyeti | Sabıka kaydı, mahkumiyet bilgileri | Sosyal dışlanma |
| Güvenlik tedbirleri | Adli kontrol, denetimli serbestlik | Stigmatizasyon |
| Biyometrik veriler | Parmak izi, yüz tanıma, iris tarama | Kimlik hırsızlığı |
| Genetik veriler | DNA, genetik hastalık yatkınlığı | Genetik ayrımcılık |
2.2. KVKK ve GDPR Karşılaştırması
| KVKK Madde 6 | GDPR Madde 9 | Fark |
|---|---|---|
| Irk, etnik köken | Racial or ethnic origin | Aynı |
| Siyasi düşünce | Political opinions | Aynı |
| Felsefi inanç, din, mezhep | Religious or philosophical beliefs | Aynı |
| Sendika üyeliği | Trade union membership | KVKK'da dernek/vakıf da dahil |
| Sağlık verileri | Health data | Aynı |
| Cinsel hayat | Sex life or sexual orientation | GDPR'da cinsel yönelim ayrı belirtilmiş |
| Genetik ve biyometrik veriler | Genetic and biometric data | Aynı |
| Ceza mahkumiyeti | Madde 10'da ayrı düzenleme | GDPR'da özel kategori değil |
| Kılık ve kıyafet | Açık düzenleme yok | KVKK'ya özgü |
3. İşlenme Yasağı ve İstisnaları
KVKK'nın 6. maddesinin 3. fıkrası uyarınca, özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak Kanun, bu yasağa belirli istisnalar getirmiştir.
Özel nitelikli kişisel verilerin işlenmesi yasaktır.
3.1. İşleme Yasağının İstisnaları
7499 sayılı Kanun (2 Mart 2024) ile yapılan değişiklik sonrasında, KVKK m.6/3 özel nitelikli kişisel veriler bakımından tek bir istisna listesi öngörmektedir. Eski düzenlemedeki "sağlık ve cinsel hayat verileri / diğer veriler" ayrımı kaldırılmıştır:
Ancak bu verilerin işlenmesi; a) İlgili kişinin açık rızasının olması, b) Kanunlarda açıkça öngörülmesi, c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması, d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması, f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması, g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması, halinde mümkündür.
| İstisna Bendi (m.6/3) | Açıklama | Örnek |
|---|---|---|
| a) Açık rıza | İlgili kişinin açık rızasının bulunması | Çalışanın sağlık verisini paylaşmaya rıza göstermesi |
| b) Kanunda açıkça öngörülme | Kanunlarda açıkça düzenlenmiş olması | Adli sicil sorgulaması, Dernekler Kanunu bildirimleri |
| c) Fiili imkânsızlık | Rızasını açıklayamayacak kişinin hayat veya beden bütünlüğünün korunması | Bilinci kapalı hastanın acil tedavisi |
| ç) Alenileştirme | İlgili kişinin kendisinin alenileştirdiği veriler | Kişinin sendika üyeliğini kamuya açıklaması |
| d) Hakkın korunması | Bir hakkın tesisi, kullanılması veya korunması için zorunluluk | Dava sürecinde ceza mahkumiyeti bilgisinin sunulması |
| e) Sağlık amaçlı işleme | Sır saklama yükümlülüğü altındaki kişilerce sağlık hizmetleri kapsamında işleme | Hastane kayıtları, koruyucu hekimlik uygulamaları |
| f) İstihdam ve sosyal güvenlik | İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik alanındaki hukuki yükümlülükler | İşverenin engelli çalışan verilerini SGK'ya bildirmesi |
3.2. Sır Saklama Yükümlülüğü
KVKK m.6/3(e) bendi uyarınca, sağlık amaçlı veri işlemenin açık rıza olmaksızın yapılabilmesi için, işlemeyi yapan kişinin "sır saklama yükümlülüğü" altında bulunması veya yetkili kurum ya da kuruluş olması gerekir. Bu yükümlülük, mesleki düzenlemelerden veya sözleşmeden kaynaklanabilir.
4. Biyometrik ve Genetik Veriler
4.1. Biyometrik Veri Tanımı
Biyometrik veriler, bir gerçek kişinin fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin teknik işlemeden kaynaklanan, kimliğin benzersiz bir biçimde tespitine olanak sağlayan kişisel verilerdir.
| Biyometrik Veri Türü | Örnekler | Kullanım Alanı |
|---|---|---|
| Fiziksel biyometri | Parmak izi, yüz geometrisi, iris, retina | Kimlik doğrulama, erişim kontrolü |
| Fizyolojik biyometri | DNA, damar örüntüsü, el geometrisi | Adli tıp, kimlik tespiti |
| Davranışsal biyometri | İmza, yürüyüş, klavye ritmi, ses | Sürekli kimlik doğrulama |
4.2. Genetik Veri Tanımı
Genetik veriler, bir kişinin genetik özelliklerini ortaya koyan ve özellikle ilgili kişinin biyolojik örneklerinin analizi sonucunda elde edilen kişisel verilerdir. DNA analizi, genetik hastalık taraması, genetik yatkınlık testleri bu kapsamda değerlendirilir.
Genetik veriler, ilgili kişinin yanı sıra biyolojik akrabalarını da ilgilendirir. Bu nedenle genetik verilerin işlenmesi, yalnızca ilgili kişiyi değil, aile bireylerini de etkileyebilir. Genetik ayrımcılık riski özellikle sigorta ve istihdam alanlarında yoğun olarak tartışılmaktadır.
5. Yeterli Önlemler
KVKK'nın 6. maddesinin 4. fıkrası uyarınca, özel nitelikli kişisel verilerin işlenmesinde, Kurul tarafından belirlenen yeterli önlemlerin alınması zorunludur. Kurul, 31.01.2018 tarihli ve 2018/10 sayılı kararıyla bu önlemleri belirlemiştir.
Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.
5.1. Kurul Kararı ile Belirlenen Önlemler
5.2. Sektörel Uygulamalar
| Sektör | Özel Nitelikli Veri | Alınması Gereken Önlemler |
|---|---|---|
| Sağlık | Hasta kayıtları, teşhis, tedavi | HBYS güvenliği, şifreleme, erişim kontrolü |
| İnsan Kaynakları | Engellilik, sağlık raporu, sabıka | Kısıtlı erişim, ayrı dosyalama |
| Finans/Sigorta | Sağlık sigortası verileri | Veri minimizasyonu, amaç sınırlılığı |
| Eğitim | Öğrenci sağlık, engellilik bilgileri | Öğretmen/personel erişim sınırlaması |
| Spor | Sporcu sağlık verileri, doping | Federasyon düzeyinde koruma |
6. İhlal ve Yaptırımlar
Özel nitelikli kişisel verilerin hukuka aykırı işlenmesi, KVKK'nın 18. maddesi kapsamında idari para cezası ve TCK kapsamında hapis cezası ile yaptırıma bağlanmıştır.
| İhlal Türü | İdari Para Cezası (2026) | Ceza Hukuku |
|---|---|---|
| Yeterli önlem almama (m.12) | 256.357 TL - 17.092.242 TL | - |
| Hukuka aykırı işleme | 256.357 TL - 17.092.242 TL | TCK m.135-140 |
| Veri güvenliği ihlali (m.12) | 256.357 TL - 17.092.242 TL | - |
7. Sonuç
Özel nitelikli kişisel veriler, veri koruma hukukunun en hassas alanını oluşturur. Bu verilerin işlenmesi, yalnızca KVKK'da öngörülen sınırlı hallerde ve Kurul tarafından belirlenen yeterli önlemlerin alınması koşuluyla mümkündür. KVKK m. 6/4 uyarınca Kurul tarafından belirlenen yeterli önlemler, özel nitelikli verilerin işlenmesinin ön koşulunu oluşturmaktadır.
Özellikle sağlık sektörü, insan kaynakları uygulamaları ve biyometrik sistemler kullanan kuruluşların, KVKK m.6 kapsamındaki yükümlülüklerini titizlikle yerine getirmesi gerekmektedir. Kurul kararları incelendiğinde, yeterli önlem eksikliğinin ve hukuka aykırı işlemenin ciddi idari para cezalarına yol açtığı görülmektedir.