# Özel Nitelikli Kişisel Verilerin İşlenmesi - Yazar: Av. Ersan Çetin - Alan: Kişisel Verilerin Korunması - Yayın: 2025-03-15 - Son güncelleme: 2026-07-08 - Kaynak: https://ersancetin.av.tr/makaleler/kvkk-ozel-nitelikli-veriler/ > KVKK Madde 6 kapsamında özel nitelikli (hassas) kişisel veriler, sağlık ve cinsel hayat verileri, biyometrik ve genetik veriler, işlenme şartları, Kurul tarafından belirlenen yeterli önlemler ve pratik uygulamalar. ## 1. Giriş Özel nitelikli kişisel veriler, işlenmeleri halinde ilgili kişinin ayrımcılığa maruz kalmasına veya mağdur olmasına yol açabilecek hassas verilerdir. Bu verilerin korunması, veri koruma hukukunun temel önceliklerinden birini oluşturur. KVKK, özel nitelikli kişisel verilerin işlenmesini daha sıkı kurallara bağlamış ve Kurul tarafından belirlenen yeterli önlemlerin alınmasını zorunlu kılmıştır. **Karşılaştırmalı Hukuk** **AB (GDPR Madde 9):** "Special categories of personal data" olarak adlandırılır. Genel kural olarak işlenmesi yasaktır; on adet istisna öngörülmüştür. Üye devletlere ek koruma getirme yetkisi tanınmıştır. **ABD:** Federal düzeyde özel kategori tanımı yoktur. HIPAA (sağlık), FERPA (eğitim) gibi sektörel düzenlemeler mevcuttur. California CPRA'da "sensitive personal information" kavramı benimsenmiştir. **Almanya (BDSG § 22):** GDPR'ı tamamlayıcı düzenlemeler içerir. Özellikle iş hukuku bağlamında sağlık verilerinin işlenmesi detaylı düzenlenmiştir. **Türkiye (KVKK Madde 6):** Genel kural olarak işlenmesi yasaktır. İki grup istisna öngörülmüştür: (1) Sağlık ve cinsel hayat dışındaki veriler için kanunda açıkça öngörülme, (2) Sağlık ve cinsel hayat verileri için sır saklama yükümlülüğü altındaki kişiler tarafından işlenme. ## 2. Özel Nitelikli Kişisel Veri Tanımı KVKK'nın 6. maddesi, özel nitelikli kişisel verileri sınırlı sayıda (numerus clausus) belirlemiştir. Bu liste genişletilemez; ancak Kanun'da sayılan kategoriler geniş yorumlanabilir. > **KVKK m. 6/1 (Özel Nitelikli Kişisel Veri Tanımı)** > > Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. ### 2.1. Özel Nitelikli Veri Kategorileri | Kategori | Örnekler | Risk | | --- | --- | --- | | Irk ve etnik köken | Milliyet, etnik grup, kabile aidiyeti | Ayrımcılık | | Siyasi düşünce | Parti üyeliği, siyasi görüş, oy tercihi | Siyasi baskı | | Felsefi inanç | Ateizm, agnostisizm, veganizm | İnanca dayalı ayrımcılık | | Din, mezhep, diğer inançlar | İslam, Hristiyanlık, mezhep aidiyeti | Dini ayrımcılık | | Kılık ve kıyafet | Başörtüsü, kipa, dini semboller | Görünüme dayalı ayrımcılık | | Dernek, vakıf, sendika üyeliği | Üyelik bilgileri, aktivizm | Örgütlenme özgürlüğü ihlali | | Sağlık verileri | Hastalık, tedavi, ilaç, engellilik | Sağlık ayrımcılığı | | Cinsel hayat | Cinsel yönelim, cinsel tercihler | Mahremiyet ihlali | | Ceza mahkumiyeti | Sabıka kaydı, mahkumiyet bilgileri | Sosyal dışlanma | | Güvenlik tedbirleri | Adli kontrol, denetimli serbestlik | Stigmatizasyon | | Biyometrik veriler | Parmak izi, yüz tanıma, iris tarama | Kimlik hırsızlığı | | Genetik veriler | DNA, genetik hastalık yatkınlığı | Genetik ayrımcılık | ### 2.2. KVKK ve GDPR Karşılaştırması | KVKK Madde 6 | GDPR Madde 9 | Fark | | --- | --- | --- | | Irk, etnik köken | Racial or ethnic origin | Aynı | | Siyasi düşünce | Political opinions | Aynı | | Felsefi inanç, din, mezhep | Religious or philosophical beliefs | Aynı | | Sendika üyeliği | Trade union membership | KVKK'da dernek/vakıf da dahil | | Sağlık verileri | Health data | Aynı | | Cinsel hayat | Sex life or sexual orientation | GDPR'da cinsel yönelim ayrı belirtilmiş | | Genetik ve biyometrik veriler | Genetic and biometric data | Aynı | | Ceza mahkumiyeti | Madde 10'da ayrı düzenleme | GDPR'da özel kategori değil | | Kılık ve kıyafet | Açık düzenleme yok | KVKK'ya özgü | ## 3. İşlenme Yasağı ve İstisnaları KVKK'nın 6. maddesinin 3. fıkrası uyarınca, özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak Kanun, bu yasağa belirli istisnalar getirmiştir. > **KVKK m. 6/3 (Genel Kural)** > > Özel nitelikli kişisel verilerin işlenmesi yasaktır. ### 3.1. İşleme Yasağının İstisnaları 7499 sayılı Kanun (2 Mart 2024) ile yapılan değişiklik sonrasında, KVKK m.6/3 özel nitelikli kişisel veriler bakımından tek bir istisna listesi öngörmektedir. Eski düzenlemedeki "sağlık ve cinsel hayat verileri / diğer veriler" ayrımı kaldırılmıştır: > **KVKK m. 6/3 (İstisnalar)** > > Ancak bu verilerin işlenmesi; a) İlgili kişinin açık rızasının olması, b) Kanunlarda açıkça öngörülmesi, c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması, d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması, f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması, g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması, halinde mümkündür. | İstisna Bendi (m.6/3) | Açıklama | Örnek | | --- | --- | --- | | a) Açık rıza | İlgili kişinin açık rızasının bulunması | Çalışanın sağlık verisini paylaşmaya rıza göstermesi | | b) Kanunda açıkça öngörülme | Kanunlarda açıkça düzenlenmiş olması | Adli sicil sorgulaması, Dernekler Kanunu bildirimleri | | c) Fiili imkânsızlık | Rızasını açıklayamayacak kişinin hayat veya beden bütünlüğünün korunması | Bilinci kapalı hastanın acil tedavisi | | ç) Alenileştirme | İlgili kişinin kendisinin alenileştirdiği veriler | Kişinin sendika üyeliğini kamuya açıklaması | | d) Hakkın korunması | Bir hakkın tesisi, kullanılması veya korunması için zorunluluk | Dava sürecinde ceza mahkumiyeti bilgisinin sunulması | | e) Sağlık amaçlı işleme | Sır saklama yükümlülüğü altındaki kişilerce sağlık hizmetleri kapsamında işleme | Hastane kayıtları, koruyucu hekimlik uygulamaları | | f) İstihdam ve sosyal güvenlik | İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik alanındaki hukuki yükümlülükler | İşverenin engelli çalışan verilerini SGK'ya bildirmesi | ### 3.2. Sır Saklama Yükümlülüğü KVKK m.6/3(e) bendi uyarınca, sağlık amaçlı veri işlemenin açık rıza olmaksızın yapılabilmesi için, işlemeyi yapan kişinin "sır saklama yükümlülüğü" altında bulunması veya yetkili kurum ya da kuruluş olması gerekir. Bu yükümlülük, mesleki düzenlemelerden veya sözleşmeden kaynaklanabilir. **Sır Saklama Yükümlülüğü Altındaki Kişiler** **Mesleki Sır Saklama:** Hekimler (Tıbbi Deontoloji Nizamnamesi), avukatlar (Avukatlık Kanunu), eczacılar, psikologlar, diş hekimleri. **Sözleşmesel Sır Saklama:** Veri işleyen kuruluşlarla yapılan sözleşmelerde gizlilik hükümleri. **Yetkili Kurum ve Kuruluşlar:** Sağlık Bakanlığı, SGK, özel hastaneler, sigorta şirketleri (sağlık sigortası kapsamında). **Kurul Uygulaması - Sır Saklama Yükümlülüğü** Kurul uygulamasında, ilaç firmalarının pazarlama amacıyla hasta verilerini işlemesinin sır saklama yükümlülüğü kapsamında değerlendirilemeyeceği kabul edilmektedir. İlaç firmaları sağlık hizmeti sunucusu olmadığından KVKK m.6/3 istisnasından yararlanamamaktadır. ## 4. Biyometrik ve Genetik Veriler ### 4.1. Biyometrik Veri Tanımı Biyometrik veriler, bir gerçek kişinin fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin teknik işlemeden kaynaklanan, kimliğin benzersiz bir biçimde tespitine olanak sağlayan kişisel verilerdir. | Biyometrik Veri Türü | Örnekler | Kullanım Alanı | | --- | --- | --- | | Fiziksel biyometri | Parmak izi, yüz geometrisi, iris, retina | Kimlik doğrulama, erişim kontrolü | | Fizyolojik biyometri | DNA, damar örüntüsü, el geometrisi | Adli tıp, kimlik tespiti | | Davranışsal biyometri | İmza, yürüyüş, klavye ritmi, ses | Sürekli kimlik doğrulama | **Kurul Uygulaması - İşyerinde Biyometrik Veri** Kurul uygulamasında, alternatif yöntemlerin (kart, şifre) mevcut olduğu durumlarda işyeri giriş-çıkış kontrolünde biyometrik veri işlenmesinin orantılılık ilkesine aykırı olduğu kabul edilmektedir. Biyometrik veri kullanımının zorunlu ve ölçülü olması gerekmektedir. ### 4.2. Genetik Veri Tanımı Genetik veriler, bir kişinin genetik özelliklerini ortaya koyan ve özellikle ilgili kişinin biyolojik örneklerinin analizi sonucunda elde edilen kişisel verilerdir. DNA analizi, genetik hastalık taraması, genetik yatkınlık testleri bu kapsamda değerlendirilir. > **Önemli Not (Genetik Ayrımcılık)** > > Genetik veriler, ilgili kişinin yanı sıra biyolojik akrabalarını da ilgilendirir. Bu nedenle genetik verilerin işlenmesi, yalnızca ilgili kişiyi değil, aile bireylerini de etkileyebilir. Genetik ayrımcılık riski özellikle sigorta ve istihdam alanlarında yoğun olarak tartışılmaktadır. ## 5. Yeterli Önlemler KVKK'nın 6. maddesinin 4. fıkrası uyarınca, özel nitelikli kişisel verilerin işlenmesinde, Kurul tarafından belirlenen yeterli önlemlerin alınması zorunludur. Kurul, 31.01.2018 tarihli ve 2018/10 sayılı kararıyla bu önlemleri belirlemiştir. > **KVKK m. 6/4 (Yeterli Önlemler)** > > Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır. ### 5.1. Kurul Kararı ile Belirlenen Önlemler **Yeterli Önlemler (Kurul Kararı 2018/10)** **1. Politika ve Prosedürler:** - Özel nitelikli kişisel verilerin işlenmesi için ayrı politika belirlenmesi - Bu politikanın çalışanlara duyurulması ve uygulanmasının takibi **2. Personel Güvenliği:** - Özel nitelikli veri işleyen personelin belirlenmesi - Bu personelin gizlilik sözleşmesi imzalaması - Yetki kapsamının ve süresinin belirlenmesi - Periyodik eğitim ve farkındalık çalışmaları **3. Fiziksel Güvenlik:** - Özel nitelikli verilerin işlendiği ortamların güvenliği - Yetkisiz erişimin engellenmesi **4. Teknik Güvenlik:** - Şifreleme (encryption) - Güvenli iletim protokolleri - Erişim loglarının tutulması - Güvenlik açıklarının düzenli kontrolü ### 5.2. Sektörel Uygulamalar | Sektör | Özel Nitelikli Veri | Alınması Gereken Önlemler | | --- | --- | --- | | Sağlık | Hasta kayıtları, teşhis, tedavi | HBYS güvenliği, şifreleme, erişim kontrolü | | İnsan Kaynakları | Engellilik, sağlık raporu, sabıka | Kısıtlı erişim, ayrı dosyalama | | Finans/Sigorta | Sağlık sigortası verileri | Veri minimizasyonu, amaç sınırlılığı | | Eğitim | Öğrenci sağlık, engellilik bilgileri | Öğretmen/personel erişim sınırlaması | | Spor | Sporcu sağlık verileri, doping | Federasyon düzeyinde koruma | ## 6. İhlal ve Yaptırımlar Özel nitelikli kişisel verilerin hukuka aykırı işlenmesi, KVKK'nın 18. maddesi kapsamında idari para cezası ve TCK kapsamında hapis cezası ile yaptırıma bağlanmıştır. | İhlal Türü | İdari Para Cezası (2026) | Ceza Hukuku | | --- | --- | --- | | Yeterli önlem almama (m.12) | 256.357 TL - 17.092.242 TL | - | | Hukuka aykırı işleme | 256.357 TL - 17.092.242 TL | TCK m.135-140 | | Veri güvenliği ihlali (m.12) | 256.357 TL - 17.092.242 TL | - | **Kurul Uygulaması - İdari Para Cezası** Kurul uygulamasında, özel nitelikli kişisel verileri yeterli güvenlik önlemi almaksızın işleyen veri sorumlularına yüksek tutarlarda idari para cezası uygulandığı görülmektedir. Şifreleme eksikliği, yetersiz erişim kontrolü ve log tutulmaması başlıca ihlal gerekçeleri arasındadır. ## 7. Sonuç Özel nitelikli kişisel veriler, veri koruma hukukunun en hassas alanını oluşturur. Bu verilerin işlenmesi, yalnızca KVKK'da öngörülen sınırlı hallerde ve Kurul tarafından belirlenen yeterli önlemlerin alınması koşuluyla mümkündür. KVKK m. 6/4 uyarınca Kurul tarafından belirlenen yeterli önlemler, özel nitelikli verilerin işlenmesinin ön koşulunu oluşturmaktadır. Özellikle sağlık sektörü, insan kaynakları uygulamaları ve biyometrik sistemler kullanan kuruluşların, KVKK m.6 kapsamındaki yükümlülüklerini titizlikle yerine getirmesi gerekmektedir. Kurul kararları incelendiğinde, yeterli önlem eksikliğinin ve hukuka aykırı işlemenin ciddi idari para cezalarına yol açtığı görülmektedir. --- Bu çalışma yalnızca bilgilendirme amacıyla hazırlanmış olup hukuki tavsiye niteliği taşımaz. Mevzuat ve içtihatlarda meydana gelebilecek değişiklikler nedeniyle içerik zamanla geçerliliğini yitirebilir. İçeriğin somut olaylara uygulanması veya bu içeriğe dayanılarak alınan kararlar nedeniyle doğabilecek sonuçlardan sorumluluk kabul edilmez.