Özel Nitelikli Kişisel Veriler Hangi Durumlarda İşlenebilir? 2024 Sonrası
Özel nitelikli kişisel veriler, öğrenilmesi kişiyi ayrımcılığa veya mağduriyete uğratabilecek verilerdir. KVKK'nın 6. maddesi bunları sınırlı olarak sayar: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler, biyometrik ve genetik veriler. Bu veriler kural olarak açık rıza ile işlenir; 1 Haziran 2024'te yürürlüğe giren değişiklikle açık rıza dışındaki işleme halleri GDPR'a paralel olarak yeniden düzenlenmiştir.
Hangi veriler özel nitelikli sayılır
| Kategori | Örnek |
|---|---|
| Sağlık | Rapor, tahlil sonucu, engellilik durumu, hastalık geçmişi, reçete |
| Biyometrik ve genetik | Parmak izi, yüz tanıma verisi, retina, DNA testi |
| Din, mezhep, inanç | Kimlikteki din hanesi, ibadet tercihi |
| Irk ve etnik köken | Uyruk dışında etnik aidiyet bilgisi |
| Siyasi düşünce, felsefi inanç | Parti üyeliği, siyasi görüş beyanı |
| Dernek, vakıf, sendika üyeliği | Sendika aidat kesintisi kaydı |
| Cinsel hayat | Cinsel yönelim, cinsel sağlık bilgisi |
| Ceza mahkumiyeti ve güvenlik tedbirleri | Adli sicil kaydı |
| Kılık ve kıyafet | Kıyafet tercihinden inanca dair çıkarım yapılabilen veriler |
Liste kapalıdır: burada sayılmayan bir veri, ne kadar hassas görünürse görünsün özel nitelikli sayılmaz. Örneğin maaş bilgisi, kredi notu veya konum verisi hassastır ama özel nitelikli değildir; genel hükümlere tabidir.
Hangi hallerde işlenebilir
2024 değişikliği öncesinde sağlık ve cinsel hayat verileri için tek istisna, sır saklama yükümlülüğü altındaki kişilerce işlenmesiydi; diğerleri için yalnız "kanunlarda öngörülme" istisnası vardı. Yeni düzenleme, tüm özel nitelikli veriler için ortak bir liste getirdi. Açık rıza dışında şu hallerde işleme mümkündür:
- Kanunlarda açıkça öngörülmesi
- Fiili imkansızlık nedeniyle rızasını açıklayamayacak kişinin veya bir başkasının hayatı ya da beden bütünlüğünün korunması için zorunlu olması
- İlgili kişinin kendisi tarafından alenileştirilmiş olması ve alenileştirme iradesiyle uyumlu kullanılması
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
- Sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca koruyucu hekimlik, teşhis, tedavi, bakım hizmetleri, sağlık hizmetlerinin planlanması ve finansmanı amacıyla işlenmesi
- İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik gibi alanlardaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması
- Siyasi, felsefi, dini veya sendikal amaçlı kuruluşların, mevzuata uygun ve faaliyet alanlarıyla sınırlı olarak, üyeleri veya düzenli temasta olduğu kişilere ilişkin verileri, üçüncü kişilere açıklanmamak kaydıyla işlemesi
- Kamu sağlığının korunması, ilaç ve tıbbi cihaz güvenliği gibi kamu yararına alanlarda işlenmesi
İstihdam istisnası pratikte önemlidir: işverenin işe giriş sağlık raporunu veya sendika aidat kesintisini işlemesi için ayrıca açık rıza almasına gerek yoktur; ancak bu, işverenin sınırsız veri toplayabileceği anlamına gelmez, işleme yalnız yükümlülüğün gerektirdiği ölçüde yapılır.
Açık rıza alınacaksa nelere dikkat edilmeli
- Rıza yalnız özel nitelikli veri için ve o amaçla alınmalı; genel bir aydınlatma metnine iliştirilmiş toplu onay geçerli değildir.
- Hizmetin sunulması rızaya bağlanmamalı; rıza vermeyen kişiye hizmet reddedilirse rıza "özgür irade" şartını taşımaz.
- Rıza geri alınabilir olmalı ve geri alındığında işleme durmalıdır. Ayrıntı: rızanın geri alınması.
- Rızanın alındığı an, kapsam ve versiyon kayıt altına alınmalıdır; ispat yükü veri sorumlusundadır.
Ek güvenlik tedbirleri
Kurul'un Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler kararı, bu verileri işleyen her kuruluş için asgari bir çerçeve çizer:
- Konuya özel yazılı politika ve prosedür; çalışanlara düzenli eğitim ve gizlilik taahhütnamesi
- Erişimin yalnız görev gereği ihtiyaç duyan kişilerle sınırlanması, yetki kayıtlarının tutulması
- Verilerin şifreli saklanması, şifre anahtarlarının ayrı yerde tutulması
- Elektronik ortamda aktarımda şifreli iletişim, fiziksel aktarımda "özel nitelikli kişisel veri" ibareli kapalı zarf ve elden teslim
- Fiziksel ortamda saklamada yetkisiz girişe karşı korunan alanlar
Ayrıca ana faaliyeti özel nitelikli veri işlemek olan şirketler için VERBİS kayıt eşiği daha düşüktür: 10 çalışan veya 10 milyon TL bilanço. Ayrıntı: VERBİS rehberi.
Web sitesi olan şirketler için
Çoğu web sitesi özel nitelikli veri toplamaz; ancak şu durumlarda toplar: sağlık kuruluşlarının randevu formları, iş başvuru formundaki sağlık veya adli sicil soruları, dernek üyelik formları, sigorta tekliflerinde sağlık beyanı. Bu formlar için ayrı bir açık rıza alanı ve kayıt gerekir. Formların yanında sitede çalışan çerezler de kişisel veri işler; hangi çerezin rıza gerektirdiğini görmek için ücretsiz tarama yapabilirsiniz.
Sıkça sorulan sorular
Kimlik fotokopisi özel nitelikli veri midir?
Kimliğin kendisi genel nitelikli veridir; ancak üzerinde din hanesi veya kan grubu görünüyorsa o kısım özel nitelikli veri olur. Kurul, gereksiz alanların karartılmasını beklemektedir.
Fotoğraf özel nitelikli veri midir?
Sıradan bir fotoğraf değildir. Ancak yüz tanıma sistemine dönüştürülüp biyometrik şablon üretiliyorsa biyometrik veri olur ve özel nitelikli sayılır.
Çalışanın sağlık raporunu saklamak için rıza gerekir mi?
Genellikle hayır; iş sağlığı ve güvenliği ile sosyal güvenlik yükümlülükleri kapsamında işlenir. Rapor içeriğinin gereğinden fazla kişiye açılmaması ve saklama süresinin sınırlı olması gerekir.
Özel nitelikli veriyi yurt dışına aktarabilir miyim?
Yurt dışına aktarım kuralları burada da geçerlidir: yeterlilik kararı, uygun güvence veya kanunda sayılan istisna gerekir. Sunucusu yurt dışında olan bir sağlık uygulaması bu kapsamdadır.
.jpg)
