Özel Nitelikli Kişisel Veri

Özel nitelikli kişisel veriler, öğrenilmeleri hâlinde kişinin ayrımcılığa uğramasına veya mağdur olmasına yol açabilecek veri kategorileridir. KVKK’nın 6. maddesi bu kategorileri sınırlı olarak sayar ve bunların işlenmesini, diğer kişisel verilere göre çok daha dar şartlara bağlar.

Hangi Veriler Özel Niteliklidir?

KVKK’ya göre şu veriler özel niteliklidir: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler. Liste sınırlıdır; bir verinin hassas görünmesi, örneğin maaş veya banka bilgisi, onu tek başına özel nitelikli yapmaz.

İşleme Şartları: 2024 Değişikliği

7499 sayılı Kanun’la 1 Haziran 2024’ten itibaren 6. madde yeniden düzenlendi. Önceki sistemde açık rıza dışındaki imkânlar çok dardı: sağlık ve cinsel hayat dışındaki özel nitelikli veriler yalnızca kanunda öngörülmüşse, sağlık ve cinsel hayata ilişkin veriler ise yalnızca sağlık hizmetleri kapsamında ve sır saklama yükümlülüğü altındaki kişilerce açık rıza aranmaksızın işlenebiliyordu. Yeni düzenlemede özel nitelikli verilerin tamamı için ortak ve daha geniş bir şart listesi getirildi. Buna göre özel nitelikli veriler; açık rıza, kanunlarda açıkça öngörülme, fiili imkânsızlık, ilgili kişinin alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması, sağlık hizmetlerinin yürütülmesi, istihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanlarındaki hukuki yükümlülükler ve kâr amacı gütmeyen kuruluşların üyeleriyle sınırlı faaliyetleri gibi hâllerde işlenebilir.

Dikkat edilmesi gereken nokta şudur: meşru menfaat bu şartlar arasında yer almaz. Genel kişisel veriler için meşru menfaate dayanabilen bir şirket, aynı işlemi özel nitelikli veri içeriyorsa bu şarta dayandıramaz.

Yeterli Önlemler

Özel nitelikli verilerin işlenmesinde, Kurul’un belirlediği yeterli önlemlerin alınması zorunludur. Bu önlemler; verilere erişen çalışanların eğitimi ve gizlilik taahhütleri, erişim yetkilerinin sınırlandırılması ve düzenli gözden geçirilmesi, verilerin şifrelenmesi ve aktarımda güvenli yöntemlerin kullanılması gibi teknik ve idari tedbirleri kapsar. Kurum’un yayımladığı Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber, uygulamada başvurulacak temel kaynaktır.

Uygulamada Sık Karşılaşılan Durumlar

• Çalışan sağlık raporları: İş sağlığı ve güvenliği mevzuatından doğan yükümlülükler kapsamında işlenebilir; ancak raporların insan kaynakları dosyasında herkesin erişimine açık tutulması önlem yükümlülüğüne aykırıdır.
• Biyometrik giriş sistemleri: Parmak izi veya yüz tanıma ile işyerine giriş, çoğu durumda daha az müdahaleci yöntemler (kart, şifre) mevcut olduğundan ölçülülük ilkesi bakımından sorun yaratır.
• Adli sicil kaydı: Ancak kanunda açıkça öngörülen durumlarda istenebilir; her işe alımda rutin olarak istenmesi hukuka aykırıdır.