Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından 26/02/2025 tarihinde Özel Nitelikli Kişisel Verilerin İşlenmesine ilişkin bir rehber yayımlandı. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 6. maddesi çerçevesinde düzenlenen bu rehber, veri sorumlularının uyması gereken yükümlülükleri ve veri işleme süreçlerinde dikkat edilmesi gereken hususları kapsamlı bir şekilde ele almaktadır.
Özel Nitelikli Kişisel Veriler Nelerdir?
Özel nitelikli kişisel veriler, bireylerin ayrımcılığa maruz kalmasına veya mağduriyet yaşamasına yol açabilecek nitelikte olup, işlenmeleri daha sıkı güvenlik önlemlerine tabi tutulmaktadır. KVKK’nın 6. maddesinde sınırlı sayma yöntemiyle belirlenmiş olan özel nitelikli kişisel veriler şunlardır:
- Irk ve etnik köken bilgileri
- Siyasi düşünceye ilişkin veriler
- Felsefi inanç, din, mezhep veya diğer inançlara ilişkin veriler
- Kılık ve kıyafete ilişkin veriler
- Dernek, vakıf ya da sendika üyeliğine ilişkin veriler
- Sağlık ve cinsel hayata ilişkin veriler
- Ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler
- Biyometrik ve genetik veriler
Bu kategoride yer alan kişisel veriler, kendi içinde de farklı düzeylerde hassasiyete sahip olup, işleme süreçlerinde özel güvenlik önlemlerinin alınması gerekmektedir.
Örneğin; ırk ve etnik köken bilgileri, bireylerin doğrudan kimliklerine ilişkin hassas veriler olup, bu bilgilerin işlenmesi ayrımcılık yasağına aykırı bir sonuca yol açmamalıdır. Benzer şekilde, biyometrik ve genetik veriler, yalnızca belirli teknik işlemlerle işlenebilen ve bireylerin fiziksel kimliklerinin belirlenmesini sağlayan özel nitelikli kişisel veriler arasında yer almaktadır.
Özel nitelikli kişisel verilerin işlenmesi, ancak KVKK’nın 6. Maddesinde belirtilen hallerde işlenebilmektedir.
Özel Nitelikli Kişisel Verilerin İşlenme Şartları
Özel nitelikli kişisel verilerin işlenmesi için kanun tarafından öngörülen bazı istisnalar bulunmaktadır. Bunlar şunlardır:
Öncelikli olarak, ilgili kişinin açık rızasının alınması gerekmektedir. Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayalı ve özgür iradeyle verilmiş olmalıdır. Ancak, açık rızanın alınmasının mümkün olmadığı veya gerekli görülmediği hallerde diğer işleme şartları devreye girmektedir.
Kanunlarda açıkça öngörülen hallerde, ilgili kişiden açık rıza alınmaksızın veri işleme faaliyetinde bulunulabilir. Bunun yanı sıra, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına hukuki geçerlilik tanınmayan bireylerin hayatı veya beden bütünlüğünün korunması için verilerinin işlenmesi zorunlu olabilir.
Bireylerin kendi özel nitelikli kişisel verilerini alenileştirmesi durumunda, bu veriler yalnızca alenileştirme amacıyla sınırlı olmak kaydıyla işlenebilir. Bunun dışında, bir hakkın tesisi, kullanılması veya korunması için özel nitelikli kişisel verilerin işlenmesi kaçınılmazsa, açık rıza aranmaksızın işleme yapılabilir.
Sağlık hizmetleri kapsamında, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlar tarafından kamu sağlığının korunması, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla özel nitelikli kişisel verilerin işlenmesi mümkündür. Aynı şekilde, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi amacıyla işlenen özel nitelikli kişisel veriler de belirlenen işleme şartlarına uygun olmalıdır.
Son olarak, siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve benzeri kuruluşlar, yalnızca kendi üyeleri ve düzenli temas halinde oldukları bireylerle sınırlı olmak kaydıyla özel nitelikli kişisel verileri işleyebilir.
Veri Sorumlularının Kanuna Uyum İçin Yapması Gerekenler
Rehber, özel nitelikli kişisel verileri işleyen
veri sorumlularının hukuka uygun hareket edebilmesi için bir dizi önlem alınmasını zorunlu kılmaktadır. Buna göre, veri sorumlularının:
- Kişisel veri işleme envanterlerini güncellemeleri,
- Açık rıza süreçlerini gözden geçirerek ilgili kişilerin bilgilendirilmesini sağlamaları,
- Aydınlatma metinlerini KVKK’ya uygun hale getirmeleri,
- Saklama ve imha politikalarını güncellemeleri,
- Özel nitelikli kişisel verileri yalnızca gerekli süre boyunca saklamaları ve süresi dolduğunda güvenli bir şekilde imha etmeleri,
- Veri güvenliği tedbirlerini güçlendirmeleri gerekmektedir.
Özellikle şifreleme, erişim kontrolü, yetkilendirme, sızma testleri ve denetim mekanizmalarının oluşturulması, özel nitelikli kişisel verilerin güvenliğini sağlamak adına kritik öneme sahiptir.
Özel Nitelikli Kişisel Verilerin İşlenmesine Dair Güncel Mevzuat Değişiklikleri
2024 yılında yürürlüğe giren 7499 sayılı Kanun ile özel nitelikli kişisel verilerin işlenmesine ilişkin önemli değişiklikler yapılmıştır. Bu değişiklikler ile birlikte:
- Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler için getirilen farklı işleme şartları kaldırılmıştır.
- Tüm özel nitelikli kişisel veriler için işleme koşulları yeniden düzenlenmiştir.
- Açık rıza ile diğer işleme şartları arasında hiyerarşik bir fark kaldırılmıştır.
Bu değişiklikler, Avrupa Birliği Genel Veri Koruma Tüzüğü’ne (GDPR) uyum sağlanması amacıyla gerçekleştirilmiş olup, uluslararası veri koruma standartlarına uygun bir düzenleme modeli oluşturmayı hedeflemektedir.
Sonuç
Özel nitelikli kişisel verilerin korunması, bireylerin mahremiyet haklarının korunması ve veri güvenliğinin sağlanması açısından kritik öneme sahiptir. KVKK ve ilgili rehber doğrultusunda hareket edilmemesi halinde ciddi idari yaptırımlar ve cezai sorumluluklarla karşı karşıya kalınabilir. Bu nedenle, KVKK uyumluluğunu sağlamak ve kişisel verilerin korunmasına ilişkin yükümlülükleri yerine getirmek için gerekli önlemlerin alınması tavsiye edilmektedir.
İlgili rehbere
buradan ulaşabilirsiniz.
