Özel Nitelikli Kişisel Veriler Hangi Şartlarda İşlenebilir? KVKK m.6 Rehberi 2026

KVKK’ya göre hangi veriler özel nitelikli kişisel veridir?

6698 sayılı Kişisel Verilerin Korunması Kanunu m.6, özel nitelikli kişisel veri kategorilerini sınırlı olarak sayar. Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları; kılık ve kıyafeti; dernek, vakıf ya da sendika üyeliği; sağlığı, cinsel hayatı; ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri; biyometrik ve genetik verileri özel nitelikli kişisel veridir.

Bu veriler kişilerin ayrımcılığa uğramasına, sosyal veya ekonomik zarar görmesine ya da mahremiyetinin ağır biçimde ihlaline yol açabilecek yüksek risk taşır. Bu nedenle Kanun genel nitelikli verilere kıyasla daha sıkı bir işleme sistemi kurmuştur.

Bir verinin özel nitelikli olup olmadığı işleme amacına göre değişmez; veri kategorisinin kendisi belirleyicidir. Örneğin çalışan sağlık raporu, hastane sonucu veya biyometrik parmak izi verisi hangi amaçla tutulursa tutulsun özel nitelikli kişisel veri niteliğini korur.

Özel nitelikli verinin işlenebilmesi için m.6’daki hukuki şartlardan biri bulunmalı ve ayrıca Kurul tarafından belirlenen yeterli önlemler alınmalıdır. Sıradan m.5 hukuki sebebine dayanmak tek başına yeterli değildir.

2024 yılında KVKK m.6 nasıl değişti?

12 Mart 2024 tarihli değişikliklerle özel nitelikli kişisel verilerin işlenme sistemi yeniden düzenlendi ve yeni hükümler 1 Haziran 2024 tarihinde yürürlüğe girdi. Eski sistemde sağlık ve cinsel hayata ilişkin veriler ile diğer özel nitelikli veriler arasında farklı kurallar bulunuyordu. Yeni sistemde bütün özel nitelikli veri kategorileri için daha ayrıntılı ve ortak hukuki işleme şartları oluşturuldu.

En önemli değişiklik, “açık rıza yoksa özel nitelikli veri işlenemez” şeklindeki dar yaklaşımın terk edilmesidir. Kanun, açık rızaya ek olarak çeşitli hukuki sebepler saymıştır. Veri sorumlusu somut işleme faaliyetine gerçekten uyan sebebi belirlemek zorundadır.

Değişiklik, işletmelerin sınırsız biçimde özel nitelikli veri işleyebileceği anlamına gelmez. Tam tersine amaçla bağlantı, veri minimizasyonu, saklama süresi, erişim kontrolü, güvenlik ve aydınlatma yükümlülükleri devam eder. Ayrıca m.6/4 uyarınca yeterli önlemlerin alınması zorunludur.

2026 yılında eski m.6 metnine göre hazırlanmış aydınlatma ve açık rıza metinlerinin güncellenmesi gerekir. Özellikle çalışan sağlık verileri, sendika üyeliği, adli sicil ve biyometrik veri süreçleri yeni hukuki sebepler üzerinden yeniden değerlendirilmelidir.

Özel nitelikli veri açık rıza ile işlenebilir mi?

Evet. KVKK m.6/3-a açık rızayı özel nitelikli kişisel verilerin işlenebileceği hukuki sebeplerden biri olarak düzenler. Açık rıza belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanı olmalıdır.

Ancak açık rıza bütün özel nitelikli veri işlemenin zorunlu temeli değildir. Kanundaki başka bir şart mevcutsa açık rızaya dayanılması gerekmeyebilir. Örneğin iş sağlığı ve güvenliği kapsamında kanuni yükümlülüğün yerine getirilmesi için zorunlu sağlık verisi, yeni m.6’daki özel hukuki sebepler çerçevesinde işlenebilir.

Açık rıza kullanılan süreçte rıza hizmetin zorunlu ön koşuluna dönüştürülmemeli, veri sahibi reddettiğinde kanunen zorunlu olmayan bir hak veya hizmetten keyfi biçimde mahrum bırakılmamalıdır. İş ilişkisi gibi güç dengesizliği bulunan alanlarda özgür irade özellikle dikkatle değerlendirilir.

Rıza geri alındığında rızaya dayalı işlem ileriye dönük sona erdirilmelidir. Başka bir hukuki sebep gerçekten mevcutsa veri sorumlusu o zorunlu işlemeyi farklı hukuki dayanakla sürdürebilir; ancak eski rızayı varmış gibi kullanamaz.

Kanunlarda açıkça öngörülme şartı nasıl uygulanır?

KVKK m.6/3-b, özel nitelikli kişisel verilerin işlenmesinin kanunlarda açıkça öngörülmesi hâlinde açık rıza aranmadan işlenebilmesini düzenler. Burada dayanak yalnız genel kurum politikası veya sözleşme değil, kanuni düzenlemedir.

Örneğin belirli sektör mevzuatı adli sicil, sağlık, biyometrik veya başka özel nitelikli verinin tutulmasını açıkça öngörebilir. Veri sorumlusu hangi kanun hükmüne dayandığını belirlemeli ve sadece o hükmün gerektirdiği kapsamda veri işlemelidir.

Kanunda belirli verinin işlenmesine izin verilmesi, sınırsız toplama veya süresiz saklama hakkı vermez. KVKK m.4’teki belirli, açık ve meşru amaç, amaçla bağlantılılık, sınırlılık ve ölçülülük ilkeleri devam eder.

Dayanak kanun değiştiğinde veya yükümlülük sona erdiğinde özel nitelikli veri işleme faaliyeti yeniden değerlendirilmelidir. Hukuki sebebi kalmayan veriler için m.7 kapsamında silme, yok etme veya anonim hâle getirme süreçleri uygulanır.

Fiili imkânsızlıkta hayat veya beden bütünlüğünün korunması

KVKK m.6/3-c, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünün korunması için özel nitelikli veri işlemenin zorunlu olması hâlini düzenler.

Bu hüküm özellikle acil sağlık ve güvenlik durumlarında önemlidir. Bilinci kapalı kişinin alerji, kan grubu veya sağlık geçmişine erişilmesi hayatını korumak için zorunlu olabilir. Rızasını açıklayamayan çocuğun acil müdahalesinde de benzer değerlendirme yapılabilir.

Şart dar yorumlanmalıdır. “Kişiye ulaşmak zor” veya “rızayı almak zaman alıyor” gerekçesi fiili imkânsızlık değildir. İşlemenin gerçekten hayat veya beden bütünlüğünü korumak için zorunlu olması gerekir.

Acil durum sona erdikten sonra aynı verinin araştırma, pazarlama veya başka amaçlarla kullanılması için ayrıca hukuki sebep gerekir. Acil müdahale şartı sonraki bütün işlemeleri meşrulaştırmaz.

İlgili kişinin alenileştirdiği özel nitelikli veri işlenebilir mi?

Yeni m.6 sistemi, ilgili kişinin kendisi tarafından alenileştirilen özel nitelikli verilerin alenileştirme iradesine uygun olarak işlenmesine izin verir. Burada iki şart birlikte aranır: veriyi ilgili kişinin kendisi alenileştirmiş olmalı ve sonraki işleme bu alenileştirme iradesiyle uyumlu olmalıdır.

Örneğin kişi belirli bir sendika veya dernek görevini kamuya açık özgeçmişinde görev bağlamında yayımlamış olabilir. Bu bilgi, ilan edildiği amaçla bağlantılı biçimde değerlendirilebilir. Ancak veri, farklı amaçla ayrımcı profil çıkarmak için kullanılamaz.

Sosyal medya hesabının herkese açık olması, sağlık veya siyasi görüş gibi özel nitelikli verilerin her şirket tarafından serbestçe toplanabileceği anlamına gelmez. İlgili kişinin neyi, hangi amaçla ve hangi bağlamda kamuyla paylaştığı dikkate alınmalıdır.

Veri sorumlusu bu hukuki sebebi kullanıyorsa alenileştirme kaynağını ve işleme amacıyla bağlantıyı belgelemelidir. Kişinin sonradan içeriği kaldırması da yeni işleme faaliyetleri bakımından dikkate alınmalıdır.

Bir hakkın tesisi, kullanılması veya korunması için özel nitelikli veri işlenebilir mi?

Evet. KVKK m.6, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması hâlinde özel nitelikli kişisel veri işlenmesine izin verir. Bu düzenleme dava, savunma, alacak, iş uyuşmazlığı, sigorta ve benzeri hukuki süreçlerde önemlidir.

Örneğin iş kazası davasında sağlık raporunun, ayrımcılık iddiasında sendika üyeliğine ilişkin kaydın veya ceza mahkûmiyetiyle bağlantılı hukuki savunmada ilgili belgenin kullanılması hakkın korunması için zorunlu olabilir.

İşleme yalnız uyuşmazlıkla ilgili ve gerekli verilerle sınırlı olmalıdır. Dava dosyasına ilgisiz sağlık geçmişinin tamamını eklemek veya bütün özel nitelikli verileri “ileride dava olur” gerekçesiyle süresiz saklamak ölçülülük ilkesine aykırıdır.

Hukuki sürecin sona ermesi ve saklama gereğinin ortadan kalkması hâlinde veri imha politikasına göre silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

Sağlık ve cinsel hayat verileri hangi şartlarda işlenebilir?

Yeni m.6, sağlık verileri için kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla işleme imkânı tanır. Bu işleme sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar ile kanunun kapsadığı diğer yetkili kişiler tarafından yapılmalıdır.

Hastane, hekim, sağlık kuruluşu ve sağlık finansmanı süreçlerinde bu hukuki sebep temel önemdedir. Ancak sağlık hizmeti sunumu için toplanan veri, ayrıca pazarlama veya ilgisiz ticari profil çıkarma amacıyla aynı hukuki sebeple kullanılamaz.

Sağlık verilerine erişim en düşük yetki prensibiyle sınırlandırılmalıdır. İdari personelin yalnız görevi için gerekli bilgiye, sağlık profesyonelinin ise tıbbi süreç için gerekli kayda erişmesi gerekir. Yetkisiz erişim veri ihlali riski doğurur.

Sağlık verileri bakımından elektronik sistem, şifreleme, erişim logları, yetki matrisi, fiziksel dosya güvenliği ve gizlilik yükümlülükleri yeterli önlemlerin parçasıdır.

İstihdam, iş sağlığı ve güvenliği ve sosyal güvenlik kapsamında özel nitelikli veri

2024 değişikliğiyle özel nitelikli verilerin istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması ayrı hukuki sebep olarak düzenlenmiştir.

İşverenin çalışanın iş görebilirlik veya iş sağlığı süreci için gerekli sağlık verisini işlemesi, iş kazası kaydı, sosyal güvenlik bildirimi veya kanunen gerekli bazı özel nitelikli veriler bu hukuki sebep kapsamında değerlendirilebilir.

İşverenin bu hükme dayanarak çalışanın tüm sağlık geçmişini veya ilgisiz özel nitelikli verilerini istemesi mümkün değildir. Veri, somut hukuki yükümlülüğün yerine getirilmesi için gerekli ölçüde işlenmelidir.

Çalışan verilerinde erişim özellikle sınırlandırılmalıdır. Sağlık dosyasının insan kaynakları sistemindeki herkes tarafından görülmesi, yeterli güvenlik önlemiyle bağdaşmaz. Görev ve ihtiyaç esaslı erişim uygulanmalıdır.

Siyasi, felsefi, dini veya sendikal amaçlı kâr amacı gütmeyen kuruluşlarda işleme

KVKK m.6, siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş veya oluşumların belirli şartlarla özel nitelikli veri işleyebilmesini düzenler. İşleme kuruluşun mevzuatına ve amaçlarına uygun olmalı, faaliyet alanıyla sınırlı kalmalı ve ilgili kişilerin verileri üçüncü kişilere açıklanmamalıdır.

Bu hukuki sebep özellikle mevcut veya eski üyeler ile kuruluşla düzenli temas hâlinde bulunan kişiler bakımından uygulanır. Derneğin üyelik yapısı gereği siyasi düşünce, dini inanç veya sendika üyeliği gibi özel nitelikli veriler doğal olarak ortaya çıkabilir.

Bu hüküm kuruluşun verileri reklam şirketine, siyasi kampanyaya veya ilgisiz üçüncü kişiye aktarmasına genel izin vermez. Üçüncü kişilere açıklamama şartı ve kuruluş amacıyla sınırlılık esastır.

Kuruluşlar da aydınlatma, güvenlik, saklama-imha ve ilgili kişi haklarına ilişkin KVKK yükümlülüklerine tabidir.

Özel nitelikli kişisel veriler için hangi güvenlik önlemleri alınmalıdır?

KVKK m.6/4, özel nitelikli kişisel verilerin işlenmesinde Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınmasını zorunlu kılar. Hukuki işleme şartının bulunması güvenlik tedbirlerini ortadan kaldırmaz.

Kurulun özel nitelikli veriler için öngördüğü uygulamalar kapsamında çalışanların eğitilmesi, gizlilik sözleşmeleri, yetki matrisi, düzenli erişim kontrolü, güvenli elektronik aktarım, şifreleme, fiziksel dosya güvenliği ve işlem kayıtlarının tutulması önem taşır.

Özel nitelikli veri e-posta ile gönderilecekse güvenli yöntem kullanılmalı, taşınabilir ortamlar şifrelenmeli ve aktarım yapılan tarafın yetkisi doğrulanmalıdır. Basılı belgeler kilitli ve erişimi sınırlı alanlarda tutulmalıdır.

İhlal hâlinde KVKK m.12 kapsamındaki veri güvenliği sorumlulukları ve Kurulun veri ihlali bildirim uygulamaları devreye girer. Özel nitelikli veri ihlali kişilerin hak ve özgürlükleri bakımından yüksek risk doğurabilir.

Sık sorulan sorular

Özel nitelikli kişisel veriler nelerdir?

Irk, etnik köken, siyasi düşünce, felsefi inanç, din ve mezhep, kılık kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri, biyometrik ve genetik veriler.

Özel nitelikli veri için her zaman açık rıza gerekir mi?

Hayır. 1 Haziran 2024’ten beri yürürlükte olan m.6/3, açık rıza dışında başka hukuki sebepler de öngörür.

Sağlık verisi işveren tarafından işlenebilir mi?

İş sağlığı ve güvenliği veya istihdam kapsamındaki hukuki yükümlülüğün yerine getirilmesi için zorunlu olduğu ölçüde, m.6 şartlarına göre işlenebilir.

Adli sicil kaydı özel nitelikli veri midir?

Evet. Ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler özel nitelikli kişisel veridir.

Biyometrik veri açık rıza olmadan işlenebilir mi?

Somut işlem m.6/3’teki hukuki sebeplerden birine gerçekten giriyorsa mümkün olabilir; gereklilik ve ölçülülük ayrıca değerlendirilir.

Sosyal medyada paylaşılan sağlık verisi serbestçe kullanılabilir mi?

Hayır. Kişinin kendisi tarafından alenileştirilmiş olması ve sonraki işlemenin alenileştirme iradesine uygun olması gerekir.

Dava dosyasında sağlık verisi kullanılabilir mi?

Bir hakkın tesisi, kullanılması veya korunması için zorunlu olduğu ölçüde m.6 kapsamında işlenebilir.

Özel nitelikli veriler üçüncü kişiye aktarılabilir mi?

İşleme ve aktarım için Kanundaki hukuki şartlar sağlanmalı; yurt dışı aktarımında ayrıca m.9 uygulanmalıdır.

2024 değişikliği ne zaman yürürlüğe girdi?

Yeni özel nitelikli veri işleme sistemi 1 Haziran 2024 tarihinde yürürlüğe girdi.

Özel nitelikli veriler için ek güvenlik şartı var mı?

Evet. Kurul tarafından belirlenen yeterli önlemlerin alınması m.6/4 uyarınca zorunludur.

Resmî kaynak ve ilgili içerikler

6698 sayılı Kanun’un güncel metni için Mevzuat Bilgi Sistemi, özel nitelikli kişisel verilere ilişkin güncel rehber ve Kurul kararları için Kişisel Verileri Koruma Kurumu kullanılmalıdır. Genel kişisel veri işleme şartları için KVKK m.5 rehberi incelenebilir.

Hukukçu incelemesi ve E-E-A-T: İçerik 11 Eylül 2026 itibarıyla 1 Haziran 2024’te yürürlüğe giren KVKK m.6 sistemi esas alınarak hazırlanmıştır. Eski sağlık verisi/diğer özel veri ayrımı güncel hukuk gibi sunulmamış; m.6/3’teki yeni işleme sebepleri ve m.6/4’teki yeterli önlem yükümlülüğü esas alınmıştır.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →