Özel Nitelikli Kişisel Veriler 2026: KVKK m.6 Güncel İşleme Şartları
Özel nitelikli veriler, yüksek ayrımcılık ve zarar riski nedeniyle m.6’daki özel hukuki sebepler ve ek güvenlik tedbirleriyle işlenebilir.
Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor
Hangi kişisel veriler özel niteliklidir?
KVKK m.6/1 özel nitelikli kişisel verileri sınırlı olarak sayar. Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
Bu liste yorumla genişletilemez. Örneğin gelir bilgisi hassas olabilir fakat m.6 listesinde olmadığı için kendi başına “özel nitelikli kişisel veri” değildir. Buna karşılık bir kişinin parmak izi, yüz tanıma şablonu, genetik test sonucu, hastalık tanısı veya sendika üyeliği doğrudan m.6 kapsamındadır.
Özel nitelikli verilerin korunma seviyesinin yüksek tutulmasının nedeni, bu verilerin hukuka aykırı kullanılması halinde ayrımcılık, dışlanma, ekonomik zarar veya ciddi özel hayat ihlali doğurma riskinin yüksek olmasıdır.
2024 KVKK değişikliği özel nitelikli veri rejiminde ne değiştirdi?
12 Mart 2024 tarihli Resmî Gazete’de yayımlanan 7499 sayılı Kanunla KVKK m.6’nın işleme şartları yeniden düzenlendi ve değişiklik 1 Haziran 2024’te yürürlüğe girdi. Eski sistemde sağlık ve cinsel hayata ilişkin verilerle diğer özel nitelikli veriler farklı hukuki rejimlere tabi tutuluyordu.
Güncel m.6/3 artık bütün özel nitelikli kişisel veriler için ortak sekiz işleme şartı öngörür. Açık rıza bunlardan yalnız biridir; kanunda sayılan diğer hukuki sebeplerden biri varsa açık rıza olmadan da özel nitelikli veri işlenebilir.
Bu nedenle 2024 öncesi internet içeriklerinde yer alan “sağlık ve cinsel hayat dışındaki özel nitelikli veriler yalnız açık rıza veya kanunda açıkça öngörülme ile işlenebilir” şeklindeki eski düzenleme 2026 için güncel değildir.
1. Açık rıza varsa özel nitelikli veri işlenebilir mi?
Evet. m.6/3-a açık rızayı özel nitelikli verilerin işlenme şartlarından biri olarak düzenler. Açık rıza belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır.
Açık rıza sözleşmenin veya hizmetin zorunlu koşulu haline getirilmemeli; kişinin gerçek seçim imkânı bulunmalıdır. Kanunun başka bir işleme şartı mevcutken gereksiz şekilde açık rızaya dayanılması, rızanın geri alınması halinde hukuki belirsizlik yaratabilir.
Açık rıza geri alınabilir. Geri alma geçmişte hukuka uygun gerçekleştirilen işlemleri geriye dönük olarak otomatik hukuka aykırı hale getirmez; ancak başka hukuki sebep yoksa geleceğe yönelik işleme durdurulmalıdır.
2. Kanunlarda açıkça öngörülme şartı
m.6/3-b uyarınca özel nitelikli kişisel verilerin işlenmesi kanunlarda açıkça öngörülmüşse açık rıza aranmaz. Örneğin belirli kamu görevlileri, işverenler veya sağlık kurumları için özel kanunlarda saklanması veya bildirilmesi zorunlu veriler bu kapsamda değerlendirilebilir.
“Mevzuat gereği lazım olabilir” şeklindeki genel ifade yeterli değildir. Veri sorumlusu hangi kanun hükmünün hangi özel nitelikli verinin işlenmesini öngördüğünü gösterebilmelidir.
Alt düzenleyici işlem tek başına kanuni yetki yaratmıyorsa m.6/3-b’ye dayanak olarak kullanılamaz. Yetkinin kanundan kaynaklanması gerekir.
3. Fiili imkânsızlık ve hayat/beden bütünlüğünün korunması
m.6/3-c, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünün korunması için işlemenin zorunlu olması halini düzenler.
Bilinci kapalı hastanın alerji veya kan grubu bilgisinin acil tedavi için kullanılması bu hukuki sebebin tipik örneğidir. Kuralın kapsamı acil korunma ihtiyacıyla sınırlıdır; sonradan farklı ticari amaçlarla veri kullanımı aynı dayanağa bağlanamaz.
4. İlgili kişinin alenileştirdiği veriler
m.6/3-ç, ilgili kişinin alenileştirdiği özel nitelikli kişisel verilerin alenileştirme iradesine uygun olarak işlenmesine izin verir. Burada iki koşul birlikte aranır: kişi veriyi kendisi alenileştirmiş olmalı ve işleme, alenileştirme iradesine uygun olmalıdır.
Bir kişinin sosyal medyada sağlık durumunu paylaşması, bu verinin sınırsız şekilde reklam profiline dönüştürülmesine izin verdiği anlamına gelmez. İşleme amacı kişinin paylaşma iradesinin sınırlarıyla uyumlu olmalıdır.
Başkası tarafından sızdırılmış veya izinsiz paylaşılmış veriler “alenileştirilmiş” sayılarak bu bende dayandırılamaz.
5. Bir hakkın tesisi, kullanılması veya korunması
m.6/3-d, özel nitelikli kişisel verinin bir hakkın tesisi, kullanılması veya korunması için işlenmesinin zorunlu olduğu durumları düzenler. İş uyuşmazlığında sağlık raporunun, sigorta talebinde tıbbi belgenin veya mahkeme dosyasında ilgili özel nitelikli verinin zorunlu ölçüde kullanılması bu kapsamda olabilir.
“Zorunlu olma” ölçütü önemlidir. Hakkın kullanılması için gerekmeyen geniş veri seti işlenemez. Veri minimizasyonu ilkesi bu hukuki sebepte de geçerlidir.
6. Kamu sağlığı ve sağlık hizmetleri için işleme
m.6/3-e, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla işlemenin gerekli olması halinde özel nitelikli verilerin işlenmesine izin verir.
Hastane, hekim ve sağlık sistemi açısından bu hüküm açık rıza gerektirmeyen önemli bir hukuki temeldir. Ancak yalnız sağlık hizmetiyle bağlantılı gerekli işlemler için kullanılabilir; sağlık verisinin ilgisiz reklam veya pazarlama amacıyla kullanımı bu bentle meşrulaştırılamaz.
Sır saklama yükümlülüğü ve veri güvenliği, sağlık verilerinde ayrıca yüksek önem taşır. Yetkisiz personelin hasta dosyalarına erişmesi m.6 işleme şartı bulunsa bile m.12 güvenlik yükümlülüğünü ihlal edebilir.
7. İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik şartı
2024 değişikliğiyle eklenen önemli işleme şartlarından biri m.6/3-f’dir. İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için işleme zorunluysa özel nitelikli veriler açık rıza olmadan işlenebilir.
İşverenin engellilik durumuna ilişkin yasal teşvik işlemi, iş sağlığı bakımından gerekli sağlık kaydı veya sosyal güvenlik bildirimi bu kapsamda değerlendirilebilir. Ancak işverenin çalışanların bütün sağlık geçmişini merak amacıyla toplaması bu bende dayanmaz.
İşveren yalnız yasal yükümlülüğü için gerekli veri kategorisini, gerekli süreyle ve erişim yetkilerini sınırlandırarak işlemelidir.
8. Dernek, vakıf, sendika ve benzeri kuruluşlarda özel şart
m.6/3-g, siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tabi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla mevcut veya eski üyelerine ve mensuplarına ya da bu kuruluşlarla düzenli temas halinde olan kişilere yönelik özel nitelikli verileri işlemesini düzenler.
Bu hüküm kuruluşlara sınırsız veri işleme yetkisi vermez. Veri, kuruluşun amaç ve faaliyet alanıyla bağlantılı olmalı; üçüncü kişilere açıklanmamalı ve yalnız ilgili kişi grupları bakımından işlenmelidir.
Örneğin sendikanın üyelik kaydını aidat ve üyelik faaliyetleri için işlemesiyle üyelik listesini ticari reklam şirketine vermesi aynı hukuki durumda değildir.
Özel nitelikli verilerde “yeterli önlem” zorunluluğu
KVKK m.6/4, özel nitelikli kişisel verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınmasını zorunlu tutar. Hukuki işleme şartının bulunması güvenlik tedbirlerinden vazgeçilebileceği anlamına gelmez.
Kurulun özel nitelikli kişisel verilerin işlenmesinde veri sorumlularınca alınması gereken yeterli önlemlere ilişkin kararı; politika/prosedür hazırlanması, çalışan eğitimi, gizlilik sözleşmeleri, erişim yetkilerinin tanımlanması, periyodik yetki kontrolü, kriptografik yöntemler, güvenli fiziksel ortam ve güvenli aktarım gibi tedbirler öngörür.
Verinin niteliği ve işleme riski arttıkça teknik/idari tedbirlerin seviyesi de yükselmelidir. Sağlık ve biyometrik veri gibi yüksek riskli kategorilerde erişim kayıtları ve güçlü kimlik doğrulama özellikle önemlidir.
Özel nitelikli verilerin yurt dışına aktarılması
Özel nitelikli verilerin yurt dışına aktarımında yalnız m.6 işleme şartının bulunması yeterli değildir. 6698 m.9’daki yurt dışına aktarım şartlarının da ayrıca sağlanması gerekir. 2024 değişikliğiyle standart sözleşme ve bağlayıcı şirket kuralları dahil yeni aktarım mekanizmaları getirilmiştir.
Örneğin çalışan sağlık verisinin yurt dışındaki bulut sunucusuna gönderilmesi hem m.6 kapsamında işleme şartı hem de m.9 kapsamında aktarım şartı gerektirir.
Özel nitelikli veri hukuka aykırı işlenirse ne yapılır?
İlgili kişi önce KVKK m.13 kapsamında veri sorumlusuna başvurabilir. Verinin hangi hukuki sebeple işlendiğini, kimlere aktarıldığını öğrenme; şartları varsa silme/yok etme; hukuka aykırı işleme nedeniyle zarar varsa giderim isteme hakları kullanılabilir.
Veri sorumlusunun cevabı reddedilir, yetersiz kalır veya 30 günde cevap verilmezse m.14 kapsamındaki sürelerde Kurula şikâyet edilebilir. Ayrıntılar veri sorumlusuna başvuru ve Kurula şikâyet rehberlerindedir.
KVKK’ya aykırı kayıt veya ele geçirme fiili Türk Ceza Kanununun kişisel verilerle ilgili suç hükümlerini de gündeme getirebilir. İdari ve cezai sorumluluk birbirinden ayrı değerlendirilir.
Türkiye geneli ve Mersin uygulaması
KVKK m.6 Türkiye genelindeki işveren, sağlık kurumu, okul, sigorta şirketi, dernek, sendika, e-ticaret şirketi ve diğer veri sorumlularına uygulanır. Mersin’deki veri sorumluları da aynı güncel 2024 sonrası rejime tabidir.
Bakırcı & Keskin Hukuk Bürosu Mersin’deki İstanbul ve Mersin’deki fiziksel ofislerden Türkiye genelindeki KVKK başvuruları ve uyuşmazlıklarını görev ve yetki kurallarına göre takip eder.
Özel nitelikli kişisel veriler hakkında sık sorulan sorular
Sağlık verisi özel nitelikli midir?
Evet. KVKK m.6’da açıkça sayılmıştır.
Sendika üyeliği özel nitelikli veri midir?
Evet.
Biyometrik veri özel nitelikli midir?
Evet. Parmak izi ve yüz tanıma şablonu gibi biyometrik veriler m.6 kapsamındadır.
Özel nitelikli veri yalnız açık rızayla mı işlenir?
Hayır. Güncel m.6/3 sekiz ayrı işleme şartı düzenler; açık rıza bunlardan biridir.
Kanunda açıkça öngörülen özel veri işlenebilir mi?
Evet. m.6/3-b kapsamındadır.
İşveren sağlık verisi işleyebilir mi?
İstihdam, iş sağlığı ve güvenliği veya sosyal güvenlik yükümlülüklerinin yerine getirilmesi için zorunlu olduğu ölçüde m.6/3-f kapsamında işleyebilir.
Hastane sağlık verisini açık rıza olmadan işler mi?
Sır saklama yükümlülüğü altındaki kişi veya yetkili kurum tarafından sağlık hizmeti amaçlarıyla gerekli ise m.6/3-e uygulanabilir.
Sosyal medyada paylaşılan özel veri herkesçe kullanılabilir mi?
Hayır. İşleme, kişinin alenileştirme iradesine uygun olmalıdır.
Yeterli önlem almak zorunlu mu?
Evet. m.6/4 gereğince Kurulun belirlediği yeterli önlemler alınmalıdır.
2024 öncesi m.6 kuralları hâlâ geçerli mi?
Hayır. İşleme şartları 7499 sayılı Kanunla değiştirilmiş ve 1 Haziran 2024’te yürürlüğe girmiştir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
Bakırcı & Keskin Hukuk Bürosu sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
