Özel nitelikli kişisel veri nedir?

Neden ayrı korunur?

Kişisel bilgilerin bazıları kişinin sosyal yaşamında, işinde veya temel hakları üzerinde daha ağır sonuçlar doğurabilir. Kanun bu nedenle belirli kategoriler için daha sıkı işleme rejimi oluşturmuştur. Bu ayrım, diğer kişisel verilerin önemsiz veya herkese açık olduğu anlamına gelmez. Özel grubun kapsamı ve işleme şartları ayrıca incelenir. İşletmenin bir veriyi gizli olarak etiketlemesi tek başına kanuni kategoriyi değiştirmez; aynı şekilde etiketsiz tutulması da sağlık veya biyometrik niteliğini ortadan kaldırmaz.

Kapalı kategori listesi

6698 madde 6; ırk, etnik köken, siyasi düşünce, felsefi ve dini inanç, kılık kıyafet, dernek-vakıf-sendika üyeliği, sağlık, cinsel yaşam, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik verilere ilişkin kategorileri belirler. Bu liste kıyasla sınırsız genişletilemez. Örneğin mali bilginin çok mahrem olması tek başına onu bu madde kapsamındaki özel kategori yapmaz. Fakat mali kayıt başka bir özel niteliği de açığa çıkarıyorsa içerik ve bağlam birlikte değerlendirilir. Sınıflandırma yalnız dosyanın adına bakılarak yapılamaz.

Normal veri ve özel veri

Bir çalışanın iş telefonu ile sağlık raporu aynı güvenlik ve erişim düzeninde tutulmamalıdır. İkisi de kişisel veri olabilir; ancak işleme şartları ve ek önlemler farklılaşır. Fotoğrafın her kullanımını otomatik biyometrik saymak da doğru değildir. Kişiyi özgün biçimde tanımaya veya doğrulamaya yönelik teknik işlem ve kullanım amacı araştırılır. Parmak iziyle kapı açma, yalnız kimlik kartındaki fotoğrafı görmekten farklı bir analiz gerektirir. Somut işleme faaliyetinin hangi bilgiyi nasıl kullandığı açıkça tanımlanmalıdır.

Güncel işleme şartları

2024'te değişen madde 6, eski sağlık verisi ve diğer özel veriler ayrımına dayanan dar anlatımla açıklanamaz. Açık rıza yanında kanunda açık öngörülme, hakkın kurulması veya korunması, belirli zorunluluklar ve diğer sınırlı dayanaklar bulunur. Her başlığın kendi şartı vardır. Bir işletme önce hangi somut hukuki sebebe dayandığını belirlemelidir. Bütün verileri toplamak için genel bir zorunluluk cümlesi yazmak yeterli değildir. Geçerli işleme şartı bulunması da amaçla sınırlılık ve ölçülülüğü bertaraf etmez.

İstihdam ve sağlık örnekleri

İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik veya sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu işlemeler güncel düzenlemede ayrıca değerlendirilir. Bu, işverenin çalışanın bütün sağlık geçmişini merak edebileceği anlamına gelmez. Gerekli uygunluk veya yükümlülük bilgisiyle ilgisiz teşhis ayrıntıları ayrılmalıdır. Tedavi hizmetinde ise sır saklama yükümlülüğü ve yetkili kişi veya kurum koşulları önemlidir. Aynı raporun işverene, sağlık kuruluşuna ve üçüncü kişiye aktarılması aynı hukuki dayanağa otomatik bağlanamaz.

Açık rızanın sınırı

Açık rıza belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olmalıdır. Genel bir sözleşmenin sonuna bütün verilerimi işlemeyi kabul ediyorum yazmak her faaliyeti hukuka uygun hale getirmez. Hizmet veya çalışma ilişkisindeki güç dengesizliği ayrıca değerlendirilir. Aydınlatma ile rıza farklı işlemlerdir. İşleme başka kanuni sebebe dayanıyorsa gereksiz rıza toplanması da hukuki dayanağı belirsizleştirebilir. Rıza geri alındığında hangi işlemin duracağı, başka geçerli saklama yükümlülüğü bulunup bulunmadığı ayrıca incelenmelidir.

Biyometrik mesai takibi

Kurulun 29 Nisan 2026 tarihli 2026/921 sayılı ilke kararı mesai takibi için biyometrik veri kullanımını ölçülülük ve alternatif araçlar yönünden ele alır. Çalışanın imzası alınmış olması her durumda sistemi meşru kılmaz. Kart veya benzeri daha az müdahaleci seçeneklerin aynı amacı sağlayabilmesi önemlidir. Bununla birlikte mesai takibi dışındaki her güvenlik uygulamasına aynı sonucu otomatik taşımak doğru değildir; amaç ve zorunluluk ayrıca incelenir. İdareye sunulan açıklama, sistemin gerçek kullanımını ve neden başka aracın yeterli görülmediğini göstermelidir.

Yeterli güvenlik önlemleri

Özel veriler bakımından Kurulun yeterli önlemlerine uyulmalıdır. Yetki sınırları, personelin eğitimi, güvenli aktarım, kayıtların izlenmesi ve erişim denetimi faaliyete göre düzenlenir. Sadece dosyaya parola koymak bütün yükümlülüğün tamamlandığı anlamına gelmez. Kimlerin hangi nedenle veriye eriştiği açıklanabilmelidir. Eski çalışanların yetkileri kapatılmalı; dış hizmet sağlayıcının erişimi kontrol edilmelidir. Hukuki dayanak bulunmasına rağmen zayıf güvenlik nedeniyle açıklanan veri ayrı ihlal yaratabilir. Teknik ve idari tedbirler birlikte değerlendirilir; biri diğerinin yerine geçmez.

Belgeler ve saklama süresi

Veri envanteri, işleme dayanağı, aydınlatma, varsa rıza, yetki listesi ve saklama planı tutarlı olmalıdır. Her özel veri sonsuza kadar tutulamaz; fakat her silme talebi kanuni saklama görevini de yok etmez. Belgenin gerçek amacı ve ilgili mevzuat süreleri belirlenir. Örneğin dava savunması için gerekli belirli kayıtla ileride işe yarar diye bütün sağlık dosyasını tutmak farklıdır. Süre bitiminde silme, yok etme veya anonimleştirme yönteminin gerçek etkisi değerlendirilir. Kopyalar ve yedekler de plana dahil edilmelidir.

İlgili kişinin başvurusu

Kişi hangi özel verinin neden işlendiğini, kimlere aktarıldığını ve uygun koşullarda düzeltme veya silmeyi talep edebilir. Veri sorumlusuna usulüne uygun başvuru yapılmalı, teslim tarihi saklanmalıdır. Cevap en kısa sürede ve en geç otuz gün içinde verilmelidir. Kurula şikâyet için özel süreler ve ön başvuru şartı ayrıca önem taşır. Başvuruya gereksiz yeni sağlık belgesi eklemek yerine mevcut işlemi tanımlayan asgari bilgi kullanılmalıdır. Tazminat ve suç iddiaları Kurulun incelemesiyle aynı hukuki yol değildir.

Temsili olay ve maliyet

Spor işletmesi giriş kontrolü için bütün müşterilerinden parmak izi alırken başka işletme üyelik kartı kullanıyor olabilir. Biyometrik yöntemin kolay olması tek başına gereklilik göstermez. Buna karşılık sağlık hizmetinde tıbbi kayıt başka kanuni koşullara dayanabilir. İki dosyanın ortak noktası amaç ve ölçülülüğün belgelenmesidir. Uyumsuzluğun giderilmesi için sabit bir tek maliyet yoktur; sistemin değiştirilmesi, kayıtların temizlenmesi ve hukuki inceleme kapsamı değişir. İlgili kişi de talebini somut işlem üzerine kurmalı, özel veri sıfatından otomatik tazminat sonucu çıkarmamalıdır.

Sık sorulan sorular