Kişisel Veri ve Özel Nitelikli Kişisel Veri Nedir? KVKK Tanımları ve Farkları

Kişisel veri, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 3. maddesinde "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlanır. Özel nitelikli kişisel veri ise Kanun'un 6. maddesinde sayılan, hassasiyeti nedeniyle işlenmesi kural olarak yasak olan ve yalnızca sınırlı şartlarla işlenebilen belirli veri kategorileridir. İki kavram arasındaki temel fark korumanın ağırlığıdır: her özel nitelikli veri aynı zamanda bir kişisel veridir, ancak sıradan kişisel verilere göre daha katı bir işleme rejimine tabidir.

Kişisel veri tanımındaki iki anahtar unsur "gerçek kişi" ve "belirli veya belirlenebilir olma" ölçütleridir. Kanun yalnızca gerçek kişileri korur; şirketler, dernekler gibi tüzel kişilere ait bilgiler tek başına kişisel veri sayılmaz. "Belirlenebilir" ifadesi, bir bilginin doğrudan kimlik göstermese de başka verilerle eşleştirildiğinde bir kişiye ulaşılmasını mümkün kılması halinde yine kişisel veri kapsamına gireceği anlamına gelir. Ad, soyad, T.C. kimlik numarası, telefon, e-posta, adres, IP adresi, plaka, konum bilgisi, ses ve görüntü kaydı ile çalışan sicil numarası bu kapsamdaki tipik örneklerdir.

Özel nitelikli kişisel veriler Kanun'un 6. maddesinde sınırlı sayıda (numerus clausus) sayılır ve liste dışına genişletilemez. Bu kategoriler kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerdir. Bir veri bu listede açıkça yer almıyorsa özel nitelikli sayılmaz; örneğin banka hesap bilgisi ya da mali durum verisi hassas kategoride değil, sıradan kişisel veridir.

Bu ayrımın pratik önemi, verinin açığa çıkması halinde doğabilecek ayrımcılık ve mağduriyet riskinden kaynaklanır. Bir kişinin dini inancının, sağlık geçmişinin veya sendika üyeliğinin ifşası, telefon numarasının açığa çıkmasından çok daha ağır sonuçlar doğurabilir. Kanun koyucu bu nedenle özel nitelikli verileri hem işleme şartları hem de alınması gereken teknik ve idari tedbirler yönünden ağırlaştırılmış bir korumaya bağlamıştır. Kurumun yayımladığı Kişisel Veri Güvenliği Rehberi de bu kategori için ilave tedbirler öngörür.

Sıradan kişisel verilerin işlenmesi Kanun'un 5. maddesindeki şartlara dayanır. İşleme kural olarak ilgili kişinin açık rızasıyla mümkündür; ancak kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğü, verinin ilgili kişi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için zorunluluk ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati gibi hallerde açık rıza aranmaz. Bu şartlardan biri varsa açık rıza almadan işleme yapılabilir.

Özel nitelikli kişisel verilerin işlenmesi 6. maddede kural olarak yasaktır ve ancak maddede sayılan şartlardan birinin varlığında yapılabilir. 12 Mart 2024 tarihli Resmi Gazete'de yayımlanan 7499 sayılı Kanun ile 6. madde yeniden düzenlenmiş ve bu değişiklik 1 Haziran 2024'te yürürlüğe girmiştir. Değişiklikten önce sağlık ve cinsel hayat dışındaki özel nitelikli veriler için açık rıza dışındaki tek istisna "kanunlarda öngörülme" iken, yeni düzenleme tüm özel nitelikli veriler için alternatif hukuki sebeplerin listesini genişletmiştir.

Yürürlükteki 6. maddeye göre özel nitelikli veriler şu hallerden birinin varlığında işlenebilir: ilgili kişinin açık rızasının bulunması; kanunlarda açıkça öngörülmesi; fiili imkansızlık nedeniyle rızasını açıklayamayacak durumdaki kişinin kendisinin ya da başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması; ilgili kişinin alenileştirdiği verilerin alenileştirme iradesine uygun işlenmesi; bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; sır saklama yükümlülüğü altındaki kişi veya kurumlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla işlenmesi; istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması; siyasi, felsefi, dini veya sendikal amaçlı vakıf, dernek ve kar amacı gütmeyen kuruluşların mevzuata ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve üçüncü kişilere açıklanmamak kaydıyla mevcut veya eski üyelerine ve mensuplarına ilişkin işlemesi.

Uygulamada en sık karşılaşılan tartışmalardan biri biyometrik verilerdir. Parmak izi ile giriş sistemleri, yüz tanımayla mesai takibi veya avuç içi damar okuma gibi uygulamalar biyometrik veri işlediğinden 6. madde rejimine tabidir. Kurul kararlarında, biyometrik yöntemin gerçekten zorunlu olup olmadığının değerlendirilmesi ve çalışana kart ya da şifre gibi biyometrik olmayan bir alternatifin sunulması beklenir; alternatif sunulmadan dayatılan biyometrik işleme ölçülülük ilkesine aykırı bulunabilir. Fotoğraf ise tek başına her zaman özel nitelikli değildir, ancak bir kişinin dini kıyafetini veya sağlık durumunu ortaya koyacak şekilde işlenmesi halinde özel nitelikli veri niteliği kazanabilir.

Doğru sınıflandırma, veri sorumlusunun tüm uyum yükümlülüklerinin başlangıç noktasıdır. Envanterinizdeki bir verinin sıradan mı yoksa özel nitelikli mi olduğunu belirlemek; hangi hukuki sebebe dayanacağınızı, aydınlatma metninin içeriğini, açık rıza gerekip gerekmediğini, VERBİS kaydını ve alınacak güvenlik tedbirlerini doğrudan etkiler. Yanlış sınıflandırma, örneğin özel nitelikli bir veriyi sıradan veri gibi işlemek, Kanun'un 18. maddesi kapsamında idari para cezası riskini beraberinde getirir.

Sağlık, insan kaynakları, güvenlik ve pazarlama süreçlerinde çoğu kuruluş farkında olmadan özel nitelikli veri işler. Bu nedenle veri envanterinin yalnızca veri tiplerini değil, her verinin kategorisini ve dayanılan hukuki sebebi de içerecek şekilde tutulması önemlidir. Kategori tespiti belirsizse, verinin ifşası halinde doğabilecek zarar riski ölçüt alınarak temkinli bir yaklaşım benimsenmelidir.

İşlediğiniz verilerin hangisinin özel nitelikli olduğundan ve dayandığınız hukuki sebeplerin 6. maddeye uygunluğundan emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesiyle mevcut durumunuzu gözden geçirebilir ve öncelikli adımlarınızı belirleyebilirsiniz.

Randevu Al