Özel Nitelikli Kişisel Veri Kavramı ve Kapsamı
6698 sayılı Kanun m. 6/1 kapsamında; kişilerin ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlarına, kılık-kıyafetine, dernek, vakıf ya da sendika üyeliklerine ilişkin bilgiler özel nitelikli kişisel veri kabul edilir. Bireylerin sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleri verileri ile biyometrik ve genetik veriler de bu statüdedir. Kanunda bu veri türleri sınırlı sayma yoluyla düzenlendiğinden, ilgili kategori kıyas yöntemiyle genişletilemez.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
Yasal İşleme Şartları ve Kanuni İstisnalar
6698 sayılı Kanun m. 6/3 uyarınca özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır. 7499 sayılı Kanun ile yapılan değişiklik doğrultusunda maddenin ikinci fıkrası yürürlükten kaldırılmış ve yeni veri işleme şartları düzenlenmiştir. Bu kapsamda özel nitelikli kişisel veriler, ilgili kişinin açık rızasının bulunması halinde işlenebilir. Ayrıca veri işlemenin kanunlarda açıkça öngörülmesi durumunda da açık rıza aranmaksızın özel nitelikli verilerin işlenmesi mümkündür.
Fiili imkânsızlık nedeniyle rızasını beyan edemeyecek durumda bulunan veya rızasına hukuki geçerlilik tanınmayan bireyin bizzat kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün muhafazası için zorunluluk bulunması halinde özel nitelikli kişisel veriler işlenebilir. Bunun yanında ilgili kişinin bizzat alenileştirdiği verilere ilişkin olması ve işlemenin alenileştirme iradesine uygun kalması koşuluyla da veri işleme yürütülebilir. Ayrıca bir hakkın tesisi, kullanılması veya korunması bakımından zorunluluk arz eden haller de açık rıza aranmayan istisnalar arasında düzenlenmiştir.
İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik ile sosyal hizmetler ve sosyal yardım alanlarındaki yasal yükümlülüklerin yerine getirilmesi için zorunlu olan hallerde özel nitelikli veriler işlenebilmektedir. Öte yandan siyasi, felsefi, dini veya sendikal amaç güden vakıf, dernek ve kâr amacı bulunmayan kuruluşlar; tabi oldukları mevzuata ve kuruluş amaçlarına uygun olmak, faaliyet sahalarıyla sınırlı kalmak ve üçüncü kişilere açıklamamak kaydıyla kendi üyelerine, mensuplarına ya da kendileriyle düzenli temas halindeki bireylere ait verileri işleme yetkisine sahiptir.
Veri Güvenliği İlkeleri ve Alınması Gereken Önlemler
Özel nitelikli kişisel veriler işlenirken işleme amacının belirli olması, hukuki sebebin doğru tayin edilmesi, aydınlatma yükümlülüğünün ifası, veri minimizasyonu ilkesine uyulması ve saklama süresinin önceden belirlenmesi şarttır. 6698 sayılı Kanun m. 6/4 uyarınca bu verilerin işlenmesinde kanuni şartların yanı sıra Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması zorunludur.
Özel nitelikli kişisel verilerin güvenliğine yönelik olarak ayrı politika ve prosedürlerin belirlenmesi, çalışanlara eğitim verilmesi ve gizlilik sözleşmelerinin düzenlenmesi gerekmektedir. Bunun yanında erişim yetkilerinin tanımlanması, fiziksel ve elektronik güvenlik önlemlerinin alınması ile aktarım süreçlerinde şifreleme, Kayıtlı Elektronik Posta, Sanal Özel Ağ (VPN) veya sFTP gibi güvenli yöntemlerin kullanılması öngörülmektedir.
Sağlık Verilerinin İşlenme Esasları
6698 sayılı Kanun m. 6/3-e uyarınca sağlık verilerinin açık rıza aranmaksızın işlenebilmesi için, işlemenin sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca yapılması şarttır. Ayrıca işlemenin kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması zorunludur.
Sağlık verilerinin ticari pazarlama, reklam faaliyetleri, üçüncü kişilerle paylaşım veya sunulan hizmetin niteliğiyle ilgisi bulunmayan gayelerle işlenmesi halinde ise ilgili kişinin açık rızası yahut kanunda yer alan bir diğer geçerli hukuki sebep bulunmalıdır. Örneğin tahlil sonuçları gibi hassas sağlık verilerinin hukuki dayanak bulunmaksızın üçüncü şahıslara aktarılması hukuka aykırılık teşkil etmekte ve veri sorumlusu açısından idari para cezası yaptırımı doğurabilmektedir.
Biyometrik Veriler ve Mesai Takibi Sınırları
Biyometrik veri, bireyin kendine özgü fizyolojik veya davranışsal özelliklerinden elde edilen ve kimliğinin doğrulanmasına ya da tanımlanmasına yarayan verilerdir. Bir işletmenin hizmet binasına girişlerde el geometrisi bilgisinin işlenmesi de biyometrik yöntemle kimlik doğrulaması amacına yöneldiğinden özel nitelikli kişisel veri niteliğinde değerlendirilmiştir.
Mevzuatta çalışma sürelerinin takip edilmesine ilişkin hükümler bulunsa da takibin biyometrik veri işlenerek yapılmasını öngören açık bir kanuni düzenleme bulunmamaktadır. İş ilişkisindeki güç dengesizliği rızanın serbestliğini zedeleyebileceğinden, mesai takibinde biyometrik veri işlenmesinin yalnızca açık rızaya dayandırılması kural olarak yeterli hukuki zemin oluşturmamaktadır. Alternatif ve daha az müdahaleci yöntemler varken mesai takibinde biyometrik veri işlenmesi, açık rıza bulunsa dahi ölçülülük ilkesini sağlamamaktadır.
Aydınlatma Yükümlülüğü ile Açık Rızanın Ayrımı
Açık rızanın hukuken muteber kabul edilmesi için belirli bir konuya özgülenmesi, kapsamlı bir bilgilendirmeye dayanması ve kişinin serbest iradesiyle açıklanması zorunludur. İlgili kişinin açık rızası bulunsa dahi veri sorumlusu tarafından gerçekleştirilen işleme faaliyetinin kanunun temel ilkelerine uygunluğunu koruması gerekir.
Aydınlatma yükümlülüğü veri sorumlusunun tek taraflı bilgilendirme vazifesini teşkil ederken, açık rıza ilgili kişinin hür iradesiyle tesis ettiği bağımsız bir rıza beyanıdır. Bu hukuki nitelik farkı dolayısıyla özel nitelikli veriler bakımından aydınlatma metni ile açık rıza metninin birbirinden ayrı olarak hazırlanması gerekmektedir. Hazırlanacak metinlerde işlenen veri kategorileri belirsiz bırakılmamalı; rıza gösterilmemesi halinde ortaya çıkacak durumlar, rızanın geri alınabilirliği ve verinin hangi amaçlarla kullanılacağı kişiye açıkça izah edilmelidir.
Hukuka Aykırı Veri İşlemeye Karşı Başvuru Yolları
Özel nitelikli kişisel verilerin hukuka aykırı işlenmesi halinde veri sorumlusu hakkında idari para cezası uygulanabilir. Bunun yanında kişisel verisi ihlal edilen kişi, veri sorumlusuna başvuru yapabilir, Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir, maddi ve manevi tazminat davası açabilir ve olayın niteliğine göre savcılığa suç duyurusunda bulunabilir.
Sağlık verileri açık rıza aranmaksızın hangi şartlarda işlenebilir?
Sağlık verileri; sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi, bakım ve sağlık hizmetlerinin planlanması ile finansmanı amacıyla gerekli olması şartıyla açık rıza aranmaksızın işlenebilir.
Mesai takibinde biyometrik veri kullanılması hukuka uygun mudur?
Mesai takibinin biyometrik yöntemlerle yürütülmesini zorunlu kılan açık bir kanun hükmü bulunmamakta olup daha az müdahaleci alternatiflerin varlığı halinde açık rıza verilse bile uygulama ölçülülük ilkesine aykırılık teşkil edebilmektedir.
Özel nitelikli veriler için açık rıza ve aydınlatma aynı metinde sunulabilir mi?
Aydınlatma tek taraflı bir bilgilendirme işlemi, açık rıza ise bağımsız bir irade beyanı olduğundan özel nitelikli verilerin işlenmesinde bu metinlerin ayrı olarak tanzim edilmesi gerekir.
Özel nitelikli verisi hukuka aykırı işlenen kişi hangi haklara sahiptir?
Kişisel verisi ihlal edilen kişi veri sorumlusuna başvuru yapabilir, Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir, maddi ve manevi tazminat davası açabilir ve olayın niteliğine göre savcılığa suç duyurusunda bulunabilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy