Özel Nitelikli Kişisel Veri ve İşleme Şartları

Özel Nitelikli Kişisel Veri Nedir?

Kişisel veriler, genel olarak bir kişiyi tanımlayan bilgilerdir; ancak özel nitelikli veriler, bu verilerin niteliği gereği daha yüksek düzeyde koruma gerektiren türlerdir. Kanun koyucu, bireyin özel yaşamına müdahale riski taşıyan sağlık, inanç veya biyometrik verileri bu sınıfa dahil etmiştir. Bu verilerin sıradan kişisel verilerden ayrılan en temel farkı, işlenme süreçlerinde daha sıkı kurallara ve özel şartlara tabi tutulmasıdır.

Kanun metnine göre, bir verinin özel nitelikli sayılması için belirli bir içerik grubuna girmesi yeterlidir. Örneğin, bir kişinin dini inancı veya sendika üyeliği bilgisi, sadece kimlik belirleyici bir unsur olmanın ötesinde, kişinin hassas mahremiyet alanına girdiği için özel koruma altındadır. Cinsel hayat veya ceza mahkûmiyeti gibi bilgiler de aynı şekilde bu kapsamda değerlendirilerek özel bir hukuki statü kazanır.

Genetik ve biyometrik veriler de bu özel statünün bir parçasıdır. Kişinin parmak izi veya DNA yapısı gibi fiziksel ve biyolojik özelliklerini belirleyen veriler, değiştirilemez doğaları nedeniyle en hassas veri grubu olarak kabul edilir. Bu verilerin işlenmesi, genel verilere kıyasla çok daha kısıtlayıcı ve spesifik hukuki gerekçelere bağlanmış durumdadır; zira bu verilerin ifşa olması telafisi güç zararlara yol açabilir.

Verilerin İşlenmesi İçin Gereken Şartlar

Özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır; ancak kanun bu yasağa belirli istisnalar getirmiştir. Bu istisnaların başında ilgili kişinin açık rızasının bulunması gelir. Kişi, verisinin hangi amaçla işleneceğini bilerek ve özgür iradesiyle onay verirse, verinin işlenmesi hukuken mümkün hale gelir. Ancak rıza, her durumda tek başına yeterli olmayabilir ve diğer şartların da göz önünde bulundurulması gerekir.

Kanunlarda açıkça öngörülmüş olması veya bir hakkın tesisi, kullanılması ya da korunması için zorunlu olması gibi durumlar da verilerin işlenmesine olanak tanır. Örneğin, bir davanın yürütülmesi sırasında kişinin ceza mahkûmiyetine ilişkin verilerin mahkemeye sunulması, bir hakkın korunması için zorunlu olduğu gerekçesiyle hukuka uygun kabul edilir. Ayrıca, kişinin hayatını veya beden bütünlüğünü korumak amacıyla rızasının alınamadığı durumlarda da işleme mümkündür.

Sağlık hizmetlerinin yürütülmesi ve istihdam süreçleri de önemli istisnalar arasındadır. Kamu sağlığının korunması, tıbbi teşhis ve tedavi süreçleri için yetkili kurumlarca verilerin işlenmesi mümkündür. Aynı şekilde, iş sağlığı ve güvenliği ile sosyal güvenlik yükümlülüklerinin yerine getirilmesi amacıyla, işverenlerin veya ilgili kurumların bu verileri kullanma hakkı bulunmaktadır. Bu durumlarda verinin işlenme amacı, sadece ilgili hukuki yükümlülükle sınırlı kalmalıdır.

Veri İşleme Süreçlerinde Uygulanan Usul

Özel nitelikli verilerin işlenmesinde sadece hukuki şartların varlığı yeterli değildir; aynı zamanda teknik ve idari tedbirlerin de tamamlanmış olması gerekir. Kanun, bu verilerin işlenmesi sırasında Kurul tarafından belirlenen yeterli önlemlerin alınmasını şart koşar. Bu önlemler, verinin yetkisiz kişilerce ele geçirilmesini veya hukuka aykırı olarak işlenmesini engelleyecek nitelikte teknik altyapıyı ve idari düzenlemeleri kapsar.

Verilerin işlenme süreci, alenileştirme durumunda kişinin iradesine uygun olmak zorundadır. Eğer bir kişi, özel nitelikli verisini kendisi kamuya açık bir şekilde paylaşmışsa, bu verinin işlenmesi ancak kişinin alenileştirme iradesine uygun olduğu ölçüde mümkündür. Kişinin veriyi paylaşmış olması, verinin her türlü amaçla ve sınırsızca kullanılabileceği anlamına gelmez; kullanım amacı mutlaka kişinin iradesiyle uyumlu olmalıdır.

Vakıf, dernek ve benzeri kâr amacı gütmeyen kuruluşlar için özel bir usul belirlenmiştir. Bu kuruluşlar, üyelerine veya düzenli temas halinde oldukları kişilere yönelik olarak, siyasi, felsefi veya dini amaçları doğrultusunda veri işleyebilirler. Ancak bu işlem, kuruluşun tabi olduğu mevzuata ve amaçlarına uygun olmak, faaliyet alanıyla sınırlı kalmak ve verileri üçüncü kişilere açıklanmamak kaydıyla gerçekleştirilmelidir.

Hakların Kullanımı ve Hukuki Sonuçlar

Özel nitelikli verilerin işlenmesi sürecinde, verinin hukuka aykırı olarak işlenmesi durumunda kişilerin hak arama yolları mevcuttur. Veri işleyenlerin, kanunda belirtilen istisnalardan birine dayanarak hareket etmeleri gerekir. Eğer bir veri işleme faaliyeti, kanunda sayılan açık rıza veya kanuni zorunluluk gibi şartlardan hiçbirine dayanmıyorsa, bu işlem hukuka aykırı hale gelir ve hukuki sonuçlar doğurur.

Veri sahiplerinin, verilerinin işlenme amacına uygun olup olmadığını denetleme ve hukuka aykırı durumlarda müdahale etme hakkı bulunur. Örneğin, sağlık verilerinin tıbbi bir gereklilik olmaksızın veya rıza alınmaksızın işlenmesi, kişinin veri üzerindeki kontrolünü zayıflatır. Bu durumda, verinin işlenme amacının kanuni sınırlar içinde kalıp kalmadığı, hakkın tesisi veya korunması gerekçesinin somut olayla örtüşüp örtüşmediği incelenmelidir.

Hukuki süreçlerin yürütülmesi aşamasında, verilerin korunması için alınan tedbirlerin yetersizliği de bir sonuç doğurabilir. Kanun, veri işleyenlere sadece veriyi toplama değil, aynı zamanda onu güvenli bir şekilde muhafaza etme yükümlülüğü de yükler. Yeterli önlemlerin alınmaması, verinin güvenliğini tehlikeye atarak kişinin mahremiyetinin ihlali sonucunu doğurur ve bu durum hukuki sorumluluk doğurabilecek bir ihlal türüdür.

Uygulamada Dikkat Edilmesi Gereken Noktalar

Uygulamada en sık yapılan hatalardan biri, her türlü hassas verinin sadece açık rıza ile işlenebileceği yanılgısıdır. Oysa kanun, birçok durumda rıza yerine kanuni zorunluluk veya bir hakkın korunması gibi diğer şartları da öngörmüştür. Sadece rızaya odaklanmak, kanunda belirtilen diğer hukuki dayanakların (örneğin iş sağlığı ve güvenliği yükümlülüğü) göz ardı edilmesine ve veri işleme sürecinin hatalı kurgulanmasına yol açabilir.

Bir diğer kritik nokta, verinin işlenme amacının sınırlandırılmasıdır. Özellikle dernek ve vakıflar gibi kuruluşlar, üyelerine yönelik veri işlerken bu verileri üçüncü kişilere açıklama hatasına düşmemelidir. Verinin sadece kuruluşun faaliyet alanıyla sınırlı kalması ve mevzuata uygun olması şarttır. Amaç dışı kullanım veya verinin kapsamının genişletilmesi, özel nitelikli verilerin korunması ilkesine aykırılık teşkil eder.

Son olarak, teknik önlemlerin sadece yazılımsal değil, idari süreçleri de kapsaması gerekir. Verilerin işlenmesi sırasında Kurul tarafından belirlenen yeterli önlemlerin alınması zorunluluğu, sadece şifreleme yapmakla sınırlı değildir. Veriye erişimi olan personelin yetkilendirilmesi ve veri işleme süreçlerinin dokümante edilmesi de bu önlemlerin bir parçasıdır. Bu süreçlerin eksik bırakılması, veri güvenliği ihlallerine zemin hazırlar.

Sıkça Sorulan Sorular

Özel nitelikli kişisel veri nedir?

Kişinin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri gibi mahremiyet içeren hassas bilgilerdir.

Özel nitelikli veriler her durumda izin alınarak mı işlenir?

Hayır, sadece açık rıza yeterli değildir; kanunlarda açıkça öngörülmesi veya bir hakkın korunması için zorunlu olması gibi istisnalar da vardır.

Sağlık verilerim izinsiz işlenebilir mi?

Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması halinde işlenebilir.

Özel nitelikli verilerin işlenmesi için hangi önlemler alınmalıdır?

Verilerin işlenmesi sırasında Kurul tarafından belirlenen yeterli teknik ve idari önlemlerin alınması kanunen zorunludur.