Bultenler

Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber

Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber ("Rehber") 12.3.2024 tarihli ve 32487 sayılı Resmî Gazete’de yayımlanan 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun ile 6698 sayılı Kişisel Verileri Koruma Kanunu’nun (“Kanun”) “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6. maddesinde yapılan değişikliklerin uygulanmasında yol gösterici olması amacıyla hazırlanmıştır.

Rehber’in;

  • Birinci bölümünde özel nitelikli kişisel verilere ilişkin bilgilere,
  • İkinci bölümünde özel nitelikli kişisel verilerin işlenme şartlarına,
  • Üçüncü bölümünde 7499 sayılı Kanun ile gerçekleştirilen kanun değişikliği akabinde veri sorumlularınca yeni duruma uyum sağlanabilmesi adına yapılması gerekenler ile diğer önerilere yer verilmiştir.
  1. ÖZEL NİTELİKLİ KİŞİSEL VERİLER

Özel nitelikli kişisel veriler, öğrenilmesi halinde ilgili kişinin mağdur olmasına ya da ayrımcılığa maruz kalmasına neden olabilecek nitelikteki verilerdir.

Özel nitelikli kişisel veri kategorileri yasa koyucu tarafından sınırlı sayma yoluyla belirlenmiş olup kıyas yoluyla genişletilebilmeleri mümkün değildir. Bunlar; kişilerin ırkı, et nik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir.

Kanun’un “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6. maddesinde düzenleme altına alınan özel nitelikli kişisel veri kategorileri, 7499 sayılı Kanun değişikliği ile de korunmuştur.

REHBER’DE ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN VERİLEN BAZI ÖRNEKLER:

  1. İşveren ile eski çalışanı arasında görülmekte olan davada, işveren tarafından işçinin ibadet ettiği görüntülerin dava dosyasında sunulması halinde, işveren tarafından özel nitelikli kişisel veri işleme faaliyetinde bulunulmaktadır.
  2. Milletvekili seçimlerinde kamuoyu araştırması yapan anket şirketlerinin hazırladığı ankette; “Hangi partiyi destekliyorsunuz?”-X Partisi -Y Partisi -Hiçbiri sorusuna verilen cevap, siyasi düşünceye ilişkin özel nitelikli kişisel verinin işleme faaliyetinde bulunulmaktadır.
  3. Bir işveren tarafından çalışanın sendikaya üye olduğu yönündeki bilgisinin işlenmesi halinde Kanun’un 6’ncı maddesi kapsamında özel nitelikli kişisel veri işleme faaliyetinde bulunulmaktadır.
  4. Eski tip pasaport, sürücü belgesi, nüfus cüzdanı, işyeri kimliği gibi belgelerde yer alan kan grubu bilgisi bir sağlık verisi olması sebebiyle özel nitelikli kişisel veri niteliğini haizdir. Bu nedenle bahse konu kişisel verinin işlenilmesi halinde özel nitelikli kişisel veri işleme faaliyetinde bulunulmaktadır.
  5. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

KVKK’nın 6. maddesi uyarınca özel nitelikli kişisel verilerin işlenebileceği hukuki işleme sebepleri şunlardır:

  • Açık rıza,
  • Kanunlarda açıkça öngörülme,
  • Fiili imkânsızlık,
  • Alenileştirme,
  • Bir hakkın tesisi, kullanılması veya korunması için zorunluluk,
  • Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işleme,
  • İstihdam, iş sağlığı ve güvenliği, iş ve sosyal güvenlik veya sosyal hizmetler ile sosyal yardım alanındaki hukuki yükümlülükler için işleme,
  • Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluşlar veya oluşumlar tarafından, tabi oldukları mevzuata ve amaçlarına uygun şekilde, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla, mevcut veya eski üyeleri, mensupları ya da bu kuruluşlarla düzenli temasta bulunan kişiler hakkında veri işlenmesi.

Bu sebepler haricinde, özel nitelikli kişisel veriler işlenemeyecektir. Kişisel verilerin işlenmesinde her hal ve şartta Kanun’un 4’üncü maddesinde sayılan genel ilkelere uyulması hukuki bir gerekliliktir.

  1. Açık Rıza

Açık rıza, Kanun’un “Tanımlar” başlıklı 3. maddesi gereği “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı” ifade etmektedir.

Kanun’a göre açık rızanın varlığı halinde özel nitelikli kişisel veriler işlenebilmektedir. Açık rıza ve diğer hukuki işleme sebepleri arasında hiyerarşik bir fark bulunmamaktadır.

Eğer, açık rıza dışında bir işleme şartı varsa kişisel veri işleme şartı olarak diğer şartla açık rızanın birlikte kullanılmaması gerekmektedir. Zira, başka bir veri işleme şartı mevcut iken açık rızaya başvurulmuş ise bu hukuka ve dürüstlük kurallarına uygun olma ilkesine aykırılık teşkil edebilecektir.

Açık rızanın tüm unsurları sağlansa dahi Kanun’un 4’üncü maddesindeki genel ilkelere uygun olmayan şekilde alınan açık rızalar, veri işlemeyi hukuka aykırı hale getirebilecektir.

  1. Kanunlarda Açıkça Öngörülmesi

Özel nitelikli kişisel verinin işlenmesiyle ilgili herhangi bir kanunda açık bir hüküm varsa veya ikincil mevzuata açıkça yönlendirme yapılmışsa, bu durumda özel nitelikli kişisel verilerin işlenmesi mümkün olabilecektir.

  1. Örneğin; 5490 sayılı Nüfus Hizmetleri Kanunu gereği, ilgili kişiye pasaport ya da sürücü belgesi tahsis edilmesi esnasında nüfus müdürlüklerince ilgili kişinin parmak izinin alınması ile gerçekleştirilen kişisel veri işleme faaliyeti, kanunlarda açıkça öngörülme hukuka uygunluk nedeni kapsamındadır.
  2. Fiili İmkânsızlık Nedeniyle Rızasını Açıklayamayacak Durumda Bulunan veya Rızasına Hukuki Geçerlilik Tanınmayan Kişinin Kendisinin ya da Bir Başkasının Hayatı veya Beden Bütünlüğünün Korunması İçin Zorunlu Olması

Özel nitelikli kişisel veriler, ilgili kişinin veya bir başkasının hayatı veya beden bütünlüğünün korunması için işlenmesinin zorunlu olduğu hallerde, ilgili kişinin açık rızası olmaksızın işlenebilmektedir. Burada ilgili kişinin veya üçüncü bir kişinin hayati menfaatinin korunması söz konusudur

Bu durumda açık rızanın ilgili kişiden alınamıyor olması veya hukuken geçerli bir açık rızanın bulunmaması gerekir.

İlgili Kişinin Alenileştirdiği Kişisel Verilere İlişkin ve Alenileştirme İradesine Uygun Olması

Kanun’da yapılan değişiklikle, özel nitelikli kişisel verilerin işlenmesi için yeni bir hukuka uygunluk nedeni öngörülmüştür. Buna göre ilgili kişi tarafından alenileştirilen özel nitelikli kişi sel veriler, alenileştirme iradesine uygun olmak koşuluyla işlenebilecektir.

Kanun kapsamında “alenileştirme”, kişisel verinin herhangi bir şekilde kamuoyuna sunulmasından daha dar bir anlama sahip olup; ilgili kişinin alenileştirme iradesi ve alenileştirme amacı ile yakın ilişki içerisinde bulunmaktadır. Alenileştirme iradesi ise ilgili kişinin kişisel verilerini hangi amaçla alenileştirdiğini ve kamuoyu ile paylaştığını ifade etmektedir.

Veri sorumlusunun bu verileri işlerken ilgili kişinin alenileştirme iradesi doğrultusunda hareket etmesi gerekmektedir.

  1. Bir Hakkın Tesisi, Kullanılması veya Korunması İçin Zorunlu Olması

Özel nitelikli kişisel verilerin işlenme şartlarından bir diğeri Kanun’un 6’ncı maddesinin üçüncü fıkrasının (d) bendinde yer alan “bir hakkın tesisi, kullanılması veya korunması için zorunlu olması” hükmüdür.

  1. Örneğin; engelli bir kişinin özel tüketim vergisinden muaf özel donanımlı araç almak hakkından yararlanabilmesi için engelliliğine ilişkin sağlık raporlarının vergi dairesi tarafın dan edinilmesi.

Hangi hakkın tesisi, kullanılması veya korunması amacıyla özel nitelikli kişisel verilerin işlenmesinin zorunlu olduğunun gerekçelendirilebilmesi gerekmektedir.

Hakkın tesisi, kullanılması ve korunması açısından herhangi bir alternatif yöntemin bulunmaması, dolayısıyla işleme faaliyetinin söz konusu amaç dahilinde zorunlu olması gerekmektedir.

  1. Sır Saklama Yükümlülüğü Altında Bulunan Kişiler veya Yetkili Kurum ve Kuruluşlarca, Kamu Sağlığının Korunması, Koruyucu Hekimlik, Tıbbi Teşhis, Tedavi ve Bakım Hizmetlerinin Yürütülmesi ile Sağlık Hizmetlerinin Planlanması, Yönetimi ve Finansmanı Amacıyla Gerekli Olması

İşleme faaliyetinin sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olduğu durumlarda gerçekleştirilebilecektir.

  1. Örneğin, devlet politikası gereği yapılması zorunlu tutulan çocukluk çağı aşılarının aile hekimleri tarafından takip edilmesi, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması amacıyla özel nitelikli kişisel veri niteliğini haiz sağlık verilerinin işlenmesi kapsamında değerlendirilebilecektir.
  2. İstihdam, İş Sağlığı ve Güvenliği, Sosyal Güvenlik, Sosyal Hizmetler ve Sosyal Yardım Alanlarındaki Hukuki Yükümlülüklerin Yerine Getirilmesi İçin Zorunlu Olması

Kanun’un 6’ncı maddesinin üçüncü fıkrasının (f) bendi “İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik veya sosyal hizmetler ile sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması.” şeklinde değiştirilmiş olup özel nitelikli kişisel veriler bakımından yeni bir işleme şartı ihdas edilmiştir.

  • Özel nitelikli kişisel veriler maddede yer verilen alanlarda veri sorumluları tarafından hukuki yükümlülüklerinin yerine getirilmesi amacıyla ve yalnızca zorunlu olmaları durumunda işlenebilecektir. Zorunluluğun şekli olarak kanundan kaynaklanması aranmayıp bir yönetmelik, yönerge, tebliğ ve hatta sözleşmeden de kaynaklanabilecektir.
  1. Örneğin, 4857 sayılı İş Kanunu’nun 75’inci maddesi çerçevesinde işverenin çalışana ait özlük dosyası düzenleme yükümlülüğü gereğince özel nitelikli kişisel verilerin işlenmesinin, Kanun’un 6’ncı maddesinin üçüncü fıkrasının (f) bendi kapsamında değerlendirilebilmesi mümkün olacaktır.
  2. Örneğin; Karayolu Taşıma Yönetmeliği’nin “Şoförlerde aranacak nitelik ve şartlar” başlıklı 34’üncü maddesine göre; yönetmelik kapsamındaki taşıtları kullanan şoförlerin uyuşturucu, silah, insan ve gümrük kaçakçılığı ile terör suçlarından dolayı hürriyeti bağlayıcı ceza almamış olmaları ve şoförlük mesleği bakımından bedeni ve psiko-teknik açıdan sağlıklı olduklarını gösteren bir sağlık raporunu, yetkili sağlık kuruluşlarından her beş yılda bir almaları şarttır. Dolayısıyla Yönetmelik kapsamındaki araçları kullanacak şoförlerin ceza mahkumiyeti ve sağlık verilerinin işlenmesi bu bent kapsamında değerlendirilebilecektir.
  3. Örneğin; Sosyal Güvenlik Kurumu Sigortalı İşe Giriş Bildirgesinde, “Sigortalı İş Kanunu’nun 30 uncu maddesine göre çalıştırılıyorsa” seçimlik olarak “Eski hükümlü” veya “Engelli” seçeneklerinden birinin işaretlenmesi gerekmekte olup bu kapsamda özel nitelikli kişisel veriler, söz konusu bildirge vasıtasıyla veri sorumlusu işveren tarafından işlenebilecektir.
  4. Örneğin; Sağlık Bakanlığı tarafından 01.03.2019 tarihinde yayımlanan Diyaliz Merkezleri Hakkında Yönetmelik’in 35’inci maddesi gereğince diyaliz hastalarına sunulan sağlık kuruluşuna taşıma hizmetinin yerine getirilebilmesi için kişinin sağlık raporunda yer alan özel nitelikli kişisel verinin, taşıma hizmetini sunan veri sorumlusu tarafından işlenmesi bu bent kapsamında değerlendirilebilecektir.
  5. Örneğin; bir sosyal yardım derneğinin doğal afet neticesinde uzuvlarını kaybeden kişilerin protez ihtiyaçlarını karşılamak adına bağış kampanyaları açabilmek için kişilerin sağlık raporlarını işlemesi faaliyeti bu bent kapsamında değerlendirilebilecektir.
  6. Siyasi, Felsefi, Dini veya Sendikal Amaçlarla Kurulan Vakıf, Dernek ve Diğer Kâr Amacı Gütmeyen Kuruluş ya da Oluşumların, Tâbi Oldukları Mevzuata ve Amaçlarına Uygun Olmak, Faaliyet Alanlarıyla Sınırlı Olmak ve Üçüncü Kişilere Açıklanmamak Kaydıyla; Mevcut veya Eski Üyelerine ve Mensuplarına veyahut Bu Kuruluş ve Oluşumlarla Düzenli Olarak Temasta Olan Kişilere Yönelik Olması

Kanun’un değişiklikten önceki halinde; siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, işlediği özel nitelikli kişisel verileri, Kanun’un hangi maddesine dayanarak işlemesi gerektiğine dair açık bir hüküm mevcut değildi.

Getirilen düzenlemeyle birlikte siyasi, felsefi, dini veya sendikal faaliyetler yürütmek üzere kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların özel nitelikli kişisel verileri ancak;

  • Tâbi oldukları mevzuata ve amaçlarına uygun olarak,
  • Faaliyet alanlarıyla sınırlı olarak,
  • Üçüncü kişilere açıklanmamak koşuluyla işleyebileceklerdir.,

Örneğin; Bir siyasi parti tarafından engelli bir üyenin oy kullanabilmesi için, söz konusu kişiye tekerlekli sandalye temin edilmesi amacıyla engellilik durumuna ilişkin sağlık verisi işlenmesi bu madde kapsamında değerlendirilebilecektir.

 Örneğin; çalıştığı üretim işletmesinde iş kazası geçiren kişinin bağlı olduğu sendikanın, üyelerinin iş sağlığı ve güvenliğinin korunması kapsamında sürecin takibi için işçinin sağlık verilerini işlemesi bu bent kapsamında değerlendirilebilecektir.

  1. VERİ SORUMLULARINCA KANUN’A UYUM İÇİN YAPILMASI GEREKENLER

Kanun’da yapılan değişiklik sonrasında veri sorumluları Kanun’a uyum sağlamak adına hazırlık çalışmalarını titizlikle ve ivedilikle yürütmesi gerekmektedir.

  1. Kişisel Veri İşleme Envanterinin Güncellenmesi

Veri Sorumluları Sicili Hakkında Yönetmeliği’nin 13. maddesinde düzenlendiği üzere Sicil’de kayıtlı bilgilerde değişiklik olması halinde meydana gelen değişikliklerin, değişikliğin meydana geldiği tarihten itibaren yedi (7) gün içerisinde VERBİS üzerinden bildirilmesi gerekmektedir

Sicil’e kayıtla ve envanter hazırlamakla yükümlü olan veri sorumlularının hazırlamış oldukları envanterlerinde, iş süreçlerini ve bu süreçler kapsamındaki faaliyetlerini tespit ederek tüm kişisel verileri belirlemesi ve belirlenen kişisel verilerin niteliklerine göre ayrımı yapılarak özel nitelikli kişisel verilerin tespit edilmesi gerekmektedir.

Halihazırda tespit edilen özel nitelikli kişisel verilerin her biri için Kanun’un 6. maddesindeki işleme şartları dikkate alınarak, işlenen kişisel veri için uygun hukuki sebep tespit edilmeli ve hukuki sebepte bir değişiklik olması halinde söz konusu değişiklik envantere işlenmelidir.

  1. Açık Rıza Alınması Süreçlerinin Düzenlenmesi

Kanun değişikliği ile özel nitelikli kişisel verilerin işleme şartları genişletilmiştir. Bu nedenle önceden yalnızca açık rıza ile işlenmesi mümkün olan özel nitelikli bir kişisel verinin işleme şartı bakımından değişiklikler meydana gelebilecektir.

Açık rıza ile diğer işleme şartları arasında herhangi bir hiyerarşi bulunmasa dahi başka bir veri işleme şartı mevcut iken açık rızaya başvurulması, hukuka ve dürüstlük ilkesine aykırılık teşkil edebilecektir. Bu nedenle özel nitelikli kişisel verilerin işlenmesinde açık rıza dışında farklı bir işleme şartının bulunması halinde veri sorumlularınca bu işleme şartına dayanılması gerekmektedir.

Özel nitelikli kişisel verinin işlenmesinde artık ilgili kişinin açık rızasına dayanılmayacaksa, mevcut açık rıza metinlerinin de bu doğrultuda güncellenmesi ve meydana gelen değişiklikler ile bu değişikliklerin sonucu hakkında ilgili kişilere bilgi verilmesi gerekmektedir.

  1. Aydınlatma metinlerinde değişiklik yapılması

Aydınlatma yükümlülüğü ile veri sorumlularının işleme faaliyetleri hakkında ilgili kişilere şeffaflık sağlanması amaçlandığından, veri sorumlularının hazırlamış oldukları aydınlatma metinlerinin, işleme süreçlerine ilişkin mevcut durumu yansıtacak şekilde doğru ve güncelliğinin sağlanması gerekmektedir.

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca da aydınlatma yükümlülüğü yerine getirilirken; ilgili kişileri yanıltıcı, eksik ve yanlış bilgilere yer verilmemesi gerekmektedir.

Bu nedenle aydınlatma metinlerinin gözden geçirilerek güncelliğinin sağlanması ve akabinde güncel metinlerin ilgili kişilere bildirilmesi gerekmektedir.

Örneğin güncel aydınlatma metinlerinin yalnızca veri sorumlusunun internet sitesine eklenmesi, ilgili kişilerin aydınlatma metinlerinin güncellendiğinden haberdar olduğu ve bu metinlerin ilgili kişiler tarafından okunduğu anlamına gelmeyecektir

Bu noktada, kişisel verilerin elde edildiği her somut olay özelinde ilk olarak ilgili kişilere aydınlatma yapılması ve daha sonrasında herhangi bir değişiklik yapılması halinde güncel aydınlatma metinleri hakkında ilgili kişilerin bilgilendirilmesi süreçlerinin ispat edilebilir bir şekilde yerine getirilmesi önem arz etmektedir.

  1. Saklama ve imha politikasının güncellenmesi

Kişisel veri saklama ve imha politikası asgari olarak; kişisel veri saklama ve imha politikasının hazırlanma amacına, düzenlenen kayıt ortamlarına, yer verilen hukuki ve teknik terimlerin tanımlarına, kişisel verilerin saklanmasını ve imhasını gerektiren hukuki, teknik ya da diğer sebeplere ilişkin açıklamaya, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi, hukuka uygun olarak imha edilmesi için alınmış teknik ve idari tedbirlere, kişisel verileri saklama ve imha süreçlerinde yer alanların unvanlarına, birimlerine ve görev tanımlarına, saklama ve imha sürelerini gösteren tabloya, periyodik imha sürelerine, mevcut kişisel veri saklama ve imha politikasında güncelleme yapılmış ise söz konusu değişikliğe ilişkin bilgileri kapsamaktadır.

Bu çerçevede, kişisel veri saklama ve imha politikası hazırlamakla yükümlü veri sorumlularının Kanun değişikliğine uyum sağlayabilmeleri için;

  • Özel nitelikli kişisel verilerin işleme şartının değişmesi durumunda yeni işleme şartı kapsamında gerekenden daha uzun süre özel nitelikli kişisel verilerin tutulmamasını sağlamak için saklama ve imha politikalarının gözden geçirilmesi,
  • Veri koruma düzenlemeleriyle uyumluluğu sağlamak için saklama süresinde değişiklik yapılacaksa saklama süreleri belirlenirken işleme amacıyla bağlantılı, sınırlı ve ölçülü olma ve gerekli olan süre kadar muhafaza edilme ilkelerine riayet edilmesi gerekmektedir.

 

  1. Veri güvenliği tedbirlerinin alınması

Veri sorumlusu, verilerin niteliği ve veri işlemenin ilgili kişi açısından oluşturacağı muhtemel risklerle ilgili olarak, kişisel verilerin güvenliğini sağlamak amacıyla gerekli her türlü teknik ve idari tedbirleri almalıdır.

Kanunda özel nitelikli kişisel verilerin işlenmesi için aranan yeterli önlemleri belirlemek, Kurul’un görev ve yetkileri arasında sayılmıştır. Bu kapsamda özel nitelikli kişisel veri işlemekte olan veri sorumluları ve veri işleyenlerin “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” ile ilgili Kurul’un 31.01.2018 tarihli ve 2018/10 sayılı Kararı’nda yer alan hususlara dikkat etmesi gerekmektedir.