TBMM Madde Gerekçesi
Güncel metin1 Haziran 2024’ten itibaren
Maddeyle, 6698 sayılı Kişisel Verilerin Korunması Kanununun 6 ncı maddesinde değişiklik yapılmaktadır. Mevcut 6 ncı maddeye göre sağlık ve cinsel hayat dışındaki özel nitelikli kişisel verilerin işlenebilmesi, sadece ilgili kişinin açık rızasının bulunması veya kanunlarda öngörülmesi halinde mümkündür. Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler ise açık rızanın dışında sadece kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetlerinin finansmanı, yönetimi ve planlanması amacıyla işlenebilmektedir. Buna göre mevcut düzenleme uyarınca sağlık verisini sadece Sosyal Güvenlik Kurumu ve Sağlık Bakanlığı ile sağlık kuruluşları işleyebilmektedir. Ancak başta sigortacılık sektörü, çalışma mevzuatı, iş sağlığı ve güvenliği ile sosyal hizmetler alanlarında sağlık verisine ihtiyaç bulunmaktadır.
Değişiklikle, özel nitelikli kişisel verilerin işlenme şartları, güncel ihtiyaçlar ve Avrupa Birliği Genel Veri Koruma Tüzüğü nazara alınarak yeniden düzenlenmektedir. Maddenin ikinci fıkrasında özel nitelikli kişisel verilerin işlenmesinin yasak olduğuna dair hüküm muhafaza edilmekte ve özel nitelikli kişisel verilerin işlenebileceği haller tahdidi olarak sayılmaktadır. Bu fıkrada sayılan hallerden birinin varlığı halinde özel nitelikli kişisel verilerin işlenmesi mümkün olacaktır.
İkinci fıkranın (a) bendine göre, ilgili kişinin açık rızasının bulunması halinde özel nitelikli kişisel verileri işlenebilecektir.
Fıkranın (b) bendine göre, kanunlarda açıkça öngörülen hallerde özel nitelikli kişisel veriler işlenebilecektir. Örneğin; 5352 sayılı Adli Sicil Kanunu uyarınca ceza mahkûmiyetine ilişkin verilerin işlenmesi ve 2559 sayılı Polis Vazife ve Salâhiyet Kanununun 5 inci maddesi uyarınca kişilerin parmak izlerinin alınması bu bent kapsamında değerlendirilecektir.
Fıkranın (c) bendinde fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması halinde özel nitelikli kişisel verilerin işlenmesine imkân tanınmaktadır. Örneğin; herhangi bir sebeple bilinç kaybından ötürü rızasını açıklayamayacak durumda olan kişinin hayatının veya beden bütünlüğünün korunması amacına mahsus olarak kan grubu ve geçirilen hastalıklar gibi özel nitelikli kişisel verileri işlenebilecektir.
Fıkranın (ç) bendi uyarınca, ilgili kişinin özel nitelikli kişisel verilerini alenileştirmesi halinde, bu verilerin alenileştirme iradesine uygun olarak işlenmesine imkân tanınmaktadır. Örneğin; bir kişinin acil durumlarda kullanılması için, herkesçe erişilebilir bir alanda paylaşmış olduğu kan grubu ve alerji bilgileri gibi kişisel verilerinin bu amaca uygun olarak işlenmesi ve kullanılması hukuka uygun olacaktır.
Fıkranın (d) bendine göre özel nitelikli kişisel veriler, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması halinde işlenebilecektir. Örneğin; iş sözleşmesinin sona ermesinden sonra açılması muhtemel davalarda savunma hakkının kullanılması bakımından işverenin eski işçisine ait sağlık verilerini saklamaya devam etmesi bu kapsamda değerlendirilebilecektir. Aynı şekilde, engelli bir kişinin özel tüketim vergisinden istisna olarak araç alma hakkından yararlanabilmesi için bu kişinin engelli raporunun vergi dairesi tarafından işlenmesi de mümkün olacaktır.
Fıkranın (e) bendiyle, özel nitelikli kişisel verilerin; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesinin gerekli olması, başka bir veri işleme şartı olarak düzenlenmektedir. Buna göre, Sağlık Bakanlığı ile her türlü sağlık kuruluşunun ve Sosyal Güvenlik Kurumunun bu bentte yazılı amaçlarla tuttukları veriler ve kayıtlar bu kapsamda değerlendirilecektir.
Fıkranın (f) bendine göre özel nitelikli kişisel veriler, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik veya sosyal hizmetler ile sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması durumlarında da işlenebilecektir. Örneğin; 4857 sayılı İş Kanunuyla işverenlere verilen engelli veya hükümlü çalıştırma yükümlülüğünün yerine getirilebilmesi bakımından kişilerin sağlık verilerinin veya ceza mahkûmiyetine ilişkin verilerinin işverenlerce işlenmesi bu bent kapsamında değerlendirilecektir. Aynı şekilde, diyaliz hastalarına sunulan sağlık kuruluşuna taşıma hizmetinin yerine getirilebilmesi için kişinin sağlık raporunun işlenmesi de mümkün olacaktır.
Fıkranın (g) bendinde, siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek veya diğer kâr amacı gütmeyen kuruluş ya da oluşumlar tarafından, özel nitelikli kişisel verilerden bazılarının işlenebilmesi düzenlenmektedir. Buna göre, bu kuruluş ve oluşumlar, mevcut ve eski üyeleri ile bu kuruluş ve oluşumlarla düzenli olarak temas halinde olan kişilerin özel nitelikli verilerini, kuruluş amaçlarına ve tabi oldukları mevzuata uygun, faaliyet alanlarıyla sınırlı ve üçüncü kişilere açıklanmamak kaydıyla işleyebileceklerdir. Örneğin; bu kuruluş ve oluşumların mevcut üyelerinin yanı sıra eski üyeleri ve düzenli olarak bağış yapmak suretiyle kendisiyle temas halinde olan kişilerin bu durumlarına ilişkin bilgiyi işlemesi bu bent kapsamında değerlendirilecektir. Aynı şekilde bir sendika, kendi faaliyet alanına ve amacına ilişkin olarak sadece sendika üyeliğiyle ilgili verileri işleyebilecektir. Buna karşın sendika üyelerinin sağlık veya dinine yönelik kişisel verileri, faaliyet alanıyla ve amacıyla ilgisi olmaması sebebiyle işlenemeyecektir.
Maddenin mevcut dördüncü fıkrası uyarınca özel nitelikli kişisel verilerin işlenmesinde Kişisel Verileri Koruma Kurulu (Kurul) tarafından belirlenen yeterli önlemlerin alınması şartı aynen devam edecektir.
Maddeyle, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, biyometrik verisi veya haklarında verilen ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verilerinin, özel nitelikli kişisel veri olduğu belirtilmektedir. Bu verilerin, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olabilmesine veya ayrımcılığa maruz kalabilmesine neden olabilecek nitelikte veriler olmaları dikkate alınmakta, bu sebeple bu tür veriler özel nitelikli (hassas) veri olarak kabul edilmektedir.
Kurul tarafından belirlenen yeterli önlem alınmaksızın özel nitelikli verilerin işlenememesi öngörülmekte, ayrıca kural olarak bu tür verilerin ilgili kişinin açık rızası olmaksızın da işlenememesi hükme bağlanmaktadır.
Maddenin dördüncü fıkrasında tahdidi olarak sayılan şartların varlığı halinde, yeterli önlem alınması şartı baki kalmak kaydıyla ilgili kişinin açık rızası aranmaksızın özel nitelikli kişisel verilerin işlenmesine imkân tanınmaktadır.
Dördüncü fıkranın (a) bendine göre, ilgili kişinin rızası olmasa bile, kanunlarda açıkça öngörülen hallerde özel nitelikli kişisel veriler işlenebilecektir. Örneğin, askerlik yapacak kişilerin bazı özel sağlık bilgilerinin ilgili kanun hükümleri uyarınca işlenmesi, yine hastanelerin, eczanelerin ya da Sosyal Güvenlik Kurumunun hastalarla ilgili veri işlemesi bu kapsamda değerlendirilecektir.
Fıkranın (b) bendinde, siyasi parti, vakıf, dernek veya sendika gibi kâr amacı gütmeyen kuruluş ya da oluşumlar tarafından, özel nitelikli kişisel verilerden bazılarının işlenebilmesi düzenlenmektedir. Buna göre, bu kuruluş ve oluşumlar, kendi üye ve mensuplarının özel nitelikli verilerini, kuruluş amaçlarına ve tabi oldukları mevzuata uygun, faaliyet alanlarıyla sınırlı ve üçüncü kişilere açıklanmamak kaydıyla işleyebileceklerdir. Örneğin, bir siyasi partinin veya sendikanın üyelerine ilişkin kimlik ve iletişim bilgilerini, fıkrada belirtilen şartlarla tutması, bu bent kapsamında değerlendirilecektir. Bu kuruluşlar, sadece kendi faaliyet alanlarıyla sınırlı olarak özel nitelikli veri işleyebileceklerdir. Örneğin, bir sendika, kendi faaliyet alanına ve amacına ilişkin olarak sadece sendika üyeliğiyle ilgili verileri işleyebilecektir. Buna karşın üyelerin sağlık veya din ya da mezhebine yönelik kişisel verileri, faaliyet alanıyla ve amacıyla ilgisi olmaması sebebiyle işleyemeyecektir.
Fıkranın (c) bendine göre, ilgili kişinin kendisi tarafından kamuoyuna açıklanmış olan özel nitelikli kişisel verileri işlenebilecektir. Zira ilgili kişi tarafından alenileştirilen ve böylelikle herkes tarafından bilinen bu tür verilerin işlenmesinde, korunması gereken hukuki yararın ortadan kalktığı kabul edilmektedir.
Fıkranın (ç) bendinde, özel niteliği olan kişisel verilerin, bir hakkın tesisi, kullanılması veya korunması için işlenmesinin zorunlu olması hali düzenlenmektedir. Örneğin, bir işverenin, engelli çalıştırma zorunluluğu kapsamında, işyerinde, bu statüde çalıştırdığı kişilere ilişkin rapor ve belgeleri işlemesi bu kapsamda değerlendirilecektir. Yine engelli bir kişinin özel tüketim vergisinden muaf özel donanımlı araç almak hakkından yararlanabilmesi için, engelliliğine ilişkin sağlık raporlarının vergi dairesi tarafından edinilmesi ve işlenmesi de bu bent kapsamında değerlendirilecektir.
Fıkranın (d) bendiyle, özel nitelikli verilerin; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesi düzenlenmektedir. Bu bağlamda, Sağlık Bakanlığı ile her türlü sağlık kuruluşunun ve Sosyal Güvenlik Kurumunun bu bentte yazılı amaçlarla tuttukları veriler ve kayıtlar bu kapsamda değerlendirilecektir.
Önceki yürürlük metni7 Nisan 2016–31 Mayıs 2024
Maddeyle, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, biyometrik verisi veya haklarında verilen ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verilerinin, özel nitelikli kişisel veri olduğu belirtilmektedir. Bu verilerin, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olabilmesine veya ayrımcılığa maruz kalabilmesine neden olabilecek nitelikte veriler olmaları dikkate alınmakta, bu sebeple bu tür veriler özel nitelikli (hassas) veri olarak kabul edilmektedir.
Kurul tarafından belirlenen yeterli önlem alınmaksızın özel nitelikli verilerin işlenememesi öngörülmekte, ayrıca kural olarak bu tür verilerin ilgili kişinin açık rızası olmaksızın da işlenememesi hükme bağlanmaktadır.
Maddenin dördüncü fıkrasında tahdidi olarak sayılan şartların varlığı halinde, yeterli önlem alınması şartı baki kalmak kaydıyla ilgili kişinin açık rızası aranmaksızın özel nitelikli kişisel verilerin işlenmesine imkân tanınmaktadır.
Dördüncü fıkranın (a) bendine göre, ilgili kişinin rızası olmasa bile, kanunlarda açıkça öngörülen hallerde özel nitelikli kişisel veriler işlenebilecektir. Örneğin, askerlik yapacak kişilerin bazı özel sağlık bilgilerinin ilgili kanun hükümleri uyarınca işlenmesi, yine hastanelerin, eczanelerin ya da Sosyal Güvenlik Kurumunun hastalarla ilgili veri işlemesi bu kapsamda değerlendirilecektir.
Fıkranın (b) bendinde, siyasi parti, vakıf, dernek veya sendika gibi kâr amacı gütmeyen kuruluş ya da oluşumlar tarafından, özel nitelikli kişisel verilerden bazılarının işlenebilmesi düzenlenmektedir. Buna göre, bu kuruluş ve oluşumlar, kendi üye ve mensuplarının özel nitelikli verilerini, kuruluş amaçlarına ve tabi oldukları mevzuata uygun, faaliyet alanlarıyla sınırlı ve üçüncü kişilere açıklanmamak kaydıyla işleyebileceklerdir. Örneğin, bir siyasi partinin veya sendikanın üyelerine ilişkin kimlik ve iletişim bilgilerini, fıkrada belirtilen şartlarla tutması, bu bent kapsamında değerlendirilecektir. Bu kuruluşlar, sadece kendi faaliyet alanlarıyla sınırlı olarak özel nitelikli veri işleyebileceklerdir. Örneğin, bir sendika, kendi faaliyet alanına ve amacına ilişkin olarak sadece sendika üyeliğiyle ilgili verileri işleyebilecektir. Buna karşın üyelerin sağlık veya din ya da mezhebine yönelik kişisel verileri, faaliyet alanıyla ve amacıyla ilgisi olmaması sebebiyle işleyemeyecektir.
Fıkranın (c) bendine göre, ilgili kişinin kendisi tarafından kamuoyuna açıklanmış olan özel nitelikli kişisel verileri işlenebilecektir. Zira ilgili kişi tarafından alenileştirilen ve böylelikle herkes tarafından bilinen bu tür verilerin işlenmesinde, korunması gereken hukuki yararın ortadan kalktığı kabul edilmektedir.
Fıkranın (ç) bendinde, özel niteliği olan kişisel verilerin, bir hakkın tesisi, kullanılması veya korunması için işlenmesinin zorunlu olması hali düzenlenmektedir. Örneğin, bir işverenin, engelli çalıştırma zorunluluğu kapsamında, işyerinde, bu statüde çalıştırdığı kişilere ilişkin rapor ve belgeleri işlemesi bu kapsamda değerlendirilecektir. Yine engelli bir kişinin özel tüketim vergisinden muaf özel donanımlı araç almak hakkından yararlanabilmesi için, engelliliğine ilişkin sağlık raporlarının vergi dairesi tarafından edinilmesi ve işlenmesi de bu bent kapsamında değerlendirilecektir.
Fıkranın (d) bendiyle, özel nitelikli verilerin; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesi düzenlenmektedir. Bu bağlamda, Sağlık Bakanlığı ile her türlü sağlık kuruluşunun ve Sosyal Güvenlik Kurumunun bu bentte yazılı amaçlarla tuttukları veriler ve kayıtlar bu kapsamda değerlendirilecektir.
2014 Tasarısı2014
Maddeyle, özel nitelikli kişisel veriler sayılmakta ve genel kural olarak bu verilerin işlenemeyeceği düzenlenmektedir.
Buna göre, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, dernek, vakıf ya da sendika üyeliği, sağlığı veya cinsel hayatıyla ilgili veriler, özel nitelikli kişisel veriler olarak kabul edilmektedir. Bu veriler, başkalarınca öğrenilmeleri halinde, özellikleri gereği, ilgili kişinin mağduriyetine yol açabilecek veya ayrımcılık tehlikesini oluşturacak nitelikte hassas verilerdir. Özel nitelikteki verilere dolaylı da olsa erişim imkanı veren veriler de madde kapsamına alınmıştır.
Maddenin ikinci fıkrasıyla, sınırlı bazı hallerde ve belirli koşullar altında özel nitelikli kişisel verilerin de işlenebilmesi öngörülmektedir.
Fıkranın (a) bendine göre, ilgili kişinin açık rızasının bulunması halinde özel nitelikli kişisel veriler işlenebilecektir. Rıza, yukarıda da belirtildiği gibi, özgürce, konuyla ilgili yeterli bilgi sahibi olunarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olmak kaydıyla geçerli olacaktır.
Fıkranın (b) bendine göre ilgili kişinin rızası olmasa bile, kanunlarda açıkça öngörülen hallerde özel nitelikli kişisel veriler işlenebilecektir. Örneğin, askerlik yapacak kişilerin bazı özel sağlık bilgilerinin ilgili kanun hükümleri uyarınca işlenmesi, yine hastanelerin, eczanelerin ya da Sosyal Güvenlik Kurumunun hastalarla ilgili veri işlemesi bu kapsamda değerlendirilecektir.
Fıkranın (c) bendinde, siyasi parti, vakıf, dernek veya sendika gibi kar amacı gütmeyen kuruluş ya da oluşumlar tarafından, özel nitelikli kişisel verilerden bazılarının işlenebilmesi düzenlenmektedir. Buna göre, bu kuruluş ve oluşumlar, kendi üye ve mensuplarının özel nitelikli verilerini, kuruluş amaçlarına ve tabi oldukları mevzuata uygun, faaliyet alanlarıyla sınırlı ve üçüncü kişilere açıklanmamak kaydıyla işleyebileceklerdir. Örneğin bir siyasi partinin veya sendikanın üyelerine ilişkin kimlik ve iletişim bilgilerini, fıkrada belirtilen şartlarla tutması bu bent kapsamında değerlendirilecektir.
Bu kuruluşlar, sadece kendi faaliyet alanlarıyla sınırlı olarak özel nitelikli veri işleyebileceklerdir. Örneğin bir sendika, kendi faaliyet alanına ve amacına ilişkin olarak sadece sendika üyeliğiyle ilgili verileri işleyebilecektir. Buna karşın üyelerin sağlık veya din ya da mezhebine yönelik verileri, faaliyet alanıyla ve amacıyla ilgisi olmaması sebebiyle İşleyemeyecektir.
Fıkranın (ç) bendine göre, ilgili kişinin kendisi tarafından kamuoyuna açıklanmış olan özel nitelikli kişisel verileri işlenebilecektir. Zira ilgili kişi tarafından alenileştirilen ve böylelikle herkes tarafından bilinen bu tür verilerin işlenmesinde, korunması gereken hukuki yararın ortadan kalktığı kabul edilmektedir.
Fıkranın (d) bendinde, özel niteliği olan kişisel verilerin, bir hakkın tesisi, kullanılması veya korunması için işlenmesinin zorunlu olması hali düzenlenmektedir. Örneğin bir işverenin, engelli çalıştırma zorunluluğu kapsamında, işyerinde, bu statüde çalıştırdığı kişilere ilişkin rapor ve belgeleri işlemesi bu kapsamda değerlendirilecektir. Yine engelli bir kişinin özel tüketim vergisinden muaf özel donanımlı araç almak hakkından yararlanabilmesi için, engelliliğine ilişkin sağlık raporlarının vergi dairesi tarafından edinilmesi ve işlenmesi de bu fıkra kapsamında değerlendirilecektir.
Fıkranın (e) bendiyle, özel nitelikli verilerin; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetlerinin yönetimi ve finansmanı amacıyla ve sır saklama yükümlülüğü altında bulunan kişiler tarafından işlenmesi düzenlenmektedir. Bu bağlamda, Sağlık Bakanlığının ve her türlü sağlık kuruluşunun kişilerin sağlık durumuna ilişkin tuttuğu kayıtlar yine Sosyal Güvenlik Kurumunda sağlık hizmetlerinin yönetimi ve finansmanı amacıyla sır saklama yükümlülüğü altında bulunan kişiler tarafından tutulan kayıtlar fıkra kapsamında değerlendirilecektir.
2008 Tasarısı2008
Maddeyle özel niteliği olan kişisel veriler sayılmakta ve genel kural olarak bu verilerin işlenemeyeceği düzenlenmektedir. Buna göre kişilerin ırk, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançları, dernek, vakıf veya sendika üyeliği, sağlık ve özel yaşamları ve her türlü mahkûmiyetleri ile ilgili veriler özel niteliği olan kişisel veri olarak kabul edilmektedir. Bu veriler, başkalarınca öğrenilmeleri halinde özellikleri gereği ilgili kişinin mağduriyetine yol açabilecek ve ayrımcılık tehlikesini oluşturacak nitelikte hassas verilerdir. Özel nitelikteki verilere dolaylı da olsa erişim imkânı veren veriler de madde kapsamında yerini almaktadır. Çünkü bu şekilde kişinin siyasî görüşü, dinî veya felsefî inancına ilişkin bilgiler bu verilerden elde edilebilecektir. Maddenin ikinci fıkrasıyla işlem yasağına bir kısım istisnalar getirilmektedir. (a) bendinde, ilgili kişinin özel nitelikteki verilerinin, hiçbir tereddüde yer bırakmayacak şekildeki rıza beyanının bulunması ve bu rıza beyanının yazılı olarak gerçekleştirilmesi hâlinde işlenmesine izin verilmektedir. (b) bendine göre, ilgili kişinin hukukî veya fiilî nedenlerle rızasını açıklayamayacak durumda bulunduğu hallerde, kendisinin veya bir başkasının hayatı veya beden bütünlüğünün korunması için veri işleminin zorunlu olması durumunda hassas verileri işlenebilecektir. (c) bendiyle, veri kütüğü sahiplerinin bu Kanunla veya diğer kanunlarla tanınan hak ve yetkilerini kullanabilmesi veya yükümlülüklerini yerine getirebilmesi için veri işlemenin zorunlu olması halinde veri işlemeleri düzenlenmektedir. Ancak bu halde veri kütüğü sahibinin ilgili kişiye yeterli koruma imkânı sağlaması gerekmektedir. Örneğin; sağlık konularına ilişkin olmak üzere Umumî Hıfzıssıha Kanunu ile özel nitelikteki kişisel verilerin işlenebilme olanağı ihdas edilmişse Sağlık Bakanlığı veya ilgili bir başka kuruluş bu verileri işleyebilecektir. (ç) bendinde, vakıf, dernek, sendika ve siyasi partiler gibi kamuya yararlı kurum ve kuruluşlar tarafından özel nitelikli kişisel verilerin işlenmesi düzenlenmektedir. Buna göre bu verilerin, ilgili kuruluşların kuruluş amaçlarına, tâbi oldukları mevzuata uygun, faaliyet alanlarıyla sınırlı ve üyelerine yönelik olarak işlenmesi, ilgili kişilerin rızası olmadan üçüncü kişilere açıklanmaması gerekmektedir. (d) bendine göre ilgili kişi tarafından alenen açıklanmış olan özel nitelikteki verilerin işlenmesi de istisnalardan biri olarak kabul edilmiştir. Çünkü ilgili kişi tarafından alenen açıklanan, böylelikle herkes tarafından bilinen bu tür verilerin işlenmesinde, korunması gereken hukuki yararın ortadan kalktığı kabul edilmektedir. Yine de ikinci fıkrada belirtildiği şekilde, bu halde dahi kişinin özel alanı ve temel hak ve özgürlükleri korunmalıdır. (e) bendiyle, özel niteliği olan kişisel verilerin bir hakkın tesisi, kullanılması veya savunması için zorunlu olması durumu istisnalar arasında sayılmıştır. Bu bentte kastedilen işlemler yargılama faaliyetleri veya adlî işlemler nedeniyle yerine getirilen işlemlerdir. (f) bendiyle tıbbi tedbirler çerçevesinde özel nitelikte verilerin işlenmesi düzenlenmektedir. Buna göre bu verilerin, koruyucu hekimlik, tıbbi teşhis, tedavi, bakım veya sağlık hizmetlerinin yürütülmesi için gerekli olması gerekmekte ayrıca bu verilerin, hukuken veya meslek kurallarına göre sır saklama yükümlülüğü altında bulunan sağlık personeli veya eşdeğer seviyede sır saklama yükümlülüğü altındaki kişilerin gözetimi altında işlenmesi gerekmektedir. Maddenin üçüncü fıkrasıyla, Kişisel Verileri Koruma Kuruluna, özel nitelikteki verileri işleme yasağını daraltabilecek bir düzenleme yapma imkânı tanınmaktadır. Ancak bunun için temel kamu yararının bulunması ve yeterli koruma tedbirlerinin tespit edilmesi gerekmektedir. Maddenin diğer fıkralarıyla da işlem yasağına bir takım istisnalar getirilmektedir.
Hükmün yapısı ve 2024 değişikliği
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 6. maddesinin birinci fıkrası, hangi veri kategorilerinin özel nitelikli sayıldığını tek tek belirtir.1 7499 sayılı Kanun'un 33. maddesiyle ikinci fıkra yürürlükten kaldırılmış, üçüncü fıkra değiştirilmiştir. Değişiklik 1 Haziran 2024 tarihinde yürürlüğe girmiştir.2
İlk metin, sağlık ve cinsel hayata ilişkin veriler ile diğer özel nitelikli veriler için iki ayrı işleme rejimi öngörmekteydi.3 7499 sayılı Kanuna esas teklifin gerekçesinde, özel nitelikli kişisel verilerin işlenmesine ilişkin yasağın korunduğu ve işleme hallerinin sınırlı sayıda düzenlendiği belirtilmiştir.4 Güncel üçüncü fıkrada ise açık rıza dahil olmak üzere bütün özel nitelikli kişisel veriler bakımından başvurulabilecek işleme şartları bentler halinde sayılmıştır.5
Dördüncü fıkradaki yeterli önlem şartı değişmemiştir. Üçüncü fıkradaki işleme şartlarından birine dayanılması halinde de KVKK'nın 4. maddesindeki ilkelere uyulmalı ve Kişisel Verileri Koruma Kurulunun belirlediği yeterli önlemler alınmalıdır.6
7499 sayılı Kanun'da 6. madde değişikliği için özel bir geçiş hükmü yer almamaktadır. Bu nedenle 1 Haziran 2024'ten sonra gerçekleştirilen işleme faaliyetlerinin güncel hükme göre değerlendirilmesi gerekir.7 Değişiklikten önce verilen kararlar yalnız değişmeyen veri kategorilerinin nitelendirilmesi ve dördüncü fıkradaki güvence yükümlülüklerinin açıklanması bakımından kullanılabilir.8
Sınırlı sayım ve verinin bağlamı
Birinci fıkradaki özel nitelikli kişisel veri kategorileri sınırlı sayıda düzenlenmiştir.1 Bir verinin bu kategorilerden birine girip girmediği belirlenirken ortaya çıkardığı bilgi, işlenme amacı ve somut olayın bağlamı birlikte dikkate alınmalıdır.2
Bir veri ile listedeki kategorilerden biri arasında dolaylı bir bağlantı bulunması, verinin özel nitelikli sayılması için tek başına yeterli değildir.6 Örneğin gözlük takan bir kişinin görüntüsü, görme durumuna ilişkin bir değerlendirme yapmak amacıyla işleniyorsa sağlık verisi olarak değerlendirilebilir. Aynı görüntünün yalnız güvenlik kaydında bulunması ise bu sonuca varmaya tek başına yetmez.3 Kişinin adı dini inancı hakkında bir çıkarım üretmek veya bu çıkarıma dayanarak karar vermek amacıyla işleniyorsa, işlemin KVKK m.6 kapsamında olup olmadığı amaç ve bağlam dikkate alınarak değerlendirilecektir.4
Bu örneklerde değerlendirme, kaydın biçimine değil, işleme sonucunda elde edilen bilgiye ve bu bilginin kişi hakkında verilecek kararda kullanılmasına dayanmalıdır.5
Dolaylı olarak ortaya çıkan veriler
Dolaylı yoldan özel nitelikli bilgiye ulaşmayı sağlayan verilerin hangi koşullarda KVKK m.6 kapsamına gireceği tartışmalıdır. Konuya ilişkin bir görüş, kaydın bu tür bir çıkarıma elverişli olması ile çıkarımı üretmek veya kullanmak amacıyla işlenmesini birbirinden ayırmaktadır.1
Bu görüşe göre ses, görüntü veya davranış kaydı, başka verilerle birleştirildiğinde birinci fıkradaki kategorilerden birine ilişkin bilgi ortaya çıkarabilir.2 Ancak kayıt bu bilgiyi üretmek veya kişi hakkında verilecek bir kararda kullanmak amacıyla işlenmiyorsa, sırf böyle bir çıkarım yapılabilmesi KVKK m.6'nın uygulanması için yeterli değildir. Kanunda bu ayrım açıkça düzenlenmemiştir.3
Doktrindeki karşı görüşe göre işleme amacı ve somut bağlam özel nitelikli bir bilgiyi ortaya çıkarmaya yönelmişse dolaylı veriler de KVKK m.6 kapsamında değerlendirilebilir.4 Bu görüş ayrılığı karşısında yalnız kaydın biçimi değil, işleme sonucunda elde edilen bilgi ile bu bilginin kullanım amacı da incelenmelidir.5
Biyometrik ve genetik veri
Bir verinin biyometrik nitelik taşıyıp taşımadığı belirlenirken, belirli bir teknik işlem sonucunda elde edilip edilmediği ile kişinin kimliğini belirlemek veya doğrulamak amacıyla kullanılıp kullanılmadığı birlikte değerlendirilmelidir.1 Fotoğraf, ses kaydı veya el görüntüsünün bulunması, biyometrik veri işlendiği sonucuna varmaya tek başına yetmez.2
Kurul, 2022/662 sayılı kararında el geometrisi terminalinin eli üç boyutlu olarak ölçtüğünü ve giriş denetiminde kimlik doğrulamak için kullandığını tespit etmiş, el geometrisi verisini bu nedenle biyometrik veri olarak nitelendirmiştir.3 Karar, 7499 değişikliğinden önceki rejimde verilmiştir. Bu nedenle kararın açık rıza ile kanuni dayanağa ilişkin değerlendirmesi, güncel üçüncü fıkra bakımından doğrudan esas alınamaz.4
Biyolojik numune ile bu numuneden elde edilen genetik bilgi birbirinden ayrılmalıdır.5 Somut olayda genetik veri işlenip işlenmediği belirlenirken numuneye uygulanan teknik işlem, bu işlem sonucunda elde edilen bilgi ve bilginin kişiyle bağlantısı dikkate alınacaktır.6
İşleme şartları ve açık rıza
Üçüncü fıkraya göre özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır. Açık rıza ile bentlerde sayılan diğer şartlar bu yasağın istisnalarını oluşturur.1 Açık rızaya dayanılıyorsa rızanın belirli, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması gerekir.2
Üçüncü fıkradaki şartların tamamının aynı işlem bakımından birlikte gerçekleşmesi gerekmez. Veri sorumlusu, somut işlem için hangi bende dayandığını açıkça göstermelidir.3 Bununla birlikte KVKK m.4'teki amaçla bağlılık, sınırlılık ve ölçülülük ilkeleri her işleme için geçerliliğini korur.4 Kişisel Verileri Koruma Kurulunun 2018/10 sayılı kararında belirlediği yeterli önlemler de alınmalıdır.5
Açık rıza alınmış olması, veri sorumlusuna belirlenen amacın dışına çıkma yetkisi veremez. Veri sorumlusu, somut faaliyetin açıklanan amaç ve dayanılan işleme şartı kapsamında kaldığını göstermelidir. Veriye erişebilecek kişiler ve işlenecek veri miktarı da bu amaca göre sınırlandırılmalıdır.6
Kanunlarda açıkça öngörülme ve hayat veya beden bütünlüğü
KVKK m.6/3-b'ye dayanılacaksa, kanun hükmünün işlenecek özel nitelikli kişisel veriyi ve yapılacak işlemi açıkça öngördüğü gösterilmelidir.1 Genel görev veya yetki hükmü, ancak somut işleme açıkça bağlandığı ölçüde bu bent bakımından dayanak oluşturabilir.2
Kurul, 2020/649 sayılı kararında Türk Borçlar Kanunu'ndaki genel imza hükümlerini biyometrik imza verilerinin işlenmesini açıkça öngören bir düzenleme olarak kabul etmemiştir.3 2021/1111 sayılı kararda da Avukatlık Kanunu'ndaki genel görev hükmünün adli sicil bilgisine resen erişim imkanı vermediğini, Adli Sicil Kanunu'ndaki özel düzenlemenin dikkate alınması gerektiğini belirtmiştir.4 Her iki karar da 7499 sayılı Kanun'la yapılan değişiklikten önce verilmiştir. Bu nedenle kararlar güncel bendin kapsamını doğrudan belirleyemez. Bununla birlikte bu kararlar, güncel bentte aranan kanuni dayanağın işlenecek veriyi ve erişim biçimini açıkça gösterip göstermediği incelenirken olaylarıyla sınırlı olarak dikkate alınabilir.5
Hayat veya beden bütünlüğünün korunmasına ilişkin bentte iki unsur birlikte aranır. İlgili kişinin fiili imkansızlık nedeniyle rızasını açıklayamaması veya rızasına hukuki geçerlilik tanınmaması tek başına yeterli değildir. Veri işlemenin ilgili kişinin ya da bir başkasının hayatını veya beden bütünlüğünü korumak için zorunlu olması da gerekir.6 Rızanın alınmasındaki güçlük veya işlemi hızlandırma isteği bu şartların yerini tutamaz.7
Alenileştirme ve hak arama
Alenileştirme şartına dayanılabilmesi için verinin bizzat ilgili kişi tarafından alenileştirilmiş olması ve sonraki işlemenin bu iradeye uygun düşmesi gerekir.1 Bir verinin herkesin görebileceği yerde bulunması, onu her amaçla kullanılabilir hale getiremez.2
KVKK m.6/3-d, bir hakkın tesisi, kullanılması veya korunması için zorunlu olan işlemelere izin verir.3 7499 sayılı Kanuna esas teklifin gerekçesinde, eski çalışanın sağlık verisinin muhtemel davalar için saklanması ve engelli raporunun vergi idaresince işlenmesi örnekleri verilmiştir.4 Bu bende dayanılabilmesi için veri işleme ile ileri sürülen hakkın tesisi, kullanılması veya korunması arasında zorunlu bir bağ bulunmalıdır.6
Bu iki bentte de KVKK'nın 4. maddesindeki ilkeler uygulanmaya devam eder. Alenileştirme iradesinin kapsamı işleme anındaki somut koşullara göre belirlenecektir. KVKK m.6/3-d bakımından ise işlenen veri miktarının hakkın tesisi, kullanılması veya korunması için gerekli olup olmadığı ayrıca değerlendirilecektir.5
Sağlık ve cinsel hayat verileri
Sağlık ve cinsel hayata ilişkin veriler birinci fıkrada özel nitelikli kişisel veri kategorileri arasında yer alır.1 2024 öncesinde bu iki veri türü için ayrı bir işleme rejimi vardı. Güncel metin bu ayrımı kaldırmış, fakat sağlık alanına özgü işleme şartını üçüncü fıkranın (e) bendinde korumuştur.2
Bu bent, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından bentte sayılan sağlık amaçlarıyla yürütülen işlemelere ilişkindir.3 Bentte sayılan amaçlardan birinin varlığı tek başına yeterli değildir. İşlemenin o amaç için gerekli olması ve işlemi yapanın bentte belirtilen kişi veya kuruluşlardan biri olması da aranır.4
Sağlık alanında faaliyet gösteren bir kuruluşta kimlerin hangi verilere erişebileceği, verilen hizmetin gerektirdiği ölçüyle sınırlandırılmalıdır. Her erişimin hangi sağlık hizmeti için gerekli olduğu ayrıca gösterilmelidir.5
İstihdam ve sosyal koruma alanı
KVKK m.6/3-f, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu işlemeyi kapsar.1 Bu bentte belirleyici olan, işlemenin veri sorumlusuna sağladığı kolaylık değil, belirli bir hukuki yükümlülüğün yerine getirilmesi için verinin gerekli olmasıdır.2
Bu bende dayanılırken önce yükümlülüğün hangi düzenlemeden doğduğu, ardından özel nitelikli verinin bu yükümlülük için neden gerekli olduğu gösterilmelidir.3 İşverenin veya başka bir veri sorumlusunun kendi iş tercihi, mevzuattan doğan yükümlülüğün yerini tutamaz. Veriye erişebilecek kişiler ile işlenecek veri miktarı ve saklama süresi de KVKK m.4'teki ilkeler çerçevesinde ayrıca sınırlandırılmalıdır.4
7499 sayılı Kanuna esas teklifin gerekçesinde bu bent açıklanırken 4857 sayılı İş Kanunu'ndaki engelli veya eski hükümlü çalıştırma yükümlülüğü ile diyaliz hastalarının taşınması örneklerine yer verilmiştir.5 Her iki örnekte de özel nitelikli verilerin işlenmesi, bentte sayılan alanlardan doğan belirli bir hukuki yükümlülüğün yerine getirilmesine bağlanmıştır.6
Kar amacı gütmeyen kuruluşlar
KVKK m.6/3-g, siyasi, felsefi, dini veya sendikal amaçlarla kurulan kar amacı gütmeyen kuruluş ve oluşumların belirli koşullarla özel nitelikli kişisel veri işlemesine imkan verir.1 Bu bende dayanılabilmesi için kuruluşun tabi olduğu mevzuata ve amacına uygun hareket etmesi, işlemenin kuruluşun faaliyetiyle sınırlı kalması ve verilerin üçüncü kişilere açıklanmaması gerekir.2
Bendin kişi bakımından kapsamı, mevcut veya eski üyeler ve mensuplar ile kuruluşla düzenli olarak temasta bulunan kişilerle sınırlıdır.3 Bu kişiler hakkında yalnız kuruluşun amacı ve ilgili faaliyet için gerekli veriler işlenebilir.5 7499 sayılı Kanuna esas teklifin gerekçesindeki sendika örneği, işlenen verinin kuruluşun amacı ve faaliyetiyle bağlantılı olması gerektiğini açıklamaktadır.4
Yeterli önlemlerin aktarım ve imhadaki yeri
Dördüncü fıkra, üçüncü fıkradaki işleme şartlarından birine dayanılması halinde de Kişisel Verileri Koruma Kurulunun belirlediği yeterli önlemlerin alınmasını zorunlu tutar.1 2018/10 sayılı karar, ayrı bir politika ve prosedür belirlenmesi, erişim yetkilerinin sınırlandırılması, eğitim, kayıt tutma, şifreleme, fiziksel güvenlik ve güvenli aktarım yöntemleri gibi tedbirlere yer vermiştir.2
Özel nitelikli verilerin yurt içinde üçüncü kişilere aktarılabilmesi için KVKK m.6'nın üçüncü fıkrasındaki şartlardan birinin bulunması ve yeterli önlemlerin alınması gerekir.3 İşleme sebebi ortadan kalktığında ise veriler KVKK m.7 uyarınca silinir, yok edilir veya anonim hale getirilir.4
Yeterli önlemler seçilirken veriye kimlerin erişebildiği, verinin hangi ortamda tutulduğu ve aktarımın nasıl yapıldığı dikkate alınmalıdır.5 2018/10 sayılı kararda elektronik ve fiziksel ortamlar ile veri aktarımı için farklı önlemler belirlenmiştir.6