Madde 6

KVKK'nın 6. maddesinin birinci fıkrası, özel nitelikli sayılan kişisel veri kategorilerini tek tek gösterir.1 Bu kategoriler bakımından üçüncü fıkradaki başlangıç noktası işleme yasağıdır. Açık rıza veya fıkrada sayılan şartlardan birinin varlığı halinde veri işlenebilir.2

İlk metinde sağlık ve cinsel hayata ilişkin veriler için ayrı, diğer özel nitelikli veriler için ayrı bir işleme rejimi vardı.3 7499 sayılı Kanun ikinci fıkrayı yürürlükten kaldırmış ve üçüncü fıkrayı değiştirmiştir. Değişiklik 1 Haziran 2024 tarihinde yürürlüğe girmiştir.4 Kanun teklifinin gerekçesi de yasağın korunduğunu, işleme hallerinin sınırlı sayıldığını belirtmektedir.5

Güncel bir işleme faaliyetinin hukuki dayanağı, eski ikili ayrıma göre belirlenemez. Buna karşılık dördüncü fıkradaki yeterli önlem şartı korunmuştur. Üçüncü fıkrada bir şart bulunduğunda da KVKK'nın 4. maddesindeki ilkeler uygulanacak ve Kurulun belirlediği önlemler alınacaktır.6

7499 sayılı Kanun'da 6. madde değişikliği için ayrı bir geçiş hükmü yer almamaktadır. Bu nedenle 1 Haziran 2024'ten sonra yapılan işleme, güncel metne göre değerlendirilecektir.7 Değişiklikten önceki Kurul kararları ise güncel bentlerin içeriğini belirleyen kararlar değildir. Bunlar, değişmeyen kategori tespiti veya dördüncü fıkradaki güvence yükümlülüğü bakımından somut olaylarıyla sınırlı olarak dikkate alınabilir.8

Birinci fıkradaki sayım sınırlıdır. Kanunda yer almayan bir veri türü, yalnız daha hassas olduğu düşüncesiyle özel nitelikli kategoriye eklenemez.1 Bununla birlikte sayım, kaydın başlığına bakılarak uygulanmaz. Somut verinin kişi hakkında hangi bilgiyi ortaya koyduğu, bu bilginin hangi bağlamda kullanıldığı ve işleme amacının ne olduğu birlikte incelenmelidir.2

Bu inceleme, verinin doğrudan içerdiği bilgi ile işleme sırasında ona verilen anlamı ayırmayı gerektirir. Gözlük takan bir kişinin görüntüsü, görme durumuna ilişkin bir değerlendirme üretmek amacıyla işleniyorsa sağlık verisi sorununu doğurabilir. Aynı görüntünün bir güvenlik kaydında bulunması, tek başına bu sonuca götüremez.3

Dolaylı bir bağlantının bulunması da yeterli değildir. Kişinin adının dinine ilişkin bir çıkarım kurmak veya bu çıkarıma göre kişi hakkında karar vermek için kullanılması farklı bir değerlendirme gerektirir. Bu değerlendirmede verinin kendisi, ondan çıkarılan bilgi ve bu bilginin işleme faaliyetindeki yeri ayrılacaktır.4

Bir kaydın özel nitelikli bilgiye ulaşmaya elverişli olması, o kaydın hangi hukuki rejime tabi olduğunu tek başına açıklamaz. Tartışma, çıkarım imkanını tek başına yeterli gören geniş yaklaşım ile özel nitelikli bilgi elde etme veya kullanma amacını arayan yaklaşım arasındadır.1

Geniş yaklaşım, ses, görüntü veya davranış kaydının özel nitelikli bilgi çıkarımına elverişli olmasını, işleme amacından bağımsız olarak kapsama bağlayabilir.2 KVKK'nın kategori sayımı dolaylı çıkarımı özel olarak düzenlemez. Bu yüzden her çıkarım imkanından doğrudan yeni bir kategori sonucu çıkarılamaz.3

Amaç ve bağlamı esas alan yaklaşım ise kaydın özel nitelikli bilgiyi üretmek veya kişi hakkında verilecek kararda bu bilgiyi kullanmak için işlenmesini arar.4 Ayrım, kaydın biçiminden değil, işleme faaliyetinin hangi bilgiyi elde etmeye ve hangi kullanıma yöneldiğinden doğar.5

Biyometrik veri bakımından yalnız insan bedenine ait bir görüntünün veya sesin bulunması belirleyici değildir. Verinin belirli bir teknik işleme tabi tutulması ile kişinin kimliğini belirleme veya doğrulama amacı birlikte aranır.1 Bu nedenle fotoğraf, ses kaydı veya el görüntüsü, kullanılma biçimi gösterilmeden biyometrik veri sayılmaz.2

Kurulun 2022/662 sayılı kararında el geometrisi terminali eli üç boyutlu olarak ölçmekte ve giriş denetiminde kimlik doğrulamak için kullanmaktaydı. Kurul, bu teknik kurgu nedeniyle el geometrisi verisini biyometrik veri olarak nitelendirmiştir.3 Karar 7499 değişikliğinden önceki rejimde verilmiştir. Açık rıza ve kanuni dayanağa ilişkin sonuçları güncel üçüncü fıkraya doğrudan taşınamaz.4

Genetik veri sorusu ayrıca ele alınmalıdır. Biyolojik numune ile numuneye uygulanan işlem sonunda elde edilen genetik bilgi aynı şey değildir.5 Somut olayda hangi verinin işlendiği, numuneye uygulanan teknik işlem ve bu işlemle kişi hakkında hangi bilginin elde edildiği birlikte belirlenecektir.6

Parmak izinin kimlik doğrulama amacıyla kullanılması, veriyi biyometrik veri alanına taşır. Kurul, üniversitede ders yoklaması için parmak izi işlenmesini geçerli bir özel nitelikli veri işleme şartına dayanmayan ve daha hafif yöntemler karşısında ölçüsüz bir faaliyet olarak değerlendirmiştir.7

Özel nitelikli veri işlemek isteyen veri sorumlusu önce üçüncü fıkradaki şartlardan hangisine dayandığını belirlemelidir. Açık rıza da bu şartlardan biridir. Rızaya dayanılıyorsa irade açıklamasının belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür olması gerekir.1

Fıkrada sayılan şartların aynı işleme faaliyeti için birlikte gerçekleşmesi aranmaz. Bununla birlikte seçilen şart, yürütülen faaliyeti gerçekten kapsamalıdır.2 İşleme şartının bulunması, KVKK'nın 4. maddesindeki amaçla bağlılık, sınırlılık ve ölçülülük ilkelerini ortadan kaldırmaz.3 Dördüncü fıkradaki yeterli önlemler de ayrıca alınacaktır.4

Açık rıza, belirsiz bir gelecek kullanım alanı açmaz. Örneğin rıza belirli bir sağlık hizmeti kapsamında verilmişse, veri sorumlusu bu rızayı başka bir amaçla erişimi genişletmenin dayanağı yapamaz. Bu faaliyette yeterli önlemler de ayrıca alınır.5 İşlenecek veri miktarı ile veriye erişebilecek kişiler, açıklanan amaç ve seçilen işleme şartı çerçevesinde sınırlandırılmalıdır.6

Özel nitelikli veriyi kamuya açık hale getiren bir yayımda maskelemenin gerçekten kimlikle bağı koparıp koparmadığı ayrıca sınanmalıdır. Kurul, seçim anketi sonuçlarındaki dolaylı tanımlayıcıların kişileri belirlenebilir kıldığı olayda siyasi görüş verisinin işlendiğini ve gönderilen mesajın geçerli açık rıza oluşturmadığını kabul etmiştir.7

Kanunlarda açıkça öngörülme bendinde, genel bir görev tanımı ile işlenecek özel nitelikli veri arasında somut bağ kurulmalıdır. Kanun hükmünün hangi verinin hangi işlem için kullanılacağını açıkça göstermediği durumda, yalnız genel yetkiye dayanmak yeterli olmayabilir.1

Bu ölçüt, yetkinin kaynağını reddetmek için değil, yetkinin veri işleme bakımından kapsamını belirlemek için kullanılır. Genel görev hükmü, belirli veri kategorisine erişme veya bu veriyi belirli biçimde işleme yetkisini ayrıca gösterdiği ölçüde dayanak olabilir.2

Kurul, 2020/649 sayılı kararda Türk Borçlar Kanunu'ndaki genel imza hükümlerini biyometrik imzanın işlenmesini açıkça öngören düzenleme saymamıştır.3 2021/1111 sayılı kararda da Avukatlık Kanunu'ndaki genel görev hükmünün, Adli Sicil Kanunu'ndaki özel erişim düzenlemesi karşısında resen erişim yetkisi vermediğini belirtmiştir.4 Her iki karar eski m.6 rejimindedir. Bu nedenle güncel bendin kapsamını doğrudan belirlemez, ancak kanuni dayanak incelenirken genel hüküm ile somut veri erişimi arasındaki bağın aranacağını kendi olaylarıyla gösterir.5

Hayat veya beden bütünlüğünün korunmasına ilişkin bent farklı bir soruya cevap verir. İlgili kişinin fiili imkansızlık nedeniyle rızasını açıklayamaması veya rızasına hukuki geçerlilik tanınmaması ile veri işlemenin hayatı ya da beden bütünlüğünü korumak için zorunlu olması birlikte aranır.6 Rıza almanın güçleşmesi veya işlemi hızlandırma isteği, bu iki koşulun yerini tutmaz.7

Alenileştirme bendi, ilgili kişinin veriyi açıklama iradesine dayanır. Bu nedenle verinin erişilebilir hale gelmesi yeterli değildir. Sonraki işleme, ilgili kişinin alenileştirme iradesinin kapsamına uygun olmalıdır.1

Bir hakkın tesisi, kullanılması veya korunması bendi ise veri sorumlusunun iradesine değil, hak arama ihtiyacına dayanır. İşlenen özel nitelikli veri ile ileri sürülen veya savunulan hak arasında zorunlu bağ kurulmalıdır.2 Kanun teklifinin gerekçesinde eski çalışanın sağlık verisinin olası dava için saklanması ve engelli raporunun vergi idaresince işlenmesi bu bağın örnekleri olarak verilmiştir.3

İki bentteki meşrulaştırma sebebi farklı olsa da KVKK'nın 4. maddesindeki ilkeler uygulanmaya devam eder.4 Alenileştirmede iradenin kapsamı, hak aramada ise hakkın gerektirdiği veri miktarı somut olaya göre belirlenecektir.5

Sağlık ve cinsel hayata ilişkin veriler birinci fıkradaki özel nitelikli kategoriler arasındadır.1 2024 öncesinde bu iki veri türü için ayrı bir işleme rejimi bulunuyordu. Güncel metin bu ayrımı kaldırmış, sağlık alanına özgü şartı üçüncü fıkranın (e) bendinde korumuştur.2

(e) bendi, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca yürütülen belirli sağlık faaliyetlerini kapsar.3 Sağlık alanında faaliyet gösteren bir kuruluşta çalışmak, her çalışana her sağlık verisine erişme yetkisi vermez. Önce bentte sayılan amacın varlığı, sonra bu amaç için hangi veriye neden ihtiyaç duyulduğu ve işlemi yapanın öngörülen kişi veya kuruluşlardan olup olmadığı gösterilmelidir.4

Bu ayrım özellikle erişim çevresinde önem taşır. Muayene, tedavi veya bakım hizmetiyle ilgisi olmayan bir kişinin aynı kuruluş içinde bulunması erişimi haklı kılmaz. Veriye erişebilecek kişiler, sağlanan hizmet ve o hizmet için gerekli görevlerle sınırlanmalıdır.5

KVKK m.6/3-f, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu işlemeye izin verir.1 Bentteki yükümlülük, veri sorumlusunun kendi tercihiyle yarattığı bir ihtiyaç değildir. Kaynağı mevzuatta bulunan belirli bir yükümlülük olmalıdır.2

Bu nedenle inceleme iki ayrı soruyla yürütülür. Önce yükümlülüğün hangi düzenlemeden doğduğu, sonra özel nitelikli verinin bu yükümlülüğü yerine getirmek için neden gerekli olduğu gösterilir.3 İşverenin veya başka bir veri sorumlusunun işini kolaylaştıran bir uygulama, tek başına bu bağı kurmaz. Erişim çevresi, veri miktarı ve saklama süresi de amaçla bağlantılı, sınırlı ve ölçülü olmalıdır.4

Kanun teklifinin gerekçesinde İş Kanunu'ndaki engelli veya eski hükümlü çalıştırma yükümlülüğü ile diyaliz hastalarının taşınması örneklerine yer verilmiştir.5 Örneklerin ortak noktası, işleme faaliyetinin soyut bir faydaya değil, ilgili alandaki belirli yükümlülüğün yerine getirilmesine bağlanmasıdır.6

İstihdam alanındaki hukuki yükümlülük, işlenen sağlık verisiyle somut bir bağ kurmalıdır. Kurul, istirahat raporlarının Personel Yönetim Sistemi üzerinden işlenmesini sosyal güvenlik mevzuatından doğan işveren yükümlülüğü kapsamında değerlendirmiştir.7

KVKK m.6/3-g, siyasi, felsefi, dini veya sendikal amaçlarla kurulan kar amacı gütmeyen kuruluş ve oluşumlar için dar bir işleme imkanı tanır.1 Kuruluş, tabi olduğu mevzuata ve amacına uygun hareket etmeli, işleme faaliyetiyle kendi faaliyet alanı arasında bağ kurmalı ve veriyi üçüncü kişilere açıklamamalıdır.2

Bendin kişi bakımından sınırı da bu koşullardan bağımsız değildir. İşleme, mevcut veya eski üyeler ve mensuplarla ya da kuruluşla düzenli temasta bulunan kişilerle sınırlıdır.3 Üyelik ilişkisinin kurulmuş olması, kuruluş amacından kopuk her özel nitelikli verinin işlenmesine izin vermez. İşlenen veri, somut faaliyet için gerekli olmalıdır.4 Kanun teklifindeki sendika örneği, üyelik ile faaliyet arasındaki bu bağın kurulması gerektiğini göstermektedir.5

Dördüncü fıkra, üçüncü fıkrada bir işleme şartının bulunmasına rağmen yeterli önlem alma yükümlülüğünü ayrıca korur.1 Bu önlemler bağımsız bir işleme şartı değildir. Hukuki dayanağın kapsadığı işlemenin özel nitelikli verinin taşıdığı riskler nedeniyle hangi güvenlik düzeni içinde yürütüleceğini belirler.2

Bu işlev, işlemenin her aşamasında aynı tedbirin aranacağı anlamına gelmez. Sağlık verisine erişimde belirleyici sorun yetki çevresiyken, elektronik ortamda saklamada erişim kayıtları ve şifreleme öne çıkabilir. Fiziksel ortamda ise yetkisiz kişilerin veriye ulaşmasını engelleyen düzenlemeler gerekir.3

Yurt içi aktarımda, üçüncü fıkradaki şartlardan biri ile yeterli önlemler birlikte bulunmalıdır.4 Aktarımın güvenli yöntemle yapılması, üçüncü fıkrada aranan şartlardan birinin bulunması gereğini ortadan kaldırmaz.5 İşleme sebebi sona erdiğinde saklama tedbirleri de veriyi süresiz tutmanın gerekçesi olamaz. Bu aşamada KVKK m.7 uyarınca silme, yok etme veya anonim hale getirme işlemi gündeme gelir.6