Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber Yayımlandı

Kişisel Verileri Koruma Kurumu (Kurum) tarafından hazırlanan Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber (Rehber), 26 Şubat 2025 tarihinde yayımlandı. 

12 Mart 2024 tarihinde Resmî Gazete’de yayımlanan Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun (7499 sayılı Kanun) kapsamında, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) Özel Nitelikli Kişisel Verilerin İşlenme Şartlarını düzenleyen 6’ncı maddesinde değişiklik yapılmış ve bu değişiklikler 1 Haziran 2024 tarihinde yürürlüğe girmişti. Bu doğrultuda, özel nitelikli kişisel veriler arasındaki farklılıklar kaldırılmış ve yeni işleme şartları belirlenmişti. 

Rehber, Kişisel Verileri Koruma Kurulu’nun özel nitelikli kişisel verilerin işlenme şartlarıyla ilgili yaklaşımını açıklamak, veri sorumlularının mevzuatta belirtilen hukuki dayanaklarla özel nitelikli kişisel verileri işleme süreçlerine ışık tutmak ve bu süreçlerde yerine getirmeleri gereken yükümlülükleri Kanun’a uygun bir şekilde gerçekleştirebilmelerini sağlamak amacıyla hazırlanmıştır.  

Rehber üç bölümden oluşmaktadır; (i) birinci bölümünde özel nitelikli kişisel verilerle ilgili bilgiler ve hangi verilerin özel nitelikli olarak değerlendirileceğine dair açıklamalar, (ii) ikinci bölümünde bu nitelikte verilerin işlenme şartları, (iii) üçüncü bölümünde ise 7499 sayılı Kanun ile yapılan değişiklikler sonrasında veri sorumlularının yeni düzenlemelere uyum sağlamak için yapması gerekenler ve diğer öneriler yer almaktadır. Söz konusu bölümlerde yer alan açıklamalardan bazıları aşağıda özet olarak sunulur: 

• Özel nitelikli kişisel veriler Kanun’da sınırlı olarak belirlenmiş olup, kapsamı kıyas yoluyla genişletilemez. Kanun maddesinde yer almayan veriler bu kategoride değerlendirilemez. Örneğin, uyruk verisi listede yer almadığı için özel nitelikli kişisel veri kabul edilmez. Siyasi görüş ve dini inanç verileri özel nitelikli kişisel veri kapsamına girerken, herhangi bir dine inanmama ya da apolitik olma bilgisi de aynı şekilde değerlendirilir. Çalışanların sendika üyeliğine dair veriler de özel nitelikli kişisel veri kapsamında olup, eski pasaport ve kimlik kartlarındaki kan grubu bilgisi de sağlık verisi olarak değerlendirilmektedir. 
• Eski düzenlemeye kıyasla, yeni düzenlemede sağlık ve cinsel hayata ilişkin veriler ile diğer özel nitelikli veriler arasındaki ayrım kaldırılmış ve özel nitelikli kişisel verilerin açık rızaya gerek olmaksızın işlenebileceği kişisel veri işleme şartları yeniden düzenlenmişti. Yeni düzenleme kapsamında, özel nitelikli kişisel verilerin; kanunlarda açıkça öngörülmesi, hayati tehlike veya beden bütünlüğünün korunması için zorunlu olması, alenileştirme, bir hakkın tesisi veya korunması için zorunluluk, istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik yükümlülüklerinin ifası için zorunlu olması hallerinde ve derneklerin ve kâr amacı gütmeyen kuruluşların amaçlarına uygun faaliyetleri kapsamında işlenebilmesi mümkün hale gelmiştir. Rehber, her bir özel nitelikli kişisel veri işleme şartını detaylı şekilde ele almakta, nasıl yorumlanması gerektiğine dair açıklamalara yer vermekte ve somut örnekler de sunarak uygulamaya ışık tutmaktadır. 

Rehber’de son olarak, veri sorumlularının Kanun’un özel nitelikli kişisel veri işlenmesine dair yeni koşullarına uyumu için hangi adımları atması gerektiği de net bir şekilde belirtilmektedir. Bu çerçevede Rehber, kişisel veri işleme envanterinin güncellenmesi, açık rıza süreçlerinin düzenlenmesi, aydınlatma metinlerinde değişiklik yapılması, saklama ve imha politikasını güncellemesi ve veri güvenliği tedbirlerinin güncellenmesi gerektiğine dikkat çekmektedir.