Özel nitelikli kişisel veri, kanunun tek tek sayarak belirlediği hassas veri kategorisidir: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek-vakıf-sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler. Bu verilerin işlenmesi kural olarak yasaktır; ancak m.6/3’teki şartlardan biri varsa ve Kurulun belirlediği yeterli önlemler alınmışsa işlenebilir. Bu çerçeve 2024 yılında önemli ölçüde değişmiştir.
Genel kişisel veri tanımı ve örnekleri ile özel nitelikli veri kategorileri farklı kapsamları ifade eder. Bu yazı özel nitelikli kategorileri ve bunların işlenme şartlarını ele alır.
1. Hangi Veriler Özel Nitelikli Kişisel Veridir?
Özel nitelikli veri kategorileri KVKK m.6’da sınırlı olarak sayılmıştır. Bir bilginin bu kategorilerden birine girip girmediği, kanunda kendi adıyla anılmasına değil taşıdığı bilgiye göre belirlenir. Örneğin kan grubu, sağlık verisi kapsamındadır.
Kanun burada sayma yöntemi kullanır; liste sınırlıdır ve kıyas yoluyla genişletilemez:
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.6)
Kanundaki kategori ile o kategoriye giren bilgi birbirinden ayrılmalıdır. KVKK’nın Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehberi, kan grubu bilgisinin sağlık verisi olması nedeniyle özel nitelikli olduğunu açıklar (Şubat 2025, s.22). Dolayısıyla kanunda “kan grubu” ifadesinin ayrıca bulunmaması, bu bilgiyi sağlık verilerinin dışında bırakmaz. Cinsiyet ile cinsel hayat da farklı kavramlardır; parmak izi ise biyometrik veri kapsamında değerlendirilir.
Biyometrik kimlik doğrulamada kullanılan parmak izi ve yüz tanıma verileri için de m.6’daki işleme şartı ve yeterli önlemler birlikte aranır.
2. 2024 Değişikliği: Ne Değişti?
2/3/2024 tarihli 7499 sayılı Kanunla KVKK m.6’nın ikinci fıkrası yürürlükten kaldırılmış, üçüncü fıkrası yeniden düzenlenmiştir. Değişiklik, özel nitelikli veri kategorilerini değil bu verilerin hangi şartlarla işlenebileceğini ilgilendirir.
Değişiklikten önceki düzende özel nitelikli veriler ikiye ayrılıyor, sağlık ve cinsel hayat verileri diğerlerinden farklı bir işleme rejimine tabi tutuluyordu. Bugün böyle bir ikili ayrım yoktur: tüm özel nitelikli veriler, aşağıdaki tek listeye tabidir. Sağlık ve cinsel hayat verilerine ilişkin özel durum, ayrı bir rejim olarak değil, listedeki bentlerden biri olarak korunmaktadır.
Pratik sonucu şudur: 2024 öncesinde hazırlanmış aydınlatma metinleri, açık rıza formları ve veri işleme envanterleri hangi hukuki sebebe dayandığını yanlış gösteriyor olabilir. Uyum belgelerinin bent bazında yeniden eşleştirilmesi gerekir.
3. 2024 Değişikliği AYM Denetiminden Geçti
Anayasa Mahkemesi, 2024 değişikliğiyle getirilen bentlerden ikisini doğrudan inceledi. Sağlık hizmetleri ve finansmanı amacıyla işlemeye ilişkin (e) bendi ile belirli kâr amacı gütmeyen kuruluşların sınırlı faaliyetlerine ilişkin (g) bendinin iptali talepleri, AYM’nin E. 2024/98, K. 2025/149 sayılı ve 10.07.2025 tarihli kararıyla oybirliğiyle reddedildi.
Mahkeme; işleme faaliyetinin yalnız m.6’daki istisnaya dayanmadığını, Kanunun amaçla sınırlılık, saklama süresi, silme-yok etme, aydınlatma, veri güvenliği, başvuru ve şikâyet güvenceleriyle birlikte uygulanacağını vurgulamıştır:
Bu bağlamda anılan Kanun’un 4. maddesinde kişisel verilerin ancak ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesinin zorunlu kılındığı, verinin daha fazla saklanması için geçerli bir sebep olmaması durumunda o verinin Kanun’un 7. maddesi uyarınca silinmesinin, yok edilmesinin veya anonim hâle getirilmesinin güvence altına alındığı anlaşılmaktadır.
(Anayasa Mahkemesi Genel Kurulu, E. 2024/98, K. 2025/149, T. 10.07.2025, § 127 — iptal talebinin reddi)
Kararın pratik anlamı, (e) veya (g) bendinin sınırsız bir işleme yetkisi verdiği değildir. Sağlık verisi ancak bentte sayılan amaçlar ve yetkili kişi veya kuruluş şartıyla; kâr amacı gütmeyen kuruluş verisi ise kuruluşun mevzuatı ve amacıyla sınırlı kalmak, faaliyet alanını aşmamak ve üçüncü kişilere açıklanmamak koşuluyla işlenebilir. Ayrıca her iki durumda da m.4 ilkeleri, m.6/4’teki yeterli önlemler ve veri sahibinin başvuru hakları uygulanmaya devam eder. AYM kararı diğer işleme şartlarının her somut olayda hukuka uygun olduğu yönünde genel bir sonuç içermez.
4. Özel Nitelikli Kişisel Veriler Hangi Şartlarla İşlenebilir?
Özel nitelikli veri ancak KVKK m.6/3’teki işleme şartlarından biri bulunduğunda işlenebilir. Açık rıza bu şartlardan biridir; kanun diğer şartların kapsamını ayrıca belirler:
Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi; a) İlgili kişinin açık rızasının olması, b) Kanunlarda açıkça öngörülmesi, c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması, d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması, f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması, g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması, halinde mümkündür.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.6)
Açık rıza, işleme şartlarından yalnızca biridir. İşleme faaliyetinin kanundaki başka bir şartı karşılaması hâlinde, o şartın kapsamı ve sınırları esas alınır. İstihdam, iş sağlığı ve güvenliği veya sağlık hizmeti amacıyla işleme yapılması, ilgili bentteki koşulların ayrıca incelenmesini gerektirir.
5. Açık Rıza: Genel Kuralla Farkı
Genel kural, tüm kişisel veriler için aynıdır:
(1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.5)
Fark, uygulanacak işleme şartlarındadır: genel nitelikli verilerde m.5, özel nitelikli verilerde m.6 esas alınır. Açık rızanın tanımı da kanunda yapılmıştır:
Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.3)
Üç unsur birlikte aranır: belirlilik, bilgilendirme ve özgür irade. Bu nedenle konusu belirsiz genel onaylar, hizmetin verilmesini rızaya bağlayan formlar ve önceden işaretlenmiş kutucuklar geçerli açık rıza sayılmaz.
6. Ek Yükümlülük: Kurulun Belirlediği Yeterli Önlemler
Özel nitelikli veri işlemek, şartlardan birine dayanmakla bitmez:
(4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.6)
Bu önlemler Kişisel Verileri Koruma Kurulunun konuya ilişkin kararı ve Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber ile belirlenmiştir. Rehberde öne çıkan başlıklar; sistemli ve yazılı bir veri güvenliği politikası, verilere erişen personelin eğitimi ve gizlilik taahhüdü, erişim yetkilerinin kişi bazında tanımlanması ve kayıt altına alınması, verilerin şifrelenerek saklanması ve aktarımda güvenli kanal kullanılmasıdır. Bu önlemlerin alınmamış olması, işleme şartı bulunsa dahi başlı başına bir aykırılık oluşturur.
7. Kurul Kararı: Bir Test Sonucu Sağlık Verisine Dönüşebilir
Bir verinin özel nitelikli olup olmadığı yalnız kullanılan belgenin adına göre belirlenmez; işlemenin ortaya çıkardığı bilgiye bakılır. Kurulun bir eğitim kurumunda uygulanan CAS testi hakkındaki kararında bu ayrım şu birebir ifadeyle somutlaştırılmıştır:
Bununla birlikte somut vakada, ilgili kişi öğrenciye CAS testinin uygulanması sonucunda, zekâ ve bilişsel becerilerin yanı sıra dikkat eksikliği ve hiperaktivite bozukluğu gibi öğrencinin ruh sağlığına ilişkin özel nitelikli kişisel verilerin de işlenmiş olduğu dikkate alındığında;
(Kişisel Verileri Koruma Kurulu, 02.04.2020 tarihli ve 2020/255 sayılı karar)
Kurul, olayda velinin açık rızasının alındığını gösteren belge bulunmadığını ve başka bir işleme şartının da mevcut olmadığını değerlendirerek idari para cezası uygulamış; sürecin mevzuata uygun hâle getirilmesi ile hukuka aykırı elde edilen verilerin silinmesi, yok edilmesi veya anonimleştirilmesi yönünde talimat vermiştir.
Bu karar 2024 değişikliğinden önceki m.6 rejimine aittir; dolayısıyla karardaki eski işleme şartı değerlendirmesi bugünkü işleme şartları listesinin yerine kullanılamaz. Kararın güncel hukuk bakımından taşıdığı değer, bir testin adı sıradan görünse bile sonucunun ruh sağlığı verisi üretebileceğini ve veri kategorisinin fiilî içeriğe göre belirlenmesi gerektiğini göstermesidir.
8. Aykırılığın Yaptırımı
Kanun, ihlal edilen yükümlülüğe göre farklı kademeler öngörür:
a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında … b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında … c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında … ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında …
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.18)
Kanun metninde yazılı tutarlar eski tarihli taban değerlerdir ve bugün uygulanmaz; bu nedenle yukarıdaki alıntıda gösterilmemiştir. Bu cezalar her takvim yılı başından geçerli olmak üzere yeniden değerleme oranında artırılarak uygulanır. Kişisel Verileri Koruma Kurumunun yayımladığı tabloya göre 2026 yılında uygulanan tutarlar şunlardır:
| Bent | Aykırılık | 2026 alt sınırı | 2026 üst sınırı |
|---|---|---|---|
| m.18/1-a | Aydınlatma yükümlülüğünü yerine getirmeme | 85.437 TL | 1.709.200 TL |
| m.18/1-b | Veri güvenliğine ilişkin yükümlülükleri yerine getirmeme | 256.357 TL | 17.092.242 TL |
| m.18/1-c | Kurul kararlarını yerine getirmeme | 427.263 TL | 17.092.242 TL |
| m.18/1-ç | Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırılık | 341.809 TL | 17.092.242 TL |
(Kişisel Verileri Koruma Kurumu, “6698 Sayılı Kişisel Verilerin Korunması Kanunu Kapsamında İdari Para Cezası Tutarları” duyurusu ve eki tablo, yayınlanma tarihi 31 Aralık 2025; kvkk.gov.tr üzerinde 21.09.2026 tarihinde görüldü. Tablo Kurumun idari duyurusudur, kanun metni değildir; tutarlar Kabahatler Kanunu m.17/7 uyarınca her takvim yılı başında yeniden değerlemeyle değişir.)
Veri ihlali gerçekleştiğinde izlenecek bildirim prosedürü için veri ihlali bildirimi yazımıza bakabilirsiniz.
İlgili yazılar: Aydınlatma Yükümlülüğü ile Açık Rıza Arasındaki Fark · Veri İhlali Bildirimi: Kime, Ne Kadar Sürede Yapılır? · KVKK İhlalinde Ceza: İdari Para Cezası ile Suç Arasındaki Fark · TCK 136 Kişisel Verileri Hukuka Aykırı Ele Geçirme ve Yayma Suçu · İnternetten Hakkımdaki İçerik Nasıl Kaldırılır? Unutulma Hakkı
Sıkça Sorulan Sorular
Özel nitelikli kişisel veri nedir?
Kanunun tahdidi olarak saydığı hassas veri kategorisidir. Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler bu kapsamdadır. Liste sınırlıdır, kıyas yoluyla genişletilemez.
Hangi veriler özel nitelikli sayılmaz?
Kanunun listesinde yer almayan veriler özel nitelikli değildir. Örneğin ad soyad, telefon, adres, e-posta, TC kimlik numarası, banka hesap bilgisi ve konum verisi kişisel veridir ama özel nitelikli değildir. Bunlar için m.6 değil, m.5’teki genel işleme şartları uygulanır.
Cinsiyet özel nitelikli kişisel veri midir?
Hayır. Kanunun m.6 listesinde cinsiyet yer almaz; listede cinsel hayat vardır ve bu iki kavram aynı şey değildir. Cinsiyet kişisel veridir ve genel işleme şartlarına tabidir. Kan grubu ise sağlık verisi olduğundan özel nitelikli kişisel veridir; cinsiyetle aynı şekilde değerlendirilmez.
Parmak izi özel nitelikli kişisel veri midir?
Evet. Parmak izi biyometrik veridir ve kanun biyometrik verileri açıkça özel nitelikli kişisel veri olarak saymaktadır. Bu nedenle parmak iziyle mesai takibi gibi uygulamalar, işleme yasağının istisnalarından birine dayanmadıkça ve yeterli önlemler alınmadıkça hukuka aykırı olur.
2024 yılında KVKK m.6 nasıl değişti?
2/3/2024 tarihli 7499 sayılı Kanunla maddenin ikinci fıkrası yürürlükten kaldırılmış, üçüncü fıkrası tamamen yeniden yazılmıştır. Böylece sağlık ve cinsel hayat verilerini diğerlerinden ayıran ikili rejim terk edilmiş, tüm özel nitelikli veriler için ortak bir işleme şartları listesi getirilmiştir.
Eski tarihli aydınlatma metinlerimi güncellemem gerekir mi?
Değişiklik işleme şartlarının yapısını değiştirdiğinden, 2024 öncesi metne göre hazırlanmış rıza formları ve aydınlatma metinleri güncel düzenlemeyle uyumsuz kalabilir. Hangi bentle veri işlediğinizi yeniden belirleyip belgelerinizi ve veri işleme envanterinizi buna göre gözden geçirmeniz gerekir.
Özel nitelikli veri sadece açık rıza ile mi işlenebilir?
Hayır. Açık rıza işleme şartlarından yalnızca biridir. Kanunlarda açıkça öngörülmesi, fiili imkânsızlık hâli, ilgili kişinin alenileştirmesi, bir hakkın tesisi kullanılması veya korunması, sağlık hizmetleri, istihdam ve sosyal güvenlik yükümlülükleri ile belirli kâr amacı gütmeyen kuruluşların faaliyetleri de sayılan şartlardandır.
Açık rıza ne demektir, matbu onay yeterli midir?
Kanun açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Bu üç unsurdan biri eksikse geçerli rızadan söz edilemez. Genel ve konusu belirsiz genel onaylar ile hizmet almanın şartı hâline getirilen rızalar bu tanımı karşılamaz.
Sağlık verisi işleyen işyeri hekimi açık rıza almak zorunda mı?
Kanun, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla gerekli olması hâlini ayrı bir şart olarak sayar. Bu şarta dayanılıyorsa ayrıca açık rıza aranmaz.
Yeterli önlem ne demek, nereden öğrenilir?
Kanun, özel nitelikli veri işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınmasını şart koşar. Bu önlemler Kurulun konuya ilişkin kararı ve Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehberi ile belirlenmiştir; sistemli bir politika, personel eğitimi, erişim yetkisi yönetimi ve şifreleme başlıkları öne çıkar.
Özel nitelikli veri kurallarına aykırılığın cezası nedir?
Kanun, hangi yükümlülüğün ihlal edildiğine göre farklı idari para cezası kademeleri öngörür; veri güvenliğine ilişkin yükümlülükler ile Kurul kararlarının yerine getirilmemesi en yüksek kademelerdedir. Tutarlar her takvim yılı başında yeniden değerleme oranında artırılır; Kişisel Verileri Koruma Kurumunun yayımladığı tabloya göre 2026 yılında veri güvenliği yükümlülüklerine aykırılıkta ceza 256.357 Türk lirasından 17.092.242 Türk lirasına kadardır.
Özel nitelikli veriyi yurt dışına aktarabilir miyim?
Aktarım ayrı bir rejime tabidir ve verinin özel nitelikli olması ek yükümlülükler doğurur. Önce m.6 kapsamında işleme şartlarından birinin bulunması, ardından aktarıma ilişkin hükümlerin sağlanması gerekir. İki aşamadan biri eksikse aktarım hukuka aykırı olur.
İlgili çalışma alanı: Bilişim Hukuku ve KVKK
← Tüm makaleler