Özel Nitelikli Kişisel Veri Nedir? İşleme Şartları

Kısa Cevap

Özel nitelikli kişisel veri, kanunun tek tek sayarak belirlediği hassas veri kategorisidir: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek-vakıf-sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler. Bu verilerin işlenmesi kural olarak yasaktır; ancak kanunda sayılan yedi şarttan biri varsa ve Kurulun belirlediği yeterli önlemler alınmışsa işlenebilir. Bu çerçeve 2024 yılında önemli ölçüde değişmiştir.

Bu Durumda mısınız?

• Şirketinizde parmak izi veya yüz tanıma ile giriş-çıkış takibi yapıyorsunuz ve bunun hukuka uygun olup olmadığını bilmiyorsunuz.
• İşe alımda sağlık raporu, adli sicil kaydı veya engellilik bilgisi topluyorsunuz.
• Elinizdeki aydınlatma metni ve rıza formu birkaç yıl önce hazırlandı; güncel mevzuata uyup uymadığından emin değilsiniz.
• Müşteri veya çalışan verilerinden hangilerinin özel nitelikli sayıldığını ayırt edemiyorsunuz.
• Hakkınızda Kurula şikâyet edildi ve savunma hazırlıyorsunuz.

Bu yazı genel çerçeveyi verir; hangi bende dayandığınız, verinin türü ve aldığınız teknik-idari tedbirler sonucu doğrudan değiştirdiğinden somut durumunuz için bir avukata danışmanız önemlidir.

Özel Nitelikli Kişisel Veri Nedir?

Kanun burada sayma yöntemi kullanır; liste sınırlıdır ve kıyas yoluyla genişletilemez:

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.6)

Bu listeye girmeyen bir veri, ne kadar hassas görünürse görünsün hukuken özel nitelikli değildir. Uygulamada en sık karıştırılan iki örnek şudur: cinsiyet listede yoktur (listedeki kavram cinsel hayattır), kan grubu da sayılmamıştır. Buna karşılık parmak izi biyometrik veri olduğundan doğrudan bu kapsamdadır.

2024 Değişikliği: Ne Değişti?

Bu başlık, konuyla ilgili internetteki içeriğin büyük kısmını geçersiz kılan noktadır. 2/3/2024 tarihli 7499 sayılı Kanunla maddenin ikinci fıkrası yürürlükten kaldırılmış, üçüncü fıkrası tamamen yeniden yazılmıştır.

Değişiklikten önceki düzende özel nitelikli veriler ikiye ayrılıyor, sağlık ve cinsel hayat verileri diğerlerinden farklı bir işleme rejimine tabi tutuluyordu. Bugün böyle bir ikili ayrım yoktur: tüm özel nitelikli veriler, aşağıdaki tek listeye tabidir. Sağlık ve cinsel hayat verilerine ilişkin özel durum, ayrı bir rejim olarak değil, listedeki bentlerden biri olarak korunmaktadır.

Pratik sonucu şudur: 2024 öncesinde hazırlanmış aydınlatma metinleri, açık rıza formları ve veri işleme envanterleri hangi hukuki sebebe dayandığını yanlış gösteriyor olabilir. Uyum belgelerinin bent bazında yeniden eşleştirilmesi gerekir.

2024 Değişikliği AYM Denetiminden Geçti

Anayasa Mahkemesi, 2024 değişikliğiyle getirilen yedi bentten ikisini doğrudan inceledi. Sağlık hizmetleri ve finansmanı amacıyla işlemeye ilişkin (e) bendi ile belirli kâr amacı gütmeyen kuruluşların sınırlı faaliyetlerine ilişkin (g) bendinin iptali talepleri, AYM’nin E. 2024/98, K. 2025/149 sayılı ve 10.07.2025 tarihli kararıyla oybirliğiyle reddedildi.

Mahkeme; işleme faaliyetinin yalnız m.6’daki istisnaya dayanmadığını, Kanunun amaçla sınırlılık, saklama süresi, silme-yok etme, aydınlatma, veri güvenliği, başvuru ve şikâyet güvenceleriyle birlikte uygulanacağını vurgulamıştır:

Bu bağlamda anılan Kanun’un 4. maddesinde kişisel verilerin ancak ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesinin zorunlu kılındığı, verinin daha fazla saklanması için geçerli bir sebep olmaması durumunda o verinin Kanun’un 7. maddesi uyarınca silinmesinin, yok edilmesinin veya anonim hâle getirilmesinin güvence altına alındığı anlaşılmaktadır.

(Anayasa Mahkemesi Genel Kurulu, E. 2024/98, K. 2025/149, T. 10.07.2025, § 127 — iptal talebinin reddi)

Kararın pratik anlamı, (e) veya (g) bendinin sınırsız bir işleme yetkisi verdiği değildir. Sağlık verisi ancak bentte sayılan amaçlar ve yetkili kişi veya kuruluş şartıyla; kâr amacı gütmeyen kuruluş verisi ise kuruluşun mevzuatı ve amacıyla sınırlı kalmak, faaliyet alanını aşmamak ve üçüncü kişilere açıklanmamak koşuluyla işlenebilir. Ayrıca her iki durumda da m.4 ilkeleri, m.6/4’teki yeterli önlemler ve veri sahibinin başvuru hakları uygulanmaya devam eder. AYM kararı diğer beş işleme şartının her somut olayda hukuka uygun olduğu yönünde genel bir sonuç içermez.

İşleme Yasağı ve Yedi İstisna

Kural yasak, işleme istisnadır:

Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi; a) İlgili kişinin açık rızasının olması, b) Kanunlarda açıkça öngörülmesi, c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması, d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması, f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması, g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması, halinde mümkündür.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.6)

Buradan çıkan en önemli sonuç: açık rıza, yedi şarttan yalnızca biridir. Bir işleme faaliyetini açık rızaya dayandırmak zorunlu değildir; hatta çoğu kurumsal senaryoda (istihdam, iş sağlığı ve güvenliği, sağlık hizmeti) daha sağlam olan, ilgili bende dayanmaktır. Çünkü açık rıza her zaman geri alınabilir.

Açık Rıza: Genel Kuralla Farkı

Genel kural, tüm kişisel veriler için aynıdır:

(1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.5)

Fark, istisna listelerindedir: m.5 genel veriler için altı şart sayar, m.6 ise özel nitelikli veriler için daha dar ve daha katı bir liste öngörür. Açık rızanın tanımı da kanunda yapılmıştır:

Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.3)

Üç unsur birlikte aranır: belirlilik, bilgilendirme ve özgür irade. Bu nedenle her şeyi kapsayan battaniye onaylar, hizmetin verilmesini rızaya bağlayan formlar ve önceden işaretlenmiş kutucuklar geçerli açık rıza sayılmaz.

Ek Yükümlülük: Kurulun Belirlediği Yeterli Önlemler

Özel nitelikli veri işlemek, şartlardan birine dayanmakla bitmez:

(4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.6)

Bu önlemler Kişisel Verileri Koruma Kurulunun konuya ilişkin kararı ve Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber ile belirlenmiştir. Rehberde öne çıkan başlıklar; sistemli ve yazılı bir veri güvenliği politikası, verilere erişen personelin eğitimi ve gizlilik taahhüdü, erişim yetkilerinin kişi bazında tanımlanması ve kayıt altına alınması, verilerin şifrelenerek saklanması ve aktarımda güvenli kanal kullanılmasıdır. Bu önlemlerin alınmamış olması, işleme şartı bulunsa dahi başlı başına bir aykırılık oluşturur.

Kurul Kararı: Bir Test Sonucu Sağlık Verisine Dönüşebilir

Bir verinin özel nitelikli olup olmadığı yalnız kullanılan belgenin adına göre belirlenmez; işlemenin ortaya çıkardığı bilgiye bakılır. Kurulun bir eğitim kurumunda uygulanan CAS testi hakkındaki kararında bu ayrım şu birebir ifadeyle somutlaştırılmıştır:

Bununla birlikte somut vakada, ilgili kişi öğrenciye CAS testinin uygulanması sonucunda, zekâ ve bilişsel becerilerin yanı sıra dikkat eksikliği ve hiperaktivite bozukluğu gibi öğrencinin ruh sağlığına ilişkin özel nitelikli kişisel verilerin de işlenmiş olduğu dikkate alındığında;

(Kişisel Verileri Koruma Kurulu, 02.04.2020 tarihli ve 2020/255 sayılı karar)

Kurul, olayda velinin açık rızasının alındığını gösteren belge bulunmadığını ve başka bir işleme şartının da mevcut olmadığını değerlendirerek idari para cezası uygulamış; sürecin mevzuata uygun hâle getirilmesi ile hukuka aykırı elde edilen verilerin silinmesi, yok edilmesi veya anonimleştirilmesi yönünde talimat vermiştir.

Bu karar 2024 değişikliğinden önceki m.6 rejimine aittir; dolayısıyla karardaki eski işleme şartı değerlendirmesi bugünkü yedi bentlik listenin yerine kullanılamaz. Kararın güncel bakımından taşıdığı değer, bir testin adı sıradan görünse bile sonucunun ruh sağlığı verisi üretebileceğini ve veri kategorisinin fiilî içeriğe göre belirlenmesi gerektiğini göstermesidir.

Aykırılığın Yaptırımı

Kanun, ihlal edilen yükümlülüğe göre farklı kademeler öngörür:

a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar, b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar, c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar, ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar,

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.18)

Bu tutarlar maktu idari para cezalarıdır ve her takvim yılı başından geçerli olmak üzere yeniden değerleme oranında artırılarak uygulanır; kanun metnindeki rakam ile o yıl fiilen uygulanan rakam bu nedenle farklıdır. Veri ihlali gerçekleştiğinde izlenecek bildirim prosedürü için veri ihlali bildirimi yazımıza bakabilirsiniz.

Sık Yapılan Hatalar

• Listeyi genişletmek. Kanun tahdidi sayım yapar; cinsiyet ya da kan grubu gibi listede olmayan veriler özel nitelikli değildir.
• Her şeyi açık rızaya dayandırmak. Rıza her an geri alınabilir; istihdam veya sağlık hizmeti gibi hâllerde ilgili bende dayanmak daha sağlamdır.
• Battaniye onay almak. Belirli olmayan, bilgilendirmeye dayanmayan veya hizmet şartına bağlanan onay geçerli açık rıza değildir.
• Yeterli önlemleri atlamak. İşleme şartı bulunsa bile Kurulun belirlediği önlemler alınmamışsa aykırılık doğar.
• 2024 öncesi metinlerle devam etmek. İkili rejim kaldırıldığı için eski belgelerdeki hukuki sebep gösterimi güncel metinle uyumsuz kalabilir.
• Biyometrik uygulamayı sıradan saymak. Parmak izi ve yüz tanıma biyometrik veridir; bu sistemler en katı rejime tabidir.

Özet

• Özel nitelikli veri listesi tahdididir; listede olmayan bir veri (cinsiyet, kan grubu gibi) özel nitelikli sayılmaz.
• 2024 değişikliği: 7499 sayılı Kanunla m.6 f.2 mülga oldu, f.3 yeniden yazıldı; sağlık ve cinsel hayat için ayrı rejim kalktı, yerine yedi bentlik tek liste geldi.
• AYM, yeni listenin sağlık hizmetlerine ilişkin (e) ve belirli kâr amacı gütmeyen kuruluşlara ilişkin (g) bentlerine yönelik iptal taleplerini reddetti; diğer KVKK güvencelerinin uygulanmaya devam ettiğini vurguladı.
• İşleme kural olarak yasaktır; ancak yedi bentten birinin varlığı hâlinde mümkündür.
• Açık rıza bu bentlerden yalnızca biridir; tek yol değildir.
• İşlemede ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.
• İdari para cezaları ihlal edilen yükümlülüğe göre kademelidir ve her yıl yeniden değerlemeye tabidir.
• Piyasadaki içeriğin büyük kısmı hâlâ eski ikili rejimi anlatmaktadır.

İlgili yazılar: Aydınlatma Yükümlülüğü ile Açık Rıza Arasındaki Fark · Veri İhlali Bildirimi: Kime, Ne Kadar Sürede Yapılır? · KVKK İhlalinde Ceza: İdari Para Cezası ile Suç Arasındaki Fark · TCK 136 Kişisel Verileri Hukuka Aykırı Ele Geçirme ve Yayma Suçu · İnternetten Hakkımdaki İçerik Nasıl Kaldırılır? Unutulma Hakkı