Özel Nitelikli Kişisel Veriler Nelerdir? İşleme Şartları

Özel nitelikli kişisel veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir (6698 sayılı Kişisel Verilerin Korunması Kanunu m.6/1). Bu verilerin işlenmesi kural olarak yasaktır; ancak kanunda sayılan şartlardan biri varsa ve Kurulun belirlediği yeterli önlemler alınmışsa işlenebilir (m.6/3, m.6/4). Yazı, hasta, çalışan veya üye verisi işleyen veri sorumlusu ile verisinin nasıl işlendiğini öğrenmek isteyen ilgili kişi için hangi verinin özel nitelikli sayıldığını, 2024 değişikliğinden sonra hangi şartlarla işlenebileceğini ve aykırılığın yaptırımını anlatır.

Kanunun genel kapsamı, kişisel veri hakları ve işletmenin yükümlülükleri için KVKK ana rehberi, özel nitelikli veri incelemesinin daha geniş çerçevesini açıklar.

1. Özel Nitelikli Kişisel Veri: Öne Çıkanlar

• Özel nitelikli kişisel veri kategorileri kanunda tek tek sayılmıştır ve listede yer almayan bir veri bu rejime girmez (KVKK m.6/1).
• Cinsiyet listede yoktur; listede cinsel hayat vardır, bu nedenle cinsiyet bilgisi genel işleme şartlarına tabidir (KVKK m.6/1, m.5).
• Özel nitelikli kişisel veri ancak m.6/3’teki şartlardan biri varsa işlenebilir; sözleşme ve meşru menfaat şartları bu listede yoktur (KVKK m.6/3).
• 2024 değişikliğiyle bütün özel nitelikli kişisel veri kategorileri tek bir şart listesine bağlandı ve yeni kural 1 Haziran 2024’te yürürlüğe girdi (7499 sayılı Kanun m.40/1-a).
• İşleme şartı bulunsa bile Kurulun belirlediği yeterli önlemler ayrıca alınmalıdır (KVKK m.6/4).
• Yükümlülüğe aykırılıkta idari para cezası uygulanır; hukuka aykırı kaydetme, verinin sağlık veya cinsel yaşam gibi bir alana ilişkin olması hâlinde artırılmış cezayla suç oluşturur (KVKK m.18, TCK m.135/2).

2. Özel Nitelikli Kişisel Veriler Nelerdir?

Özel nitelikli kişisel veriler, KVKK m.6/1’in sayma yoluyla belirlediği kategorilerdir ve liste şunlardan oluşur (KVKK m.6/1):

• Köken ve görüş: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar.
• Görünüm ve örgütlenme: kılık ve kıyafet ile dernek, vakıf ya da sendika üyeliği.
• Sağlık ve cinsel hayat: kişinin sağlığına ve cinsel hayatına ilişkin veriler.
• Ceza kayıtları: ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler.
• Biyometrik ve genetik veriler: parmak izi, yüz veya iris gibi biyometrik veriler ile genetik veriler.

Özel nitelikli kişisel veri ile genel kişisel veri arasındaki fark kategoridedir. Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir (m.3/1-d); özel nitelikli kişisel veri bu genel kümenin içinde, m.6/1’de adı sayılan alanlara ilişkin olanlardır. Genel tanım ve örnekler kişisel veri nedir yazısında anlatılmıştır.

2.1. Özel Nitelikli Kişisel Veri Örnekleri: Kan Grubu, Teşhis ve Parmak İzi

Özel nitelikli kişisel veri olup olmadığı, bilginin taşıdığı içeriğe göre belirlenir; kanunda kendi adıyla geçmesi gerekmez. Kişisel Verileri Koruma Kurumunun Şubat 2025 tarihli Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehberi, eski tip nüfus cüzdanı, sürücü belgesi veya işyeri kimliğinde yazan kan grubu bilgisini sağlık verisi olduğu için özel nitelikli sayar. Aynı rehber, hastane veya poliklinik randevusunu, ön teşhisi, istenen tetkikleri ve sonuçlarını, konulan teşhisi ve reçete edilen tedaviyi de sağlık verisi örnekleri arasında gösterir. Rehberde parmak izi, retina, avuç içi izi, yüz, el şekli ve iris de biyometrik veri örnekleri olarak geçer.

Özel nitelikli kişisel veri bakımından fotoğrafın durumu kullanım biçimine bağlıdır. Kurum rehberi, fotoğrafların işlenmesinin doğrudan biyometrik veri işlenmesi sayılamayacağını, fotoğrafın ancak gerçek bir kişinin benzersiz biçimde tanımlanmasına veya doğrulanmasına izin veren belirli bir teknik yöntemle işlendiğinde biyometrik veri kapsamına girdiğini açıklar. Personel dosyasındaki vesikalık fotoğraf bu yüzden kişisel veridir ama tek başına özel nitelikli değildir; aynı yüz görüntüsü yüz tanıma ile giriş kontrolünde kullanılıyorsa biyometrik veri olarak m.6 rejimine girer (KVKK m.6/1).

Bu ayrımın pratik sonucu şudur: işyerinde personel kartına basılan kan grubu, kişinin zihinsel durumunu ortaya koyan bir tetkik sonucu veya turnikede kullanılan parmak izi, belgenin adı sıradan görünse de özel nitelikli kişisel veridir ve işlenmesi için m.6/3’teki şartlardan birine dayanılması gerekir (KVKK m.6/3). Rehber kanun değildir; bağlayıcı kural m.6’dır, rehber Kurumun bu maddeyi nasıl uyguladığını gösterir.

Sağlık kaydına kurum içinde erişim, işverenin sağlık dosyası, üçüncü kişilerle paylaşım ve saklama süreçleri kişisel sağlık verileri rehberinde ayrıca ele alınmıştır.

Parmak izi, yüz tanıma, şablon kayıtları ve ilgili kişinin başvurusu biyometrik veri rehberinde ayrıca ele alınmıştır.

2.2. Özel Nitelikli Kişisel Veri Sayılmayanlar: Cinsiyet, T.C. Kimlik Numarası, Adres

Cinsiyet özel nitelikli kişisel veri değildir, çünkü m.6/1 listesinde yer almaz; listede yer alan “cinsel hayat” başka bir kavramdır (KVKK m.6/1). Ad soyad, T.C. kimlik numarası, telefon, adres, e-posta, banka hesap bilgisi ve konum da listede sayılmadığı için özel nitelikli değildir. Bu veriler yine kişisel veridir ve işlenmeleri için m.5’teki genel şartlardan birine dayanılır (KVKK m.3/1-d, m.5).

Liste sınırlı olduğundan bir verinin “hassas” görülmesi onu m.6 rejimine sokmaz. Ancak sıradan görünen bir veri, özel nitelikli bir bilgiyi ortaya çıkarıyorsa durum değişir: bir hastane bölümünün adıyla birlikte tutulan randevu kaydı sağlık verisi niteliği kazanır.

3. Özel Nitelikli Kişisel Verilerin İşlenme Şartları

Özel nitelikli kişisel verilerin işlenmesi yasaktır; işleme ancak aşağıdaki şartlardan biri varsa mümkündür (KVKK m.6/3):

• (a) Açık rıza: ilgili kişinin açık rızasının bulunması.
• (b) Kanunda açıkça öngörülme: işlemenin bir kanunda açıkça öngörülmüş olması.
• (c) Fiili imkânsızlık: rızasını açıklayamayacak durumdaki veya rızasına hukuki geçerlilik tanınmayan kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için işlemenin zorunlu olması.
• (ç) Alenileştirme: verinin ilgili kişi tarafından alenileştirilmiş olması ve işlemenin alenileştirme iradesine uygun olması.
• (d) Hakkın tesisi, kullanılması veya korunması: işlemenin bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.
• (e) Sağlık hizmetleri: sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla işlemenin gerekli olması.
• (f) İstihdam ve sosyal güvenlik: istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için işlemenin zorunlu olması.
• (g) Kâr amacı gütmeyen kuruluşlar: siyasi, felsefi, dini veya sendikal amaçlı vakıf, dernek ve benzeri kuruluşların, tabi oldukları mevzuata ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve üçüncü kişilere açıklanmamak kaydıyla mevcut veya eski üyeleri, mensupları ya da düzenli temasta olan kişilere ilişkin veri işlemesi.

Bazı şartlar ayrıca daraltılmıştır. Sağlık hizmeti şartı (e), herkese değil sır saklama yükümlülüğü altındaki kişilere veya yetkili kurum ve kuruluşlara tanınır; kâr amacı gütmeyen kuruluş şartı (g) ise üye ve mensup verisiyle ve faaliyet alanıyla sınırlıdır (KVKK m.6/3-e, g). Şart bulunsa bile işleme; hukuka ve dürüstlük kurallarına uygunluk, belirli ve meşru amaç, amaçla bağlantılı ve ölçülü olma ve gerekli süre kadar saklama ilkelerine uymak zorundadır (KVKK m.4/2).

3.1. Özel Nitelikli Kişisel Veride Genel Şartlardan Farkı

Özel nitelikli kişisel veride genel kişisel veri şartlarının tamamına dayanılamaz. Genel kişisel verilerde sayılan sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü ve veri sorumlusunun meşru menfaati şartları m.6/3 listesinde yer almaz (KVKK m.5/2-c, ç, f; m.6/3). Bu nedenle bir işveren, sağlık raporunu yalnız iş sözleşmesine veya meşru menfaatine dayanarak işleyemez; dayanak ancak istihdam ve iş sağlığı ve güvenliği alanındaki hukuki yükümlülük şartı (f) gibi m.6/3’teki bir bent olabilir.

Hangi bente dayanıldığı belgede de görünmelidir. Veri sorumlusu, veriyi elde ederken ilgili kişiye toplama yönteminin yanında hukuki sebebi de bildirmek zorundadır (KVKK m.10/1-ç). Aydınlatmanın içeriği KVKK aydınlatma yükümlülüğü yazısında ayrıca anlatılmıştır.

3.2. Özel Nitelikli Kişisel Veride Açık Rıza

Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır (KVKK m.3/1-a). Üç unsurdan biri eksikse geçerli açık rızadan söz edilemez: konusu belirsiz genel onaylar ve hizmetin verilmesini rızaya bağlayan formlar bu tanımı karşılamaz. Açık rızanın unsurları açık rıza nedir yazısında ayrıntılı ele alınmıştır.

Özel nitelikli kişisel veride açık rıza her durumda ilk başvurulacak şart değildir. Kurum rehberi, başka bir işleme şartı varken açık rızaya dayanılmasının hukuka ve dürüstlük kuralına aykırı olabileceğini, açık rızanın her zaman geri alınabileceğini ve geri almanın veri sorumlusuna ulaştığı andan itibaren rızaya dayalı işlemenin durdurulması gerektiğini belirtir. Bu yüzden istihdam veya sağlık hizmeti gibi bir bent uygulanabiliyorsa, işlemenin o bende dayandırılması rehberin yaklaşımıyla uyumludur (KVKK m.4/2-a, m.6/3).

4. Özel Nitelikli Kişisel Verilerde 2024 Değişikliği

Özel nitelikli kişisel verilerin işlenme şartları 7499 sayılı Kanunla değişti: KVKK m.6’nın ikinci fıkrası yürürlükten kaldırıldı, üçüncü fıkrası yeniden yazıldı (KVKK m.6/2, m.6/3). Değişiklik 1 Haziran 2024’te yürürlüğe girdi (7499 sayılı Kanun m.40/1-a). Birinci fıkradaki kategori listesi ve dördüncü fıkradaki yeterli önlem şartı değişmedi.

Kurum rehberi değişikliğin sonucunu, özel nitelikli kişisel veri kategorileri arasındaki ayrımın kaldırılması ve yeni işleme şartlarının getirilmesi olarak açıklar. Bugün sağlık verisi de sendika üyeliği de aynı işleme şartlarına tabidir; sağlık hizmetine ilişkin işleme ise listedeki (e) bendinde düzenlenir (KVKK m.6/3-e).

Değişiklik öncesinde hazırlanmış belgeler yeni listeye göre yeniden okunmalıdır. Kurum rehberi bu konuda üç işlem sayar: kişisel veri işleme envanterinde her özel nitelikli veri için uygun hukuki sebebin yeniden belirlenmesi, artık açık rızaya dayanılmayacaksa açık rıza metinlerinin güncellenmesi ve hukuki sebep değiştiyse aydınlatma metinlerinin yenilenip ilgili kişilere bildirilmesi. Sicile kayıt yükümlülüğü için VERBİS kayıt yükümlülüğü yazısına bakılabilir.

5. Özel Nitelikli Kişisel Verilerde Yeterli Önlemler

Özel nitelikli kişisel veri işlenirken, işleme şartına ek olarak Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır (KVKK m.6/4). Bu nedenle m.6/3’teki bir şarta dayanmak tek başına yetmez; önlemler alınmadan yapılan işleme m.6/4’e aykırıdır.

Kurum rehberi yeterli önlemleri beş başlıkta sayar:

1. Politika: özel nitelikli kişisel verilerin güvenliği için kuralları açık, yönetilebilir ve sürdürülebilir ayrı bir politika ve prosedür belirlenmesi.
2. Çalışanlar: bu verileri işleyen çalışanlara düzenli eğitim verilmesi, gizlilik sözleşmesi yapılması, erişim yetkilerinin ve sürelerinin tanımlanması, yetkilerin düzenli denetlenmesi ve görevi değişen ya da ayrılan çalışanın yetkisinin derhal kaldırılması.
3. Elektronik ortam: verilerin kriptografik yöntemlerle saklanması, anahtarların ayrı ve güvenli ortamda tutulması, verideki her işlemin güvenli biçimde kaydedilmesi, güvenlik güncellemeleri ve testlerinin düzenli yapılması, uzaktan erişimde en az iki kademeli kimlik doğrulama kullanılması.
4. Fiziksel ortam: yangın, su baskını ve hırsızlık gibi risklere karşı önlem alınması ve yetkisiz giriş çıkışın engellenmesi.
5. Aktarım: e-postayla aktarımda şifreli kurumsal e-posta veya KEP kullanılması, taşınabilir bellekte şifreleme, sunucular arasında VPN veya sFTP kullanılması, kâğıt evrakın gizlilik dereceli belge biçiminde gönderilmesi.

Bu önlemlere rağmen veriler yetkisiz kişilerce ele geçirilirse veri sorumlusunun ayrıca bildirim yükümlülüğü doğar; süre ve usul veri ihlali bildirimi yazısında anlatılmıştır.

6. Özel Nitelikli Kişisel Verilerin Aktarılması

Özel nitelikli kişisel veri yurt içinde üçüncü kişiye ancak ilgili kişinin açık rızasıyla ya da yeterli önlemler alınmak kaydıyla m.6/3’teki şartlardan biri bulunduğunda aktarılabilir (KVKK m.8/1, m.8/2-b). Aktarım da kanunun tanımında bir işleme biçimi olduğundan özel nitelikli veride m.6/3’teki şart listesi uygulanır; genel kişisel veriler için sayılan sözleşmenin ifası veya meşru menfaat şartı bu aktarıma dayanak olamaz (KVKK m.3/1-e, m.6/3). Başka kanunlardaki aktarım hükümleri saklıdır (m.8/3).

Özel nitelikli kişisel veri yurt dışına iki koşul birlikte sağlanırsa aktarılabilir: m.6/3’teki işleme şartlarından biri bulunmalı ve aktarılacak ülke, sektör veya uluslararası kuruluş hakkında Kurulun yeterlilik kararı olmalıdır (KVKK m.9/1). Yeterlilik kararı yoksa işleme şartı yine aranır; buna ek olarak ilgili kişinin o ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi kaydıyla bağlayıcı şirket kuralları veya standart sözleşme gibi uygun güvencelerden biri sağlanmalıdır (m.9/4). Kurulun ilan ettiği standart sözleşme, özel nitelikli kişisel veriler için alınan ek önlemleri de içerir ve imzadan itibaren beş iş günü içinde Kuruma bildirilir (m.9/4-c, m.9/5).

7. Özel Nitelikli Kişisel Veri İhlalinde İdari Para Cezası

Özel nitelikli kişisel veriye ilişkin aykırılıkta uygulanacak idari para cezası, ihlal edilen yükümlülüğe göre belirlenir; m.18 özel nitelikli veri için ayrı bir bent öngörmez (KVKK m.18/1). Aydınlatma, veri güvenliği, Kurul kararlarına uyma ve Sicile kayıt yükümlülüklerine aykırılıkta ceza veri sorumlusuna verilir; standart sözleşmeyi bildirmeme cezası ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişilerine uygulanır (m.18/2). Kurulun verdiği idari para cezasına karşı idare mahkemesinde dava açılabilir (m.18/3).

Kanun metninde yazan tutarlar başlangıç değerleridir ve bugün bu rakamlarla uygulanmaz; idari para cezaları her takvim yılı başında yeniden değerleme oranında artırılır. Kişisel Verileri Koruma Kurumunun yayımladığı tabloya göre 2026 tutarları şunlardır:

Bent	Aykı­rı­lık	2026 alt sınırı	2026 üst sınırı
m.18/1-a	Aydın­latma yüküm­lü­lü­ğünü yerine getir­meme	85.437 TL	1.709.200 TL
m.18/1-b	Veri güven­li­ğine ilişkin yüküm­lü­lük­leri yerine getir­meme	256.357 TL	17.092.242 TL
m.18/1-c	Kurul karar­la­rını yerine getir­meme	427.263 TL	17.092.242 TL
m.18/1-ç	Veri Sorum­lu­ları Sici­line kayıt ve bil­di­rim yüküm­lü­lü­ğüne aykı­rı­lık	341.809 TL	17.092.242 TL
m.18/1-d	Stan­dart söz­leş­meyi Kuruma bil­dir­meme (m.9/5)	90.308 TL	1.806.177 TL

Kaynak: Kişisel Verileri Koruma Kurumu, 6698 Sayılı Kişisel Verilerin Korunması Kanunu Kapsamında İdari Para Cezası Tutarları duyurusu (yayınlanma tarihi 31 Aralık 2025) ve eki tablo; 16 Ekim 2026’da görüldü. Tablo Kurumun idari duyurusudur, kanun metni değildir; tutarlar Kabahatler Kanunu m.17/7 uyarınca her yıl değişir. İdari para cezasının kademeleri ve itiraz yolu KVKK ihlal cezası yazısında ayrıca anlatılmıştır.

7.1. Özel Nitelikli Kişisel Veride Ceza Sorumluluğu

Özel nitelikli kişisel verinin hukuka aykırı kaydedilmesi, idari para cezasından ayrı olarak suç oluşturabilir. Hukuka aykırı olarak kişisel verileri kaydeden kişiye bir yıldan üç yıla kadar hapis cezası verilir; kaydedilen veri kişinin siyasi, felsefi veya dini görüşlerine, ırki kökenine ya da hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamına, sağlık durumuna veya sendikal bağlantılarına ilişkinse ceza yarı oranında artırılır (Türk Ceza Kanunu m.135/1-2).

TCK m.135/2’deki artırım listesi KVKK m.6/1 listesiyle aynı değildir: biyometrik ve genetik veri, kılık ve kıyafet, dernek ve vakıf üyeliği ile ceza mahkûmiyeti TCK’daki artırım sayımında yer almaz. Verinin kaydedilmesi yerine başkasına verilmesi, yayılması veya ele geçirilmesi ayrı suçtur ve TCK 136 kişisel verileri ele geçirme ve yayma yazısında anlatılmıştır.