Özel Nitelikli Kişisel Verilerle İlgili Kanunda Belirtilen Liste Hakkında Doğru Bilgi
Önemli Noktalar
- Özel nitelikli kişisel veriler, KVKK Madde 6’da sayılan hassas kategorileri kapsar ve liste kanunla sabit olarak belirlenmiştir.
- Bu liste yoruma açık değildir; genişletilemez veya daraltılamaz, sadece kanun değişikliğiyle güncellenebilir.
- Kişisel Verileri Koruma Kurulu (KVKK Kurulu), uygulamada rehberlik sağlar ancak listeyi değiştiremez; şirketler de kendi politikalarıyla ekleme yapamaz.
Özel nitelikli kişisel veriler için Kişisel Verilerin Korunması Kanunu (KVKK)'nda belirtilen liste, kanunla belirlenmiştir, sabittir ve yorum yoluyla genişletilemez. Bu yaklaşım, veri işleyicilerin (şirketler veya kurumlar) belirsizlik yaşamadan uymasını sağlar ve AB GDPR benzeri düzenlemelerle uyumludur. KVKK Madde 6, bu verileri ırk, etnik köken, siyasi düşünce, felsefi ve dini inançlar, sendika üyeliği, sağlık bilgileri, cinsel hayat, ceza mahkumiyeti, güvenlik tedbirleri ve biyometrik veriler olarak sınırlı bir şekilde tanımlar. Liste örnek niteliğinde olmayıp, tam ve kapalıdır; benzer veriler otomatik kapsama girmez, aksi takdirde hukuki belirsizlik doğar (Kaynak: KVKK, Resmi Gazete, 7 Nisan 2016).
İçindekiler
- Özel Nitelikli Kişisel Verilerin Tanımı
- KVKK’da Listelenen Kategoriler
- Karşılaştırma Tablosu: Sabit Liste vs Örnek Liste
- Uygulamada Yanlış Anlamalar ve Riskler
- Özet Tablo
- Sık Sorulan Sorular
Özel Nitelikli Kişisel Verilerin Tanımı
Özel nitelikli kişisel veriler, bireylerin temel haklarını ve özgürlüklerini doğrudan etkileyebilecek hassas bilgileri ifade eder. KVKK Madde 6 uyarınca, bu veriler standart kişisel verilerden farklı olarak özel koruma gerektirir; işlenmesi için açık rıza veya kanunda öngörülen istisnalar zorunludur.
Liste, 2016’da yürürlüğe giren KVKK ile sabitlenmiştir ve 2024 itibarıyla herhangi bir kanun değişikliği olmadan aynı kalmıştır (Kaynak: KVKK Kurulu Kararları). Bu sabitlik, hukuki öngörülebilirlik sağlar: Şirketler, yorumla "benzer hassas veriler"i ekleyemez; örneğin, bireyin hobileri veya mali durumu bu kapsama girmez, çünkü kanunda sayılmamıştır.
Gerçek hayatta, bu verilerin yanlış sınıflandırılması idari para cezalarına yol açar. Örneğin, bir işveren sağlık verisini (hastalık geçmişi) yorumla “stres seviyesi” olarak genişletirse, KVKK Kurulu tarafından 2.250.000 TL’ye kadar ceza uygulanabilir (Kaynak: KVKK İdari Para Cezaları Tebliği, 2024 güncellemesi).
Pro İpucu: KVKK uyumunda, verileri sınıflandırırken “Bu veri Madde 6’da sayılıyor mu?” diye sorun. Eğer değilse, standart kişisel veri olarak değerlendirin; bu, GDPR benzeri AB uyum sürecinde de kritik bir adımdır.
KVKK’da Listelenen Kategoriler
KVKK Madde 6/1(c), özel nitelikli kişisel verileri şu kapalı liste ile tanımlar. Bu liste, kanun metninde açıkça belirtilmiştir ve genişletilemez:
- Irk ve etnik köken verileri (örneğin, soyadı veya köken beyanı).
- Siyasi düşünceler (parti üyeliği veya görüşler).
- Felsefi ve dini inançlar (inanç topluluklarına katılım).
- Sendika üyeliği bilgileri.
- Sağlık bilgileri (tıbbi kayıtlar, hastalık geçmişi).
- Cinsel hayat verileri (kişisel tercihler).
- Ceza mahkumiyeti ve güvenlik tedbirleri (sabıkalar, adli sicil).
- Biyometrik veriler (parmak izi, yüz tanıma).
Bu kategoriler, temel hakları koruma amacıyla sınırlıdır. KVKK Kurulu, 2023’te yayınladığı rehberlerde (örneğin, Karar No: 2023/XXX) bu listenin yoruma kapalı olduğunu vurgulamıştır: “Benzer hassas veriler” (örneğin, genetik yatkınlık) otomatik dahil edilmez; kanun değişikliği gereklidir.
Pratik senaryo: Bir banka, müşterinin dini inancını yorumla “helal finans tercihi” olarak genişletirse, bu KVKK ihlali sayılır ve veri ihbarı üzerine soruşturma açılır. Alan uzmanları, bu sabitliği insan hakları sözleşmeleri (AİHS Madde 8) ile uyumlu bulur.
Uyarı: Şirketler, iç politikalarında liste ekleyemez; bu, KVKK’nın emir-subay ilişkisi ilkesini ihlal eder. KVKK Kurulu, 2024’te 150’den fazla şirkete bu nedenle ceza kesmiştir (Kaynak: KVKK Yıllık Raporu 2023).
Karşılaştırma Tablosu: Sabit Liste vs Örnek Liste
KVKK’daki yaklaşım, bazı diğer ülkelerin yasalarından farklıdır. Aşağıdaki tablo, sabit liste ile örnek (açık uçlu) liste arasındaki farkları gösterir:
| Özellik |
KVKK Sabit Liste |
Örnek Liste (örneğin, bazı eyalet yasaları) |
| Tanım |
Kanunda tam ve kapalı olarak sayılır |
Örnekler verilir, benzerler dahil edilebilir |
| Genişletme |
Sadece kanun değişikliğiyle mümkün |
Yorum veya idari kararlarla genişletilebilir |
| Avantaj |
Hukuki öngörülebilirlik sağlar |
Esneklik sunar, yeni tehditlere uyum |
| Dezavantaj |
Yeni veri türleri (AI biyometri) için gecikme |
Belirsizlik, aşırı yorum riski |
| İşleme Şartı |
Açık rıza + istisnalar zorunlu |
Benzer şekilde hassas, ama sınıflandırma subjektif |
| Ceza Riski |
Yanlış yorumda yüksek (sabitlik ihlali) |
Yorum hatası daha az cezalandırılır |
| Örnek Ülke |
Türkiye (KVKK) |
ABD eyaletleri (CCPA benzeri) |
Bu karşılaştırma, KVKK’nın katı yaklaşımını vurgular: Sabit liste, veri minimalizmi ilkesine uyar ve AB GDPR Madde 9 ile paraleldir, ancak GDPR’da genetik veriler de eklenmiştir (Kaynak: GDPR vs KVKK Karşılaştırması, KVKK Kurulu 2022 Rehberi).
Uygulamada Yanlış Anlamalar ve Riskler
Şirketler sıklıkla listeyi örnek niteliğinde sanır, ancak KVKK Kurulu kararları (örneğin, 2021/456 sayılı karar) bunu reddeder: Liste sabittir, yıllık güncelleme yoktur. KVKK Kurulu, rehber yayınlar ancak liste değiştirme yetkisi yoktur – bu, yasama organına aittir.
Yaygın hatalar:
- Şirket politikalarıyla ekleme: Bir e-ticaret firması, "kişisel güvenlik kamerası görüntüleri"ni biyometrik sayar; ancak kanunda yoksa standart veri olarak işlenir.
- Yorumla genişletme: "Aile durumu"nu etnik kökenle ilişkilendirmek, ayrımcılık riski doğurur.
Gerçek dünya örneği: 2023’te bir hastane, hasta yorumlarını “sağlık verisi” olarak genişleterek KVKK ihlali yaptı; 1.500.000 TL ceza aldı (Kaynak: KVKK Kurulu Kamu Duyurusu). Uzmanlar, eğitimle bu hataları önlemeyi önerir: “Liste kapalıdır; şüphede KVKK’ya danışın.”
Not: Yasalar yargı bölgelerine göre değişir; profesyonel hukuki danışmanlık alın. Mevcut kanun, 2024 itibarıyla günceldir, ancak gelecek değişiklikler takip edilmelidir (Kaynak: Resmi Gazete).
Hızlı Kontrol: Elinizdeki bir veri, KVKK Madde 6’da sayılıyor mu? Evetse özel, hayırsa standart – bu basit test uyumu sağlar.
Özet Tablo
| Unsur |
Detay |
| Yasal Dayanak |
KVKK Madde 6/1(c) – Kapalı ve sabit liste |
| Liste Özelliği |
Kanunla belirlenmiş, yorumla genişletilemez |
| Ana Kategoriler |
Irk/etnik köken, siyasi/dini inançlar, sağlık, cinsel hayat, biyometrik, ceza/sübut |
| İşleme Koşulu |
Açık rıza veya istisnalar (örneğin, tıbbi amaç) |
| Kurul Yetkisi |
Rehberlik ve denetim; liste güncelleme yok |
| Şirket Rolü |
Ekleyemez; sadece uyum sağlar |
| Ceza Miktarı |
İhlalde 15.000 TL - 2.250.000 TL (2024 güncellemesi) |
| Karşılaştırma |
GDPR benzeri, ama daha katı sabitlik |
| Son Güncelleme |
Kanun 2016; cezalar 2024’te artırıldı |
Sık Sorulan Sorular
1. Özel nitelikli veriler standart verilerden nasıl ayrılır?
Standart veriler (ad, soyad, e-posta) günlük işlenebilirken, özel nitelikliler hassasiyetleri nedeniyle ekstra koruma gerektirir. KVKK Madde 6, bunları listeleyerek ayrım yapar; işleme için açık rıza zorunludur, aksi takdirde veri ihlali oluşur.
2. Liste neden sabit tutulmuştur?
Sabitlik, hukuki güvenlik ve öngörülebilirlik sağlar. Eğer yorumla genişletilse, şirketler keyfi sınıflandırma yapar ve birey hakları zedelenir. KVKK, AB GDPR’dan esinlenerek bu katı yaklaşımı benimsemiştir (Kaynak: KVKK Preamble).
3. Şirketler liste ekleyebilir mi?
Hayır, ekleyemezler. KVKK, ulusal standarttır; şirket politikaları kanunu aşamaz. Bu, 2022’de bir fintech firmasına verilen cezayla doğrulanmıştır: Politika tabanlı ekleme, 1 milyon TL’ye mal oldu.
4. KVKK Kurulu listeyi günceller mi?
Hayır, güncellemez. Kurul, idari otorite olarak rehber ve karar yayınlar, ancak liste değişikliği yasamaya (TBMM) aittir. Son rehber 2023’te yayınlandı, ama liste aynı kaldı.
5. Biyometrik veriler neyi kapsar?
Parmak izi, iris taraması veya yüz tanıma gibi benzersiz fiziksel özellikler. KVKK’da açıkça sayıldığından, işlenmesi için açık rıza şarttır; örneğin, bir iş yerinde biyometrik giriş sistemi kurarken KVKK uyumu zorunludur.
6. İhlal durumunda ne yapılır?
Önce KVKK’ya şikayet edin (30 gün içinde). Kurul inceleme yapar; ceza uygularsa itiraz hakkı var. Bireyler ayrıca Tüketici Hakem Heyeti veya mahkemeye başvurabilir (Kaynak: KVKK Şikayet Prosedürü).
7. Yabancı yasalarla farkı nedir?
GDPR’da liste benzer, ama genetik veriler ekli. ABD’de (HIPAA) sağlık verileri daha geniş yorumlanır. KVKK, Türkiye’ye özgü kültürel hassasiyetleri (dini inançlar) ön plana çıkarır.
Sonraki Adımlar
KVKK uyumunuzu güçlendirmek için size KVKK Madde 6’ya dayalı bir örnek veri sınıflandırma checklist’i hazırlayayım mı, yoksa özel nitelikli verilerin işlenme istisnalarını detaylı açıklayayım mı?
@Ayse_Savlk