Özel nitelikli kişisel veri nedir?
Özel nitelikli kişisel veri (uluslararası karşılığı: sensitive personal data veya special category data), kişisel verinin daha yüksek koruma gerektiren alt kategorisidir. KVKK Madde 6’ya göre işleme yasaktır; ancak açık rıza da dahil olmak üzere Madde 6(3)’te sayılan şartlardan birinin varlığı halinde mümkündür.
KVKK Madde 6’da sayılan kategoriler
- Irk, etnik köken
- Siyasi görüş
- Felsefi inanç, din, mezhep veya diğer inançlar
- Kılık ve kıyafet
- Dernek, vakıf veya sendika üyeliği
- Sağlık ve cinsel hayat
- Ceza mahkûmiyeti ve güvenlik tedbirleri
- Biyometrik ve genetik veri
İşleme şartları
7499 sayılı Kanunla (2024) değiştirilen Madde 6(3), tüm özel nitelikli veriler için işlemeye yalnızca şu hallerde izin verir: (a) ilgili kişinin açık rızasının olması; (b) kanunlarda açıkça öngörülmesi; (c) rızasını açıklayamayacak durumdaki kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması; (ç) ilgili kişinin alenileştirdiği verilere ilişkin ve alenileştirme iradesine uygun olması; (d) bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; (e) sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması; (f) istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması; (g) siyasi, felsefi, dini veya sendikal amaçlı vakıf, dernek ve diğer kâr amacı gütmeyen kuruluşların kanuni şartlar çerçevesinde üyelerine yönelik işlemesi. Madde 6(4) ayrıca Kurulca belirlenen yeterli önlemlerin alınmasını şart koşar.
Ek teknik ve idari tedbirler
KVK Kurulu, özel nitelikli veri için şifreleme, erişim loglama, izole ortam ve özel yetkilendirme süreçleri gerektiren rehberler yayımladı. Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sistemi sağlanmalıdır. Kurul kararları için resmi siteyi izleyin.
Founder için pratik etki
HealthTech, EdTech (özellikle 18-altı kullanıcılı), HRTech (sağlık taramaları, sicil sorgulamaları), yüz tanıma ürünleri, biyometrik kimlik doğrulama uygulamaları: hepsi özel nitelikli veri işler. Launch öncesi güvenlik denetimi ve açık rıza UX’i için bütçe ayırın. Biyometrik ve sağlık verisi konusunda geçmiş Kurul cezaları için KVKK Tracker‘a bakın.
İşleme asgarisi: özel nitelikli veride hukuki sebep menüsü dardır (açık rıza veya kanuni istisnalar), Kurulun aradığı ek tedbirler (erişim sınırlaması, şifreleme, ayrı envanter) belgelenmeli ve sağlık/biyometri içeren ürünlerde DPIA fiilen zorunlu sayılmalıdır: bu kategorideki bir ihlal, idari para cezası tablosunun üst bandından okunur.
Kaynak. 6698 sayılı Kişisel Verilerin Korunması Kanunu.