Özel nitelikli kişisel veriler: ek yükümlülükler

Kanun, bazı kişisel verileri diğerlerinden ayırır: öğrenilmesi hâlinde kişinin mağduriyetine veya ayrımcılığa uğramasına yol açabilecek veriler daha ağır bir koruma rejimine tabidir. Uygulamada bu ayrımın atlandığı en sık yer İnsan Kaynakları'dır — çünkü işe giriş dosyası, farkında olunmadan özel nitelikli veri deposuna dönüşebilir.

Hangi veriler özel nitelikli?

Kanun'un 6. maddesi bu verileri sınırlı sayıda sayar: kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

Liste kapalıdır: burada sayılmayan bir veri, ne kadar hassas görünürse görünsün hukuken özel nitelikli sayılmaz. Buna karşılık listede olanlar, beklenmedik yerlerde karşımıza çıkar: işe giriş sağlık raporu, kan grubu bilgisi, engelli raporu, sendika aidatı kesintisi, parmak izi ile mesai takibi, özel güvenlik görevlisi için istenen adli sicil kaydı.

2024 değişikliği: işleme şartları

Kanun'un 6. maddesi 2024 yılında yeniden düzenlenmiştir. Önceki düzenlemede sağlık ve cinsel hayat verileri ile diğer özel nitelikli veriler için farklı ve dar bir rejim öngörülüyordu; yeni düzenlemeyle işleme şartları tek bir listede toplanmıştır.

Buna göre özel nitelikli kişisel veriler, açık rızanın yanı sıra; kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumdaki kişinin veya bir başkasının hayatı ya da beden bütünlüğünün korunması için zorunlu olması, ilgili kişinin alenileştirdiği verilere ilişkin ve alenileştirme iradesine uygun olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca sağlık hizmetlerinin yürütülmesi amacıyla gerekli olması ve istihdam, iş sağlığı ve güvenliği, sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması hâllerinde işlenebilir.

Son şart, İK uygulamaları bakımından belirleyicidir: işe giriş muayenesi veya SGK bildirimi gibi mevzuattan doğan işlemler için ayrıca açık rıza aranmaz. Nitekim çalışan-işveren ilişkisinde rızanın özgür iradeye dayandığı tartışmalıdır; mümkün olan her yerde rıza dışı sebeplere dayanılması tercih edilmelidir.

Kurul'un aradığı yeterli önlemler

Özel nitelikli veriler bakımından Kanun, işleme şartına ek olarak Kurul tarafından belirlenen yeterli önlemlerin alınmasını zorunlu kılar. Kurul'un bu konudaki kararı, alınması beklenen tedbirleri sayar. Başlıcaları:

• Özel nitelikli verilerin güvenliğine yönelik ayrı bir politika ve prosedürün belirlenmesi,
• Bu verilere erişen çalışanlara düzenli eğitim verilmesi ve gizlilik sözleşmesi imzalanması,
• Erişim yetkilerinin kapsamının ve süresinin net biçimde tanımlanması, periyodik olarak kontrol edilmesi,
• Verilerin şifreli saklanması ve şifre anahtarlarının güvenli ortamda tutulması,
• Elektronik ortamda aktarımın şifreli, KEP veya kurumsal güvenli e-posta gibi yöntemlerle yapılması; fiziksel aktarımda "gizli" ibareli, kapalı zarf/kargo kullanılması,
• Verilerin bulunduğu ortamların fiziksel güvenliğinin sağlanması.

Bu tedbirlerin bir kısmı, çalışan farkındalık eğitimini doğrudan zorunlu kılar; eğitimin neden idari tedbir sayıldığını ayrı bir yazıda ele almıştık.

Sık yapılan hatalar

1. Toplamak zorunda olmadığı veriyi toplamak. İK formundaki "kan grubu", "engel durumu" veya "sendika üyeliği" alanlarının çoğu, mevzuattan doğan bir zorunluluğa dayanmaz. Toplanmayan veri, korunması gerekmeyen veridir.
2. Sağlık raporunun tamamını dosyaya koymak. İşveren için gerekli olan, çoğunlukla teşhis değil sonuçtur ("çalışabilir / çalışamaz", kısıtlar).
3. Ayrı politika hazırlamamak. Genel veri güvenliği politikası, özel nitelikli veriler için ayrıca aranan düzenlemenin yerini tutmaz.
4. Erişim yetkisini daraltmamak. Tüm İK ekibinin tüm sağlık verilerine erişebilmesi, yeterli önlem ölçütüyle bağdaşmaz.
5. Aktarımı sıradan e-postayla yapmak. Özel nitelikli veri ekli düz bir e-posta, en sık rastlanan ihlal biçimlerinden biridir.
6. Açık rızaya sığınmak. Mevzuattan doğan bir yükümlülük varken rıza istemek, hem gereksizdir hem rızanın geri çekilmesi hâlinde şirketi dayanaksız bırakır.

Bütüncül gözden geçirme

Bir verinin özel nitelikli olduğunun tespiti, uyum yapınızın birçok noktasını aynı anda hareket ettirir: kişisel veri envanterinde ayrı kategori olarak görünmeli ve hukuki sebebi 6. maddeye göre belirlenmeli, VERBİS kaydında özel nitelikli veri kategorisi olarak bildirilmeli, aydınlatma metni bu işlemeyi ve dayanağını anlatmalı, saklama ve imha politikasında genelde daha kısa bir süreye bağlanmalı, erişim ve şifreleme tedbirleri teknik ve idari tedbir envanterinize yansımalı, aktarım varsa veri işleyen sözleşmesinde ek güvenceler kurulmalıdır.

Bu verilerde hata payı düşüktür: yanlış sınıflandırma veya eksik tedbir, ihlal hâlinde sonuçları ağırlaştırır. Bu nedenle özel nitelikli veri envanterinizin hukuki destek alınarak çıkarılmasını öneririz; Genç Partners hangi verinin gerçekten toplanması gerektiğini belirlemekte yol gösterir. KVKK farkındalık eğitimi ise Kurul'un aradığı düzenli eğitim ve belgelendirme koşulunu karşılar.

Özet

• Özel nitelikli veriler Kanun'da sınırlı sayıda sayılmıştır; liste kapalıdır.
• 2024 değişikliğiyle işleme şartları tek listede toplanmıştır; istihdam ve iş sağlığı-güvenliği yükümlülükleri ayrı bir şart olarak yer alır.
• İşleme şartına ek olarak Kurul'un belirlediği yeterli önlemler zorunludur.
• En etkili tedbir, toplanması gerekmeyen veriyi hiç toplamamaktır.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Özel nitelikli veri işleyen süreçlerinizin değerlendirilmesi için hukuki destek alınız.