Makale

Hukuk sistemimizde 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile birlikte, gerçek kişilere ait bilgilerin işlenmesi ve korunması yasal bir zemine oturtulmuştur. Kanunun temel amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini güvence altına almaktır. Bu kapsamda, kişisel veri kavramı oldukça geniş bir yelpazede ele alınmış olup, tüzel kişilere ait veriler kanunun koruma alanının dışında bırakılmıştır. Gelişen teknoloji ve dijitalleşme ile birlikte, bireylerin verilerinin korunması ihtiyacı daha da belirginleşmiş, kanun koyucu bu ihtiyaca cevap verecek şekilde detaylı tanımlamalara gitmiştir. Bir hukuk bürosu pratiğinde de sıkça karşılaşıldığı üzere, müvekkillerin veya üçüncü kişilerin verilerinin hukuki süreçlerde kullanılması, kişisel veri ile özel nitelikli kişisel veri ayrımının çok iyi yapılmasını ve bu verilere bağlanan hukuki sonuçların doğru analiz edilmesini zorunlu kılmaktadır.

KVKK Çerçevesinde Kişisel Veri Kavramı

KVKK'nın 3. maddesi uyarınca, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi kişisel veri olarak tanımlanmaktadır. Bu tanımın en önemli unsurları, ortada bir bilginin bulunması ve bu bilginin belirli veya belirlenebilir bir gerçek kişiye ait olmasıdır. Hukukumuzda tüzel kişilere ilişkin verilerin korunması bu kanun kapsamında doğrudan düzenlenmemiştir; ancak tüzel kişiler pek tabii veri sorumlusu sıfatını haiz olabilmektedir. Kanun koyucu, "her türlü bilgi" ifadesini kullanarak son derece geniş ve kapsayıcı bir yaklaşım benimsemiştir. Kişiyi doğrudan ya da dolaylı olarak belirlenebilir kılan, fiziksel, ekonomik, kültürel veya sosyal kimliğini yansıtan her türlü kayıt bu tanımın içerisine girmektedir. Örneğin; kişinin adı, soyadı, T. C. kimlik numarası, motorlu taşıt plakası, telefon numarası, özgeçmişi, ses ve görüntü kayıtları gibi bilgiler kişisel veri niteliği taşımaktadır. Bu geniş tanım sayesinde, bireylerin şahsi alanlarına dair neredeyse tüm veriler kanuni koruma zırhı altına alınmıştır.

Özel Nitelikli (Hassas) Kişisel Veriler Nelerdir?

Kişisel veriler arasında bazı bilgiler, bireylerin temel hak ve özgürlükleri ile toplumsal yaşamları üzerinde daha kritik etkilere sahip olabileceği için özel nitelikli kişisel veri (hassas veri) olarak ayrı bir kategoride değerlendirilmiştir. KVKK'nın 6. maddesi kapsamında düzenlenen bu veriler, diğer kişisel verilere nazaran daha güçlü bir korumaya tabi tutulmuştur. Kanun koyucu, genel kişisel verilerin aksine özel nitelikli verileri örnekleme yoluyla değil, sınırlı sayım ilkesi (numerus clausus) ile tek tek belirtmiştir. Dolayısıyla, kanunda açıkça sayılmayan bir bilginin yorum yoluyla genişletilerek hassas veri kategorisine dâhil edilmesi hukuken mümkün değildir. Bu bağlamda, kanunda sınırlı olarak sayılan özel nitelikli kişisel veriler şunlardır:

• Kişilerin ırkı ve etnik kökeni
• Siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları
• Kılık ve kıyafeti
• Dernek, vakıf ya da sendika üyeliği
• Sağlığı ve cinsel hayatı
• Ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri
• Biyometrik ve genetik verileri

Özel Nitelikli Kişisel Verilerin İşlenme Şartları

Hukuk sistemimizde son dönemde yapılan önemli yasal değişiklikler neticesinde, hassas kişisel verilerin işlenme şartları yeniden düzenlenmiştir. Önceden sadece sağlık ve cinsel hayata ilişkin veriler ile diğer hassas veriler arasında işlenme koşulları bakımından ikili bir ayrım varken, güncel hukuki durum itibarıyla bu fark büyük ölçüde ortadan kaldırılmıştır. Yapılan yeni yasal düzenlemeler ışığında, özel nitelikli verilerin kural olarak işlenmesi yasaktır; ancak ilgili kişinin açık rızasının olması veya kanunda gösterilen diğer hukuka uygunluk nedenlerinden birinin varlığı halinde işlenebilmeleri hukuka uygun hale gelmiştir. Örneğin, kişinin kendi iradesiyle alenileştirdiği verilere ilişkin işlemler veya bir hakkın tesisi, kullanılması veya korunması için zorunlu olması durumlarında bu verilerin işlenmesi istisnai olarak mümkün kılınmıştır. Bu çok sıkı istisnai şartların titizlikle değerlendirilmesi, veri işleme faaliyetlerinin hukuki güvenliği açısından kritik önem taşımaktadır.