10. Özel nitelikli kişisel veriler

Bir dosyada sağlık raporu, iletişim bilgisi ve üyelik kaydının birlikte bulunması, bütün alanların aynı rejime tabi olduğunu göstermez. Önce özel nitelikli kategorinin sınırı, ardından o veri için işleme şartı ve ek koruma belirlenmelidir. Bölüm, bu ayrımı 2024 sonrası düzen üzerinden kurmakta; genel bir gizlilik kaygısıyla kanundaki özel kategori arasında fark gözetmektedir. Karma veri kümeleri ve dolaylı çıkarımlar da sektörlere geçilmeden önce aynı kavramsal çerçevede ele alınmaktadır.

10.1. Sınırlı veri kategorileri ve nitelikli korumanın gerekçesi

Bir işverenin çalışanın iletişim adresini kaydetmesiyle sağlık raporundaki tanıyı kaydetmesi, kişisel veri işleme bakımından aynı hukuki değerlendirmeye tabi değildir. Her iki bilgi de kişisel veri olabilir; sağlık bilgisi ayrıca Kanun’un özel nitelikli veriler için kurduğu rejime girer. Bu ayrım, yalnız bilginin kişi için ne kadar önemli olduğuna ilişkin bir değerlendirme değildir. Önce hangi veri kategorisinin söz konusu olduğu, ardından bu kategoriye hangi işleme şartlarının ve koruyucu yükümlülüklerin uygulanacağı belirlenmelidir.¹

Kanun’un 6. maddesinin birinci fıkrası, özel nitelikli kişisel verileri sayma yoluyla belirler. Sayım; ırk ve etnik köken, siyasi düşünce, felsefi inanç, din, mezhep ve diğer inançlar, kılık ve kıyafet, dernek, vakıf veya sendika üyeliği, sağlık ve cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verileri kapsar. Bunların ortak hukuki niteliği, genel kişisel veri korumasına ek bir rejimin uygulanmasıdır; her kategorinin kendi anlamı ve sınırı ise ayrıca belirlenmelidir.²

Nitelikli korumanın gerekçesi, bu bilgilerin kullanılmasının kişiyi ayrımcılığa, dışlanmaya veya başka bir mağduriyete açık hâle getirebilmesidir. Örneğin kişinin sağlık durumu veya sendika üyeliği, kendisiyle ilgisi olmayan kararların ölçütüne dönüştürülebilir. Bulut, korunan menfaatleri yalnız gizlilikle sınırlamayıp kişi güvenliği, çalışma hakkı ve toplumsal saygınlıkla da ilişkilendirir. Böylece sorun, sırrın açığa çıkmasının ötesinde, kişinin belirli bir özelliğine göre değerlendirilmesi ve haklarını kullanma imkânının zayıflaması olarak görünür.³

Bu gerekçe, özel nitelikli veri sayımını risk görülen her bilgiye genişletme yetkisi vermez. Kurumun rehberi, kanuni kategorilerin sınırlı olduğunu ve kıyas yoluyla genişletilemeyeceğini açıklar. Yalnız banka hesap numarası gibi bir bilgi kişi bakımından önemli veya kötüye kullanılmaya elverişli olduğu için kendiliğinden 6. maddedeki kategoriye dönüşmez. Buna karşılık böyle bir verinin hukuka aykırı kullanılması yine kişisel verilerin korunması hükümlerini ihlal edebilir. Özel nitelikli sayılmamak ile korumasız olmak aynı değildir.⁴

Sınırlı sayım ile bir kategorinin somut olayda yorumlanması da ayrı meselelerdir. Bir belgenin veri sorumlusu tarafından “idari kayıt” olarak adlandırılması, içinde yer alan sağlık bilgisinin niteliğini değiştirmez. İnceleme dosyanın adına değil, kişiye ilişkin hangi bilginin işlendiğine yönelmelidir. Bununla birlikte bir kayıttan sağlık, inanç veya başka bir özel nitelik çıkarılıp çıkarılamayacağı, her veri ilişkisi için peşinen kabul edilemez. Sağlık, biyometrik ve genetik verilerin belirlenmesi 10.2’de; çıkarımlar ve karma veri kümeleri 10.7’de bu sınır içinde ele alınacaktır.⁵

Kategorinin uygulanması için ilgili kişinin o anda ayrımcılığa uğradığının gösterilmesi de aranmaz. Kanun, sayılan verileri, yol açabilecekleri risk nedeniyle önceden özel bir rejime bağlamıştır. Kişinin belirli bir veri kullanımından rahatsız olmaması veya veri sorumlusunun zarar verme niyeti taşımaması, bu rejimi ortadan kaldırmaz. Somut işlemenin gerekliliği, kapsamı ve güvenliği ise kategori belirlendikten sonra ayrıca incelenir; kategoriye girmek tek başına bütün işlemlerin aynı ağırlıkta risk taşıdığı anlamına gelmez.⁶

Kanun koyucunun kategori tercihleri eleştirel incelemeye açıktır. Turan Başara, kılık ve kıyafete ilişkin verilerin diğer veriler kadar hassas olup olmadığının tartışılabileceğini belirtirken, bunların etnik köken veya inanç gibi başka bilgileri ortaya çıkarabilmesini korumanın gerekçesiyle ilişkilendirir. Bu tartışma, listedeki bir kategorinin yerindeliği ile yürürlükteki hükmün uygulanmasını ayırmayı gerektirir. Veri sorumlusu, belirli bir kıyafet bilgisini kendisi önemsiz gördüğü için kanuni kategoriyi yok sayamaz. Buna karşılık her kıyafet bilgisinden mutlaka belirli bir inanç veya köken sonucu çıkarılabileceği de varsayılamaz.⁷

Verinin özel nitelikli olduğunun belirlenmesi, onun hiçbir koşulda işlenemeyeceği anlamına da gelmez. 6. maddenin üçüncü fıkrası yasak kuralıyla birlikte işlemenin mümkün olduğu şartları düzenler. 2024 değişikliği bu şartları yeniden kurmuş, birinci fıkradaki kategori sayımını korumuştur. Dolayısıyla kategorilerin belirlenmesiyle bunları işleme yetkisinin bulunması iki ayrı sorudur. Önceki dönemdeki sağlık ve cinsel hayat verileri ayrımı veya eski rıza açıklamaları, yeni şartlar incelenmeden güncel işlemin dayanağı yapılamaz.⁸

Geçerli bir işleme şartının varlığı da nitelikli korumayı tamamlamaz. Kanun’un 6. maddesinin dördüncü fıkrası, Kurul tarafından belirlenen yeterli önlemlerin alınmasını ayrıca arar; amaçla sınırlılık ve ölçülülük gibi genel ilkeler de uygulanmaya devam eder. Bu nedenle örneğin bir sağlık raporunu belirli bir yükümlülük için elde edebilmek, rapordaki bütün ayrıntıları ilgisiz birimlere açmayı kendiliğinden haklı kılmaz. Doğru değerlendirme, verinin niteliği, işlemenin hukuki şartı ve kullanımın sınırları birlikte incelendiğinde kurulabilir.⁹

10.2. Sağlık, biyometrik ve genetik veri niteliğinin belirlenmesi

Sağlık verisi yalnız hastalık teşhisinden ibaret değildir. Kişisel Sağlık Verileri Hakkında Yönetmelik’in 4. maddesinin birinci fıkrasının (j) bendi, fiziksel ve ruhsal sağlığa ilişkin bilgilerin yanında kişiye sunulan sağlık hizmetiyle ilgili bilgileri de kapsar. Öğretide de kişinin geçmiş, şimdiki ve gelecekteki sağlık durumuyla ilişki esas alınır. Dolayısıyla bir testin olumsuz sonuç vermesi veya kişinin belirli bir hastalığının bulunmadığının kaydedilmesi, sağlıkla ilgili bilgiyi bu kategorinin dışına çıkarmaz.¹⁰

Bu kapsam belirlenirken kaydın bağlamı önem taşır. Bir kişinin telefon numarası ile aynı numaranın belirli bir hastaya ait tetkik sonucuna bağlandığı kayıt farklı bilgi içerir. Sağlık hizmetinin türünü veya kişinin sağlık durumunu açığa çıkaran kayıt, yalnız “iletişim bilgisi” adıyla tutulduğu için genel nitelikli sayılamaz. Buna karşılık bir sağlık kuruluşunun elindeki her telefon numarasının, yalnız kuruluşun faaliyet alanından hareketle sağlık verisi olduğu da söylenemez. İnceleme, belirli kişi hakkında hangi bilginin elde edildiğine yönelmelidir.¹¹

Biyometrik veride ayırt edici unsur, bedene veya davranışa ilişkin bir özelliğin bulunmasından daha fazlasıdır. Kurumun rehberi, Avrupa Birliği Genel Veri Koruma Tüzüğü’ndeki tanımdan yararlanarak iki bağlantıyı birlikte arar: fiziksel, fizyolojik veya davranışsal ayırt edici özelliklerin belirli teknik işlemlerle ortaya çıkarılması ve bu özelliklerin kişinin kimliğinin tanımlanmasına veya doğrulanmasına yaraması. Bu açıklama, Türk Kanunu’nda ayrıca yer almayan tanımın yorumuna ilişkin kurumsal rehberliktir; yabancı hukuk hükmünün doğrudan Türk normuna dönüşmesi değildir.¹²

Bu nedenle fotoğrafın veya kamera görüntüsünün kaydedilmesi, tek başına biyometrik veri işlendiğini göstermez. Kurulun 2022/797 sayılı kararının resmî özetinde, biyometrik analiz yapıldığına ilişkin somut dayanak bulunmayan güvenlik kamerası kayıtlarıyla giriş çıkışta kimlik doğrulayan yüz tanıma sistemi ayrı değerlendirilmiştir. Aynı yüzün görüntüsü, uygulanan teknik işlem ve kimlik doğrulama işlevi nedeniyle farklı bir değerlendirmeye konu olabilir. Biyometrik sayılmama sonucu ise kaydın başka bir özel nitelikli bilgi içerip içermediği sorusunu ortadan kaldırmaz.¹³

Biyometrik yöntemler yalnız parmak izi veya iris gibi fiziksel özelliklerle sınırlı değildir. Yürüyüşün, klavyeye basışın veya sesin kişiye özgü özellikleri de kimlik belirleme yahut doğrulama amacıyla teknik olarak işlenebilir. Örneğin konuşmanın içeriğini saklamakla konuşanın kimliğini ses özelliklerinden doğrulamak farklı faaliyetlerdir. Bununla birlikte hukuki kategorinin ayırt edicilik ölçütü, kullanılan sistemin uygulamada hiç hata yapmadığı anlamına gelmez. Erdinç’in yüz tanıma sistemlerinde benzer kişilerin karıştırılabilmesine ilişkin açıklaması, niteliğin belirlenmesi ile teknik başarının değerlendirilmesini ayırmanın önemini gösterir.¹⁴

Teknik incelemede yalnız cihazın veya hizmetin adına güvenilmemelidir. Hangi özelliğin çıkarıldığı, bunun hangi kişiyle eşleştirildiği ve hangi doğrulamada kullanıldığı belirlenmelidir. Bir yüz görüntüsünün sayısal bir şablona dönüştürülmesi, şablon belirli kişiyle ilişkilendirilmeye devam ediyorsa kişisel veri niteliğini kendiliğinden kaldırmaz. “Görüntü saklanmıyor” açıklaması, kimlik doğrulamada kullanılan diğer kayıtlar incelenmeden anonimlik sonucuna dayanak olamaz. Kanun’daki belirlenebilirlik ölçütü, verinin insan gözüyle okunabilen bir görüntü olmasına bağlı değildir.¹⁵

Genetik verinin kapsamı da yalnız kişide teşhis edilmiş kalıtsal hastalıklarla sınırlı tutulamaz. Kurumun genetik veri rehberi, kalıtımla alınan veya sonradan kazanılan genetik özellikleri açıklayan bilgileri birlikte ele alır; kapsamın tüm genom diziliminin elde edilmesine bağlı olmadığını belirtir. Genetik analiz sağlık amacıyla yapılabileceği gibi soy bağının araştırılması gibi başka amaçlara da hizmet edebilir. Bu nedenle genetik veriyi belirlemek için önce sağlık hizmeti verildiğinin gösterilmesi gerekmez.¹⁶

Biyolojik örnek, ondan elde edilen ham veri ve analiz sonucu arasındaki ayrım ise korumanın ne zaman başlayacağını etkiler. Henüz rapor düzenlenmemesi, kişiye bağlanabilen örneği inceleme dışında bırakmaya yeterli değildir. Kurulun 2019/316 sayılı kararının resmî özetinde, kan ve doku örneklerindeki barkodlar ile isim ve tüp listelerinin hastanın kimliğine ulaşılmasını sağlayabilmesi, kişisel veri değerlendirmesinin gerekçesidir. Buradan her biyolojik maddenin her durumda aynı hukuki nitelikte olduğu sonucu çıkarılamaz; örnekle kişi arasındaki bağ ve elde edilebilir bilgi araştırılmalıdır.¹⁷

Genetik bilgi, örneği alınan kişinin dışındaki kişilerle de ilişkili olabilir. Kurumun rehberi, genetik irtibat bulunan akrabaların verilerinin de işlenebileceğini ve bu durumda onların korunmasının ayrıca değerlendirilmesi gerektiğini açıklar. Örnek Büken ve Zeybek Ünsal da genetik verilerin sonuçlarının yalnız örnek veren kişiyle sınırlı kalmamasına dikkat çeker. Bununla birlikte akrabalık bilgisinin varlığı, bir aileye ilişkin bütün kayıtları genetik veri yapmaz. Hangi genetik bilginin hangi başka kişiyi belirli veya belirlenebilir kıldığı somutlaştırılmalıdır.¹⁸

Bu kategoriler birbirini dışlamaz. Bir genetik test sonucu aynı zamanda kişinin sağlık durumunu açıklayabilir; kimlik belirlemeye yönelik genetik özelliklerin teknik kullanımı ayrıca biyometrik değerlendirmeyi gerektirebilir. Uygulamada önce verinin içeriği, kişiyle ilişkisi ve uygulanan işlem belirlenmeli; ardından işleme şartı incelenmelidir. Kategoriye bir ad vermek, veri sorumlusuna onu kullanma yetkisi sağlamaz. Özellikle sağlık hizmetinin gereği ile kimlik kontrolünün gereği, aynı kayıt üzerinde çalışılsa bile birbirinin yerine geçirilmemelidir.¹⁹

10.3. 2024 sonrası işleme şartları ve önceki rejimden ayrıldığı noktalar

7499 sayılı Kanun, özel nitelikli verilerin listesini değiştirmek yerine bu verilerin işlenebileceği şartları yeniden düzenlemiştir. Değişiklik 12 Mart 2024’te yayımlanmış, 6. maddeye ilişkin hüküm 1 Haziran 2024’te yürürlüğe girmiştir. Bu iki tarih arasındaki fark, eski bir kararın veya uygulama açıklamasının hangi hukuki düzeni esas aldığını belirlemek bakımından önemlidir. Yayım tarihi ile yürürlük tarihi aynı kabul edilerek dönem karşılaştırması yapılamaz.²⁰

Önceki sistemde 6. maddenin ikinci fıkrası açık rıza bulunmaksızın işlemeyi yasaklıyor, üçüncü fıkra ise rıza aranmayan hâlleri iki gruba ayırıyordu. Sağlık ve cinsel hayat dışındaki özel nitelikli veriler için kanunlarda öngörülme; sağlık ve cinsel hayat verileri için belirli sağlık amaçları ile sır saklama yükümlülüğü altındaki kişi veya yetkili kuruluş bağlantısı esas alınıyordu. Bu nedenle eski rejimi “yalnız açık rızayla işleme” olarak özetlemek, üçüncü fıkradaki istisnaları görünmez kılar.²¹

Yeni düzenleme ikinci fıkrayı kaldırmış; yasak kuralını ve işleme şartlarını üçüncü fıkrada bir araya getirmiştir. Sağlık ve cinsel hayat verileriyle diğer özel nitelikli veriler arasında işleme şartları bakımından kurulan önceki ayrım artık bu fıkranın sistemini belirlemez. Şartların bütünü tüm özel nitelikli kategoriler için incelenir. Ancak belirli bir bendin amaç, kişi veya faaliyet sınırlamaları da korunur; bütün kategorilere uygulanabilir olmak, her bendin her olayda gerçekleştiği anlamına gelmez.²²

Üçüncü fıkradaki sekiz bent, veri sorumlusuna birbirinin yerine gelişigüzel kullanabileceği genel yetkiler vermez. Açık rıza, kanunda açıkça öngörülme, hayati zorunluluk, alenileştirme, hak koruma ve belirli faaliyetlere ilişkin şartların her biri kendi unsurlarıyla uygulanır. Örneğin alenileştirme bendinde kişinin açıklama iradesine uygunluk aranırken, istihdam bendinde belirtilen alanlardaki hukuki yükümlülüklerin yerine getirilmesi için zorunluluk aranır. İşlemin konusu kadar hangi nedenle ve hangi kapsamda yapıldığı da belirlenmelidir.²³

Açık rızanın ilk bentte yer alması, diğer şartların ancak rıza alınamadığında kullanılabileceği anlamına gelmez. Turan Başara, yeni düzenlemede açık rıza ile diğer hukuki sebepler arasında hiyerarşik fark gözetilmediğini belirtir; Kurumun rehberi de bu yöndedir. Bunun uygulamadaki karşılığı, gerçek işleme şartının saptanmasıdır. Bağımsız bir şartın mevcut olmasıyla rıza talebinin geçerliliği veya yanıltıcı biçimde sunulması farklı sorunlardır; rıza yönetimine ilişkin açıklamalar 9. bölümle birlikte okunmalıdır.²⁴

Buna karşılık genel nitelikli veriler için 5. maddede bulunan her şart özel nitelikli verilere kendiliğinden taşınamaz. Bir sözleşmenin ifası veya veri sorumlusunun meşru menfaati, 6. maddenin üçüncü fıkrasında bu adlarla ayrı birer bent değildir. Örneğin bir sözleşmenin yerine getirilmesi sırasında sağlık bilgisine ihtiyaç duyulması, yalnız sözleşme şartı gösterilerek özel nitelikli veri işlemeyi haklı kılmaz. Somut faaliyetin 6. maddedeki şartlardan hangisine uyduğu ayrıca gösterilmelidir.²⁵

Kanunda açıkça öngörülme bendinin uygulanması da salt bir faaliyet alanının mevzuatla düzenlenmesine indirgenemez. Güncel hükümde “açıkça” ifadesi yer alır; işlemenin hangi kanuni düzenlemeye ve hangi veri ihtiyacına dayandığı belirlenmelidir. Aynı şekilde “gerekli” veya “zorunlu” olma şartları, veri sorumlusunun kolaylık tercihine eşit değildir. Kurumun rehberi bu ifadeleri amaçla bağlantı, alternatif yöntemler ve somut olayın koşulları üzerinden açıklar. İlgili bentteki özel unsurlar genel ilkelerle birlikte uygulanır.²⁶

Dönem karşılaştırması, devam eden veri işleme faaliyetleri bakımından da yapılmalıdır. 1 Haziran 2024 sonrasında sürdürülen saklama veya kullanım için mevcut hukuki şartın belirlenmesi gerekir; eski bir kaydın sistemde bulunması kendi başına dayanak oluşturmaz. Tersinden, yeni bir işleme imkânının getirilmesi geçmişteki işlemenin o dönemde hukuka uygun olduğunu göstermez. Önceki toplama ile sonraki saklama ve kullanımın ayrı işlem olarak incelenmesi, hem uygulanacak dönem hükmünü hem de amaç değişikliklerini görünür kılar.²⁷

Yeni şartların varlığı genel ilkeleri ve yeterli önlemleri ortadan kaldırmaz. 6. maddenin dördüncü fıkrasındaki ek önlem şartı korunmuştur. Ayrıca 6698 sayılı Kanun’a eklenen geçici 3. maddedeki 1 Eylül 2024’e kadar birlikte uygulama hükmü, yurt dışına aktarıma ilişkin eski 9. maddenin birinci fıkrasına yöneliktir. Bu geçiş, özel nitelikli veriler için eski işleme şartlarının da aynı tarihe kadar devam ettiği biçiminde yorumlanamaz. İşleme, aktarım ve koruyucu yükümlülükler ayrı hükümleriyle değerlendirilmelidir.²⁸

10.4. İstihdam, sosyal güvenlik, sağlık ve kâr amacı gütmeyen kuruluşlar

1. maddenin üçüncü fıkrasının (e), (f) ve (g) bentleri, belirli faaliyetler için işleme şartları getirir. Bunların uygulanmasında veri sorumlusunun adı veya sektörüyle yetinilmez. Sağlık kuruluşu olmak, işveren sıfatı taşımak ya da kâr amacı gütmemek, tek başına bütün özel nitelikli verileri işleme yetkisi sağlamaz. Her bentte işlemi yapan kişi veya kuruluş, amaç, ilgili kişi çevresi ve gereklilik bakımından farklı sınırlar vardır.²⁹

Sağlık amaçlarına ilişkin (e) bendinde, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar ile kanunda gösterilen amaçların birlikte bulunması gerekir. Kamu sağlığının korunması, koruyucu hekimlik, teşhis, tedavi ve bakım ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı bu amaçlar arasındadır. İşlemenin bunlar için gerekli olması da aranır. Dolayısıyla bir hastanenin tedavi için elde ettiği bilgiyi ilgisiz bir tanıtım faaliyetine ayırması, yalnız hastane sıfatıyla veya çalışanlarının sır saklama yükümlülüğüyle açıklanamaz.³⁰

İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım için getirilen (f) bendi ise bu alanlardaki hukuki yükümlülüklerin yerine getirilmesine bağlanmıştır. Burada yükümlülüğün varlığı kadar özel nitelikli veriyi işlemenin zorunlu olması da gösterilmelidir. Turan Başara, bu düzenlemeyi genel nitelikli veriler için öngörülen hukuki yükümlülük şartından daha dar bir çerçeve olarak açıklar. Veri sorumlusu, herhangi bir yükümlülüğünü bu bentte sayılan alanlardan bağımsız biçimde ileri süremez.³¹

Hukuki yükümlülüğün kaynağı ile kanunda açıkça öngörülme şartı da aynı değildir. Kurumun rehberi, (f) bendi bakımından yükümlülüğün kanun yanında yönetmelik, tebliğ ve hatta sözleşmeden kaynaklanabileceğini belirtir. Bu kurumsal yorum, sözleşmeye bir hüküm konulmasının kendiliğinden veri işleme yetkisi yaratacağı şeklinde okunamaz. İleri sürülen yükümlülüğün hukuki geçerliliği, sayılan alanla ilişkisi ve veri işlemenin gerçekten zorunlu olup olmadığı ayrıca incelenmelidir. Genel sözleşme şartı ile özel nitelikli veriyi işleme şartı arasındaki ayrım böylece korunur.³²

Sosyal güvenlik, sosyal hizmet veya sosyal yardım alanında da ihtiyaç duyulabilecek bütün bilgiler peşinen toplanamaz. Örneğin belirli bir yardımın koşullarını değerlendirmek için sağlık bilgisine ihtiyaç bulunduğu ileri sürülüyorsa, hangi yükümlülüğün hangi bilgiyle yerine getirildiği açıklanmalıdır. Başvuranın sağlık dosyasının tamamını istemek, belirli bir koşulun varlığını tespit etmekten daha geniş bir müdahaledir. Belirli amaçla bağlantı ve zorunluluk, yardımın yararlı bir faaliyet olmasından ayrı değerlendirilir.³³

Mesai takibinde biyometrik veri kullanımı bu sınırı somutlaştırır. Kurum, 2026/921 sayılı ilke kararına ilişkin açıklamalarında, çalışma süresini izleme yükümlülüğünü bunu biyometrik yöntemle yapma zorunluluğundan ayırır; yalnız mesai takibi için daha az müdahaleci yöntemler bulunurken biyometrik işlemenin ölçülülüğü sağlamadığını belirtir. 27 Ağustos 2026 açıklamasında mesai dışındaki kritik alan güvenliği ise ayrı değerlendirmeye bırakılmıştır. Bu ayrım, güvenlik adının kullanıldığı her uygulamanın kendiliğinden hukuka uygun olduğunu da göstermez; amaç ve somut ihtiyaç belirleyicidir.³⁴

Kâr amacı gütmeyen kuruluşlara ilişkin (g) bendi, bütün sivil toplum faaliyetleri için genel bir izin değildir. Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumları kapsar. İşleme, tabi olunan mevzuata ve amaçlara uygun olmalı, faaliyet alanıyla sınırlı kalmalı ve veriler üçüncü kişilere açıklanmamalıdır. Kişi çevresi de mevcut veya eski üyeler, mensuplar ve kuruluşla düzenli temas hâlindeki kişilerle sınırlandırılmıştır.³⁵

Bu koşullar belirli bir veri kategorisinin kuruluşun bütün faaliyetlerinde aynı sonucu doğurmasını gerektirmez. Turan Başara’nın sendikanın üyelerin sağlık veya inanç verilerini işleyemeyeceğine ilişkin açıklaması, bunların faaliyet alanı ve amaçla ilgisizliği gerekçesine dayanır. Kurumun rehberinde ise sendikanın iş kazası geçiren üyesinin iş sağlığı ve güvenliği sürecini izlemesi için sağlık verisi işlemesi örnek gösterilir. Değerlendirme bu somut bağ üzerinden yapılmalıdır: üyelik işlemi için ilgisiz olan bilgi, farklı bir faaliyette ayrıca incelenebilir; bütün koşullar o faaliyet için yeniden aranır.³⁶

Eski üyelerin hükümde sayılması, onlara ilişkin her kaydın süresiz saklanabileceği anlamına gelmez. Aynı şekilde kuruluş içinde belirli amaçla tutulabilen bir kayıt, yalnız bu bende dayanılarak ilgisiz üçüncü kişilere açıklanamaz. Saklama, kullanım ve açıklama ayrı işlemler olarak değerlendirilmelidir. Bir yardım derneğinin veya sendikanın farklı faaliyetleri için farklı şartlar gündeme gelebilir; her faaliyetle o faaliyette kullanılan veri arasındaki ilişki kurulmadan kuruluşun bütün işlemleri tek bir bentle açıklanamaz.³⁷

10.5. Alenileştirme, hak koruma ve açık rızanın sınırları

Özel nitelikli veriler için açık rıza aranması, rızanın unsurlarını değiştirmez. Rıza belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olmalıdır. Burada özellikle hangi özel nitelikli verinin hangi amaçla kullanılacağının anlaşılması gerekir. Genel bir “bütün kişisel verilerimi işleyebilirsiniz” beyanı, birbirinden farklı sağlık, üyelik veya biyometrik işlemlerin kapsamını kendiliğinden belirlemez. Rızanın geçerliliği ve sunulma biçimi 9. bölümde açıklanan ölçütlerle değerlendirilir.³⁸

Alenileştirme ise açık rızadan ayrı bir işleme şartıdır. Üçüncü fıkranın (ç) bendi, verinin ilgili kişi tarafından alenileştirilmesini ve işlemenin onun alenileştirme iradesine uygun olmasını birlikte arar. Bir sağlık bilgisinin sızıntı sonucu internette bulunması veya başka bir kişinin paylaşımında görünmesi, bu bentteki kişinin kendi alenileştirmesiyle aynı değildir. Kurumun alenileştirme açıklaması da yalnız erişilebilirliği, kişinin bu yöndeki iradesinin yerine koymaz.³⁹

Kişinin kendi açıklaması bulunması da kullanım amacını sınırsızlaştırmaz. Kurumun rehberinde, acil durumda yararlanılması için kan grubunu aracının görülebilir bölümüne yazdıran kişinin örneği verilir. Açıklamanın anlaşılabilir amacı, verinin o amaçla kullanılmasını destekler; ilgisiz bir faaliyette kullanılmasını aynı bentle haklı kılmaz. Veri sorumlusu, gördüğü bilginin yalnız hangi kategoride olduğunu değil, kişinin onu neden kamuya sunduğunu da değerlendirmelidir.⁴⁰

Alenileştirilen bilginin kapsamı da korunur. Kişinin belirli bir hastalığını açıklaması, bütün sağlık geçmişini veya henüz açıklamadığı başka bilgileri alenileştirdiği anlamına gelmez. İşlenen veri ile kişinin açıklaması ve amacı arasında somut bir bağ bulunmalıdır. Turan Başara, özel nitelikli veriler için hükme eklenen alenileştirme iradesine uygunluk koşulunu daha güçlü korumayla ilişkilendirir. Bu koşul, gizlilik beklentisinin azaldığı bir ortamda da amaç ve kapsam denetiminin devam ettiğini gösterir.⁴¹

Bir hakkın tesisi, kullanılması veya korunması için zorunluluk, üçüncü fıkranın (d) bendinde bağımsız bir şarttır. Hüküm yalnız açılmış bir davayı savunmaktan söz etmez; hakkın kurulmasını ve kullanılmasını da kapsar. Bununla birlikte veri sorumlusu hangi hakkın söz konusu olduğunu ve özel nitelikli veriyi işlemeden bu hakkın neden tesis edilemediğini, kullanılamadığını veya korunamadığını açıklayabilmelidir. Bir verinin ileride işe yarayabileceğinin düşünülmesi, zorunluluğun gösterilmesiyle aynı değildir.⁴²

Bu değerlendirme kullanılacak bilginin miktarına da yönelir. Bir uyuşmazlıkta belirli bir sağlık olgusunun kanıtlanması gerekiyorsa, bütün sağlık dosyasının kullanılmasının neden zorunlu olduğu ayrıca incelenmelidir. İlgisiz ayrıntıların ayrılması veya daha dar bir kayıtla aynı hakkın korunabilmesi, uygulanacak yöntemin değerlendirilmesinde önem taşır. Kurumun rehberi, hakkın korunmasına ilişkin işlemin ilgili kişinin haklarına en az müdahaleyle gerçekleştirilmesini ve alternatiflerin incelenmesini vurgular.⁴³

Hak koruma şartı, bilginin elde edilme biçimini de inceleme dışına çıkarmaz. Rehberde avukatın dava dosyasına özel nitelikli veri sunması örneği, hukuka uygun elde edilmiş veri ve başka biçimde hakkın tesis edilememesi koşullarıyla anlatılır. Dolayısıyla “delil olarak kullanacağım” açıklaması, kaynağı ve kapsamı belirsiz her veri toplamayı haklı kılan genel bir izin değildir. Önceki elde etme, saklama ve somut dosyada açıklama, kendi koşulları bakımından ayrı değerlendirilmelidir.⁴⁴

Rızanın geri alınması veya belirli bir açıklama amacının sona ermesi durumunda da bu ayrımlar korunmalıdır. Hakkın korunması için bağımsız bir saklama şartı gerçekten bulunuyorsa, o şartın amacı, veri kapsamı ve gerekli süresi ayrıca belirlenir. Böyle bir şartın bulunması, rızaya dayanan bütün kullanımların sürdürülmesini sağlamaz; bulunmaması hâlinde ise kaydın arşivde tutuluyor olması tek başına dayanak değildir. Rıza, alenileştirme ve hak koruma, aynı kayıt bakımından farklı amaçlarla gündeme gelebilir; her kullanım kendi şartıyla açıklanmalıdır.⁴⁵

10.6. Kurulca belirlenen yeterli önlemler

Özel nitelikli bir verinin işlenmesi için hukuki dayanağın bulunması, bu verinin nasıl korunacağı sorusunu ortadan kaldırmaz. Kanun’un 6. maddesinin dördüncü fıkrası, Kurulun belirlediği yeterli önlemlerin ayrıca alınmasını şart koşar. Dolayısıyla açık rıza veya diğer işleme şartlarından biri mevcut olsa da bu yükümlülük devam eder. Bunun karşılığında, güvenlik önlemlerinin eksiksiz alınması da bulunmayan bir işleme şartının yerini tutmaz. İşlemenin dayanağı ile nitelikli koruma yükümlülüğü birlikte yerine getirilmelidir.⁴⁶

Bu ek korumanın kapsamı, Kurulun 31 Ocak 2018 tarihli ve 2018/10 sayılı kararında somutlaştırılmıştır. Karar; politika ve prosedür, çalışanlar, elektronik ve fiziksel ortamlar ile aktarım için önlemler öngörür; genel veri güvenliği rehberindeki tedbirlerin de dikkate alınmasını ister. Bu yapı, Kanun’un 12. maddesindeki genel güvenlik yükümlülüğünü ortadan kaldırmaz. Kurumun 2025 tarihli rehberi de risk değerlendirmesinde verinin niteliğinin, gerekli gizlilik düzeyinin ve ihlalin ilgili kişi üzerindeki muhtemel zararının gözetilmesini vurgular. Böylece yeterli önlemlere ilişkin özel kurallar ile somut risklere uygun güvenlik düzeyinin sağlanması birlikte ele alınır.⁴⁷

Kararın öngördüğü ayrı politika ve prosedür, yalnız bir belge hazırlanması anlamına gelmez. Kuralların açık, yönetilebilir ve sürdürülebilir olması gerekir. Özel nitelikli veriyi kimin, hangi görev için, hangi aşamada kullanabileceği belirlenmedikçe teknik erişim olanağı ile hukuki yetki birbirine karışabilir. Turan Başara da bu politika ve prosedürlerin işlerliğinin denetlenmesini ve ihtiyaçlara göre güncellenmesini gerekli görür. Bu nedenle kurumun genel bilgi güvenliği politikası yanında özel nitelikli verilerin işlenişini düzenleyen kuralların fiilen uygulanabilir olması önem taşır.⁴⁸

Çalışanlara ilişkin önlemler, işe girişte verilen bir eğitimle sınırlı değildir. Karar; düzenli eğitim, gizlilik sözleşmesi, erişim yetkisinin kapsam ve süresinin açıkça belirlenmesi ve periyodik yetki kontrolü ister. Görevi değişen veya işten ayrılan çalışanın bu alandaki yetkilerinin derhal kaldırılması ve kendisine tahsis edilen envanterin geri alınması da bu bütünün parçasıdır. Örneğin sağlık dosyalarına erişme yetkisi bulunan bir çalışanın başka bir göreve geçmesi, önceki erişimin ayrıca gözden geçirilmesini gerektirir; kurumda çalışmaya devam etmesi tek başına aynı erişimin sürmesi için yeterli açıklama oluşturmaz.⁴⁹

Elektronik ortamda koruma, veriyi şifrelemekten ibaret değildir. Karar, kriptografik yöntemlerle muhafazanın yanında anahtarların güvenli ve farklı ortamlarda tutulmasını, veriler üzerindeki tüm hareketlerin güvenli işlem kayıtlarının tutulmasını ve güvenlik güncellemelerinin izlenmesini öngörür. Ortamların ve erişim sağlayan yazılımların güvenlik testleri düzenli yapılmalı veya yaptırılmalı, sonuçları kaydedilmelidir; yazılım kullanıcılarının yetkilendirilmesi de gerekir. Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sağlanmalıdır. Bu son şartın kararda uzaktan erişim için düzenlenmiş olması, hükmün kapsamı açıklanırken korunmalıdır.⁵⁰

Fiziksel ortamın kullanılması, özel koruma ihtiyacını azaltmaz. Karar, ortamın niteliğine göre elektrik kaçağı, yangın, su baskını ve hırsızlık gibi risklere karşı yeterli güvenlik önlemlerinin alınmasını ve yetkisiz giriş çıkışların engellenmesini ister. Bu bakımdan kilitli bir dolap, erişim kontrolünün bir unsuru olabilir; dosyanın bulunduğu yerin diğer risklerini kendiliğinden ortadan kaldırmaz. Elektronik kayıt ile kâğıt dosyanın birlikte kullanıldığı bir süreçte ise koruma, yalnız sistemin veya yalnız arşivin güvenliği üzerinden değerlendirilemez.⁵¹

Aktarımda da hukuki izin ile kullanılan kanalın güvenliği ayrı ayrı değerlendirilir. Karar, e-posta için şifreli kurumsal e-posta adresiyle gönderim veya kayıtlı elektronik posta hesabının kullanılmasını; taşınabilir ortamlarda kriptografik şifreleme ve anahtarın farklı ortamda tutulmasını öngörür. Farklı fiziksel ortamlardaki sunucular arasında aktarımda VPN veya sFTP seçeneklerini gösterir. Kâğıt evrakta ise çalınma, kaybolma ve yetkisiz görülme risklerine karşı önlemlerle birlikte gizlilik dereceli belge formatında gönderim aranır. Bu kurallar, alıcının veriyi elde etmesinin hukuki dayanağını sağlamaz; hukuken izin verilen aktarımın güvenli yürütülmesine ilişkindir.⁵²

Önlemlerin fiilen uygulanması gereği, Kurulun 6 Ağustos 2021 tarihli ve 2021/761 sayılı karar özetinde somut olarak görülür. Hastanedeki erişim ve paylaşımı inceleyen Kurul, kurum kılavuzunda 2018/10 sayılı karara atıf yapılmasını yeterli bulmamıştır. Görüntüleme işlemlerinin de kayda alınmasını, erişim yetkilerinin açık bir matrisle belirlenmesini, çıktı alma prosedürünün oluşturulmasını ve personelin eğitilmesini istemiştir. Değerlendirmede sağlık hizmetinin ekip çalışması ve acil durumları da dikkate alınmıştır. Bu örnek, herkese sınırsız erişim ile hizmeti aksatabilecek bir kapatma arasında, göreve ve ihtiyaca göre tanımlanan yetkilerin önemini gösterir. Yayımlanan özetin 2024 öncesi işleme şartlarını aktaran kısımları ise bugünkü şartların açıklaması olarak kullanılmamalıdır.⁵³

10.7. Özel nitelikli verilerden çıkarım, karma veri kümeleri ve ayrımcılık riski

Bir veri işleme sürecinde kullanılan başlangıç bilgileri ile bu bilgilerden elde edilen sonuç aynı hukuki nitelikte olmayabilir. Kişinin ziyaret ettiği internet sayfalarından onun sağlık durumuna ilişkin bir profil oluşturulması, yalnız ziyaret kayıtlarının saklanmasından farklı bir faaliyettir. Muratoğlu, hedefli reklamcılık incelemesinde doğrudan sağlanan veya gözlemlenen bilgilerle bunlardan türetilen ve çıkarılan bilgileri ayırır. Hukuki inceleme de yalnız başlangıç verisine bakılarak tamamlanamaz; ortaya çıkan bilginin hangi kişiyle ilişkilendirildiği ve neyi açıkladığı ayrıca belirlenmelidir.⁵⁴

Bu yaklaşım, Kanun’un 6. maddesindeki sınırlı kategori sayımının genişletilmesi anlamına gelmez. Ayrımcılık riski taşıyan her tahmin kendiliğinden özel nitelikli veri değildir. Buna karşılık, listede yer alan sağlık veya inanç gibi bir konuya ilişkin bilginin doğrudan ilgili kişiden alınmamış olması da tek başına bu kategori dışında bırakılmasını haklı kılmaz. Somutlaştırılması gereken, belirli veya belirlenebilir kişi hakkında hangi bilginin oluşturulduğudur. Örneğin bir internet sayfasının ziyaret edilmesiyle kişiye belirli bir hastalık atfeden kaydın oluşturulması aynı şey değildir; böyle bir sonuç oluşturulduğu da her ziyaret için varsayılamaz.⁵⁵

Yüz görüntülerinin kullanımında kimlik doğrulama, kimlik tespiti ve sınıflandırma arasındaki ayrım bu sorunu görünür kılar. Meriç, doğrulama ve kimlik tespitini kişiye özgü özelliklerin karşılaştırılmasıyla, sınıflandırmayı ise kişinin belirli bir gruba dâhil edilmesiyle açıklar. Dolayısıyla bir sistemin kimin giriş yaptığını doğrulaması ile görüntüden etnik köken hakkında sonuç üretmesi farklı amaç ve çıktılar içerir. Birinci işleme izin veren dayanak, ikinciyi kendiliğinden kapsamaz. Ayrıca çıktının hangi özel kategoriye ilişkin olduğu, bütün görüntü analizlerinin yalnız “biyometri” adı altında değerlendirilmesiyle geçiştirilemez.⁵⁶

Çıkarımın yanılabilir olması ise ayrı bir sorundur. Kişi hakkında oluşturulmuş bir tahminin doğrulanmamış bulunması, o kaydın kişiyle ilişkisini ve açıkladığı bilgiyi inceleme gereğini ortadan kaldırmaz. Tahminin doğruluğu ile kişisel veri niteliği birbirinin yerine geçirilmemelidir. Kurumun üretken yapay zekâ rehberi de doğruluk ilkesini yalnız girdiler için değil, kişiler hakkında yanlış veya yanıltıcı bilgi içerebilen çıktılar için ele alır. Bu bakımdan bir olasılığın kesinleşmiş olgu gibi kaydedilmesi veya kararın dayanağı yapılması, hem kaydın içeriği hem de kullanım amacı yönünden değerlendirilmelidir.⁵⁷

Karma veri kümelerinde bir diğer güçlük, farklı nitelikteki bilgilerin aynı dosyada veya sistemde bulunmasıdır. Bir çalışan dosyası; iletişim bilgisi, ödeme kaydı ve sağlık raporunu birlikte içerebilir. Sağlık raporunun varlığı dosyadaki her ayrı bilgiyi sağlık verisine dönüştürmez; iletişim bilgilerinin bulunması da raporun özel niteliğini kaldırmaz. Buna karşılık dosyanın tamamına erişim verilmesi, özel nitelikli bilginin de erişime açılması sonucunu doğurabilir. Dolayısıyla kategori tespiti bilginin içeriği üzerinden, erişim ve paylaşımın kapsamı ise işlemin fiilen açığa çıkardığı bilgiler üzerinden yapılmalıdır.⁵⁸

Bu nedenle veri sorumlusu, veri kümesini elde etme şartıyla sonraki analiz ve kullanımın şartını ayrı ayrı açıklayabilmelidir. Genel nitelikli veriyi bir sözleşmenin yürütülmesi için kullanabilmek, ondan sağlık profili çıkarılmasına tek başına dayanak oluşturmaz. Kurumun üretken yapay zekâ rehberi, her işleme faaliyetinin belirlenip uygun şartın saptanmasını ister; sözleşmesel gereklilik ve meşru menfaatin özel nitelikli veriler için ayrıca öngörülmediğini hatırlatır. Yeni bir özel nitelikli bilgi üreten veya böyle bir bilgiyi başka amaçla kullanan süreç, bu sebeple yalnız ilk toplama anındaki değerlendirmeyle sürdürülemez.⁵⁹

Çıkarımın başka kişilere uzanması, özellikle genetik verilerde önem taşır. Genetik analiz sonucu, örneği alınan kişi dışında genetik irtibatı bulunan bir akraba hakkında da bilgi verebilir. Kurumun rehberi, böyle bir durumda başka ilgili kişilerin verilerinin işlenmesinin farklı bir işleme amacı doğurabileceğine dikkat çeker. Örneği veren kişinin belirli bir incelemeye ilişkin rızası, akrabanın ayrıca profillenmesini kendiliğinden kapsayan bir yetki gibi kullanılamaz. Hangi başka kişinin belirlenebilir olduğu, onun hakkında hangi bilginin işlendiği ve bunun hangi amaç ve şarta dayandığı ayrıca incelenmelidir.⁶⁰

Ayrımcılık riski, bu incelemenin yalnız bilgilerin gizli tutulmasına indirgenemeyeceğini gösterir. Sağlık veya etnik köken hakkında oluşturulan bir profil, kişinin belirli bir hizmete ilişkin seçeneklerin dışında bırakılmasında kullanılabilir; yanlış çıkarım da kişi aleyhine sonuç doğurabilir. Muratoğlu bu ihtimali hedefli reklamcılık bakımından tartışır; Kurumun üretken yapay zekâ rehberi de yanlı ve ayrımcı çıktılar riskine dikkat çeker. Bunlar, belirli bir sistemde ayrımcılığın gerçekleştiğinin veya ne sıklıkla gerçekleştiğinin ampirik kanıtı değildir. Her sınıflandırmanın hukuka aykırı olduğu da buradan çıkarılamaz; kullanılan ayrımın amacı, bilgilerin gerekliliği ve kişi üzerindeki etkisi somut olarak değerlendirilmelidir.⁶¹

İlgili kişinin haklarını kullanabilmesi bakımından da yalnız kendisinden alınan ham verileri göstermek yeterli bir yaklaşım oluşturmaz. Hakkında kişisel veri işlendiğini ve bunun amacını öğrenme, eksik veya yanlış işlenen verinin düzeltilmesini isteme hakları, Kanun’un 11. maddesinde düzenlenmiştir. Münhasıran otomatik analiz yoluyla kişi aleyhine sonuç doğması hâlindeki itiraz hakkı da kendi şartları içinde uygulanır; her çıkarım bu özel şartı taşımak zorunda değildir. Bu hakların somut kullanımı ile aydınlatmanın kapsamı ayrı konular olmakla birlikte, kişinin verilerinin hangi amaçla işlendiğini anlayabilmesi her ikisi bakımından önem taşır.⁶²

Bölümün dipnotları