Hassas Kişisel Veri Nedir? GDPR Özel Kategori Veriler ve Uyum Rehberi
Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye (veri sahibi) ilişkin her türlü bilgidir. Hassas kişisel veriler ise GDPR terminolojisiyle “özel kategori kişisel veriler” olarak adlandırılan, işlenmesi halinde veri sahipleri açısından daha yüksek risk doğurabilen veri gruplarını ifade eder.
Bu rehber; özel kategori verilerin kapsamını, hangi şartlarla işlenebileceğini, işleme faaliyetlerinde yasal dayanak ve rıza yönetimi yaklaşımını, DPIA/PIA gerekliliklerini ve kurumların Türkiye’de (TR) operasyonel gerçekliğine uygun uygulamaya dönük kontrol adımlarını yapılandırır.
Özel kategori veri: Irk/etnik köken, siyasi görüş, dini/felsefi inanç, sendika üyeliği, genetik, biyometrik (kimlik doğrulama amacıyla), sağlık ve cinsel yaşam/cinsel yönelim gibi veri gruplarıdır.
Kritik gereklilik: Bu verilerin işlenmesi için genel hukuki dayanak + özel şart birlikte ele alınır; çoğu durumda açık rıza ve/veya mevzuattan doğan istisnalar gündemdedir.
DPIA/PIA: Yüksek riskli işleme faaliyetlerinde etki analizi, teknik-idari tedbirlerin tasarımını ve hesap verebilirliği destekler.
Neden önemli? Yanlış yönetim; yüksek yaptırım riski, itibar kaybı ve operasyonel kesinti doğurabilir.
Özel kategori veri yönetimi; “metin” değil, uçtan uca süreç ve kontrol tasarımı işidir.
1. Hassas Kişisel Veri (Özel Kategori Veri) Nedir?
GDPR çerçevesinde özel kategori kişisel veriler, işlenmesi halinde veri sahibinin hak ve özgürlükleri açısından daha yüksek risk doğurabilen; ayrımcılık, damgalanma, ekonomik/mesleki kayıp veya mahremiyet ihlali gibi etkiler yaratabilen veri türleridir. Bu nedenle, işleme faaliyetleri daha sıkı şartlara ve güçlendirilmiş güvenlik tedbirlerine tabi tutulur.
Kurumsal perspektifte, “hassas veri” yalnızca veri alanı değildir; aynı zamanda toplama yöntemi, kullanım amacı, erişim modeli, saklama süresi, aktarımı ve imha kurgusu ile birlikte değerlendirilmelidir. Örneğin, biyometrik veri “kimlik doğrulama” amacıyla kullanıldığında özel kategori kapsamı açısından daha kritik hale gelir.
Neden Bu Kadar Kritik?
Özel kategori verilerde bir ihlal; yalnızca teknik bir olay değil, doğrudan yüksek idari para cezası riski, dava/şikâyet süreçleri, işveren markası ve itibar kaybı ve iş sürekliliği üzerinde ölçülebilir etkiler doğurabilir. Bu nedenle kurumlar, veri minimizasyonu ve “need-to-know” erişim modeli ile özel kategori verileri en dar kapsamda yönetmelidir.
2. Özel Kategori Veri Türleri ve Kurumsal Örnekler
GDPR, özel kategori kişisel verileri belirli başlıklar altında sınıflandırır. Kurumlar açısından önemli olan nokta; yalnızca “beyan edilen” veriler değil, aynı zamanda çıkarım (inference) yoluyla oluşan veya tahmine dayalı profilleme ile üretilen verilerin de özel kategoriye temas edebilmesidir.
| Özel Kategori Veri | Kurumsal Örnek (Süreç/Birim) | Tipik Risk |
|---|---|---|
| Irk veya etnik köken | İK çeşitlilik anketleri, eşitlik programları, çalışan geri bildirim formları | Ayrımcılık riski, erişim yetkisi ihlali |
| Siyasi görüş | Etkinlik kayıtları, üyelik/katılım verileri, sosyal medya analizleri (çıkarım dahil) | Profil çıkarımı, amaç dışı kullanım |
| Dini veya felsefi inanç | İzin/çalışma düzeni talepleri, yemek tercihleri (bağlamsal risk) | Mahremiyet ihlali, gereksiz toplama |
| Sendika üyeliği | Toplu iş süreçleri, bordro/yan haklar, resmi yazışmalar | Yetkisiz paylaşım, iç erişim ihlali |
| Genetik veriler | Sağlık taramaları, laboratuvar/raporlama süreçleri (varsa) | Yüksek hassasiyet, geri döndürülemez mahremiyet etkisi |
| Biyometrik veriler (tanımlama amacıyla) | Turnike/yüz tanıma, parmak izi ile erişim, mobil biyometrik doğrulama | Kalıcı tanımlayıcı; ihlalde yüksek zarar |
| Sağlık verileri | İşyeri hekimi kayıtları, raporlar, engellilik bilgisi, klinik tedavi verileri | Özel hayatın gizliliği; yüksek yaptırım riski |
| Cinsel yaşam / cinsel yönelim | Yan haklar (aile/partner), çalışan destek programları (EAP) (bağlamsal risk) | Damgalanma, ayrımcılık, itibar riski |
Kritik Not: Sağlık Verisi Kapsamı Geniştir
Sağlık verisi; yalnızca teşhis/rapor değil, geçmiş/şimdiki/gelecekteki fiziksel veya zihinsel sağlığa ilişkin bilgiler, test/inceleme sonuçları, biyolojik örnekler, genetik göstergeler, hastalık riski, engellilik, tıbbi geçmiş, klinik tedavi süreçleri gibi geniş bir yelpazeyi kapsayabilir. Kurumsal uygulamalarda bu kapsamın doğru anlaşılması, “yanlış sınıflandırma” kaynaklı uyum risklerini azaltır.
3. Riskler, İhlal Senaryoları ve Sonuçlar
Özel kategori veriler, siber saldırılarda ve iç suistimal vakalarında birincil hedefler arasındadır. Ancak risk yalnızca dış saldırı değildir; yanlış alıcıya e-posta gönderimi, yetkisiz iç erişim, fazla saklama, amaç dışı kullanım ve rıza/yasal dayanak uyumsuzluğu da önemli ihlal kaynaklarıdır.
Yaygın İhlal Senaryoları
- Rıza olmadan profil çıkarımı: Kullanıcı davranışlarından sağlık durumu, dini inanç veya cinsel yönelim gibi çıkarımlar üretilmesi.
- Üçüncü taraf izleme: Reklam hedefleme amaçlı özel kategoriyle ilişkilendirilebilecek verilerin toplanması/işlenmesi.
- Paylaşım kontrolü zayıf dokümanlar: Sağlık raporlarının e-posta/drive üzerinde yanlış yetkilendirme ile erişime açılması.
- Biyometrik sistemlerde hatalı kurgu: Biyometrik şablonların gereksiz süre saklanması veya şifrelenmemesi.
- Çalışan süreçleri: İK ve işyeri hekimi kayıtlarında erişim ayrışmasının yapılmaması.
Özel Kategori Verilerin Kötüye Kullanımının Kurumsal Etkisi
Özel kategori verilerde uyumsuzluk; düzenleyici incelemeler, para cezaları, tazminat talepleri, müşteri güven kaybı ve iş ortaklığı riskleri (sözleşmesel yaptırımlar, denetim bulguları) doğurabilir. Özellikle reklam hedefleme, takip teknolojileri ve belirsiz aydınlatma kurguları; kurumları gereksiz risk altında bırakır.
4. Uyum Mimarisi: Politika, Süreç ve Kontroller
Özel kategori veri uyumu; tek bir dokümanla tamamlanmaz. Sağlıklı bir mimari; politika, prosedür, kayıt ve teknik/idari kontrolleri birlikte ele alır. Kurum içinde “kim, hangi amaçla, hangi veri setine, hangi süreyle erişebilir?” sorusu net bir şekilde yanıtlanabilir olmalıdır.
Kurumsal Mimari Bileşenleri
- Veri envanteri & veri akış haritası: Özel kategori veri nerede doğuyor, kim işliyor, nereye aktarılıyor?
- Hukuki dayanak & kayıt yönetimi: İşleme şartı, saklama süresi ve aydınlatma/ri̇za kayıtları tutarlı mı?
- Erişim ayrıştırma: Rol bazlı erişim (RBAC), “need-to-know”, ayrı güvenlik alanları (segregation).
- Şifreleme ve anahtar yönetimi: Hem aktarımda hem depolamada; anahtarların güvenli yönetimi.
- Loglama & izleme: Yetkisiz erişim teşebbüsleri ve anomali tespiti için denetlenebilir kayıtlar.
- Saklama & imha: Süre bitiminde otomatik silme/anonimleştirme, yedeklerde de tutarlılık.
- Üçüncü taraf yönetimi: Tedarikçi sözleşmeleri, denetim hakları, alt işleyen kontrolü.
Mimari tasarımda, özellikle sağlık verileri, biyometrik sistemler ve çalışan verileri gibi alanlar için ayrı kontrol setleri ve ek onay mekanizmaları (ör. DPO/uyum birimi onayı) kurgulanması, denetim dayanıklılığını artırır.
5. Uygulanabilir Uyum Adımları (DPIA/PIA, Dayanak, Tedbirler)
Özel kategori verilerle çalışırken amaç; riskleri makul seviyeye indirmek ve hesap verebilirliği kanıtlayacak kayıt/kanıt setini oluşturmaktır. Aşağıdaki adımlar, kurumların TR’de ve AB ile ilişkili veri akışlarında pratik biçimde uygulayabileceği bir çerçeve sunar:
1. Hangi Verilerin Özel Kategori Olduğunu Netleştirin
Sınıflandırma çalışmasını “tek seferlik” değil, yaşayan bir süreç olarak tasarlayın. Özellikle çıkarım üretme (ör. davranışsal verilerden sağlık/dini inanç çıkarımı) ve bağlamsal hassasiyet (ör. yemek tercihi gibi verilerin dolaylı sonuçları) gibi alanlarda gri bölgeler oluşabilir. Bu nedenle veri sözlüğü, etiketleme ve iş kuralları net olmalıdır.
2. Mevcut Veri Süreçlerinizi Değerlendirin
Kurumunuzun hangi özel kategori verileri topladığını, üçüncü taraftan aldığını, ürettiğini ve aktardığını belirleyin. “Gerçekten gerekli mi?” sorusuna yanıt vererek veri minimizasyonu sağlayın. Gereksiz alanları form/sistemlerden kaldırın; saklama sürelerini iş ihtiyaçlarıyla hizalayın.
3. İşleme İçin Yasal Dayanak ve Özel Şartı Belirginleştirin
Özel kategori veri işleme, çoğu senaryoda açık rıza gerektirebilir; ancak her süreç açık rıza ile yönetilmeyebilir. Bu nedenle her işleme faaliyeti için:
- Amaç: İşleme amacı spesifik mi, ölçülebilir mi, geniş/soyut mu?
- Dayanak: Genel hukuki dayanak ile özel kategori işleme şartı birlikte tanımlı mı?
- Rıza yönetimi: Rıza özgür iradeye dayanıyor mu, geri alma süreçleri tasarlanmış mı?
- Kayıt: Aydınlatma metni, rıza logları, saklama/aktarim kayıtları denetlenebilir mi?
4. DPIA/PIA ile Etkiyi ve Riski Değerlendirin
Özel kategori veri işleme faaliyetlerinde yüksek risk ihtimali artar. Bu nedenle Veri Koruma Etki Değerlendirmesi (DPIA) ve/veya Gizlilik Etki Değerlendirmesi (PIA) ile; risk senaryolarını, kontrol tasarımını, kalıntı (residual) riski ve aksiyon planını yazılı hale getirin. “Rıza var” yaklaşımı tek başına yeterli olmayabilir; özellikle yüksek riskli süreçlerde ek kontroller ve iç onaylar gerekecektir.
5. Sağlık Verilerine Ekstra Özen Gösterin
Sağlık verileri için erişim ayrıştırması (ör. işyeri hekimi/İK ayrımı), ayrı saklama alanı, daha kısa saklama süreleri, güçlü şifreleme, dosya paylaşım kontrolleri ve sıkı loglama kritik önemdedir. Ülke bazlı farklı rejimler (AB üye devlet uygulamaları) olabileceği için sınır ötesi veri akışlarında ek değerlendirme yapılmalıdır.
6. Cezai Mahkûmiyet ve Güvenlik Tedbiri Verilerini Ayrı Ele Alın
Cezai mahkûmiyet ve güvenlik tedbirlerine ilişkin veriler GDPR kapsamında ayrı bir kategori olarak ele alınır ve daha kısıtlı şartlara tabidir. Bu veriler işleniyorsa; yetkilendirme, erişim kayıtları, saklama ve paylaşım kuralları özel olarak tasarlanmalıdır.
7. Teknik ve İdari Tedbirleri Standardize Edin
Özel kategori veriler için kurum içinde minimum kontrol seti tanımlayın. Örnek kontrol kalemleri:
- RBAC + MFA: Kritik sistemlerde çok faktörlü kimlik doğrulama ve rol bazlı yetki.
- Şifreleme: Aktarımda (TLS/VPN) ve depolamada (disk/db encryption) şifreleme; anahtar yönetimi.
- DLP / paylaşım kontrolü: E-posta ve dosya paylaşımında sızıntı önleme, etiketleme.
- Log & SIEM: Olay korelasyonu ve anomali tespiti; kritik alarmlar.
- Denetim izleri: Erişim, indirme, paylaşım ve silme işlemlerinin izlenebilirliği.
- İmha kurgusu: Saklama süresi sonunda silme/anonimleştirme; yedeklerde de tutarlılık.
- Tedarikçi kontrolleri: Sözleşmesel hükümler, alt işleyen yönetimi, denetim hakkı.
6. Sık Sorulan Sorular (SSS)
Özel kategori veri ile “normal” kişisel veri arasındaki temel fark nedir?
Özel kategori veriler, işlenmesi halinde veri sahibine etkisi daha yüksek olabilecek (ayrımcılık, damgalanma, mahremiyet ihlali gibi) veri gruplarıdır. Bu nedenle işleme şartları daha sıkıdır ve güçlendirilmiş teknik-idari tedbirler beklenir.
Açık rıza olmadan özel kategori veri işlenebilir mi?
Bazı senaryolarda mevzuattan doğan istisnalar gündeme gelebilir; ancak birçok süreçte açık rıza temel yaklaşım olabilir. Kritik olan; her işleme faaliyeti için dayanağın ve özel şartın netleştirilmesi, kayıt altına alınması ve veri minimizasyonunun sağlanmasıdır.
Biyometrik veri her zaman özel kategori midir?
Biyometrik veriler, özellikle kimlik doğrulama/benzersiz tanımlama amacıyla işlendiğinde özel kategori kapsamında yüksek riskli kabul edilir. Bu nedenle saklama süresi, şifreleme, erişim ayrıştırma ve alternatif doğrulama seçenekleri (gereklilik analizi) dikkatle tasarlanmalıdır.
DPIA/PIA hangi durumlarda gerekli olur?
Yüksek riskli işleme faaliyetlerinde (özellikle özel kategori veriler, geniş ölçekli izleme, profilleme, biyometrik doğrulama vb.) etki değerlendirmesi kurumsal hesap verebilirliğin temel araçlarındandır. Risklerin, tedbirlerin ve kalıntı riskin yazılı hale getirilmesi beklenir.
Sağlık verilerinde kurumlar en çok hangi hataları yapıyor?
En sık görülen hatalar; gereğinden fazla veri toplama, erişim ayrıştırmama (İK/işyeri hekimi ayrımı), paylaşımları kontrolsüz drive/e-posta kanallarında yürütme, saklama sürelerini belirsiz bırakma ve imha süreçlerini işletmeme şeklindedir.
Türkiye’de faaliyet gösteren bir kurum için ilk adım ne olmalı?
Öncelikle özel kategori verilerin geçtiği süreçleri belirleyip veri envanteri ve veri akış haritasını çıkarın. Ardından her süreç için amaç-dayanak-özel şart-aktarim-saklama kurgusunu netleştirip DPIA/PIA ile riskleri yönetin; teknik ve idari tedbirleri standartlaştırın.
