Özel nitelikli kişisel veri, ifşa edildiğinde kişinin ayrımcılığa ya da mağduriyete uğramasına yol açabilecek türden hassas veridir. Sağlık durumu, din veya inanç, siyasi görüş, etnik köken, cinsel hayat, biyometrik ve genetik veriler ile ceza mahkumiyeti kayıtları bu kategoriye girer. Yasa bu verileri sıradan kişisel veriden ayırarak daha yüksek bir koruma çıtası tanımlar.

Özel nitelikli veri, yanlış ellere geçtiğinde kişiye en çok zarar verebilecek, bu yüzden en sıkı korunması gereken veri sınıfıdır.

Neden Ayrı Bir Kategori?

Sıradan bir kişisel verinin, örneğin bir adresin ifşası rahatsız edici olabilir; ancak bir kişinin inancının, sağlık geçmişinin ya da siyasi tercihinin açığa çıkması, o kişiyi işten çıkarılmaya, dışlanmaya ya da doğrudan zarara maruz bırakabilir. Kanun bu asimetrik riski tanıdığı için özel nitelikli veriyi ayrı düzenler ve daha katı işleme şartlarına bağlar.

Bu ayrım pratikte şu anlama gelir: özel nitelikli veriyi işlerken kurum, standart tedbirlerin ötesinde ek güvenlik önlemleri almakla yükümlüdür. Verinin şifreli saklanması, erişimin dar bir yetkili grubuyla sınırlanması ve erişim kayıtlarının tutulması bu önlemlerin tipik örnekleridir.

İşleme Şartları

KVKK, özel nitelikli veriyi işlemeyi kural olarak yasaklar ve yalnızca sayılı istisnalarda serbest bırakır. Sağlık verisi dışındaki özel nitelikli veriler için ilgili kişinin açık rızası ya da kanunun öngördüğü belirli haller aranır; sağlık ve cinsel hayata ilişkin veriler ise ancak sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca, belirli amaçlarla işlenebilir. Bu istisnaların hiçbiri yoksa işleme baştan hukuka aykırıdır.

Rızaya dayanan işlemede, kişiye ne işlendiğinin ve neden işlendiğinin açıkça anlatılması gerekir; bu yüzden özel nitelikli veri, aydınlatma yükümlülüğü ve açık rıza süreçlerinin en titiz uygulandığı alandır. Rıza, veri işlenmeden önce ve özgür iradeyle alınmalıdır.

Kurumsal Yükümlülük

Bir kurum bu verileri nerede tuttuğunu bilmeden koruyamaz. Bu nedenle özel nitelikli veri kalemleri, kişisel veri işleme envanteri içinde ayrıca işaretlenir ve bu kalemler için alınan ek güvenlik tedbirleri belgelenir. Envanterde görünmeyen bir hassas veri, korunmadığı gibi denetimde de risk oluşturur.

Bu verilerin sistemde gerçekten şifreli, erişimi kısıtlı ve izlenebilir biçimde durup durmadığı çoğu zaman mimari düzeyde belli olur. Altyapı ve mimari gözden geçirme hizmetimiz ile özel nitelikli verinin fiziksel konumunu, erişim yetkilerini ve şifreleme durumunu inceleyerek yasadaki ek güvence şartının uygulamada karşılanıp karşılanmadığını doğruluyoruz.