Özel Nitelikli Kişisel Veri Nedir? İşlenme Şartları
Kişisel verilerin tamamı aynı korumaya tabi değildir. Kanun, açığa çıktığında kişiyi ayrımcılığa veya mağduriyete uğratma riski yüksek olan bazı verileri ayırmış ve bunların işlenmesini kural olarak yasaklamıştır. Bu ayrımın nerede başladığını bilmek, hem veri sorumlusu hem de ilgili kişi bakımından belirleyicidir.
Kısa Cevap
Özel nitelikli kişisel veriler, 6698 sayılı Kanun’un 6. maddesinde tek tek sayılmıştır: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler. Bu verilerin işlenmesi kural olarak yasaktır; ancak 2024 yılında yenilenen yedi şarttan birinin varlığı hâlinde mümkündür. Her hâlde Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır. Açık rıza bulunması bile ölçüsüz veri toplamayı meşrulaştırmaz.
Hangi Veriler Özel Niteliklidir?
Liste kapalıdır; kanunda sayılmayan bir veri, ne kadar hassas görünürse görünsün bu kategoriye girmez.
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6. maddesinin birinci fıkrasına göre kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
Biyometrik verinin tanımı Kanun’da yer almaz. Danıştay 12. Dairesi’nin 16.05.2023 tarihli kararında bu boşluk, Avrupa Genel Veri Koruma Tüzüğü’ndeki tanıma atıfla doldurulmuştur: yüz görüntüleri veya daktiloskopik veriler gibi bir gerçek kişinin özgün bir şekilde teşhis edilmesini sağlayan veya teyit eden fiziksel, fizyolojik veya davranışsal özelliklere ilişkin veriler.
Aynı kararda avuç içi damar izinin, yalnızca kişiye ait olan ve kimliği doğrudan tanımlamaya yarayan fizyolojik bilgi içerdiği için biyometrik veri sayıldığı belirtilmiştir.
2024 Değişikliği: Yedi Şartlı Yeni Rejim
Bu alandaki en önemli gelişme, 2 Mart 2024 tarihli 7499 sayılı Kanun’la yapılan değişikliktir.
Değişiklikten önceki düzenlemede ikili bir ayrım vardı: sağlık ve cinsel hayat dışındaki özel nitelikli veriler yalnızca kanunlarda öngörülen hâllerde açık rıza aranmaksızın işlenebiliyor; sağlık ve cinsel hayata ilişkin veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca işlenebiliyordu.
Yürürlükteki hükme göre özel nitelikli kişisel verilerin işlenmesi yasaktır; ancak bu verilerin işlenmesi şu hâllerde mümkündür: ilgili kişinin açık rızasının olması; kanunlarda açıkça öngörülmesi; fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması; ilgili kişinin alenileştirdiği verilere ilişkin ve alenileştirme iradesine uygun olması; bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.
Buna ek olarak; sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması; istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması; ve siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluşların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla mevcut veya eski üyelerine yönelik olması hâlleri sayılmıştır.
Maddenin dördüncü fıkrası değişmemiştir: özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.
Danıştay 10. Dairesi’nin 20.11.2025 tarihli kararında bu değişikliğin etkisi değerlendirilmiş ve yapılan değişikliğin esasa müessir bir yönünün bulunmadığı, kişisel sağlık verilerinin ilgililerin açık rızası aranmaksızın işlenebileceği hâllerin önceki hâliyle benzer şekilde düzenlendiği belirtilmiştir.
Yargıtay Ne Diyor? Açık Rıza Ölçüsüzlüğü Meşrulaştırmaz
Uygulamada en yaygın yanılgı, “rıza aldım, o hâlde işleyebilirim” düşüncesidir.
Danıştay 12. Dairesi’nin 16.05.2023 tarihli kararına konu olayda bir kamu şirketi, personelin mesai takibi için avuç içi damar okuyucu sistemine geçmiş; tarama yaptırmayan personel hakkında disiplin işlemi yapılacağı da duyurulmuştur.
Daire, Kişisel Verileri Koruma Kurulu’nun 01.12.2020 tarih ve 2020/915 sayılı kararına dayanarak şu ölçütü benimsemiştir: kişisel verilerin işlenmesi ilgili kişinin iznine bağlı olarak gerçekleştirilse ve belirli bir amaca bağlı olsa bile, açık rıza aşırı miktarda veri toplanmasını meşrulaştırmaz; veriler yalnızca belirli amaçlar için ve gerektiği kadar toplanmalı, amacın gerektirdiği yerlerde kullanılmalıdır.
Kararda ayrıca, mesai takibinde çoğunlukla üstün güvenlik önlemi alınmasına ihtiyaç duyulan alanlarda kullanılan biyometrik veri işleme yöntemine başvurulmasının, Kanun’un 4. maddesindeki “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine aykırı olduğu vurgulanmıştır. İdarenin güvenlik gerekçesi, tüm birimlerde üstün güvenlik önlemi gerekliliğine ilişkin somut veri sunulmadığı için kabul edilmemiş ve işlem iptal edilmiştir.
Sağlık Verilerinde Aktarma Yasağı
Sağlık verileri, özel nitelikli veriler içinde en sık uyuşmazlık doğuran gruptur.
Danıştay 10. Dairesi’nin 20.11.2025 tarihli kararına konu davada, Sosyal Güvenlik Kurumu nezdindeki verilere ilişkin yönetmeliğin, sağlık hizmeti sunucularının sözleşme kapsamında Kurum adına işledikleri kişisel sağlık verilerini Kurum veri kayıt sistemi dışında hiçbir yere kopyalayamayacağı veya aktaramayacağı yönündeki hükmünün iptali istenmiştir.
Daire davayı reddederken şu tespiti yapmıştır: kişisel sağlık verilerine hassas niteliği gereği özel önem atfedilerek ilgilisinin açık rızası aranmaksızın işlenebileceği hâller tahdidi biçimde sayılmıştır; kişisel sağlık verilerinin aktarımında da aynı hâller şart koşulmuştur; bu hâller dışında kişisel sağlık verilerinin kopyalanmasına ya da aktarılmasına hukuki olanak bulunmamaktadır.
Kararda ayrıca, aksine bir yorumun kişisel sağlık verilerinin amacı dışında kullanılmasına ortam hazırlayacağı, işlenme amacıyla kullanılıp kullanılmadığının denetiminin zorlaşacağı ve ilgili kişilerin mağduriyetine yol açacağı belirtilmiştir.
Ceza Hukuku Boyutu ve Sınırı
Özel nitelikli veriler ceza hukukunda da ayrıca korunur; ancak bu koruma sınırsız değildir.
5237 sayılı Türk Ceza Kanunu’nun 135. maddesinin birinci fıkrasına göre hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir. İkinci fıkraya göre kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda verilecek ceza yarı oranında artırılır.
Buna karşılık her hassas görüntü kaydı bu maddeye girmez. Yargıtay 12. Ceza Dairesi’nin 20.01.2025 tarihli kararına konu olayda, görüntülü konuşma sırasında katılanın soyunmasına ilişkin görüntüler rızası dışında kaydedilmiş; ilk derece mahkemesi eylemi kişisel verilerin kaydedilmesi olarak nitelendirmiştir.
Bölge adliye mahkemesi bu hükmü kaldırarak, katılanın fiziksel ve cinsel mahremiyetine ilişkin soyunma görüntülerini kaydeden sanık hakkında ek savunma hakkı tanıyıp görüntü veya seslerin kaydedilmesi suretiyle özel hayatın gizliliğini ihlal suçundan mahkûmiyet kurmuş; Daire bu kararda hukuka aykırılık görmemiştir.
Ayrım şudur: kimliğe bağlanabilen bir bilgi olarak veri kaydı 135. madde, mahremiyete ilişkin görüntü veya ses kaydı ise 134. madde kapsamındadır.
İdari Yaptırımlar
Kanun, yükümlülüklere aykırılığı idari para cezasına bağlamıştır.
6698 sayılı Kanun’un 18. maddesine göre aydınlatma yükümlülüğünü yerine getirmeyenler, veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler, Kurul kararlarını yerine getirmeyenler ve Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında idari para cezası verilir. 2024 değişikliğiyle eklenen bende göre veri ihlali bildirimi yükümlülüğünü yerine getirmeyenler de ayrıca cezalandırılır.
Maddedeki tutarlar kanunda yazılı olan tutarlardır ve her yıl yeniden değerleme oranında güncellendiğinden, başvuru anında yürürlükteki tutarların ayrıca kontrol edilmesi gerekir.
Aynı maddeye 2024 yılında eklenen üçüncü fıkraya göre Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Bu, önceki dönemde sulh ceza hâkimliğine yapılan itiraz usulünü değiştiren önemli bir yenilik olmuştur.
Verilerin izinsiz paylaşılması hâlinde başvurulabilecek yollar için KVKK izinsiz veri paylaşımı yazımıza, genetik verilerin saklanması ve silinmesi için genetik inceleme verileri yazımıza, otomatik karar sistemleri için yapay zekâ ve kişisel veriler yazımıza ve işyerinde izleme tartışmaları için işyerinde mobbing ve psikolojik taciz yazımıza bakılabilir.
Uygulamada Ne Yapmalı?
- İşlediğiniz verinin kanunda sayılan on iki kategoriden birine girip girmediğini önce belirleyin.
- Özel nitelikli veri söz konusuysa hangi işleme şartına dayandığınızı yazılı olarak kayda geçirin.
- Açık rızaya dayanıyorsanız rızanın belirli, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmasını sağlayın.
- Rızayı disiplin işlemi baskısı altında almayın; bu rızayı geçersiz kılabilir.
- Amacı daha az veriyle gerçekleştirmek mümkünse biyometrik veri işlemeyin.
- Mesai takibi gibi amaçlarda kart veya şifre gibi alternatifleri değerlendirdiğinizi belgeleyin.
- Kurul tarafından belirlenen yeterli önlemleri alın ve aldığınızı ispat edebilecek kayıt tutun.
- Sağlık verilerini, işleme şartını sağlayan sistem dışına kopyalamayın veya aktarmayın.
- Veri ihlali hâlinde bildirim yükümlülüğünü süresinde yerine getirin.
- İdari para cezasına karşı idare mahkemesinde dava yolunun açık olduğunu göz önünde bulundurun.
Sık Sorulan Sorular
Telefon numarası özel nitelikli veri midir? Hayır. Özel nitelikli veriler 6698 sayılı Kanun’un 6. maddesinde tek tek sayılmıştır; telefon numarası bu listede yer almaz ve genel nitelikli kişisel veri sayılır.
Parmak izi veya yüz tanıma özel nitelikli veri midir? Evet. Bunlar biyometrik veridir. Danıştay 12. Dairesi’nin 16.05.2023 tarihli kararında avuç içi damar izinin biyometrik veri olduğu kabul edilmiştir.
İşveren mesai takibi için parmak izi alabilir mi? Anılan kararda, mesai takibi amacıyla biyometrik veri işlenmesinin “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine aykırı olduğu belirtilerek işlem iptal edilmiştir.
Rıza verirsem her şey işlenebilir mi? Hayır. Aynı kararda açık rızanın aşırı miktarda veri toplanmasını meşrulaştırmayacağı açıkça vurgulanmıştır.
Sağlık verim başka bir kuruma aktarılabilir mi? Danıştay 10. Dairesi’nin 20.11.2025 tarihli kararına göre aktarımda da işlemeyle aynı tahdidi hâller aranır; bu hâller dışında kopyalama veya aktarma hukuken mümkün değildir.
Özel nitelikli verimi izinsiz kaydeden kişi ceza alır mı? Türk Ceza Kanunu’nun 135. maddesinin ikinci fıkrasına göre veri, sayılan hassas kategorilere ilişkinse verilecek ceza yarı oranında artırılır.
Sonuç
Özel nitelikli kişisel veri rejiminin özü, listeye girmenin işlemeyi kural olarak yasaklamasıdır. 2024 değişikliği bu yasağın istisnalarını yeniden düzenlemiş ve tek bir maddede yedi şart hâlinde toplamıştır. Ancak istisnaya girmek tek başına yetmez: Kurul’un belirlediği yeterli önlemler alınmalı ve ölçülülük ilkesine uyulmalıdır. İdari yargı kararlarının gösterdiği çizgi nettir; rıza alınmış olması, amacı daha az veriyle gerçekleştirmek mümkünken biyometrik veri toplamayı hukuka uygun hâle getirmemektedir.
Dayanak Mevzuat ve Kararlar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 3, 4, 5, 6, 8, 18
- 7499 sayılı Kanun m. 33, 35, 36 (02.03.2024)
- 5237 sayılı Türk Ceza Kanunu m. 134, 135
- Türkiye Cumhuriyeti Anayasası m. 20
- Danıştay 12. Dairesi, E. 2021/3870, K. 2023/2548, T. 16.05.2023
- Yargıtay 12. Ceza Dairesi, E. 2022/4466, K. 2025/655, T. 20.01.2025
- Danıştay 10. Dairesi, E. 2022/1941, K. 2025/5470, T. 20.11.2025
Hukuki Bilgilendirme
Bu yazı genel bilgilendirme amaçlı olarak hazırlanmıştır; hukuki görüş veya vekâlet ilişkisi doğurmaz. Veri işleme faaliyetinin hukuka uygunluğu somut amaç, kapsam ve alınan teknik önlemlere göre değiştiğinden, süreç incelenmeden değerlendirme yapılmamalıdır. İdari para cezası tutarları her yıl güncellendiğinden yürürlükteki tutarlar ayrıca kontrol edilmelidir.
Yayın tarihi: 20.08.2026 · Son güncelleme: 20.08.2026 Hazırlayan: Av. Şerafettin Kaya · Gebze / Kocaeli · 0534 545 23 32 · www.serafettinkaya.av.tr