Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Önlemler (2023 Güncel)

Özel nitelikli kişisel verilerin işlenmesi normal kişisel verilerin işlenmesinden farklılıklar bulunmaktadır. Bu farklılıkları Kişisel Verileri Koruma Kurumu tarafından yayımlanmıştır. Bu yazımızda özel nitelikli kişisel verilerin işlenmesi için gerekli önlemlerden bahsedeceğiz.

Özel Nitelikli Kişisel Veri Nedir?

Özel nitelikli kişisel veriler, Kişisel Verileri Koruma Kanununun 6/1  maddesinde tanımlanmaktadır. Tanıma göre kişilerin 

• ırkı, etnik kökeni, 
• siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları,
• kılık ve kıyafeti, 
• dernek, vakıf ya da sendika üyeliği, 
• sağlığı, cinsel hayatı, biyometrik ve genetik verileri,
• ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri,

özel nitelikli kişisel veridir.

Tanımdan yola çıkarak kişilerin kimliklerine derinden bağlantı kuran ve bilinmesi halinde kişilere karşı ayrımcılığa yol açma ihtimali olan veriler özel nitelikli kişisel veri olarak adlandırılmaktadır.

Özel Nitelikli Kişisel Verileri İşlerken Alınması Gereken Önlemler

Kanunun 6. maddesinin 4. fıkrasında özel nitelikli kişisel verilerin işlenmesinde özel önlemlerin alınması gerektiği ve bu gerekli önlemleri de Kurulunun belirleyeceği ifade edilmiştir. Bunu üzerine Kurul 2018 yılında gerekli önlemleri içeren bir karar yayınladı. Bu karar göre alınması gereken önlemler şu şekildedir:

Ayrı Bir Politika Belirlenmeli

Özel nitelikli kişisel verilerin  işlenebilmesi için genel nitelikli kişisel veri politikalarından farklı, özelleştirilmiş bir politikanın belirlenmesi gerekmektedir.

Bu politika şu özelliklere sahip olmalıdır

• Sistemli olmalı
• Kuralları net ve anlaşılabilir olmalı
• Yönetilebilir olmalı
• Sürdürülebilir olmalı

Çalışanların Denetlenmesi ve Eğitilmesi

• Özel nitelikli kişisel verileri işleyen kurumlar, veri işleme işlemini yapan çalışanlara düzenli olarak Kanunun ve ilgili yönetmeliklerin gereklilikleri hakkında bilgi eğitimler düzenlenmelidir.
• Çalışanlar ile kurumları arasında gizlilik sözleşmesi yapılmalı
• Verilere erişim yetkisine sahip çalışanların yetkilerinin ve sürelerinin açıkça belirlenmesi gerekir.
• Periyodik olarak yetki kontrolleri yapılmalı
• Görev değişikliği yapan çalışanlarının yetkilerinin derhal değiştirilmesi veya kaldırılması gerekmektedir. Ayırca çalışana veri envanteri verilmişse geri alınmalıdır.

Elektronik Ortamların Düzenlenmesi

• Veriler kriptografik ortalarda muhafaza edilerek güvenliğinin sağlanması
• Kriptografinin anahtarı farklı ve güvenli ortamlarda saklanmalı
• Kişisel verilerin üzerinde gerçekleştirilen işlemlerin hepsinin kaydedilmesi 
• Verilerin bulunduğu ortamların güncel tutulması ve sürekli güvenliğinin test edilmesi 
• Veriler bir yazılım aracılığıyla şirket içerisinde yönetiliyorsa bu yazılımda kişilerin yetkilendirilmesi gerekir.
• Verilere uzaktan erişim izni verilirseen az iki kademeli güvenlik önlemi alınmalı

Fiziki Ortamların Düzenlenmesi

• Ortamın fiziki güvenliği (yangın, sel, hırsızlık) sağlanmalı
• Yetkisiz giriş çıkışlara izin verilmemeli

Özel Nitelikli Kişisel Verilerin Aktarılması

• Aktarım e-posta yoluyla yapılacaksa mailin şifrelenmesi, kurumsal e-posta üzerinden KEP kullanılarak aktarılması gerekir.
• Fiziki bellekler ile taşınacaksa (bellek, CD, DVD) kriptografi ile şifrelenerek anahtarının farklı ortamlarda saklanması gerekir.
• Farklı fiziki ortamlar arasında aktarım yapılacaksa VPN ve sFTP kullanılarak aktarım yapılmalı.
• Kağıt aracılığıyla aktarılacak belgeler içinse fiziki güvenlik önlemlerinin alınması ve “gizlilik dereceli belgeler” formatında iletilmesi gerekir.

Kişisel Verilerin Güvenliği Rehberi

Yukarıda saydıklarımız özel nitelikli kişisel verilerin güvenliği için gerekli önlemler. Bu önlemlerin yanı sıra genel nitelikteki kişisel verilerin güvenliği için gerekli olan önlemler de yine özel nitelikli kişisel verilerin işlenmesi için gereklidir. Bu genel önlemlere Kişisel Verilerin Güvenliği Rehberinden ulaşabilirsiniz.

Özel Nitelikli Kişisel Verilerin Korunmasındaki Haklar Neler?

Özel nitelikli kişisel veriler yukarıdaki önlemlerle korunmazsa ve veri ihlali gerçekleşirse gizliliği ihlal edilen kişiler ne yapabilir? İlgili kişinin haklarına bu yazımızdan ulaşabilirisiniz.

Kişisel veriler alanında kendinizi geliştirmek için diğer yazılarımıza bakabilirsiniz.