6698 sayılı Kişisel Verilerin Korunması Kanunu’nu (“Kanun”) uyarınca kişisel veriler iki kategoriye ayrılmıştır. Bunlar; i) kişisel veriler, ii) özel nitelikli kişisel verilerdir. Kanun uyarınca kişisel veri; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanmaktadır. Her türlü bilgi deyimi ile aslında sadece bireyin kesin teşhisini sağlayan ad, soyad, tckn, doğum tarihi, doğum yeri gibi bilgiler değil; aynı zamanda bireyinkimliğinin belirlenebilir kılınmasını sağlayan fiziki, ailevi, ekonomik, sosyal ve buna benzer özelliklere ilişkin bilgiler de kastedilmektedir. Kanun’da kişisel veriler, özel nitelikli kişisel verilerin aksine sınırlı sayma yoluyla sayılmamıştır. Dolayısıyla her somut olayın özelliğine göre kişisel verinin kapsamının genişletilmesi ve bir bilginin kişisel veri niteliği taşımasımümkündür. Kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez fakat Kanun’un 5. maddesinin 2. fıkrasındaki hukuki sebeplerden birinin bulunması halinde ilgili kişinin açık rıza olmaksızın işlenebilir.
Kişisel verilerin aksine özel nitelikli kişisel veriler, daha sıkı yöntemlerle korunmaya ihtiyaç duyulan hassas veri olarak sınıflandırılmaktadır. Özel nitelikli kişisel veriler, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağduriyetine veya ayrımcılığa maruz kalmasına sebep olabilecek nitelikteki verilerdir. Kanun’da özel nitelikli kişisel verilerin ne olduğuaçıkça belirtilmiş olup bunların dışındaki veriler özel nitelikli kişisel veri olarak kabul edilmemektedir.
Kanun’da; “Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvelik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri” özel nitelikli kişisel veri olarak sayılmıştır ve bu veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez fakat Kanun’un 6. maddesinin 3. fıkrasındaki hukuki sebeplerden birinin bulunması ve Kişisel Verileri Koruma Kurul’u (“Kurul”) tarafından belirlenen yeterli önlemlerin alınması halinde ilgili kişinin açık rızası olmaksızın işlenebilir.
Bu kapsamda; özel nitelikli kişisel veriler işleyen Veri Sorumlarının, Kurul’un 31/01/2018 tarihli ve 2018/10 sayılı kararında sayılan yeterli önlemleri aldıklarından ve bu verilerin gizlilik ve güvenliğinin daha sıkı yöntemlerle sağlandığından emin olmaları şarttır.
