Özel nitelikli kişisel veri

Açılış sahnesi

Pazartesi öğleden sonra, Ilgaz Grup'un genel müdürlüğünde İK uzmanı Selin'in telefonu titriyor. Ilgaz Enerji'nin saha ekibinden bir teknisyen, mesajlaşma uygulamasından bir fotoğraf göndermiş: hastaneden aldığı üç günlük istirahat raporu. Fotoğrafta raporun tamamı okunuyor; teşhis satırı, reçetedeki ilaçlar, hastanenin psikiyatri polikliniği damgası. Altında tek satır: "Hocam, bunu sisteme girer misiniz, ekip şefime de iletirseniz sevinirim."

Selin fotoğrafı açık tutuyor. Rapor gerekli, istirahatin kayda geçmesi gerekli, ekip şefinin teknisyenin üç gün gelmeyeceğini bilmesi gerekli. Ama ekip şefinin teşhisi bilmesi gerekli mi? Ve bu fotoğraf şimdi Selin'in kişisel telefonunda, mesajlaşma uygulamasının bulut yedeğinde duruyor.

Selin, teknisyen ve Ilgaz Grup bu ders için kurgulandı.

Bu derste ne olacak

Önceki derste, M01-D01'de, bir bilginin kişiye götürüyorsa kişisel veri olduğunu gördük. Bazı kişisel veriler ise kanunun gözünde ötekilerden ağırdır: yanlış ellere geçtiğinde kişiyi işten, sigortadan, toplumdan dışlayabilecek veriler. Bu derste kanunun bu verileri nasıl saydığını, neden ayrı koruduğunu ve 2024'te bu korumanın nasıl değiştiğini ana hatlarıyla göreceğiz. Sonra işyerinde en sık karşılaşılan üç türe, sağlık, biyometrik veri ve sendika üyeliğine, gündelik örneklerle bakacağız. Son olarak sıradan bir bilginin ne zaman özel nitelikli bir bilgiyi ele verdiğini, yani kanunun net cevap vermediği yeri konuşacağız.

Kanun ne diyor

Kanun özel nitelikli kişisel verileri tek tek sayar.

Listenin ortak noktası, bu bilgilerin ayrımcılığa en açık bilgiler olmasıdır. Bir çalışanın maaşı sızdığında mahcubiyet yaşanır; teşhisi, sendika üyeliği ya da mezhebi sızdığında işini, terfisini ya da çevresindeki güveni kaybedebilir. Kanun bu yüzden kuralı tersten koyar.

Bu iki fıkra bir çalışana iki şey söyler. Birincisi: özel nitelikli veri kural olarak işlenmez, işlendiği her yerde kanundaki şartlardan biri bulunmalıdır. İkincisi: şart bulunsa bile veri sıradan veri gibi tutulmaz; ek önlem ister. Şartların her biri ve yeterli önlemlerin içeriği Bölüm II'de, M04'te ayrıntısıyla ele alınacak.

Uygulamada

2024 değişikliği: kısa bir harita

2 Mart 2024 tarihli değişiklikten önce kanun özel nitelikli verileri iki gruba ayırıyordu: sağlık ve cinsel hayat verisi bir rejime, ötekiler başka bir rejime bağlıydı ve işverenin çalışan sağlığına ilişkin işlemleri çoğu zaman açık rızaya sıkışıyordu. Değişiklik bu ikiliği kaldırdı ve bütün özel nitelikli veriler için tek bir şartlar listesi yazdı.

Bu değişiklik bir rahatlama gibi okunabilir, ama yasak yerinde duruyor. Şartlar genişledi; şartın yokluğunda veri işlenemez kuralı değişmedi.

Sağlık verisi her yerde

Sağlık verisi yalnız hastanede doğmaz. Bir istirahat raporu, bir ilaç kutusunun fotoğrafı, bir engellilik oranı, bir hamilelik bildirimi, bir kan grubu, bir diyet kısıtı da sağlık verisidir. İşyerinde en sık dolaşan özel nitelikli veri budur.

Biyometrik veri

Biyometrik veri, bir kişiyi bedeninden ya da davranışından tanımaya yarayan veridir. İşyerinde en çok giriş kapılarında ve mesai takibinde karşılaşılır.

Sendika ve dernek üyeliği

Sendika üyeliği listede açıkça sayılır, çünkü üyeliğin bilinmesi işyerinde baskıya ve ayrımcılığa en kolay dönüşen bilgidir. Dernek ve vakıf üyelikleri de aynı satırdadır.

Sıradan veri, özel sonuç

Bazı bilgiler kendi başına listede değildir ama listedeki bir bilgiyi ele verir. Bir bankanın kayıtları bunun en açık örneğidir.

Gri alan

Kanun listedeki bilgileri sayar ama bir bilginin listedeki bir bilgiyi ne zaman "ele verdiğini" söylemez. Bir yemek organizasyonu için toplanan menü tercihi listesinde "domuz eti içermeyen menü" ya da "oruç nedeniyle iftar saatinde servis" satırları kişinin inancını tahmin ettirebilir; ama herkes aynı gerekçeyle seçmez. Bir çalışanın her ay aynı gün aldığı yarım günlük izin, düzenli bir tedaviye işaret edebilir ya da etmeyebilir. Hesap hareketindeki bağış, bir inancın ya da yalnızca bir yakının cenazesinin izi olabilir.

Bu tahminlerin hangisinin özel nitelikli veri sayılacağı belirsizdir ve Kurul bir incelemede olayın bütününe, verinin hangi amaçla ve hangi yöntemle işlendiğine bakar. Kurumsal hayatta ise ayırt edici soru çoğu zaman şudur: bu veriyi bir sonuca varmak için mi kullanıyoruz? Menü listesini yalnız yemek siparişi için kullanan bir organizasyon ekibi ile aynı listeyi çalışanları gruplamak için kullanan bir analiz arasında büyük fark vardır. İkincisi yapılmak isteniyorsa karar hukuk biriminin ve uyum ekibinin masasında verilmelidir, analistin ekranında değil.

Senin masanda

Özel nitelikli bir veriyi gördüğünde ilk sorun şu olsun: işi yapmak için bu bilginin tamamı mı gerekiyor, yoksa yalnızca bir sonucu mu? Ekip şefinin "raporlu" bilgisine, ödeme planının "sağlık nedeniyle erteleme" bilgisine, vardiya planlamasının "acil durumda aranacak kişi" bilgisine ihtiyacı vardır. Teşhis, ilaç, oran ve inanç çoğu zaman o işin parçası değildir.

Bu tür bir belgeyi kişisel telefonuna, kişisel e-postana ya da mesajlaşma uygulamasına aldıysan, aslını kurumun belirlediği kanala ve dosyaya taşı ve kendi cihazındaki kopyayı sil. Bir çalışan ya da müşteri sana özel nitelikli veri gönderdiğinde onu kınama; bir dahaki sefere hangi kanalı kullanacağını nazikçe söyle.

Müşteri kaydının not alanına, bir e-postanın konu satırına ya da paylaşılan bir tabloya teşhis, sendika, inanç ya da ceza kaydı yazma. Bu alanlar özel nitelikli veri için tasarlanmamıştır ve kimin gördüğü genellikle bilinmez.

Bir liste, bir rapor ya da bir analiz hazırlarken bir sütunun özel nitelikli veriyi ele verdiğini fark edersen, onu çıkarmadan ya da hukuk birimine sormadan dağıtma.

Kendin dene

Aklında kalsın

Özel nitelikli kişisel veriler kanunda tek tek sayılır: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep ve diğer inançlar, kılık ve kıyafet, dernek, vakıf ve sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri, biyometrik ve genetik veriler.

Bu verilerin işlenmesi kural olarak yasaktır. Kanunda sayılan bir şart bulunduğunda işlenebilir ve o zaman bile Kurul'un belirlediği yeterli önlemler alınır. 2024 değişikliği şartları tek bir listede topladı; açık rıza artık o listedeki şartlardan yalnızca biridir.

İşyerinde en sık rastlanan üç tür sağlık verisi, biyometrik veri ve sendika üyeliğidir. Çoğu zaman işin ihtiyacı verinin kendisi değil, ondan çıkan tek bir sonuçtur: raporlu olmak, erteleme talebi, acil durum bilgisi.

Sonraki derse köprü

Selin raporun fotoğrafını açtı, okudu, kaydetmedi ve sonunda sildi. Sisteme yalnız tarihleri girdi. Peki Selin veriyi işlemiş sayılır mı? Bakmak, okumak, telefonda tutmak ve silmek kanun için ayrı ayrı birer eylem mi? M01-D03, kanunun işlemek kelimesine yüklediği geniş anlamı ele alacak ve bir iş günündeki en sıradan hareketlerin hangilerinin veri işleme olduğunu gösterecek.

Kendini sına

Soru 1 · Kavram

Aşağıdakilerden hangisi kanunun 6. maddesinde sayılan özel nitelikli kişisel verilerden biri DEĞİLDİR?

• A) Sendika üyeliği
• B) Aylık maaş tutarı
• C) Kılık ve kıyafet
• D) Ceza mahkûmiyeti

Cevap: B. Maaş tutarı bir kişisel veridir ve gizli tutulması gereken bir bilgidir, ama kanunun 6. maddesindeki listede yer almaz. Sendika üyeliği, kılık ve kıyafet ile ceza mahkûmiyeti listede açıkça sayılır.

Soru 2 · Senaryo

Bir çalışan, istirahat raporunun fotoğrafını İK uzmanının kişisel telefonuna gönderiyor ve ekip şefine iletilmesini istiyor. En uygun davranış hangisidir?

• A) Fotoğrafı olduğu gibi ekip şefine iletmek
• B) Fotoğrafı ekip şefinin de bulunduğu iş grubuna paylaşmak
• C) Teşhisi gizleyip fotoğrafı ekip grubuna atmak
• D) Raporu kurumun kanalına taşımak, ekip şefine yalnız istirahat tarihlerini bildirmek ve telefondaki kopyayı silmek

Cevap: D. Ekip şefinin işini yapması için istirahat tarihleri yeter; teşhis ve raporun aslı işyeri hekiminin ve özlük kaydının konusudur. Teşhisi gizlemek iyi bir adımdır, ama raporu bir mesajlaşma grubuna atmak verinin kimde kalacağını kontrolsüz bırakır.

Soru 3 · Tuzak

2024 değişikliğinden sonra özel nitelikli kişisel veriler için hangisi doğrudur?

• A) İşlenmeleri serbest bırakılmıştır
• B) Yalnızca açık rızayla işlenebilirler
• C) İşlenmeleri kural olarak yasaktır; kanunda sayılan şartlardan biri varsa ve yeterli önlemler alınırsa işlenebilirler
• D) Yalnızca sağlık verisi için şartlar değişmiş, ötekiler eskisi gibi kalmıştır

Cevap: C. Değişiklik yasağı kaldırmadı; bütün özel nitelikli veriler için tek bir şartlar listesi yazdı ve açık rızayı o şartlardan biri hâline getirdi. Yeterli önlem şartı da 6. maddenin dördüncü fıkrasında yerinde duruyor.

Soru 4 · Uygulama

Bir müşteri, çağrı merkezine tedavi gördüğü için faturasını geciktirdiğini anlatıyor. Temsilcinin müşteri kaydına yazması gereken not hangisidir?

• A) "Sağlık nedeniyle ödeme erteleme talebi"
• B) "Kemoterapi alıyor, ödeme ertelenecek"
• C) Hastalığın adı ve tedavinin yapıldığı hastane
• D) Hiçbir not yazmamak ve talebi kayda geçirmemek

Cevap: A. Ödeme planı için gereken bilgi bir erteleme talebi ve gerekçesinin genel niteliğidir; teşhis ve tedavi bilgisi not alanını gören herkese açılır. Hiç not yazmamak ise müşterinin talebinin kaybolmasına ve bir sonraki temsilcinin aynı soruları yeniden sormasına yol açar.