Özel Nitelikli Veri ve Biyometri: Kurumda Nerede Birikir?

Özel nitelikli veri, kurumların en az planladığı ama en çok biriktirdiği veri türüdür. Sağlık raporu, biyometrik geçiş kaydı ya da engellilik beyanı hiçbir zaman “özel nitelikli veri deposu” diye adlandırılan bir yere konmaz; bir İK klasörüne, bir SharePoint kütüphanesine, bir e-posta ekine, bir bordro tablosunun yan sütununa konur. 2026 yılında Kurul’un biyometrik veriyle ilgili ilke kararı, bu verinin yalnız nasıl toplandığının değil, toplandıktan sonra nerede kaldığının da sorulacağını gösterdi.

Özel nitelikli veri neden ayrı bir sınıf

Kanun’un özel nitelikli veri hükümleri sağlık, biyometrik ve genetik veri, din ve mezhep, siyasi görüş, sendika üyeliği, ceza mahkûmiyeti gibi kategorileri diğer kişisel verilerden ayırır. Ayrımın gerekçesi, bu verilerin açığa çıkması halinde kişinin ayrımcılığa uğraması ya da ciddi zarar görmesi riskidir. Bu nedenle işleme şartları daha dar, güvenlik tedbirleri daha ağırdır.

Kurum’un “Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber”i, bu verilere erişen personelin sınırlı tutulması, erişim yetkilerinin kayıt altına alınması, elektronik ortamda saklanan verinin şifrelenmesi ve fiziksel ortamların korunması gibi tedbirleri bir arada ele alır. Rehberin kurumsal operasyon açısından en önemli sonucu şudur: bu tedbirlerin hiçbiri, verinin nerede olduğu bilinmeden uygulanamaz. Erişim yetkisi sınırlandırılacaksa hangi klasörün, hangi kütüphanenin, hangi tablonun erişimi sınırlandırılacak sorusu önce yanıtlanmalıdır.

Bu yazı hukuki tavsiye değildir. Kurul kararlarının ve rehberin kurumunuza uygulanması, hukuk biriminizle birlikte değerlendirilmelidir.

2026/921 kararı: biyometrik veriyle ilgili ne söylendi

Kurul, 29.04.2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”na ilişkin görüş taleplerini yanıtlayan bir kamuoyu duyurusunu 27 Ağustos 2026’da yayımladı. Duyuruya göre karar 2 Haziran 2026’da Resmî Gazete’de yayımlanmıştır ve yalnız mesai takibi amacıyla yapılan biyometrik veri işlemelerini kapsar.

Duyurunun özetinde öne çıkan noktalar şunlardır: Yalnızca mesai takibi amacıyla biyometrik veri işlemek hiçbir işleme şartına dayanmamaktadır; çalışanın açık rızası alınsa bile ölçülülük sağlanmamaktadır. Parmak izi, damar izi ve avuç içi biyometrik veridir ve bu verinin koda çevrilerek (şablon olarak) saklanması biyometrik niteliğini ortadan kaldırmaz. Yüksek güvenlik riski taşıyan tesislerde kritik alanlara erişim için sınırlı ve ölçülü kullanım mümkündür. Karar yalnız mesai takibi amaçlı işlemeleri kapsar; başka amaçlar kararın konusu değildir.

Kurum ayrıca 13 Ekim 2026’da “Kişisel Verilerin Korunmasında Güncel Gelişmeler: 2026 İlke Kararları ve Kamuoyu Duyuruları” başlıklı bir webinar düzenleyerek bu kararı diğer 2026 gelişmeleriyle birlikte ele aldı.

Kararın kendisi işleme şartına ilişkindir ve bu yazının konusu olan “nerede birikir” sorusu kararın dışındadır. Ancak operasyonel sonucu açıktır: mesai takibi amacıyla biyometrik sistem kullanmış bir kurum, yalnız sistemi devre dışı bırakmakla kalmaz; sistemin yıllar içinde ürettiği şablon dosyaları, geçiş kayıtları, dışa aktarılmış raporlar ve yedekler nerede duruyorsa onları da bulmak ve ne yapacağına karar vermek zorundadır.

Biyometrik veri nerede kalır

Bir biyometrik geçiş ya da mesai takip sistemi devre dışı bırakıldığında sistemin veritabanı çoğu zaman cihazla birlikte kurumu terk eder. Terk etmeyen ise sistemin çevresinde biriken her şeydir. Tipik örnekler:

• Mesai takip yazılımının aylık dışa aktarmaları: personel adı, sicil numarası, giriş çıkış saatleri ve çoğu zaman cihazdan gelen şablon kimliği, bir Excel dosyası olarak İK paylaşımına ya da bordro klasörüne kaydedilir.
• Cihaz yedekleri: tedarikçinin kurduğu yedekleme işi, şablon veritabanını bir dosya sunucusuna ya da bir S3-uyumlu depoya kopyalar; sözleşme bitince yedekleme işi durur ama dosyalar kalır.
• Kayıt formları: ilk kurulumda çalışanlardan alınan rıza ve kayıt formları, taranmış PDF olarak bir SharePoint kütüphanesinde durur.
• E-posta arşivleri: tedarikçiyle yazışmalarda ek olarak gönderilen örnek dışa aktarmalar, bir PST arşivinde yıllarca kalır.

Beşinci bir nokta, veritabanı tarafıdır: tedarikçi yazılımı kurumun kendi SQL Server ya da PostgreSQL sunucusuna kurulmuşsa şablon tablosu, geçiş kayıtları ve personel eşleme tablosu o sunucuda kalır; uygulama kaldırılsa bile şema çoğu zaman silinmez ve raporlama rolleri okumaya devam eder.

Bu kopyaların ortak özelliği, hiçbirinin “biyometrik veri” olarak etiketlenmemiş olmasıdır. Dosya adı “mesai_2023_03.xlsx”tir; içindeki şablon kimliği sütunu bir sayı dizisi gibi görünür. Kayıt, sistemin kendisinden çok daha geniş bir erişimle durur.

Sağlık verisi nerede birikir

Sağlık verisi çoğu kurumda biyometrik veriden daha yaygın ve daha dağınıktır. İşyeri hekimliği süreci tek başına birden fazla birikim noktası üretir: işe giriş ve periyodik muayene formları, iş göremezlik raporları, meslek hastalığı yazışmaları, ilaç ve tedavi beyanları. Bu belgeler İK’nın “Personel Özlük” klasöründe çalışan adıyla açılmış alt klasörlerde ya da işyeri hekiminin kendi bilgisayarının yerel diskinde durur.

İkinci büyük birikim noktası tamamlayıcı sağlık sigortası ve yan haklardır. Poliçe başvuru formlarında kronik hastalık beyanı, bağımlıların sağlık bilgileri ve tazminat talepleri bulunur; sigorta aracısıyla yapılan e-posta yazışmaları bu bilgileri ek olarak taşır. Üçüncü nokta, izin ve devamsızlık süreçleridir: rapor ekleri, ICD tanı kodunu içeren hastane çıktıları, engellilik oranı belgeleri.

ICD kodu burada özel bir yer tutar. “ICD” uluslararası hastalık sınıflandırmasıdır ve bir kod, bir kişiyle yan yana geldiğinde o kişinin tanısını açıkça ifade eder. Kodun kendisi kısa ve yapısaldır; bu nedenle metin içinde kolay bulunur ama bağlamsız bulunduğunda yanlış pozitif de üretir. Bir ürün kodu ya da bir sipariş numarası benzer bir desene sahip olabilir. Seratus’un Türkçeye özel tespit motoru ICD kodunu bağlamıyla değerlendirir, her bulguya güven yüzdesi verir ve maskeli örnek gösterir; son karar insan onayıyla verilir. “Örneklemde bulunmadı” bir risk kararı değildir; yalnız o örneklemde desene rastlanmadığını söyler.

“Özel nitelikli veri geniş paylaşımda” açığı

Özel nitelikli veriyle ilgili en yaygın operasyonel açık, verinin varlığı değil, erişim genişliğidir. Bir sağlık raporu İK klasöründe durabilir; sorun, o klasörün “Domain Users” ya da “kuruluştaki herkes” tarafından okunabilir olmasıdır. Bu açık üç biçimde ortaya çıkar:

Devralınan izinler. Üst klasöre yıllar önce verilmiş geniş bir okuma izni, altına açılan her yeni personel klasörüne devralınır. Klasörü açan İK uzmanı, izin verdiğini düşünmez; izni ayarlamamıştır, miras almıştır.

Paylaşım linkleri. Bir rapor ekini yöneticiyle paylaşmak için oluşturulan “kuruluştaki herkes” linki, yöneticiye gönderildikten sonra unutulur; link, dosya silinene kadar geçerlidir ve dosyanın yolu bilinmese de arama sonuçlarında görünür.

Ayrılmış kullanıcılar ve yetim erişimler. İşten ayrılan işyeri hekiminin hesabı kapatılmış ama yerel diskindeki klasör paylaşıma taşınmıştır; paylaşımdaki ACL, artık çözülemeyen bir SID’ye işaret eder. Kimin erişebildiği sorusuna net yanıt verilemez.

Seratus bu bileşimi, yani içerik sınıflandırmasıyla erişim bilgisini birleştirerek “özel nitelikli veri geniş paylaşımda” bulgusu olarak üretir. Bulgu, KVKK hazırlık puanını düşüren “açıklar” listesinde yer alır ve iyileştirme akışına girer.

Operasyon planı: bulmak, daraltmak, karar vermek

Özel nitelikli veri için uygulanabilir bir plan üç aşamadan oluşur. İlk aşama keşiftir: dosya sunucuları, yerel diskler, Microsoft 365, veritabanları, nesne depolama ve e-posta arşivlerinde sağlık ve biyometrik desenleri tarayıp sınıflandırmak. Bu aşamada “sağlık verisi” etiketinin taksonomide ayrı bir gizlilik derecesine bağlı olması gerekir; aksi halde bir muayene formu ile bir kantin menüsü aynı düzeyde kalır.

İkinci aşama erişimin daraltılmasıdır. Her bulgu için “kim erişebiliyor” sorusu yanıtlanır; devralınan geniş izinler, anonim ya da kuruluş geneli paylaşım linkleri ve çözülemeyen SID’ler listelenir. İzin kaldırma, karantina ya da maskeleme eylemi sorumluya atanır ve ayrı onay yetkisiyle yürütülür.

Üçüncü aşama saklama kararıdır. Amacı sona ermiş biyometrik dışa aktarmalar, süresi dolmuş sağlık raporları ve kopya kayıt formları için imha ya da anonimleştirme akışı başlatılır. Her eylem kim, ne zaman, neden bilgisiyle kayda geçer. Bu aşama, bir denetimde “biyometrik sistemi kaldırdık” cümlesinin yanına “ve sistemin ürettiği kayıtların tamamını şu tarihte, şu onayla imha ettik” cümlesini koyar.

Seratus bu açıkları nasıl kapatır

Açık: Biyometrik dışa aktarmaların ve yedeklerin nerede olduğunun bilinmemesi. Seratus’un ajansız keşfi SMB/NFS paylaşımlarını, Windows, Linux ve macOS yerel disklerini, SharePoint, OneDrive ve Teams dosyalarını, S3-uyumlu depoları ve PST/OST/MSG arşivlerini salt okunur bağlantıyla tarar; kesilen tarama kaldığı yerden devam eder.

Açık: Sağlık verisinin diğer belgelerden ayrılmaması. Sınıflandırma, belgeyi tür, gizlilik derecesi ve iş kategorisiyle etiketler; sağlık ve biyometrik kategorileri taksonomide ayrı bir gizlilik derecesine bağlanır ve insan onaylı düzeltme ile kesinleşir. Bu etiketler saklama ve imha süreçlerine doğrudan bağlıdır.

Açık: ICD kodu ve sağlık ifadelerinde yanlış pozitif. Türkçeye özel tespit motoru her kural için doğruluk ve yanlış-pozitif azaltma programı yürütür; bulgular güven yüzdesi ve maskeli örnekle sunulur.

Açık: Özel nitelikli verinin geniş paylaşımda olması. Erişim ve maruziyet grafiği ACL’leri, paylaşım linklerini ve veritabanı rollerini içerik bulgusuyla birleştirir; “özel nitelikli veri geniş paylaşımda” bulgusu KVKK açıkları listesinde görünür.

Açık: Çözülemeyen SID’ler ve ayrılmış kullanıcı erişimleri. Grafik, çözülemeyen SID’leri, yetim erişimleri ve döngüsel grup üyeliklerini ayrı bulgu olarak işaretler; LDAP/dizin senkronizasyonu kullanıcı ve kapsam bilgisini güncel tutar.

Açık: İmhanın kanıtsız kalması. İzin kaldırma, karantina, maskeleme ve imha eylemleri sorumluya atanır, ayrı onay yetkileriyle (gerekirse ikinci yetkili onayı) yürütülür ve denetim kaydına yazılır; KVKK hazırlık özeti ve denetim raporu PDF, Excel ya da CSV olarak dışa aktarılır. Bu akış KVKK uyum modülünde saklama takvimine bağlıdır.

Sonuç

Özel nitelikli veri, toplandığı sistemde değil, sistemin çevresinde birikir: dışa aktarmalarda, eklerde, yedeklerde, devralınan izinlerle açılmış klasörlerde. 2026/921 kararı biyometrik verinin işleme şartını konu alır; kurumun operasyonel görevi ise bu verinin geçmişte nerede kaldığını bulmak, erişimi daraltmak ve kalanı kanıtlı biçimde imha etmektir. Bu görev, verinin nerede olduğunu bilmeden yerine getirilemez.