Kişisel Verileri Koruma Kanunun “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6 ncı maddesinde kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veriler olarak sayılmıştır. Bununla birlikte, kişisel verilerin korunması alanında önemli değişiklikler yapan ve yenilikler getiren Avrupa Birliği Genel Veri Koruma Tüzüğünün (GDPR ilgili yazımıza buradan ulaşabilirsiniz.) 4 üncü maddesinin 13 üncü fıkrasında yer alan “ ‘genetik veri’ bir gerçek kişinin fizyoloji veya sağlığı ile ilgili eşsiz bilgiler sağlayan ve özellikle söz konusu gerçek kişiden alınan bir biyolojik numunenin analizinden kaynaklanan ve söz konusu kişinin kalıtım yoluyla alınan veya kazanılan özelliklerine ilişkin kişisel verilerdir.” şeklindeki tanımlama ile genetik verinin ne olduğu düzenlenmiştir.
Genetik veri canlıya ait genomdan hücre çekirdeğinden ya da mitokondrisinden kodlanan tüm DNA, RNA ve Protein diziliminden elde edilen bilgilerin tamamı ya da bir kısmıdır. Genetik veriler sadece bir SNP (Single Nükleotit Polimorfizm) bilgisi olabileceği gibi çok kapsamlı tüm genom dizilimi bilgisi de olabilir. Bu veriler canlıdan elde edilmiş DNA ve/veya RNA'dan kalıtsal olan veya kalıtsal olmayan tüm genomik değişiklikleri kapsamaktadır. Bu noktada dikkat edilmesi gereken husus, ham veri ya da biyolojik örneklerin bir gerçek kişiyi belirlenebilir kılma ya da tanımlayabilme olasılığının olmasıdır. Bu açıdan biyolojik örnek toplayan tüm veri sorumlularının söz konusu örneklerin güvenliğini sağlamak konusunda gerekli teknik ve idari tedbirleri alması gerekmektedir.
Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik'in “Kişisel verilerin anonim hale getirilmesi” başlığını hâiz 10’uncu maddesinin (1) numaralı fıkrası “Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.” hükmünü, (2) numaralı fıkrası ise “Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu, alıcı veya alıcı grupları tarafından geri döndürme ve verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.” hükmünü amirdir.
İlgili kişi hakkında benzersiz bir veri sağlayan DNA örneklerinin, yani genel olarak genetik verinin tam anlamıyla ve gerçekten anonim hale getirilmesinin mümkün olup olmadığı bir tartışma konusudur. Zira nasıl bir metot kullanılırsa kullanılsın, elde edilen veri ile ilgili kişi arasındaki irtibatı gerçekten kesmek mümkün değildir. Bu nedenle genetik verilerin tam olarak anonim hale getirilmesinden (anonymization) ziyade kimliksizleştirilmesi (deidentification) kavramı kullanılmaktadır. Genel olarak genetik veriler; işlenmelerini müteakip, elde edildikleri sırada atanmış tanımlayıcılardan (doğum tarihi, lokasyon verisi vb.) farklı ve benzersiz tanımlayıcılar (x, y, z vb.) ile yeniden etiketlenerek sonrasında şifrelenmekte ve gerekli anahtar olmaksızın ilgili kişi ile genetik materyali arasındaki irtibat fark edilememektedir.
Kanunun 16 ncı maddesine göre Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Bu çerçevede Kurulun 19.07.2018 tarih ve 2018/87 sayılı Kararı ile özel nitelik kişisel veri işleyen veri sorumlularının herhangi bir istisna olmaksızın sicile kayıt olmasının zorunlu olduğu vurgulanmıştır.
Genetik veri işleyen veri sorumlularının; Kanun, yönetmelik, tebliğ ve Kurul kararlarında yer alan kişisel veri güvenliği ile ilgili hususlara dikkat etmeleri zorunludur. Bunun yanında veri sorumlularına yol göstermek amacıyla Kişisel Verileri Koruma Kurumu tarafından hazırlanmış olan rehber dokümanlarda tavsiye edilen tedbirlerin de dikkate alınmasında yarar vardır. Bu kapsamda veri sorumlusu, verilerin niteliği ve veri işlemenin ilgili kişi açısından oluşturacağı muhtemel risklerle ilgili olarak, verilerin güvenliğini sağlamak amacıyla gerekli her türlü teknik ve idari tedbirleri almalıdır. Bu açıdan özellikle "Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler" ile ilgili Kişisel Verileri Koruma Kurulunun 31/01/2018 Tarihli ve 2018/10 sayılı kararında yer alan hususlara dikkat edilmelidir.
Genetik veri ile ilgili olarak daha fazla bilgi almak için buradan iletişime geçebilirsiniz.