KVKK Aydınlatma Yükümlülüğü: Ne Zaman ve Nasıl Yerine Getirilir?

KVKK kapsamında kişisel veri elde eden veri sorumlusu, ilgili kişiyi veri işlemenin temel unsurları hakkında bilgilendirmek zorundadır. Aydınlatma, yalnız açık rıza alınan işlemlerde değil, Kanundaki başka bir işleme şartına dayanılan durumlarda da yapılmalıdır. Veri sorumlusunun kimliği, işleme amacı, aktarım, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları anlaşılır biçimde açıklanmalıdır.

Aydınlatma yükümlülüğünün hukuki temeli nedir?

6698 sayılı Kanunun 10. maddesi, kişisel verilerin elde edilmesi sırasında veri sorumlusuna aydınlatma yükümlülüğü yükler. Amaç, ilgili kişinin verisinin kim tarafından, neden, hangi yöntemle ve hangi hukuki sebebe dayanılarak işlendiğini bilmesidir. Aydınlatma metni bir izin belgesi değildir; veri işleme faaliyetinin şeffaflığını sağlar. Bu nedenle sözleşme, üyelik formu veya internet sitesi gizlilik metni içinde yer alsa bile gerekli bilgileri açık ve erişilebilir biçimde sunmalıdır.

Aydınlatma metninde hangi bilgiler bulunmalıdır?

Asgari olarak veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin Kanunun 11. maddesindeki hakları belirtilmelidir. Soyut ve çok geniş ifadeler, ilgili kişinin işleme faaliyetini anlamasını zorlaştırabilir. Amaçlar gerçek faaliyetle uyumlu olmalı; “her türlü amaçla işleme” gibi sınırsız ifadelerden kaçınılmalıdır.

Aydınlatma ne zaman yapılmalıdır?

Kural, aydınlatmanın kişisel verilerin elde edilmesi sırasında yapılmasıdır. Verinin internet formu, çağrı merkezi, fiziki form, kamera sistemi veya üçüncü kişi aracılığıyla toplanması bu gerekliliği ortadan kaldırmaz. İlgili kişi verisini vermeden veya işleme faaliyeti başladığında, metne makul biçimde erişebilmelidir. Sonradan internet sitesine genel bir metin koymak, geçmişteki eksik aydınlatmayı her durumda kendiliğinden gidermeyebilir.

Açık rıza ile aydınlatma aynı şey midir?

Hayır. Aydınlatma veri sorumlusunun yükümlülüğüdür; açık rıza ise yalnız Kanunun başka bir işleme şartı bulunmadığında veya özel olarak gerektiğinde başvurulan hukuki sebeplerden biridir. Açık rıza alınacaksa aydınlatma ve rıza süreçlerinin ayrı yürütülmesi gerekir. İlgili kişinin “okudum, kabul ediyorum” şeklindeki tek kutuya zorlanması, hem aydınlatmanın hem de rızanın niteliği bakımından sorun yaratabilir. Aydınlatma yapılması, tek başına veri işleme için hukuki sebep oluşturmaz.

Hukuki sebep nasıl gösterilmelidir?

Aydınlatmada yalnız “KVKK kapsamında işlenmektedir” ifadesi yeterli değildir. Veri işlemenin Kanundaki hangi şart veya şartlara dayandığı anlaşılır şekilde belirtilmelidir. Örneğin sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi ya da meşru menfaat gibi sebepler somut faaliyetle ilişkilendirilmelidir. Her veri kategorisi için aynı hukuki sebebin geçerli olduğu varsayılmamalı; işleme envanteri ile aydınlatma metni birbiriyle uyumlu tutulmalıdır.

Aydınlatmanın ispatı kime aittir?

Aydınlatma yükümlülüğünün yerine getirildiğini ispat yükü veri sorumlusundadır. Bu nedenle yalnız metnin hazırlanması değil, ilgili kişiye ne zaman ve hangi yöntemle sunulduğunun da kayıt altına alınması önemlidir. Fiziki formlarda teslim veya imza kayıtları, dijital süreçlerde sürüm ve zaman damgası, çağrı merkezlerinde uygun log kayıtları kullanılabilir. İspat sistemi, aydınlatma ile açık rıza kayıtlarını birbirinden ayıracak şekilde tasarlanmalıdır.

Aydınlatma metni sonradan değiştirilebilir mi?

Veri işleme amacı, alıcı grubu, yöntem veya hukuki sebep değişirse aydınlatma içeriğinin de güncellenmesi gerekebilir. Güncelleme, geçmişte hiç bildirilmeyen yeni bir işleme faaliyetini geriye dönük olarak meşrulaştırmaz. Özellikle yeni pazarlama, profil oluşturma, yurt dışı aktarım veya yeni hizmet sağlayıcı süreçlerinde mevcut metnin gerçekten yeni faaliyeti karşılayıp karşılamadığı kontrol edilmelidir. Eski ve yeni sürümlerin saklanması uyuşmazlıkta hangi tarihte hangi bilginin verildiğini göstermeye yarar.

Eksik aydınlatmanın sonucu nedir?

Eksik veya hiç yapılmamış aydınlatma, veri sorumlusunun Kanundan doğan yükümlülüğüne aykırılık oluşturabilir. İlgili kişi veri sorumlusuna başvurabilir, şartları varsa Kurula şikayet edebilir ve kişilik hakkı ihlali doğmuşsa genel hükümlere göre tazminat talebi gündeme gelebilir. Uygulamada sorun çoğu kez metnin varlığından değil, metnin gerçek işleme faaliyetiyle uyuşmamasından çıkar. Bu nedenle aydınlatma, kopyalanmış standart metin değil, somut veri akışını açıklayan bir belge olmalıdır.

İnternet sitesi, mobil uygulama, kamera sistemi ve çağrı merkezi gibi kanallarda aydınlatmanın yöntemi veri toplama anına uygun tasarlanmalıdır. Kamera alanında görünür kısa bilgilendirme ve erişilebilir ayrıntılı metin; çevrim içi formda ise veri gönderilmeden önce bağlantı veya katmanlı metin kullanılabilir. Çerez veya benzeri teknolojilerde de hangi verinin hangi amaçla işlendiği ile hukuki sebep ayrıştırılmalıdır. Aydınlatma metninin yalnız sitenin dipnotunda bulunması, ilgili kişinin veri elde edilirken bilgiye makul biçimde ulaşamadığı durumlarda yeterli kabul edilmeyebilir.

Çerez, kamera ve çevrim içi formlarda aydınlatma nasıl yapılır?

İlgili hukuki konular

• Açık rıza ve geri alınması
• Veri sorumlusuna başvuru ve Kurula şikayet
• Veri ihlali bildirimi

Mevzuat ve kaynaklar

• Aydınlatma Yükümlülüğü – Kişisel Verileri Koruma Kurumu

Bu yazı genel bilgilendirme amaçlıdır. Somut olayda işlem veya karar metni, tebliğ tarihleri, kişisel durum ve güncel mevzuat birlikte değerlendirilmelidir.