Veri Sorumlusunun Aydınlatma Zorunluluğu ve Metin Hazırlığı

Veri sorumlularının aydınlatma yükümlülüğü, kişisel verilerin işlenmesi sürecinde bireylerin haklarının korunmasını amaçlayan önemli bir hukuki ilkedir. Bu yükümlülük, kişisel verilerin toplanması, işlenmesi ve saklanması süreçlerinde şeffaflığı sağlamak ve veri sahiplerini, verilerinin nasıl kullanılacağı konusunda bilgilendirmek için tasarlanmıştır. Aydınlatma yükümlülüğü, kişisel verilerin korunması ile ilgili yasal mevzuatlarda yer alan temel bir gerekliliktir ve veri sorumlularının, veri sahiplerine karşı taşıdıkları önemli sorumluluklardan biridir.

Veri sorumluları, genellikle kişisel verileri işleyen kurumlar veya organizasyonlardır ve bu aktörler, veri sahiplerine toplanan verilerin hangi amaçla kullanılacağı, kimlerle paylaşılacağı, veri toplamanın hukuki dayanağı ve veri sahiplerinin hakları gibi konularda net bilgiler sağlamak zorundadır. Aydınlatma yükümlülüğü kapsamında verilen bilgiler, erişilebilir ve anlaşılır olmalıdır; böylece veri sahipleri, kendi kişisel verileri üzerinde bilinçli kararlar verebilir.

Aydınlatma yükümlülüğünün yerine getirilmesi, veri işleme faaliyetlerinin başlangıcında, yani kişisel verilerin ilk toplandığı anda gerçekleşmelidir. Bu, veri sahiplerine, verilerinin toplanması ve işlenmesi konusunda aktif bir seçim yapma fırsatı sunar. Veri sahipleri, aydınlatma yükümlülüğü sayesinde, verilerinin silinmesi, düzeltilmesi veya işlenmesine itiraz etme gibi haklarını da kullanabilir.

🔍 Aydınlatma Metninin Asgari Unsurları

6698 Sayılı Kanun ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, bir aydınlatma metni şu dört temel unsuru ihtiva etmelidir:

• Veri Sorumlusunun Kimliği: Kurumun tam ticari unvanı ve iletişim bilgileri net olmalıdır.
• İşleme Amacı: Genel ifadelerden kaçınılmalı, verinin hangi operasyonel amaçla işlendiği somutlaştırılmalıdır.
• Aktarım Bilgisi: Verilerin paylaşıldığı alıcı grupları (iş ortakları, iştirakler, yetkili kamu kurumları vb.) belirtilmelidir.
• Hukuki Sebep: Verinin Kanun'un 5. ve 6. maddelerindeki hangi dayanakla (sözleşme ifası, kanuni yükümlülük vb.) toplandığı açıklanmalıdır.

Aydınlatma yükümlülüğünün ihlali, veri sorumluları için ciddi yasal sonuçlar doğurabilir. Kişisel verilerin korunması mevzuatı kapsamında bu tür ihlaller, yüksek para cezalarına ve hukuki yaptırımlara neden olabilir. Bu nedenle veri sorumluları, uyum programlarını ve iç süreçlerini mevcut yasal gerekliliklere uygun şekilde düzenlemeli ve aydınlatma yükümlülüklerini eksiksiz bir şekilde yerine getirmelidir.

Veri sorumlularının aydınlatma yükümlülüğü, kişisel verilerin korunması alanında kritik bir öneme sahiptir. Bu yükümlülük, veri sahiplerinin haklarını güçlendirir, şeffaflığı teşvik eder ve kişisel verilerin güvenli ve adil bir şekilde işlenmesini sağlar. Veri sorumlularının bu yükümlülüğü ciddiye alması ve gerekli tüm adımları atması, güvenilir ve sorumlu veri işleme uygulamalarının temelini oluşturur.

Veri sorumlularının aydınlatma yükümlülüğü kapsamında; internet kullanımının hayatımızda zorunlu bir ihtiyaç haline geldiği günümüzde kişisel bilgi ve veriler farklı platformlarda kolaylıkla işlenebilmektedir. Kişisel verilerin işlenmesi durumu, internet üzerinden gerçekleştirilen pek çok işlem için kişilere kolaylık sağlamakla birlikte, kişiliğin korunmasına ilişkin çeşitli zorlukları da beraberinde getirebilmektedir. Bu zorluklar bazen kişinin onur ve haysiyetine zarar verici nitelikte, bazen de internet üzerinden gerçekleştirilen işlemlerin kötü amaçlar için kullanılması yönünde olabilmektedir. Bu gibi olumsuzlukların önlenmesi adına kişisel verilerin korunması, temel hak ve ödevleri kapsamında Anayasal güvence altına alınmıştır.

🏗️ Aydınlatma Yükümlülüğü Nasıl Yerine Getirilir?

Aydınlatma sadece bir metin hazırlayıp web sitesine koymak değildir. Kişisel Verileri Koruma Kurulu'nun kararları doğrultusunda "Katmanlı Aydınlatma" yöntemi tercih edilmelidir. Örneğin; bir fiziksel mağazada kısa bir karekod veya pano ile özet aydınlatma yapılıp, detaylar için müşteri web sitesine yönlendirilebilir. Sesli kayıtlarda (Call Center) ise tuşlama öncesi mutlaka aydınlatma yükümlülüğü ifa edilmelidir. Unutulmamalıdır ki aydınlatma yükümlülüğü için ilgili kişinin talebi aranmaz; bu, veri sorumlusunun re'sen (kendiliğinden) yapması gereken bir eylemdir.

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel verileri kısmen ya da tamamen işlenecek kişilerin veri akışı ve veri kayıtları hakkında açıkça bilgilendirilmeleri gerekmektedir. 6698 sayılı Kanun'un 10. maddesinde düzenlenen aydınlatma yükümlülüğü, veri sorumlusuna ilgili kişilere karşı işlenecek olan veriler hakkında açıklama yapma zorunluluğu getirmektedir. Bu minvalde veri sorumlusu veya veri sorumlusu tarafından yetkilendirilen kişi; veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi konularında bilgi vermekle yükümlü olarak belirlenmiştir.

Veri sorumlularının aydınlatma yükümlülüğünü yerine getirmeleri ilgili kişinin talebine bağlı olmamakla birlikte, bu yükümlülüğün yerine getirilmesinin ispatı veri sorumlularının üzerindedir. 6698 sayılı KVKK'nın 11. maddesi kapsamında kişisel verilerin işlenip işlenmediğini öğrenme, işlenmişse bu bilgileri talep etme, işlenen verilerin amacını ve belirlenen amaç doğrultusunda kullanılıp kullanılmadığını öğrenme hakları saklıdır. Kanun kapsamında düzenlenen 3., 7. ve 11. maddeler gereğince verilerin silinmesini, yok edilmesini, imhasının talep edilmesi mümkündür. Verilerin hukuka aykırı olarak işlenmesi ve bu verilerin amacına uygun kullanılmaması nedeniyle bir zarara uğranılmışsa bu zararın tazmini ilgili kişiler tarafından talep edilebilmektedir.

⚖️ Aydınlatma Metni mi, Açık Rıza mı?

Uygulamada en sık yapılan hata, aydınlatma yükümlülüğü ile açık rıza alma işleminin karıştırılmasıdır.

Ankara KVKK Avukatı danışmanlığı ile hazırlanan profesyonel metinler, işletmenizin veri işleme dayanağını "Açık Rıza" yerine Kanun'daki diğer istisnalara (sözleşme ifası, meşru menfaat vb.) dayandırarak rızanın geri çekilmesi durumunda operasyonların durması riskini minimize eder. KVKK uyum süreciniz hakkında kapsamlı bilgi için Ankara Bilişim Hukuku Avukatı ve KVKK Danışmanlığı sayfamızı inceleyebilirsiniz.

Sektöre Göre Aydınlatma Yükümlülüğü Farklılıkları

Aydınlatma yükümlülüğünün kapsamı ve biçimi, sektöre göre önemli farklılıklar göstermektedir. Bu farklılıkları bilmek, uyum sürecini çok daha etkin kılmaktadır:

• E-Ticaret ve Perakende: Üyelik formu, ödeme ekranı ve sipariş takibi aşamalarında ayrı ayrı aydınlatma yapılması gerekebilir. Kişiselleştirilmiş reklam için ise açık rıza zorunludur.
• Sağlık Sektörü: Sağlık verileri özel nitelikli kişisel veri sayıldığından açık rıza zorunluluğu çok daha kapsamlıdır. Hastane, klinik ve eczanelerin ayrı aydınlatma metinleri hazırlaması gerekmektedir.
• İnsan Kaynakları ve İşe Alım: Aday bilgilerinin işlenmesi sırasında başvuru aşamasında aydınlatma yapılmalıdır. Adaya ait özgeçmiş ve referans bilgileri saklanıyorsa saklama süresi de belirtilmelidir.
• Finans ve Sigortacılık: Müşteri risk profili, kredi skoru ve finansal işlem verileri işleniyorsa BDDK ve TCMB düzenlemeleriyle birlikte değerlendirme yapılmalıdır.
• Kamera Sistemi ve Fiziksel Güvenlik: Görüntü verisi işleyen işletmelerin kamera başlarına ve girişlere aydınlatma panosu koyması, iç mekân çekimlerini ise ayrıca kayıt altına alması zorunludur.

Veri sahibinin hakları ve unutulma hakkı başvuruları konusunda Unutulma Hakkı ve İnternetten İçerik Silme Rehberi sayfamıza göz atabilirsiniz.

VERBİS Kaydı ve Aydınlatma Yükümlülüğünün İlişkisi

Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülüğü ile aydınlatma yükümlülüğü birbirini tamamlayan iki ayrı yükümlülüktür. VERBİS kaydı kamuya açık bir envanter niteliğindeyken, aydınlatma yükümlülüğü doğrudan ilgili kişiye yönelik bir bildirimdir. İki sürecin birlikte ve tutarlı biçimde yürütülmesi zorunludur:

• VERBİS Kaydı Zorunluluğu: Yıllık çalışan sayısı 50'yi ya da yıllık mali bilanço toplamı 25 milyon TL'yi aşan veri sorumluları VERBİS'e kayıt olmak zorundadır.
• Kayıt İçeriği: Veri kategorileri, işleme amaçları, aktarım yapılan ülkeler, saklama süreleri ve alınan teknik/idari tedbirler sicile işlenir.
• Güncel Tutma Yükümlülüğü: VERBİS'teki bilgilerde değişiklik olması hâlinde 30 gün içinde güncelleme yapılması zorunludur. Güncelleme yapılmaması ayrıca idari para cezasına konu olabilir.
• Tutarlılık İlkesi: Aydınlatma metnindeki veri kategorileri ve saklama süreleri, VERBİS'teki kayıtla örtüşmelidir. Çelişkili bilgiler, Kurul incelemesinde risk oluşturur.

Bilişim hukuku ve kişisel veri ihlalleri konusunda genel bir rehber için Ankara Bilişim Avukatı ve Siber Suçlar Rehberi sayfamızı ziyaret edebilirsiniz.

❓ Sıkça Sorulan Sorular

Aydınlatma metni hazırlamak zorunlu mu?

Evet. 6698 sayılı KVKK'nın 10. maddesi gereğince kişisel veri işleyen her veri sorumlusu, ilgili kişileri aydınlatmakla yükümlüdür. Bu yükümlülük, ilgili kişinin talebi beklenmeksizin re'sen yerine getirilmelidir. İhlali hâlinde Kişisel Verileri Koruma Kurulu tarafından idari para cezası uygulanır.

Aydınlatma metni ile çerez politikası aynı şey midir?

Hayır. Çerez politikası, web sitesinde kullanılan çerezlerin türlerini ve amaçlarını açıklayan özel bir metin olup aydınlatma metninin bir parçası ya da tamamlayıcısı niteliğindedir. Web sitelerinde her ikisinin de ayrı ayrı ve güncel biçimde yer alması gerekmektedir.

Aydınlatma yükümlülüğüne uymayanlara ne kadar ceza verilir?

Aydınlatma yükümlülüğünü yerine getirmeyen veri sorumlusuna Kişisel Verileri Koruma Kurulu tarafından 46.813 TL ile 935.690 TL arasında idari para cezası uygulanabilir. Ceza miktarı ihlalin ağırlığına ve kuruluşun büyüklüğüne göre belirlenir.

Açık rıza olmadan veri işlenebilir mi?

Evet. KVKK'nın 5. maddesi, açık rızaya alternatif olarak sözleşme ifası, kanuni yükümlülük, meşru menfaat ve hayati menfaat gibi hukuki dayanaklara imkân tanır. Veri işleme dayanağı doğru seçilirse açık rıza almaya gerek kalmaz. Bu seçim hem uyum hem de operasyonel risk açısından büyük önem taşır.

VERBİS'e kayıt zorunluluğu olmayan şirketler aydınlatma yapmak zorunda mı?

Evet. VERBİS'e kayıt yükümlülüğü ile aydınlatma yükümlülüğü birbirinden bağımsızdır. VERBİS'e kayıt olmayan küçük ölçekli işletmeler de kişisel veri işledikleri her durumda ilgili kişileri aydınlatmak zorundadır.

Çalışan verileri için ayrı aydınlatma metni gerekli mi?

Evet. İşe alım, özlük dosyası, performans değerlendirme ve kamera görüntüsü gibi farklı veri işleme faaliyetleri için ayrı aydınlatma metinleri hazırlanması ya da mevcut metnin bu kapsamları içerecek biçimde düzenlenmesi gerekmektedir.

Kişisel verilerimin işlenmesine itiraz edebilir miyim?

Evet. KVKK'nın 11. maddesi uyarınca kişisel verilerinizin işlenmesine itiraz etme, düzeltilmesini talep etme, silinmesini ya da yok edilmesini isteme ve bu işlemlere ilişkin bildirim yapılmasını talep etme haklarına sahipsiniz. Bu haklarınızı kullanmak için veri sorumlusuna yazılı başvuru yapılması yeterlidir.

KVKK Uyum Süreci İçin Profesyonel Destek Alın

Aydınlatma metinleri, envanter hazırlığı ve veri sahibi başvurularına cevap süreçlerinde Ankara'da yanınızdayız.

Yukarıda değinilmiş olan hususlar genel hatları ile kaleme alınmış olup; her somut olay birbirinden farklı özellikler taşıyabileceğinden hak kaybına uğramamanız adına bir hukuk bürosu ile iletişime geçip profesyonel destek almanızı öneririz. KVKK Kurumu Ankara merkezli olup, idari itiraz ve dava süreçleri teknik takip gerektirmektedir. (KARTALHAN HUKUK BÜROSU)