KVKK Aydınlatma Yükümlülüğü Nedir?

Aydınlatma yükümlülüğü, veri sorumlusunun kişisel verileri elde ederken ilgili kişiyi kimliği, verilerin hangi amaçla işleneceği, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi konusunda bilgilendirme zorunluluğudur ve ^[1]‘da düzenlenir. Bu yükümlülük açık rızadan farklı olarak istisnasız her veri işleme faaliyetinde yerine getirilmesi gereken bir bilgilendirme görevidir, veri toplanmasının hukuki dayanağı ne olursa olsun aydınlatma yapılmak zorundadır. Aşağıda aydınlatma metninde bulunması gereken unsurlar, uygulama alanları ve sık karşılaşılan hatalar açıklanmıştır.

Aydınlatma Yükümlülüğünün Hukuki Dayanağı Nedir?

Aydınlatma yükümlülüğünün temel dayanağı 6698 sayılı Kanun’un 10. maddesidir, ancak kökeni Anayasa’nın 20. maddesinin üçüncü fıkrasında yer alan “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir” hükmüne kadar uzanır. Kanun koyucu bu güvenceyi somutlaştırarak veri sorumlusuna veya yetkilendirdiği kişiye, kişisel verilerin elde edilmesi sırasında ilgili kişiyi bilgilendirme zorunluluğu yüklemiştir.

Aydınlatma Yükümlülüğünün Amacı Nedir?

Yükümlülüğün temel amacı veri işleme faaliyetlerinde şeffaflığı sağlamak ve hak kaybını önlemektir. Bireyler hangi verilerinin, hangi amaçla ve hangi hukuki gerekçeyle işlendiğini bilmeli, bu bilgiye dayanarak kendi verileri üzerinde tasarrufta bulunabilmelidir.

Aydınlatma aynı zamanda kötü niyetli veri toplama pratiklerinin önüne geçen bir denetim mekanizmasıdır. Bu nedenle aydınlatma metni hazırlayan veri sorumluları dürüstlük kuralına uygun, açık ve anlaşılır bir dil kullanmak zorundadır.

Aydınlatma Yükümlülüğü Kimin Sorumluluğundadır?

Aydınlatma yükümlülüğü veri sorumlusuna aittir, yani kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen, veri kayıt sisteminin yönetiminden sorumlu gerçek veya tüzel kişiye. Veri sorumlusu bu görevi bizzat yerine getirebileceği gibi yetkilendirdiği kişiler aracılığıyla da yapabilir, fakat yetkilendirme sorumluluğu ortadan kaldırmaz.

Bir uyuşmazlık halinde aydınlatmanın yapıldığını ispat yükü veri sorumlusuna aittir. Dijital ortamda log kayıtları, fiziki ortamda imzalı belgeler bu ispatın temel araçlarıdır.

Aydınlatma Yükümlülüğü Ne Zaman Yerine Getirilmelidir?

Kanun, aydınlatmanın “kişisel verilerin elde edilmesi sırasında” yapılmasını arar. Veri işleme faaliyeti başlamadan önce veya en geç başladığı anda bilgilendirmenin tamamlanmış olması gerekir, verilerin alınmasından günler sonra yapılan aydınlatmalar hukuken geçersiz kabul edilir.

Uyarı: Verilerin alınmasından sonra, geriye dönük yapılan aydınlatmalar hukuken geçersiz kabul edilir.

Yükümlülük, kişisel verisi işlenen gerçek kişilere karşı yerine getirilir. Ticaret unvanı veya vergi numarası gibi tüzel kişilere ait bilgiler kişisel veri niteliği taşımadığından tüzel kişilere aydınlatma yapılması zorunlu değildir.

Aydınlatma Metninde Hangi Bilgiler Yer Almalıdır?

Bir aydınlatma metninin hukuken geçerli sayılması için belirli unsurları eksiksiz içermesi gerekir:

• Veri sorumlusunun ve varsa temsilcisinin kimliği ile iletişim bilgileri.
• Kişisel verilerin hangi spesifik ve meşru amaçlarla işleneceği.
• Verilerin kimlere ve hangi amaçla aktarılabileceği.
• Verilerin toplanma yöntemi ve dayandığı hukuki sebep.
• İlgili kişinin KVKK kapsamındaki hakları.

Toplama yöntemi açıklanırken “iletişim formu vasıtasıyla elektronik ortamda” gibi somut ifadeler kullanılmalı, belirsizliğe yol açan ucu açık tanımlardan kaçınılmalıdır. İşleme amaçları da aynı şekilde “faturalandırma süreçlerinin takibi” gibi net biçimde yazılmalı, veri ile amaç arasında ölçülü bir bağ kurulmalıdır.

Not: Toplama yöntemi ve işleme amacı ucu açık değil, somut ve net ifadelerle yazılmalıdır.

Aydınlatma Metninde Bulunması Gerekenler

Aydınlatma Metni İle Açık Rıza Metni Arasındaki Fark Nedir?

Bu iki kavram sıkça karıştırılsa da farklı hukuki niteliklere sahiptir, temel farklar aşağıdaki tabloda gösterilmiştir:

Aydınlatma yapılmadan alınan bir açık rıza, şeklen var olsa bile hukuken geçersiz sayılır.

Aydınlatma ile Açık Rıza Farkı

İnternet Sitelerinde ve Çalışanlara Yönelik Aydınlatma Nasıl Yapılır?

İnternet sitelerinde aydınlatma, sitenin alt bilgi (footer) kısmında kolay erişilebilir bir “Gizlilik ve Aydınlatma Metni” bağlantısıyla sağlanır, ancak bu tek başına yeterli değildir. Verinin toplandığı her bir form veya alan için o alana özel aydınlatma yapılmalı, çerezlerle veri toplanıyorsa ayrıca bir çerez politikası hazırlanmalıdır.

Çalışanlar için hazırlanan aydınlatma metinleri iş sözleşmesinin bir maddesi olarak düzenlenemez, bağımsız bir belge olarak sunulmalıdır. İş yeri kamera kayıtları veya kurumsal araç takibi gibi konularda ayrıca aydınlatma yapılması gerekir, bu tür uygulamaların KVKK boyutu işveren işçiyi kamerayla izleyebilir mi yazımızda ayrıntılı olarak incelenmiştir. Müşterilere yönelik aydınlatma ise çağrı merkezi sesli yanıt sistemleri, mağaza içi tabelalar veya fatura eki metinler aracılığıyla yerine getirilebilir.

Aydınlatma Yükümlülüğünde Sık Yapılan Hatalar Nelerdir?

Uygulamada en sık görülen hata, aydınlatma metni onayı ile açık rıza onayının tek bir metin ve tek bir onay kutusunda birleştirilmesidir. Bu ikisi ayrı ayrı sunulmalı ve ayrı onaylanmalıdır.

Bir diğer hata, hizmetin sunulmasının aydınlatma metninin onaylanması şartına bağlanmasıdır, bu durum özgür iradeyi ortadan kaldırır. Web sitesinin en altına sadece “Gizlilik Politikası” bağlantısı koyarak aydınlatmanın yerine getirildiğini varsaymak da (battaniye aydınlatma) hukuka uygun değildir. Kanun maddesini metne olduğu gibi kopyalayıp somut duruma özgü açıklama yapmamak da benzer bir eksikliktir.

Aydınlatma Yükümlülüğünün İhlal Edilmesinin Sonuçları Nelerdir?

Aydınlatma yükümlülüğünün yerine getirilmemesi halinde veri sorumluları ^[2] kapsamında idari para cezalarıyla karşılaşabilir. Bu cezalar her yıl yeniden değerleme oranına göre artmaktadır.

Örneğin Kişisel Verileri Koruma Kurulu’nun 08.08.2024 tarihli ve 2024/1385 sayılı kararında, veri güvenliği tedbirlerini yeterince almayan bir e-ticaret platformuna 3.250.000 TL idari para cezası uygulanmıştır. İdari para cezalarına karşı açılacak davalar idare mahkemelerinde görülür, ayrıca hakkı ihlal edilen kişilerin tazminat talebinde bulunması da mümkündür.

Uyarı: Aydınlatma ve veri güvenliği yükümlülüklerinin ihlali, milyonlarca lirayı bulan idari para cezalarına yol açabilir.

Aydınlatma Yükümlülüğü Konusunda Kurul Kararlarının Yaklaşımı

Kişisel Verileri Koruma Kurulu, ^[3] uyarınca incelediği dosyalarda hukuka ve dürüstlük kurallarına uygunluk, şeffaflık ve açıklık ilkelerini ön planda tutar. Kurul kararlarında, veri sorumlusunun 10. maddedeki aydınlatma yükümlülüğünü eksiksiz yerine getirmiş olmasının ihlal tespitlerinde belirleyici bir rol oynadığı görülür.

KVKK danışmanlığı ve aydınlatma metni hazırlığı konusunda destek almak isteyenler Kişisel Verilerin Korunması Kanunu (KVKK) eğitimi içeriğimizi, cezaların genel çerçevesi için ise KVKK Nedir? Cezalar ve Tüm Detaylar yazımızı inceleyebilir. 6698 sayılı Kanun’un tam metnine 6698 sayılı Kişisel Verilerin Korunması Kanunu bağlantısından, Kurul kararlarına ise Kişisel Verileri Koruma Kurumu resmi sitesinden ulaşılabilir.

KVKK Aydınlatma Yükümlülüğü Hakkında Sıkça Sorulan Sorular

Aydınlatma yükümlülüğüne ilişkin en sık sorulan sorular aşağıda yanıtlanmıştır.

Av. Yusuf Emrehan Sucu

Tam burslu olarak eğitimini sürdürdüğü Kadir Has Üniversitesi Hukuk Fakültesi’ni tamamlamıştır. Hukuk eğitimi sırasında birden fazla sertifika programını tamamlamış, kurgusal mahkemelerde sıkça rol almıştır. İş Hukukuna ilişkin alacaklar ve Tazmin...

Tüm yazıları