Aydınlatma yükümlülüğü, veri sorumlusunun en temel ve en çok denetlenen yükümlülüğüdür. Kişisel verilerin elde edilmesi sırasında yerine getirilmesi gerekir; sonradan yapılan bilgilendirme yükümlülüğü karşılamaz. Uygulamada en sık rastlanan ihlal, aydınlatma metninin hiç bulunmaması değil, eksik veya rıza metniyle birleştirilmiş olmasıdır.
Kişisel veri ve bilişim uyuşmazlığında hakkınızı arayın
Av. Fatma Öztürk — Hukukçular Evi Ankara
Bu yazı aydınlatma metninin nasıl hazırlanacağına odaklanır. Yükümlülüğün yasal çerçevesi, kapsamı ve istisnaları için ana rehbere bakın: KVKK Aydınlatma Yükümlülüğü: 6698 SK m.10 ve Aydınlatma Tebliği
Metinde Bulunması Zorunlu Beş Unsur (m.10)
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçla işleneceği
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
- Kişisel veri toplamanın yöntemi ve hukuki sebebi
- İlgili kişinin m.11’de sayılan hakları
Bu unsurlardan birinin eksikliği metni sakat hâle getirir. Özellikle “hukuki sebep” kalemi çoğu metinde ya hiç yazılmaz ya da “KVKK kapsamında” gibi anlamsız bir ifadeyle geçiştirilir. Oysa burada m.5 veya m.6’daki hangi bende dayanıldığının açıkça gösterilmesi beklenir.
Aydınlatma ile Açık Rıza Ayrı Belgelerdir
Aydınlatma bir bilgilendirmedir ve her hâlükârda yapılır. Açık rıza ise bir işleme şartıdır ve yalnızca gerektiğinde alınır. İkisinin tek metinde birleştirilmesi, rızanın bilgilendirmeye dayalı ve özgür olmadığı sonucunu doğurabilir.
Doğru uygulama: önce aydınlatma metni sunulur, ardından — gerekiyorsa — ayrı bir alanda açık rıza alınır. Rıza kutusu önceden işaretlenmiş olamaz.
Ne Zaman Yapılmalı?
| Kanal | Aydınlatma anı |
|---|---|
| Web formu | Form gönderilmeden önce, erişilebilir bağlantı ile |
| İşe alım | Özgeçmiş alınırken |
| Çağrı merkezi | Görüşme başında sesli bilgilendirme |
| Fiziksel form | Form doldurulmadan önce, aynı belgede |
| Kamera kaydı | Girişte görünür bilgilendirme levhası + katmanlı metin |
Veri üçüncü kişiden alınmışsa
Kişisel veri ilgili kişiden değil başka bir kaynaktan elde edilmişse, aydınlatma makul bir süre içinde ve en geç ilgili kişiyle ilk iletişim kurulduğu anda yapılmalıdır.
Katmanlı Aydınlatma
Uzun metinlerin okunmadığı gerçeğinden hareketle, kısa ve öz bir birinci katman ile ayrıntılı ikinci katmandan oluşan yapı önerilir. Birinci katmanda kimlik, temel amaç ve ayrıntılı metne bağlantı yer alır. Bu yaklaşım özellikle kamera, çağrı merkezi ve mobil uygulamalarda pratiktir.
En Sık Yapılan Hatalar
- Hukuki sebebin madde ve bent bazında gösterilmemesi
- Amaçların “hizmet kalitesinin artırılması” gibi belirsiz ifadelerle yazılması
- Aktarım yapılan taraf kategorilerinin hiç belirtilmemesi
- Aydınlatma ve rızanın tek onay kutusuna bağlanması
- Metnin sadece web sitesinde durup fiziksel kanallarda hiç sunulmaması
- Metnin güncellenmemesi — yeni bir işleme faaliyeti başladığında metin de güncellenmelidir
- Aydınlatmanın yapıldığının ispatlanamaması
İspat Yükü Veri Sorumlusundadır
Aydınlatmanın yapıldığını ispat yükümlülüğü veri sorumlusuna aittir. Bu nedenle dijital kanallarda onay kaydı, zaman damgası ve gösterilen metin sürümünün saklanması; fiziksel kanallarda ise imzalı nüshanın arşivlenmesi gerekir. Metnin sürüm numarası ve yürürlük tarihi taşıması, hangi kişiye hangi sürümün gösterildiğinin sonradan ispatını sağlar.
Kanal Bazlı Aydınlatma: Tek Metin Yetmez
Uygulamada en yaygın eksiklik, tüm işleme faaliyetleri için tek bir genel metin kullanılmasıdır. Oysa aydınlatma, işleme faaliyetine özgü olmalıdır: işe alım sürecinde toplanan verinin amacı ile müşteri sözleşmesinde toplanan verinin amacı aynı değildir. Bu nedenle işletmelerin genellikle en az şu metinlere ihtiyacı olur:
- Müşteri/üye aydınlatma metni
- Çalışan ve çalışan adayı aydınlatma metni
- Tedarikçi ve iş ortağı aydınlatma metni
- Ziyaretçi ve kamera kaydı bilgilendirmesi
- Çağrı merkezi sesli bilgilendirme metni
- Web sitesi çerez bilgilendirmesi
Çalışan Adayı Özelinde Dikkat
Özgeçmişle birlikte gelen veriler arasında sıklıkla özel nitelikli veri bulunur: sağlık bilgisi, ceza mahkûmiyeti, dernek üyeliği. İşe alınmayan adayın verilerinin ne kadar süre saklanacağı ve hangi hukuki sebebe dayandığı metinde açıkça gösterilmelidir. Belirsiz süreyle havuzda tutulan aday verileri, saklama ilkesinin ihlali sayılır.
Aydınlatma ile Açık Rıza Arasındaki Sıralama
Doğru akış şudur: önce aydınlatma, sonra gerekiyorsa rıza. Rıza istenen ekranda aydınlatma metnine erişilebilir bağlantı bulunmalı; rıza kutusu ayrı, işaretsiz ve zorunlu olmayan bir alan olarak sunulmalıdır. Rızanın kapsamı da ayrıştırılmalıdır: pazarlama iletisi için verilen rıza, verinin üçüncü kişiye aktarılmasına rıza sayılmaz.
Metnin Güncellenmesi ve Sürüm Yönetimi
Yeni bir işleme faaliyeti başladığında, yeni bir aktarım alıcısı eklendiğinde ya da saklama süresi değiştiğinde metin güncellenmelidir. Her sürüme numara ve yürürlük tarihi verilmesi, hangi ilgili kişiye hangi sürümün gösterildiğini sonradan ispatlamanın tek pratik yoludur. Eski sürümler silinmemeli, arşivde tutulmalıdır.
Denetimde İstenen Belgeler
- Yürürlükteki ve önceki aydınlatma metni sürümleri
- Metnin hangi kanalda nasıl sunulduğuna dair ekran görüntüleri
- Onay ve gösterim kayıtları, zaman damgaları
- Kişisel veri işleme envanteri ile metnin uyumunu gösteren eşleme
- Fiziksel kanallarda imzalı nüsha örnekleri
Aydınlatma metni denetimi
KVKK uyumsuzluğu idari para cezasıyla sonuçlanır. Süreçlerinizi ve belgelerinizi birlikte gözden geçirelim.
Aydınlatma Metni Hazırlama: Adım Adım
- İşleme envanterini çıkarın — Hangi veriyi, hangi kanaldan, hangi amaçla topladığınızı ve kimlere aktardığınızı listeleyin.
- Her amaç için hukuki sebebi belirleyin — KVKK m.5 veya m.6’daki hangi bende dayandığınızı bent bazında yazın; rıza son çare olmalıdır.
- Beş zorunlu unsuru yerleştirin — Kimlik, amaç, aktarım, yöntem ve hukuki sebep ile m.11 haklarını metne ekleyin.
- Rızayı ayırın — Rıza gerekiyorsa ayrı bir metin ve ayrı bir onay alanı oluşturun; kutu önceden işaretli olmasın.
- Sürümleyin ve ispatı saklayın — Metne sürüm ve yürürlük tarihi verin; onay kayıtlarını zaman damgasıyla arşivleyin.
Başvuru ve dava yolunuzu birlikte belirleyelim
Av. Fatma Öztürk — Hukukçular Evi Ankara
Sıkça Sorulan Sorular
Aydınlatma metni ile rıza metni aynı belgede olabilir mi?
Olmamalıdır. Aydınlatma her hâlükârda yapılan bir bilgilendirme, açık rıza ise yalnızca gerektiğinde alınan bir işleme şartıdır. Tek belgede birleştirilmesi rızanın özgür ve bilgilendirmeye dayalı olmadığı sonucunu doğurabilir.
Aydınlatma ne zaman yapılmalı?
Kişisel verilerin elde edilmesi sırasında yapılmalıdır. Veri üçüncü kişiden alınmışsa makul sürede ve en geç ilgili kişiyle ilk iletişim kurulduğu anda yapılır.
Metinde hangi unsurlar zorunlu?
Veri sorumlusunun kimliği, işleme amacı, aktarım yapılacak taraflar ve amacı, toplama yöntemi ve hukuki sebebi ile ilgili kişinin KVKK m.11’deki hakları.
Aydınlatma yaptığımı nasıl ispatlarım?
İspat yükü veri sorumlusundadır. Dijital kanallarda onay kaydı, zaman damgası ve gösterilen metin sürümü; fiziksel kanallarda imzalı nüsha saklanmalıdır.
Bilgilendirme: Bu rehber genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. İdari para cezası tutarları her yıl yeniden değerleme oranında güncellenir; işlem öncesi güncel tutarları teyit edin.
İlgili Rehberler
- Veri Sorumlusu ve Veri İşleyen Kimdir?
- İlgili Kişi Başvurusu ve Kurula Şikâyet
- Bilişim ve Kişisel Veriler Hukuku — tüm rehberler
- Bilişim Hukuku Rehberi
Uyum denetimi
Aydınlatma metni, envanter ve saklama politikası eksikleri denetimde ilk bakılan yerlerdir.
