Aydınlatma Yükümlülüğü ve Aydınlatma Metni Nasıl Hazırlanır? KVKK m.10 ve Aydınlatma Tebliği (2026)

Aydınlatma yükümlülüğü, veri sorumlusunun kişisel verileri elde ettiği anda ilgili kişiyi bilgilendirme yükümlülüğüdür (KVKK m.10). Aydınlatma metninde beş unsur zorunludur: veri sorumlusunun ve varsa temsilcisinin kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplama yöntemi ve hukuki sebebi, ilgili kişinin m.11’deki hakları. Aydınlatma Tebliği bu unsurların nasıl yazılacağını ayrıntılandırır. Amaç belirli, açık ve meşru olmalı, muğlak ifade kullanılmamalıdır. Hukuki sebep, KVKK m.5 veya m.6’daki hangi işleme şartına dayanıldığını açıkça göstermelidir. Aktarımda alıcı grupları ve aktarım amacı belirtilmelidir. Açık rızaya dayanan işlemede aydınlatma ile açık rıza ayrı ayrı yerine getirilir. Aydınlatma yükümlülüğü ilgili kişinin talebine bağlı değildir ve aydınlatma yapıldığını ispat yükü veri sorumlusundadır (Tebliğ m.5). Yükümlülüğe aykırılık idari para cezası gerektirir (KVKK m.18/1-a).

Aydınlatma Yükümlülüğü Nedir, Kimin Yükümlülüğüdür?

Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişileri Kanunda sayılan konularda bilgilendirmekle yükümlüdür (KVKK m.10/1). Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir (m.3/1-ı). Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişi ise veri işleyendir (m.3/1-ğ). Bir şirketin bordro hizmeti aldığı muhasebe bürosu veri işleyen konumunda olabilir. Aydınlatma yükümlülüğü bu durumda da şirkete aittir. Rollerin ayrımı için veri sorumlusu ve veri işleyen yazımıza bakabilirsiniz.

Aydınlatma Tebliği yükümlülüğün kapsamını genişletir. Kişisel veri ilgili kişinin açık rızasına veya Kanundaki diğer işleme şartlarından birine dayansın, her durumda aydınlatma yapılmalıdır (Tebliğ m.5/1-a). Yükümlülüğün yerine getirilmesi ilgili kişinin talebine bağlı değildir (m.5/1-d). Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır (m.5/1-e). Bu üç kural birlikte okunduğunda, aydınlatma metni “isteyene verilen” bir belge değil, veri toplanan her kanalda kendiliğinden sunulması ve sunulduğunun kanıtlanabilmesi gereken bir belgedir.

Metinde Bulunması Zorunlu Beş Unsur

Kanun ve Tebliğ aynı beş unsuru sayar. Tebliğ bunların “asgari” içerik olduğunu vurgular (Tebliğ m.4/1). Bu unsurlardan biri eksik olan metinle aydınlatma yükümlülüğü yerine getirilmiş sayılmaz. Aşağıdaki tablo her unsurun metinde nasıl karşılanacağını gösterir.

Amaç unsuru en sık hata yapılan alandır. Tebliğ, aydınlatmada genel nitelikte ve muğlak ifadelere yer verilmemesini ve gündeme gelmesi muhtemel başka amaçlar için verilerin işlenebileceği izlenimini veren ifadeler kullanılmamasını açıkça ister (m.5/1-g). “Hizmet kalitesinin artırılması”, “şirket faaliyetlerinin yürütülmesi” veya “ilgili mevzuat kapsamındaki diğer amaçlar” gibi ifadeler bu kurala aykırı düşer. Amaç, örneğin “satış sözleşmesinin kurulması ve teslimatın yapılması” gibi somut yazılmalıdır. Bu, Kanunun verilerin belirli, açık ve meşru amaçlar için işlenmesi ilkesinin de gereğidir (KVKK m.4/2-c).

Aktarım unsurunda alıcıların tek tek isimlerinin yazılması zorunlu değildir, ancak alıcı grubunun belirtilmesi gerekir. Tebliğ alıcı grubunu, veri sorumlusunun kişisel verileri aktardığı gerçek veya tüzel kişi kategorisi olarak tanımlar (m.3/1-a). “Kargo şirketleri”, “bağımsız denetim şirketleri”, “yetkili kamu kurum ve kuruluşları” gibi kategoriler, aktarım amacıyla birlikte yazılmalıdır (m.5/1-ı). Yalnızca “üçüncü kişiler” ifadesi kategori bildirmediği için yetersizdir.

Hukuki Sebep Nasıl Yazılır?

Tebliğ “hukuki sebep” kavramını açıkça tanımlar. Kastedilen, kişisel verilerin Kanunun 5. ve 6. maddelerinde belirtilen işleme şartlarından hangisine dayanılarak işlendiğidir ve bu sebep açıkça belirtilmelidir (Tebliğ m.5/1-h). “KVKK kapsamında” veya “mevzuata uygun olarak” gibi ifadeler bu nedenle hukuki sebep bildirmez. Her işleme amacının karşısına dayandığı bent yazılmalıdır.

Özel nitelikli kişisel verilerde rejim farklıdır. Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık ve kıyafet, dernek, vakıf ve sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler özel nitelikli kişisel veridir (KVKK m.6/1). 7499 sayılı Kanunla 2024 yılında bu madde yeniden düzenlenmiştir. Bu verilerin işlenmesi yasaktır. Ancak açık rıza, kanunlarda açıkça öngörülme, hayati menfaat, alenileştirme iradesine uygunluk, bir hakkın tesisi, sağlık hizmetleri, istihdam ve sosyal güvenlik yükümlülükleri ve dernek, vakıf gibi kuruluşların üyelerine ilişkin işlemeler hâlinde mümkündür (m.6/3). Sağlık raporu toplayan bir işverenin metninde dayanak olarak m.6/3’ün ilgili bendinin gösterilmesi gerekir. Ayrıntılar için özel nitelikli kişisel veriler ve kişisel veri işleme şartları yazılarımıza bakabilirsiniz.

Aydınlatma ile Açık Rıza: Neden Ayrı Yapılır?

Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır (KVKK m.3/1-a). Tanımın kendisi aydınlatmayı rızanın ön şartı hâline getirir. Bilgilendirilmeden verilen rıza geçerli bir açık rıza değildir. Aydınlatma ise rızadan bağımsız bir yükümlülüktür ve rızaya dayanmayan işlemelerde de yapılır. Tebliğ bu nedenle açık rızaya dayalı işlemede aydınlatma ve açık rıza alma işlemlerinin ayrı ayrı yerine getirilmesini ister (Tebliğ m.5/1-f).

Uygulamada bu kural iki sonuç doğurur. Birincisi, “Aydınlatma metnini okudum ve kişisel verilerimin işlenmesine onay veriyorum” şeklindeki tek onay kutusu, iki ayrı işlemi birleştirdiği için Tebliğle uyumlu değildir. İkincisi, Kanundaki diğer işleme şartlarından biri mevcutken açık rıza istenmesi, ilgili kişiye işlemenin rızaya bağlı olduğu ve rızanın geri alınmasıyla duracağı izlenimini verir. Sözleşmenin ifası için zorunlu verilerde dayanak m.5/2-c’dir. Rıza ise pazarlama iletisi gibi başka bir şarta dayanmayan işlemeler için ayrı bir alanda istenmelidir. Rızanın özgür iradeyle açıklanması gerektiğinden, önceden işaretlenmiş kutu ya da hizmetin rızaya bağlanması bu tanımla bağdaşmaz.

Ne Zaman ve Hangi Kanalda Yapılır?

Aydınlatmanın zamanı kişisel verilerin elde edilmesi anıdır (KVKK m.10/1). Tebliğ yöntemi serbest bırakır. Aydınlatma sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortamda yapılabilir (Tebliğ m.5/1). Önemli olan içeriğin eksiksiz olması ve sunulduğunun ispat edilebilmesidir. Kişisel veri işleme amacı değişirse, yeni amaç için veri işleme faaliyetinden önce aydınlatma ayrıca yapılmalıdır (m.5/1-b). Veri sorumlusunun farklı birimlerinde veriler farklı amaçlarla işleniyorsa, aydınlatma her birim nezdinde ayrıca yapılır (m.5/1-c). Tek bir genel metnin şirketin tüm süreçlerini karşılaması bu nedenle çoğu zaman mümkün değildir.

Web formlarında metne form gönderilmeden önce erişilebilir bir bağlantı verilmesi, çağrı merkezinde görüşmenin başında sesli bilgilendirme yapılması, fiziksel formlarda metnin aynı belgede yer alması uygulamada yerleşmiş yöntemlerdir. Kamera kaydında giriş noktasında kısa bir bilgilendirme ve ayrıntılı metne yönlendirme yapılabilir. Bu katmanlı yaklaşım mevzuatta ayrıca düzenlenmemiştir. Ancak her durumda beş unsurun ilgili kişinin ulaşabileceği bir metinde eksiksiz yer alması gerekir. Kamera uygulamaları için apartman ve site güvenlik kamerası, çerezler için çerez politikası ve çerez onayı yazılarımıza bakabilirsiniz.

İlgili Kişinin Hakları Metinde Nasıl Gösterilir?

Beşinci zorunlu unsur, ilgili kişinin KVKK m.11’de sayılan haklarıdır (m.10/1-d). Bu hakların metinde eksiksiz sayılması ve hakların hangi yolla kullanılacağının gösterilmesi gerekir. İlgili kişi taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir (m.13/1). Bu nedenle metinde başvurunun yapılacağı posta adresi, kayıtlı elektronik posta adresi veya başvuru formunun yeri belirtilmelidir.

Veri sorumlusu başvurudaki talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır. İşlem ayrıca bir maliyet gerektiriyorsa Kurulca belirlenen tarifedeki ücret alınabilir (m.13/2). Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Veri sorumlusuna başvuru yolu tüketilmeden şikâyet yoluna gidilemez (m.14/1-2). Metinde bu sürecin kısaca anlatılması, ilgili kişinin haklarını kullanmasını kolaylaştırır ve başvuruların doğru kanala gelmesini sağlar.

Yurt Dışına Aktarım ve VERBİS ile Uyum

Aktarım unsuru yurt dışına aktarımları da kapsar. 7499 sayılı Kanunla 2024 yılında yeniden düzenlenen KVKK m.9’a göre yurt dışına aktarım, m.5 veya m.6’daki şartlardan birinin varlığına ek olarak yeterlilik kararına, yoksa uygun güvencelere dayanır. Uygun güvenceler arasında Kurulun ilan ettiği standart sözleşme ve Kurulca onaylanan bağlayıcı şirket kuralları vardır (m.9/1, 9/4). Standart sözleşme imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir (m.9/5). Yeterlilik kararı ve uygun güvence yoksa arızi aktarım hâllerinden biri olarak ilgili kişinin açık rızası gerekir. Bu rıza, ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi kaydıyla geçerlidir (m.9/6-a). Bulut hizmeti, yurt dışı merkezli e-posta veya CRM yazılımı kullanan şirketler, metinde yurt dışına aktarımı ve alıcı grubunu açıkça göstermelidir.

Aydınlatma metni ile Veri Sorumluları Sicili (VERBİS) kaydı birbiriyle tutarlı olmalıdır. Sicile kayıt yükümlülüğü bulunan veri sorumlusunun ilgili kişiye verdiği bilgiler, Sicile açıklanan bilgilerle uyumlu olmalıdır (Tebliğ m.5/1-ç). Sicil kaydında da işleme amacı, alıcı grupları ve yurt dışına aktarılması öngörülen veriler bildirilir (KVKK m.16/3). Metinde yazan amaç ile VERBİS’te bildirilen amaç arasındaki fark, denetimde ilk dikkat çeken tutarsızlıklardan biridir. İşyerlerinde çalışan verileri ve VERBİS için işyerinde kişisel verilerin korunması, yurt dışına aktarım için yurt dışına aktarımda yeni kurallar yazılarımıza bakabilirsiniz.

Aydınlatma Yükümlülüğünün Uygulanmadığı Hâller

Kanun iki tür istisna öngörür. Bazı hâllerde Kanun hiç uygulanmaz. Örneğin gerçek kişilerin üçüncü kişilere verilmemek ve veri güvenliğine uyulmak kaydıyla tamamen kendisi veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetleri ve yargı makamlarının soruşturma, kovuşturma, yargılama ve infaz işlemleri bu kapsamdadır (KVKK m.28/1). Diğer bazı hâllerde ise yalnızca aydınlatma yükümlülüğü, zararın giderilmesini isteme hakkı dışındaki ilgili kişi hakları ve sicile kayıt yükümlülüğü uygulanmaz. Bu ikinci grup, Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla geçerlidir (m.28/2).

Bu istisnalar dar yorumlanmalıdır. Örneğin (b) bendi ilgili kişinin kendi alenileştirdiği verilerle sınırlıdır. Bir şirketin müşteri ve çalışan verileri bakımından genel bir muafiyet sağlamaz.

Yaptırım: İdari Para Cezası, Dava Yolu ve İspat

Aydınlatma yükümlülüğünü yerine getirmeyenler hakkında idari para cezası verilir. Kanun metnindeki tutar 5.000 TL ile 100.000 TL arasıdır (KVKK m.18/1-a). Bu tutarlar Kanunun yürürlüğe girdiği 2016’dan beri her takvim yılı başında, Vergi Usul Kanununa göre ilan edilen yeniden değerleme oranında artırılarak uygulanır (Kabahatler Kanunu m.17/7). 2026 yılı için yeniden değerleme oranı yüzde 25,49’dur. Bu nedenle uygulanacak alt ve üst sınır, Kanun metnindeki rakamların çok üzerindedir ve her yıl güncel tutarın teyit edilmesi gerekir. Aydınlatma cezası veri sorumlusuna uygulanır (m.18/2). Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir (m.18/3).

Ceza riskinin yanında ispat yükü de önemlidir. Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır (Tebliğ m.5/1-e). Dijital kanallarda gösterilen metin sürümünün, tarih ve saat kaydının ve kullanıcı kimliğinin saklanması, fiziksel kanallarda imzalı nüshanın arşivlenmesi bu ispatın araçlarıdır. Metne sürüm numarası ve yürürlük tarihi verilmesi, kime hangi metnin gösterildiğini sonradan kanıtlamayı kolaylaştırır. İlgili kişi aydınlatma eksikliğini veri sorumlusuna başvurusunda ileri sürebilir. Veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırır (KVKK m.13/2). Kanuna aykırı işleme nedeniyle zarara uğrayan ilgili kişinin zararın giderilmesini isteme hakkı da saklıdır (m.11/1-ğ). İdari para cezaları ve itiraz için KVKK idari para cezaları, başvuru süreci için ilgili kişi başvurusu ve Kurula şikâyet yazılarımıza bakabilirsiniz.

Aydınlatma Metni Adım Adım Nasıl Hazırlanır?

1. Envanteri çıkarın. Hangi kişi grubundan, hangi kanalla, hangi veriyi, hangi amaçla topladığınızı ve kimlere aktardığınızı listeleyin. Metin envanterden türetilir. Envanter için kişisel veri envanteri ve saklama-imha politikası yazımıza bakabilirsiniz.
2. Her amaç için hukuki sebebi belirleyin. KVKK m.5/2 veya m.6/3’teki bendi amaç bazında yazın (Tebliğ m.5/1-h).
3. Alıcı gruplarını ve aktarım amaçlarını yazın. Yurt dışına aktarım varsa m.9’daki dayanağı ayrıca belirleyin (Tebliğ m.5/1-ı).
4. Toplama yöntemini gösterin. Otomatik ve otomatik olmayan yöntemleri kanal bazında yazın (Tebliğ m.5/1-i).
5. Hakları ve başvuru yolunu ekleyin. KVKK m.11’deki hakları ve başvurunun nasıl yapılacağını yazın.
6. Dili sadeleştirin. Anlaşılır, açık ve sade bir dil kullanın, muğlak ifadeleri çıkarın (Tebliğ m.5/1-g, ğ).
7. Rızayı ayırın. Açık rıza gerekiyorsa ayrı bir metin ve ayrı bir onay alanı oluşturun (Tebliğ m.5/1-f).
8. VERBİS ile karşılaştırın. Metindeki amaç ve alıcı gruplarını Sicil kaydıyla eşleyin (Tebliğ m.5/1-ç).
9. Sürümleyin ve ispatı saklayın. Metne sürüm ve tarih verin, gösterim kayıtlarını arşivleyin (Tebliğ m.5/1-e).

Çalışan, Çalışan Adayı ve Tedarikçi Metinleri

Farklı kişi grupları için farklı metinler hazırlanması, Tebliğin amaç ve birim bazlı aydınlatma kurallarının doğal sonucudur (Tebliğ m.5/1-b, c). İşe alım sürecinde aday özgeçmişi, iş görüşmesi notları ve referans bilgileri toplanır. Bu veriler sözleşme kurulmadan önce işlendiğinden, hukuki sebep çoğu zaman sözleşmenin kurulmasıyla doğrudan ilgili işleme (m.5/2-c) olarak belirlenir. Özgeçmişte sağlık bilgisi, ceza mahkûmiyeti veya dernek üyeliği gibi özel nitelikli veriler bulunabilir. Bunların işlenmesi m.6/3’teki şartlara tabidir. İşe alınmayan adayın verilerinin ne kadar süre saklanacağı da metinde ve saklama politikasında gösterilmelidir. Verilerin işlendikleri amaç için gerekli süre kadar muhafaza edilmesi Kanunun temel ilkelerindendir (KVKK m.4/2-d).

Çalışan metninde bordro, SGK bildirimi ve iş sağlığı ve güvenliği gibi hukuki yükümlülüğe dayalı işlemeler (m.5/2-ç) ile işyerinde kamera ve erişim kayıtları gibi meşru menfaate dayalı işlemeler (m.5/2-f) ayrı ayrı gösterilmelidir. Tedarikçi ve iş ortağı metinlerinde ise genellikle sözleşmenin ifası ve hukuki yükümlülük dayanakları öne çıkar. Çalışanın izlenmesine ilişkin sınırlar için işyerinde çalışanın izlenmesi yazımıza bakabilirsiniz.

Sık Yapılan Hatalar

• Hukuki sebebi “KVKK kapsamında” gibi genel bir ifadeyle yazmak. Tebliğ m.5 veya m.6’daki bendin açıkça gösterilmesini ister.
• Amaçları “hizmet kalitesinin artırılması” gibi muğlak ifadelerle yazmak.
• Alıcıları yalnızca “üçüncü kişiler” diye belirtmek ve alıcı grubunu ve aktarım amacını yazmamak.
• Aydınlatma ve açık rızayı tek onay kutusunda birleştirmek.
• Başka bir işleme şartı varken açık rıza istemek ve rızayı hizmetin ön şartı yapmak.
• Yurt dışında bulunan bulut veya e-posta hizmetlerine aktarımı metinde göstermemek.
• Metni VERBİS kaydıyla karşılaştırmamak ve amaçları farklı yazmak.
• Yeni bir işleme amacı başladığında metni güncellememek.
• Hangi kişiye hangi metnin gösterildiğini ispatlayacak kayıtları tutmamak.

Hukukçular Evi Bu Süreçte Ne Yapar?

• Kişisel veri envanterinizi süreç ve kanal bazında çıkarır, aydınlatma metinlerini envanterden türetiriz.
• Her işleme amacı için KVKK m.5 ve m.6’daki dayanağı belirler, metne bent bazında yazarız.
• Müşteri, çalışan, çalışan adayı, tedarikçi, ziyaretçi ve kamera metinlerini ayrı ayrı hazırlarız.
• Açık rıza gerektiren işlemeleri ayırır, ayrı rıza metni ve onay akışı kurarız.
• Yurt dışına aktarımları m.9 yönünden inceler, metni ve VERBİS kaydını uyumlu hâle getiririz.
• Kurul soruşturması ve idari para cezası süreçlerinde savunma ve idare mahkemesinde dava aşamalarını yürütürüz.

Değerlendirme için 0554 648 37 15 numaralı telefondan veya WhatsApp hattımızdan bize ulaşabilirsiniz. Kişisel verilerin korunmasına ilişkin rehberlerimiz Bilişim Hukuku Rehberi sayfasında yer alır. Yükümlülüğün genel çerçevesi için KVKK aydınlatma yükümlülüğü, veri işleyen sözleşmeleri için veri işleyen sözleşmesi yazılarımıza bakabilirsiniz.

Sıkça Sorulan Sorular

Aydınlatma metninde hangi unsurlar zorunludur?

Veri sorumlusunun ve varsa temsilcisinin kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin m.11’deki haklarıdır (KVKK m.10/1; Tebliğ m.4/1).

Aydınlatma ne zaman yapılmalıdır?

Kişisel veriler elde edilirken yapılır (KVKK m.10/1). İşleme amacı değişirse yeni amaç için işlemeden önce ayrıca yapılır (Tebliğ m.5/1-b).

Veriyi başka bir kaynaktan aldıysak ne zaman aydınlatırız?

Elde edilmesinden itibaren makul süre içinde; veri iletişim için kullanılacaksa ilk iletişimde; aktarılacaksa en geç ilk aktarım sırasında (Tebliğ m.6/1).

Aydınlatma metni ile açık rıza metni aynı belgede olabilir mi?

Açık rızaya dayalı işlemede aydınlatma ve açık rıza alma ayrı ayrı yerine getirilmelidir (Tebliğ m.5/1-f). Tek onay kutusunda birleştirmek bu kuralla uyumlu değildir.

Hukuki sebep nasıl yazılmalı?

Verinin KVKK m.5 veya m.6’daki hangi işleme şartına dayandığı açıkça belirtilmelidir (Tebliğ m.5/1-h). Örneğin “sözleşmenin kurulması ve ifası (KVKK m.5/2-c)”.

Aktarım yaptığımız şirketlerin adını tek tek yazmak zorunda mıyız?

Hayır. Alıcı grubunun, yani aktarılan gerçek veya tüzel kişi kategorisinin ve aktarım amacının belirtilmesi gerekir (Tebliğ m.3/1-a, 5/1-ı). Yalnızca “üçüncü kişiler” yazmak yeterli değildir.

Aydınlatmayı hizmet aldığımız şirket bizim adımıza yapabilir mi?

Evet. Kanun aydınlatmanın veri sorumlusu veya yetkilendirdiği kişi tarafından yapılabileceğini öngörür (KVKK m.10/1). Ancak yükümlülük ve ispat yükü veri sorumlusunda kalır (Tebliğ m.5/1-e). Yetkilendirmenin ve kullanılan metnin sözleşmede açıkça düzenlenmesi gerekir.

Farklı departmanlarımız için tek metin yeterli mi?

Farklı birimlerde veriler farklı amaçlarla işleniyorsa aydınlatma her birim nezdinde ayrıca yapılmalıdır (Tebliğ m.5/1-c). Müşteri, çalışan, aday ve tedarikçi için ayrı metin hazırlanması bu kuralın sonucudur.

İlgili kişi istemezse aydınlatma yapmak zorunda mıyız?

Evet. Aydınlatma yükümlülüğü ilgili kişinin talebine bağlı değildir (Tebliğ m.5/1-d).

Aydınlatma yaptığımızı nasıl ispatlarız?

İspat yükü veri sorumlusundadır (Tebliğ m.5/1-e). Dijital kanallarda gösterilen metin sürümü ve zaman kaydı, fiziksel kanallarda imzalı nüsha saklanmalıdır.

Aydınlatma yapılmazsa ceza ne kadar?

Kanun metnindeki tutar 5.000-100.000 TL’dir (KVKK m.18/1-a). Bu tutar 2016’dan beri her yıl yeniden değerleme oranında artırılır (Kabahatler Kanunu m.17/7). 2026 için oran yüzde 25,49’dur. Güncel tutar her yıl teyit edilmelidir.

KVKK cezasına karşı nereye dava açılır?

Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir (KVKK m.18/3).

Aydınlatma metninde başvuru adresi yazmak zorunlu mu?

Metin ilgili kişinin m.11’deki haklarını içermelidir (KVKK m.10/1-d). Başvuru yazılı olarak veya Kurulun belirlediği diğer yöntemlerle yapıldığından (m.13/1), hakların nasıl kullanılacağını gösteren başvuru adresinin yazılması gerekir.

Başvuruya ne kadar sürede cevap vermeliyiz?

Talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde, kural olarak ücretsiz (KVKK m.13/2). Ret veya cevapsızlık hâlinde ilgili kişi Kurula şikâyette bulunabilir (m.14).

Hangi hâllerde aydınlatma yapılmaz?

Suç önleme veya soruşturma için gerekli işleme, ilgili kişinin alenileştirdiği veriler, kamu kurumlarının denetim ve disiplin işlemleri ile Devletin mali çıkarları için gerekli işlemelerde (KVKK m.28/2). Bu istisnalar Kanunun amaç ve ilkelerine uygun ve orantılı olmak kaydıyla geçerlidir.

Yurt dışına veri aktarıyorsak metinde ne yazmalıyız?

Yurt dışına aktarım yapıldığını, alıcı grubunu ve aktarımın amacını yazmalısınız. Aktarım m.9’daki yeterlilik kararı, uygun güvence veya arızi aktarım hâllerinden birine dayanmalıdır. Açık rızaya dayanılıyorsa ilgili kişi muhtemel riskler hakkında bilgilendirilmelidir (m.9/6-a).