KVKK Aydınlatma Metni
1. Genel Olarak Aydınlatma Yükümlülüğü
6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”), kişisel verileri işlenen ilgili kişilere
bu verilerinin kim tarafından, hangi amaçlarla ve hukuki sebeplerle işlenebileceği, kimlere
hangi amaçlarla aktarılabileceği hususunda bilgi edinme hakkı tanımakta ve bu hususları,
veri sorumlusunun aydınlatma yükümlülüğü kapsamında ele almaktadır.
Kanun, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar
Hakkında Tebliğ (“Tebliğ”) ve Kişisel Verileri Koruma Kurulu’nun (“Kurul”) vermiş olduğu
kararlar çerçevesinde, veri sorumlularının birtakım yükümlülükleri bulunmaktadır. Bu
yükümlülüklerden birisi de, Kanun’un 10. maddesinde yer alan aydınlatma yükümlülüğüdür.
Buna göre veri sorumlusunun, Kanun’un 10. maddesi çerçevesinde kişisel verilerin elde
edilmesi sırasında bizzat veya yetkilendirdiği kişi aracılığıyla kişisel verisi işlenen ilgili kişileri
aydınlatma yükümlülüğü bulunmaktadır.
Aydınlatma yükümlülüğü, ilgili kişinin talebine bağlı bir yükümlülük değildir. İlgili kişinin açık
rızasının ya da diğer kişisel veri işleme şartlarının bulunması hallerinde de veri sorumlusu,
aydınlatma yükümlülüğünü yerine getirmelidir. Çünkü aydınlatma yükümlülüğü gerek açık
rıza gerekse de Kanun’daki diğer kişisel veri işleme şartlarından bağımsız olarak yerine
getirilmesi gereken bir yükümlülüktür.
2. Veri Sorumlusu Kimdir?
Kanun’un “Tanımlar” başlıklı 3. maddesi uyarınca; veri sorumlusu, kişisel verilerin işlenme
amaçlarını ve araçlarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden
sorumlu olan gerçek veya tüzel kişidir.
3. Aydınlatma Yükümlülüğü Kim Tarafından Yerine Getirilecektir?
Aydınlatma yükümlülüğünün veri sorumluları veya yetkilendirdiği kişilerce yerine getirilmesi
gerekmektedir. Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı da veri sorumlusuna
aittir.
4. Aydınlatma Yükümlülüğünde Uyulması Gereken Usul ve Esaslar Nelerdir?
4.1. Kişisel Verilerin İlgili Kişilerden Elde Edilmesi Halinde Aydınlatma Yükümlülüğü
Kanun’a göre kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği
kişilerce, ilgili kişilerin bilgilendirilmesi gerekmektedir. Kanun’un 10. maddesi uyarınca,
aydınlatma yükümlülüğü yerine getirilirken veri sorumluları veya yetkilendirdiği kişilerce
yapılacak bilgilendirmenin asgari olarak aşağıdaki konuları içermesi gerekmektedir:
- Veri sorumlusunun veya temsilcisinin kimliği
- Kişisel verilerin hangi amaçla işleneceği
- Kişisel verilerin kimlere ve hangi amaçla aktarılacağı
- Kişisel veri toplamanın yöntemi ve hukuki sebebi
- İlgili kişinin Kanun’un 11. maddesinde sayılan diğer hakları
4.2. Kişisel Verilerin İlgili Kişiden Elde Edilmemesi Halinde Aydınlatma Yükümlülüğü
Kişisel verilerin Kanun’a uygun bir şekilde işlenebilmesi için öncelikle kişisel verilerin ilgili
kişiden elde edilmesi gerekmektedir. Ancak, Tebliğ’in 6. maddesi, kişisel verilerin ilgili kişiden
elde edilmemesi halinde aydınlatma yükümlülüğünün nasıl yerine getirileceğini
düzenlemiştir.
İlgili maddeye göre; fiili imkânsızlık veya ilgili kişiye ulaşılamaması nedeniyle kişisel veriler
doğrudan ilgili kişiden elde edilemiyorsa:
- Kişisel verinin elde edilmesinden itibaren makul bir süre içerisinde,
- Kişisel verinin ilgili kişiyle iletişim amacıyla kullanılacak olması durumunda, ilk iletişim kurulması esnasında,
- Kişisel verilerin aktarılacak olması halinde, en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada,
ilgili kişiye aydınlatma yükümlülüğünün yerine getirilmesi gerekir.
5. Aydınlatma Yükümlülüğü Hangi Vasıtalar ile Yerine Getirilecektir?
Aydınlatma yükümlülüğü, veri sorumlusu veya yetkilendirdiği kişi tarafından sözlü, yazılı, ses
kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle yerine
getirilecektir.
Ancak; sözlü olarak gerçekleştirilen aydınlatma yükümlülüğü veri sorumluları nezdinde ispat
açısından zorluk doğurabileceğinden, bu yükümlülüğün veri sorumlusu veya yetkilendirdiği
kişi tarafından yukarıda sayılan diğer yöntemler vasıtasıyla yerine getirilmesi uygun olacaktır.
6. Aydınlatma Yükümlülüğü Yerine Getirilirken Dikkat Edilmesi Gereken Hususlar Nelerdir?
Veri sorumlularının, aydınlatma yükümlülüğünü yerine getirirken, başta Kanun, Tebliğ, Kurul
karar ve rehberleri olmak üzere, aşağıdaki hususlara dikkat etmesi gerekmektedir:
- Aydınlatma yükümlülüğü, kişisel verilerin elde edilmesi esnasında yerine getirilmelidir. Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusundadır.
- Aydınlatma yükümlülüğü kapsamında yapılacak bilgilendirmenin asgari olarak Kanun'un 10. maddesindeki hususları (veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin hakları) içermesi gerekmektedir.
- Kişisel verilerin fiili imkânsızlık veya ilgili kişiye ulaşılamaması nedeniyle ilgili kişiden elde edilmemesi durumunda, aydınlatma yükümlülüğü kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde yerine getirilmelidir.
- Kişisel verinin ilgili kişiyle iletişim amacıyla kullanılacak olması durumunda ilk iletişim kurulması esnasında, kişisel verilerin aktarılacak olması halinde ise, en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada aydınlatma yükümlülüğünün yerine getirilmesi gerekmektedir.
- Aydınlatma sırasında açıklanan kişisel veri işleme amacı bakımından, gelecekte gündeme gelmesi muhtemel başka amaçlar için kişisel verilerin işlenebileceği kanaatini uyandıran ifadeler kullanılmamalıdır.
- Aydınlatma yükümlülüğü yerine getirilirken kullanılacak metinlerde genel nitelikte, muğlak, eksik, yanıltıcı ve yanlış bilgilere yer verilmemelidir.
- Aydınlatma metninde yer alan işleme amacı ve hukuki sebebi hususları birbirinden ayrı unsurlardır. Veri toplamanın hukuki sebebi, Kanun'un 5. ve 6. maddesinde yer alan işleme şartlarını ifade etmektedir.
- Belirli bir işleme faaliyeti ile sınırlı olmayan, genel veri işleme belgesi niteliğinde olan gizlilik politikaları veya veri işleme politikaları, aydınlatma metinleri olarak kullanılmamalıdır.
- Aydınlatma metni kolayca erişilebilir ve fark edilebilir olmalıdır. İlgili kişilerin aydınlatmaya erişimini zorlaştıracak yöntemler kullanılmamalıdır.
- Kişisel verilerin aktarılması halinde, aktarımın amacına ve aktarılan alıcı grubu ya da gruplarına aydınlatmada ayrıca yer verilmelidir.
- Katmanlı aydınlatma yönteminin tercih edilmesi halinde, ilgili kişiler ayrıntılı bilgi için diğer bir mecraya yönlendirilmeden önce ilk aşamada temel bilgilerin (örneğin veri sorumlusunun kimliği ve veri işlemenin amacı) sunulması gerekmektedir. Yönlendirilen metnin ise ilgili işleme faaliyeti ile sınırlı olmasına dikkat edilmelidir.
6.1. Aydınlatma Faaliyet/Süreç Bazlı mı Yerine Getirilmelidir?
Kurul’un 08/10/2020 tarihli ve 2020/765 sayılı kararında aydınlatma yükümlülüğünün yerine
getirilmesi kapsamında; “Aydınlatmanın kişisel verilerin elde edilmesi sırasında ve faaliyet
bazlı olarak yerine getirilmesi gerektiği talimatına ilişkin olarak tevsik edici belge
sunulmamakla birlikte veri sorumlusunun savunma yazısında; kişisel verilerin işlenme
amacını belirten tek bir aydınlatma metni ile ilgili kişilerin kişisel verilerin elde edilmesi
anında bilgilendirildiği ve veri sorumlusunun müşterileri dışındaki gerçek kişiler hakkında
gerçekleştirdiği veri işleme faaliyetlerinde ise özel ve ayrı aydınlatma metinleri kullanıldığı
ifadelerine yer verilmekle birlikte web sayfasında farklı bankacılık ürünlerine başvuru
yapılması sırasında o faaliyete özgü hazırlanmamış genel bir aydınlatma metnine yer
verildiği ve bu aydınlatma metninin de Tebliğe uygun olmadığı dikkate alındığında veri
sorumlusu tarafından yayımlanan aydınlatma metninin Aydınlatma Yükümlülüğünün Yerine
Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine uygun olarak
düzenlenmediği ve Kurul Kararı ile verilen talimatın yerine getirilmeyerek Banka tarafından
Kanunun 15’inci maddesinin (5) numaralı fıkrasına aykırı hareket edildiği kanaatine”
varılmıştır.
6.2. Veri İşleme Amacı Değiştiğinde Aydınlatma Yükümlülüğü Ne Zaman Yerine
Getirilmelidir?
Aydınlatma yükümlülüğü yerine getirilmiş olsa bile kişisel veri işleme amacı değiştiğinde, veri
işleme faaliyetinden önce değişen amaç için aydınlatma yükümlülüğü ayrıca yerine
getirilmelidir. Nitekim; Kurul’un 27/01/2020 tarih ve 2020/65 sayılı kararında da; “söz konusu
uygulamanın yüklenmesi akabinde üye olunması esnasında ilgili kişilere bir aydınlatma
gerçekleştirilmediği ve ilgili kişinin yolculuklarının şoförler tarafından değerlendirilerek
çıkarılacak bir puanlamaya dayalı veri işleme faaliyetine, internet sitesinde yer alan veri
sorumlusunun aydınlatma metni yerine geçen “Kişisel Verilerin Korunması Hakkında
Bilgilendirme” dokümanında ve Kullanım Koşulları başlıklı belgede yer verilmemesi
sebebiyle, Kanunun 10 uncu maddesinde yer alan “Veri Sorumlusunun Aydınlatma
Yükümlülüğü”nü yerine getirmemiş olduğu kanaatine varılmasından ötürü Kanunun 18 inci
maddesinin (1) numaralı fıkrasının (a) bendi kapsamında veri sorumlusu hakkında 10.000 TL
idari para cezası uygulanmasına” karar verilmiştir.
7. Aydınlatma Yükümlülüğü ile Açık Rıza Bir Arada Bulunabilir Mi?
Kanun’un 3. maddesinde unsurları belirtilen açık rıza, bir kişisel veri işleme şartıdır. Açık
rıza; kişinin sahip olduğu verinin işlenmesine kendi isteği ile ya da karşı taraftan gelen talep
üzerine onay vermesi anlamına gelmektedir. Kişi açık rıza beyanı ile; kendi kişisel verisinin
işlenmesine ilişkin kararını veri sorumlusuna bildirmiş olmaktadır. Bu sebeple; aydınlatma
yükümlülüğü açık rıza alınmasına bir istisna teşkil etmemekte olup, açık rıza alınması
gereken durumlarda açık rıza alınması ve aydınlatma yapılması faaliyetlerinin ayrı ayrı
yerine getirilmesi gerekmektedir.
8. Aydınlatma Yükümlülüğünün İstisnaları Nelerdir?
Kanun hükümlerinin uygulanmayacağı hâller Kanun’un 28. maddesinin birinci fıkrasında
düzenlenmiştir. Dolayısıyla ilgili maddede bulunan hallerin mevcudiyeti halinde aydınlatma
yükümlülüğünün yerine getirilmesi gerekli değildir.
Yine Kanun’un 28. maddesinin ikinci fıkrasında da aydınlatma yükümlülüğünün zorunlu
olmadığı bir takım haller belirtilmiştir. Bu maddeye göre, ilgili fıkrada sayılan faaliyetler
kapsamında işlenmekte olan kişisel veriler için Kanun’un 10. maddesi uygulanmayacaktır.
Örneğin emniyet birimleri tarafından suç işlenmesinin önlenmesi veya suç soruşturması için
gerekli olması işleme şartına dayalı olarak yapılan takip kapsamında, trafik kayıtlarının
işlenmesi halinde ilgili kişilere aydınlatma yapılmasına gerek olmayacaktır.
9. Aydınlatma Yükümlülüğüne Aykırılığın Yaptırımı Nedir?
Kanun’un 18. maddesinde aydınlatma yükümlülüğünü yerine getirmeyen gerçek kişi veya
özel hukuk tüzel kişisi niteliğindeki veri sorumluları hakkında kurum tarafından her yıl
belirlenecek oranda idari para cezaları verilmesi öngörülmüştür.
Bu kapsamda; Kanun’un 10. maddesinde düzenlenen aydınlatma yükümlülüğünü yerine
getirmeyenler hakkında 2023 yılı idari para cezaları için belirlenen değerleme oranları baz
alındığında Kurul tarafından, 29.852,00 Türk Lirasından 597.191,00 Türk Lirasına kadar idari
para cezası verilebilecektir.
10. Sonuç ve Değerlendirme
Aydınlatma yükümlülüğünü Kanun'a uygun şekilde yerine getirmeyenler hakkında idari para
cezası uygulanabilmektedir. Dolayısıyla; yukarıdaki bilgiler ışığında, tüm veri sorumlularının
Kanun ve Tebliğ’e uygun olarak süreçlerini gözden geçirmeleri uygun olacaktır.