This article is published in Turkish.
Aydınlatma Yükümlülüğü
KVKK Madde 10 kapsamında veri sorumlusunun aydınlatma yükümlülüğü, aydınlatma metninin zorunlu içeriği, Aydınlatma Tebliği hükümleri, katmanlı aydınlatma ve pratik uygulamalar.
1. Giriş
Aydınlatma yükümlülüğü, veri koruma hukukunun temel ilkelerinden biri olan şeffaflık ilkesinin somut yansımasıdır. Veri sorumlusu, kişisel verileri işlemeye başlamadan önce ilgili kişiyi bilgilendirmekle yükümlüdür. Bu yükümlülük, ilgili kişinin verilerinin nasıl işleneceğini anlamasını ve haklarını kullanabilmesini sağlar.
2. Yasal Dayanak
Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
- Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- 11 inci maddede sayılan diğer hakları,
konusunda bilgi vermekle yükümlüdür.
3. Aydınlatmanın Zorunlu İçeriği
Aydınlatma metni, KVKK Madde 10'da sayılan beş unsuru içermelidir. Bu unsurlardan herhangi birinin eksikliği, aydınlatma yükümlülüğünün ihlali anlamına gelir.
| Unsur | Açıklama | Örnek |
|---|---|---|
| Veri sorumlusu kimliği | Unvan, adres, iletişim bilgileri | "ABC A.Ş., Merkez Mah. No:1, İstanbul" |
| İşleme amacı | Verilerin hangi amaçlarla işleneceği | "Sipariş işleme, teslimat, müşteri hizmetleri" |
| Aktarım bilgisi | Kimlere, hangi amaçla aktarılacağı | "Kargo şirketlerine teslimat amacıyla" |
| Toplama yöntemi ve hukuki sebep | Nasıl toplandığı ve hangi KVKK m.5/6 şartına dayandığı | "Web sitesi üzerinden, sözleşmenin ifası için" |
| İlgili kişi hakları | KVKK m.11'deki hakların bildirilmesi | "Verilerinize erişim, düzeltme, silme talep edebilirsiniz" |
3.1. KVKK ve GDPR Karşılaştırması
| Bilgi | KVKK m.10 | GDPR m.13-14 |
|---|---|---|
| Veri sorumlusu kimliği | Zorunlu | Zorunlu + DPO iletişim bilgileri |
| İşleme amacı | Zorunlu | Zorunlu |
| Hukuki dayanak | Zorunlu | Zorunlu |
| Aktarım bilgisi | Zorunlu | Zorunlu + yurt dışı aktarım detayları |
| Saklama süresi | Belirtilmemiş | Zorunlu |
| Meşru menfaat açıklaması | Belirtilmemiş | Zorunlu (meşru menfaat halinde) |
| Otomatik karar alma bilgisi | Belirtilmemiş | Zorunlu (profilleme dahil) |
| Rıza geri alma hakkı | m.11 kapsamında | Ayrıca belirtilmeli |
4. Aydınlatma Tebliği
10.03.2018 tarihli Resmî Gazete'de yayımlanan "Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ", aydınlatma yükümlülüğünün nasıl yerine getirileceğini detaylı olarak düzenlemektedir.
4.1. Aydınlatmanın Şekli
Veri sorumlusu ya da yetkilendirdiği kişi tarafından sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle aydınlatma yükümlülüğünün yerine getirilmesi esnasında aşağıda sayılan usul ve esaslara uyulması gerekmektedir." Tebliğ, aydınlatmanın hangi ortamda yapılacağını serbest bırakmış; yöntemin veri işleme faaliyetinin gerçekleştiği kanala uygun seçilmesi uygulamada esas alınmıştır.
| Kanal | Önerilen Yöntem | Dikkat Edilecekler |
|---|---|---|
| Web sitesi | Aydınlatma metni sayfası + form üstü kısa bilgi | Erişilebilir link, okunabilir font |
| Mobil uygulama | Kayıt ekranında aydınlatma + ayarlar menüsü | Küçük ekran için optimize |
| Fiziksel mağaza | Görünür tabela + form üzerinde kısa bilgi | Okunabilir boyut, erişilebilir konum |
| Çağrı merkezi | Sesli aydınlatma + SMS/e-posta ile detay | Makul sürede, anlaşılır dil |
| E-posta pazarlama | Kayıt formunda aydınlatma | Onay öncesi bilgilendirme |
| CCTV/Kamera | Görünür tabela + detaylı metin | Giriş noktalarında bilgilendirme |
4.2. Katmanlı Aydınlatma
Uygulamada "katmanlı aydınlatma" yöntemi yaygın olarak benimsenmektedir. Bu yöntemde, kısa ve özet bilgi ilk katmanda sunulur; detaylı bilgiye erişim için link veya yönlendirme sağlanır.
4.3. Aydınlatmanın Zamanı
Aydınlatma yükümlülüğü, KVKK m. 10 uyarınca en geç kişisel verilerin elde edilmesi sırasında yerine getirilmelidir.
Tebliğ m. 5/1-b: "Kişisel veri işleme amacı değiştiğinde, veri işleme faaliyetinden önce bu amaç için aydınlatma yükümlülüğü ayrıca yerine getirilmelidir.
5. Aydınlatma İlkeleri
Tebliğ, aydınlatma yükümlülüğünün yerine getirilmesinde uyulması gereken temel ilkeleri belirlemiştir:
| İlke | Açıklama | Uygunsuz Örnek |
|---|---|---|
| Açıklık ve anlaşılırlık | Sade dil, jargondan kaçınma | "KVKK m.5/2-c kapsamında..." (teknik dil) |
| Yazılı veya elektronik | İspatlanabilir yöntem | Sadece sözlü bilgilendirme |
| Amaca uygunluk | Gerçek işleme faaliyetini yansıtma | Genel, her şeyi kapsayan ifadeler |
| Doğruluk | Yanıltıcı olmama | "Verileriniz paylaşılmayacaktır" (paylaşılırken) |
| Güncellik | Değişikliklerin yansıtılması | Eski amaçları içeren metin |
6. Aydınlatma ve Açık Rıza Ayrımı
Uygulamada sıkça karşılaşılan hatalardan biri, aydınlatma yükümlülüğü ile açık rıza alınmasının karıştırılmasıdır. Bu iki kavram farklı amaçlara hizmet eder ve farklı şekilde yerine getirilmelidir.
| Özellik | Aydınlatma | Açık Rıza |
|---|---|---|
| Amaç | Bilgilendirme | Onay alma |
| Zorunluluk | Her durumda zorunlu | Sadece m.5/1 veya m.6/2 hallerinde |
| İlgili kişi eylemi | Gerekli değil (tek taraflı) | Aktif onay gerekli |
| Geri alınabilirlik | Geri alınamaz (bilgi verilmiştir) | Her zaman geri alınabilir |
| Birleştirme | Ayrı tutulmalı | Ayrı tutulmalı |
7. Özel Durumlar
7.1. Dolaylı Veri Toplama
Veriler doğrudan ilgili kişiden değil de üçüncü kişilerden elde edildiğinde, aydınlatma yükümlülüğü farklı şekilde yerine getirilir.
Kişisel verilerin ilgili kişiden elde edilmemesi halinde; a) kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde, b) kişisel verilerin ilgili kişi ile iletişim amacıyla kullanılacak olması durumunda, ilk iletişim kurulması esnasında, c) kişisel verilerin aktarılacak olması halinde, en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada ilgili kişiyi aydınlatma yükümlülüğünün yerine getirilmesi gerekir.
7.2. Çocukların Aydınlatılması
Çocuklara yönelik aydınlatma metinleri, çocukların anlayabileceği basit ve açık bir dille hazırlanmalıdır. GDPR'ın aksine KVKK'da çocuklara özel düzenleme bulunmamakla birlikte, Kurul kararları bu konuda yönlendirme sağlamaktadır.
7.3. Kamera Kayıt Sistemleri
8. Yaptırımlar
Aydınlatma yükümlülüğünün yerine getirilmemesi, KVKK'nın 18. maddesi kapsamında idari para cezası ile yaptırıma bağlanmıştır.
10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar [idari para cezası verilir.]
2026 yılı güncel değerleri: 85.437 TL - 1.709.200 TL.
9. Sonuç
Aydınlatma yükümlülüğü, veri koruma hukukunun temel taşlarından biridir ve ilgili kişilerin kişisel verileri üzerindeki kontrolünü sağlamanın ilk adımıdır. KVKK, aydınlatma yükümlülüğünü veri sorumluları için zorunlu kılmış ve Tebliğ ile uygulamaya ilişkin detayları belirlemiştir.
Uygulamada en sık yapılan hatalar; aydınlatmanın veri işleme başladıktan sonra yapılması, açık rıza ile karıştırılması, genel ve belirsiz ifadeler kullanılması ve güncel tutulmamasıdır. Veri sorumlularının, her veri işleme kanalı için uygun aydınlatma yöntemini belirlemesi ve KVKK m.10'da sayılan tüm unsurları eksiksiz olarak sunması gerekmektedir.