1. Giriş
Aydınlatma yükümlülüğü, veri koruma hukukunun temel ilkelerinden biri olan şeffaflık ilkesinin somut yansımasıdır. Veri sorumlusu, kişisel verileri işlemeye başlamadan önce ilgili kişiyi bilgilendirmekle yükümlüdür. Bu yükümlülük, ilgili kişinin verilerinin nasıl işleneceğini anlamasını ve haklarını kullanabilmesini sağlar.
ABD: Kapsamlı federal düzenleme yoktur. Sektörel yasalarda (HIPAA, GLBA) bilgilendirme yükümlülükleri mevcuttur. California CPRA "notice at collection" zorunluluğu getirir.
Almanya: GDPR kuralları doğrudan uygulanır. Ek olarak, Telemediengesetz (TMG) ve TTDSG çerçevesinde web siteleri için özel bilgilendirme gereklilikleri mevcuttur.
Türkiye: KVKK Madde 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile düzenlenmiştir.
2. Yasal Dayanak
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
- Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- 11 inci maddede sayılan diğer hakları,
3. Aydınlatmanın Zorunlu İçeriği
Aydınlatma metni, KVKK Madde 10'da sayılan beş unsuru mutlaka içermelidir. Bu unsurlardan herhangi birinin eksikliği, aydınlatma yükümlülüğünün ihlali anlamına gelir.
| Unsur | Açıklama | Örnek |
|---|---|---|
| Veri sorumlusu kimliği | Unvan, adres, iletişim bilgileri | "ABC A.Ş., Merkez Mah. No:1, İstanbul" |
| İşleme amacı | Verilerin hangi amaçlarla işleneceği | "Sipariş işleme, teslimat, müşteri hizmetleri" |
| Aktarım bilgisi | Kimlere, hangi amaçla aktarılacağı | "Kargo şirketlerine teslimat amacıyla" |
| Toplama yöntemi ve hukuki sebep | Nasıl toplandığı ve hangi KVKK m.5/6 şartına dayandığı | "Web sitesi üzerinden, sözleşmenin ifası için" |
| İlgili kişi hakları | KVKK m.11'deki hakların bildirilmesi | "Verilerinize erişim, düzeltme, silme talep edebilirsiniz" |
3.1. KVKK ve GDPR Karşılaştırması
| Bilgi | KVKK m.10 | GDPR m.13-14 |
|---|---|---|
| Veri sorumlusu kimliği | Zorunlu | Zorunlu + DPO iletişim bilgileri |
| İşleme amacı | Zorunlu | Zorunlu |
| Hukuki dayanak | Zorunlu | Zorunlu |
| Aktarım bilgisi | Zorunlu | Zorunlu + yurt dışı aktarım detayları |
| Saklama süresi | Belirtilmemiş | Zorunlu |
| Meşru menfaat açıklaması | Belirtilmemiş | Zorunlu (meşru menfaat halinde) |
| Otomatik karar alma bilgisi | Belirtilmemiş | Zorunlu (profilleme dahil) |
| Rıza geri alma hakkı | m.11 kapsamında | Ayrıca belirtilmeli |
4. Aydınlatma Tebliği
10.03.2018 tarihli Resmî Gazete'de yayımlanan "Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ", aydınlatma yükümlülüğünün nasıl yerine getirileceğini detaylı olarak düzenlemektedir.
4.1. Aydınlatmanın Şekli
| Kanal | Önerilen Yöntem | Dikkat Edilecekler |
|---|---|---|
| Web sitesi | Aydınlatma metni sayfası + form üstü kısa bilgi | Erişilebilir link, okunabilir font |
| Mobil uygulama | Kayıt ekranında aydınlatma + ayarlar menüsü | Küçük ekran için optimize |
| Fiziksel mağaza | Görünür tabela + form üzerinde kısa bilgi | Okunabilir boyut, erişilebilir konum |
| Çağrı merkezi | Sesli aydınlatma + SMS/e-posta ile detay | Makul sürede, anlaşılır dil |
| E-posta pazarlama | Kayıt formunda aydınlatma | Onay öncesi bilgilendirme |
| CCTV/Kamera | Görünür tabela + detaylı metin | Giriş noktalarında bilgilendirme |
4.2. Katmanlı Aydınlatma
Tebliğ, "katmanlı aydınlatma" yöntemini açıkça kabul etmiştir. Bu yöntemde, kısa ve özet bilgi ilk katmanda sunulur; detaylı bilgiye erişim için link veya yönlendirme sağlanır.
2. Katman (Detaylı Metin): KVKK m.10'da sayılan tüm unsurları içeren tam aydınlatma metni.
4.3. Aydınlatmanın Zamanı
5. Aydınlatma İlkeleri
Tebliğ, aydınlatma yükümlülüğünün yerine getirilmesinde uyulması gereken temel ilkeleri belirlemiştir:
| İlke | Açıklama | Uygunsuz Örnek |
|---|---|---|
| Açıklık ve anlaşılırlık | Sade dil, jargondan kaçınma | "KVKK m.5/2-c kapsamında..." (teknik dil) |
| Yazılı veya elektronik | İspatlanabilir yöntem | Sadece sözlü bilgilendirme |
| Amaca uygunluk | Gerçek işleme faaliyetini yansıtma | Genel, her şeyi kapsayan ifadeler |
| Doğruluk | Yanıltıcı olmama | "Verileriniz paylaşılmayacaktır" (paylaşılırken) |
| Güncellik | Değişikliklerin yansıtılması | Eski amaçları içeren metin |
6. Aydınlatma ve Açık Rıza Ayrımı
Uygulamada sıkça karşılaşılan hatalardan biri, aydınlatma yükümlülüğü ile açık rıza alınmasının karıştırılmasıdır. Bu iki kavram farklı amaçlara hizmet eder ve farklı şekilde yerine getirilmelidir.
| Özellik | Aydınlatma | Açık Rıza |
|---|---|---|
| Amaç | Bilgilendirme | Onay alma |
| Zorunluluk | Her durumda zorunlu | Sadece m.5/1 veya m.6/2 hallerinde |
| İlgili kişi eylemi | Gerekli değil (tek taraflı) | Aktif onay gerekli |
| Geri alınabilirlik | Geri alınamaz (bilgi verilmiştir) | Her zaman geri alınabilir |
| Birleştirme | Ayrı tutulmalı | Ayrı tutulmalı |
7. Özel Durumlar
7.1. Dolaylı Veri Toplama
Veriler doğrudan ilgili kişiden değil de üçüncü kişilerden elde edildiğinde, aydınlatma yükümlülüğü farklı şekilde yerine getirilir.
7.2. Çocukların Aydınlatılması
Çocuklara yönelik aydınlatma metinleri, çocukların anlayabileceği basit ve açık bir dille hazırlanmalıdır. GDPR'ın aksine KVKK'da çocuklara özel düzenleme bulunmamakla birlikte, Kurul kararları bu konuda yönlendirme sağlamaktadır.
7.3. Kamera Kayıt Sistemleri
8. Yaptırımlar
Aydınlatma yükümlülüğünün yerine getirilmemesi, KVKK'nın 18. maddesi kapsamında idari para cezası ile yaptırıma bağlanmıştır.
9. Aydınlatma Metni Hazırlama Kontrol Listesi
- Veri sorumlusunun tam unvanı, adresi ve iletişim bilgileri belirtildi mi?
- Kişisel veri işleme amaçları açık ve anlaşılır şekilde yazıldı mı?
- Verilerin aktarılacağı alıcı grupları ve aktarım amaçları belirtildi mi?
- Veri toplama yöntemi (web formu, sözlü beyan, vs.) açıklandı mı?
- Hukuki sebep (KVKK m.5/2 veya m.6/3 bentlerinden hangisi) belirtildi mi?
- KVKK m.11'deki ilgili kişi hakları sıralandı mı?
- Başvuru yöntemi (e-posta, posta, KEP) ve adresi belirtildi mi?
- Metin sade ve anlaşılır bir dille yazıldı mı?
- Aydınlatma, veri işlemeden önce yapılacak şekilde konumlandırıldı mı?
- Aydınlatma metni güncel mi?
10. Sonuç
Aydınlatma yükümlülüğü, veri koruma hukukunun temel taşlarından biridir ve ilgili kişilerin kişisel verileri üzerindeki kontrolünü sağlamanın ilk adımıdır. KVKK, aydınlatma yükümlülüğünü veri sorumluları için zorunlu kılmış ve Tebliğ ile uygulamaya ilişkin detayları belirlemiştir.
Uygulamada en sık yapılan hatalar; aydınlatmanın veri işleme başladıktan sonra yapılması, açık rıza ile karıştırılması, genel ve belirsiz ifadeler kullanılması ve güncel tutulmamasıdır. Veri sorumlularının, her veri işleme kanalı için uygun aydınlatma yöntemini belirlemesi ve KVKK m.10'da sayılan tüm unsurları eksiksiz olarak sunması gerekmektedir.