KVKK Aydınlatma Yükümlülüğü Nedir?

KVKK aydınlatma yükümlülüğü nedir sorusu, KVKK ihlali idari para cezalarının son zamanlarda artmış olması sebebiyle oldukça aranan sorular arasına girmiştir. Aydınlatma yükümlülüklerinin kanuna uygun şekilde yapılmaması halinde veri sorumlularının idari para cezası ile karşı karşıya kalması muhtemeldir. Bu noktada aydınlatma yükümlülüğünde yer verilen ifadelere ve şekli unsurlara dikkat edilmesi gerekmektedir.

KVKK Aydınlatma Yükümlülüğü Nedir?

Aydınlatma yükümlülüğü, Kişisel Verilerin Korunması Kanunuyla veri sorumlularına getirilen yükümlülüklerden biridir. Aydınlatma yükümlülüğünün yerine getirilmesi ile hazırlanan aydınlatma metninde, ilgili kişilere, kişisel veri işlemeden önce, işlenecek verilerin niteliklerine ve detaylarına ilişkin açık bilgiler verilir. 

KVKK aydınlatma yükümlülüğü esasen ilgili Kanunda yer almakla birlikte, yükümlülüğün hangi usullerle yerine getirileceğini açıklayan bir tebliğ ve rehberler de yayınlanmıştır.

KVKK Aydınlatma Yükümlülüğünde Bulunması Gereken Unsurlar Nelerdir?

KVKK aydınlatma yükümlülüğünde bulunması gereken ilgili kanun, tebliğ ve yayımlanan rehberler ile düzenlenen şekli unsurlardır. İlgili kişiye yapılacak aydınlatmada aşağıdaki unsurların asgari olarak yer alması zorunludur: 

• Veri sorumlusunun ve varsa temsilcisinin kimliğine ilişkin bilgiler. Örneğin; şirket unvanı, gerçek kişi temsilcinin adı soyadı, temsilcinin telefon numarası, kimlik bilgileri, e-posta adresi, internet adresi vb. 
• Kişisel verilerin hangi amaçla işleneceği, 
• Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, aktarılacak alıcı grupları. Örneğin; iş ortakları, tedarikçiler, hissedarlar, iş yapılan kamu kurum kuruluşları, topluluk şirketleri vb. 
• Kişisel veri toplamanın yöntemi ve hukuki sebebi. Diğer bir ifade ile, kişisel veri şartlarından hangisine dayanılarak kişisel verinin işleneceği. Örneğin; kanunlarda açıkça öngörülme sebebi, sözleşme için zorunlu olma sebebi, açık rıza sebebi vb. 
• İlgili kişinin sahip olduğu diğer Kanuni hakların neler olduğu. Örneğin, veri sorumlusuna başvurarak kişisel verilerin işlenip işlenmediğini öğrenme, eksik kişisel verilerin düzeltilmesini talep etme vb. 

Veri işleme faaliyetlerinin ilgili kişi açısından açısından oldukça açık ve anlaşılır olması gerekmektedir.

Örneğin, bir şirketin yayınladığı aydınlatma metninde “genel ticari faaliyetler için kişisel veri toplanması” ifadesi hem hangi ticari faaliyetlerin açıklanmaması hem de hangi kişisel verilerin alınacağı hususunda açık olmadığından geçerli sayılmayacaktır.

KVKK Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulması Gereken Usuller

Aydınlatma yükümlülüğünün yerine getirilmesinde uyulması gereken usuller ve şekli unsurlar, tebliğin 5. maddesinde açıklanan usullerdir. 

Bu itibarla aydınlatma yükümlülüğü; sözlü, yazılı, ses kaydıyla, çağrı merkezi kayıtlarıyla, fiziksel ya da elektronik ortamlar kullanılarak ilgili kişiye yöneltilebilir. 

Aydınlatma yükümlülüğünün yerine getirilmesinde geçerli usullere örnek olarak; yüz yüze yapılan aydınlatmalar, web sayfalarında yer alan metinler, duvarlara asılan aydınlatıcı levhalar, bilgi panoları, çağrı merkezi ses kayıtları, web sayfasında yer alan pop-up pencereler örnek verilebilir.

Kişisel Verilerin İlgili Kişiden Elde Edilememesi Halinde Aydınlatma Yükümlülüğünün Yerine Getirilmesi

Kişisel veriler esasen ilgili kişiden edinilmektedir ve veri işleme faaliyetine başlamadan önce aydınlatma yükümlüğünün ilgili kişiye sunulması gerekmektedir. Bazı istisna durumlarda fiili imkansızlık ve ilgili kişiye ulaşılamaması sebebiyle aydınlatma yükümlülüğü ilgili kişiye iletilemez. 

Kişisel veri işlemenin yasal hale gelmesi için aydınlatma yükümlülüğünün:

• Kişisel verinin işlenmesinden itibaren makul bir süre içerisinde, 
• İlgili kişiye ulaşmak için işlenen kişisel veriler için, ilgili kişiyle iletişim kurulduğu ilk anda, 
• Aktarılacak kişisel veriler için en geç kişisel verilerin aktarılacağı ilk anda yerine getirilmesi gerekir.

KVKK Aydınlatma Yükümlülüğü Yerine Getirilirken Dikkat Edilmesi Gerekenler

KVKK aydınlatma yükümlülüğünün hazırlanmasına dikkat edilmesi gereken hususlar yükümlülüğün hukuka uygun şekilde yerine getirmesi için oldukça önemlidir. Aydınlatma yükümlülüğünde şekli yahut esasa ilişkin eksikliklerin olması halinde yükümlülük yerine getirilmemiş sayılabilir ve veri sorumlusu yaptırıma tabi tutulabilir.

KVKK aydınlatma yükümlülüğü yerine getirilirken dikkat edilmesi gereken kurallardan bazıları şunlardır:

• Anlatma yükümlülüğünün yerine getirilmesi ilgili kişinin talebine bağlı değildir. Talep edilmeden ve veri işlemeden önce sunulması zorunludur. 
• Veri sorumlusunun; VERBİS yükümlüsü olması halinde, aydınlatma metninde yer alan bilgiler VERBİS kaydında yer alan bilgilerle aynı olmalıdır. 
• Aydınlatma yükümlülüğünde yer alan yeri işleme amaçları değiştiğinde yeni amaçlar için ayrıca aydınlatma yükümlülüğü sunulmalıdır. 
• Aydınlatma yükümlülüğünde kullanılan ifadeler oldukça açık ele alınmalıdır. Muğlak ifadelere yer verilmemelidir.

KVKK aydınlatma yükümlülüğünün usule ve yayınlanan tebliğlere uygun yerine getirildiğinin ispatı, veri sorumlusu tarafından yapılmaktadır.

KVKK Aydınlatma Yükümlülüğünün Zorunlu Olmadığı Haller

KVKK aydınlatma yükümlülüğünün zorunlu olmadığı haller kanunun tam istisna ve kısmi istisna halleridir. Bu haller şunlardır:

• Kişisel verilerin; üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi, 
• Kişisel verilerin resmi istatistikler kullanılarak anonim hale getirilmesi ve bu verilerin araştırma, planlama ve istatistik amaçlı olarak işlenmesi. 
• Kişisel verilerin milli savunma, milli güvenlik, kamu güvenliği, kamu düzeni, ekonomik güvenlik, özel hayatın gizliliği veya kişilik haklarına zarar vermemek veya suç oluşturmamak koşuluyla sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi. 
• Kişisel verilerin milli savunma, milli güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliği sağlama amacıyla kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından gerçekleştirilen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi. 
• Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemleri ile ilgili olarak yargı mercileri veya infaz yetkili mercileri tarafından işlenmesi.
• Kişisel verilerin milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
• Kişisel verilerin milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.
• Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı mercileri veya infaz yetkili mercileri tarafından işlenmesi.
• Kişisel verilerin işlenmesinin, suçların önlenmesi veya suç soruşturmalarının yürütülmesi için gerekli olması.
• İlgili kişinin kendisi tarafından kamuya açıklanmış kişisel verilerin işlenmesi.
• Kişisel verilerin işlenmesinin, kanunun verdiği yetki çerçevesinde görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları tarafından, denetleme veya düzenleme görevlerinin yerine getirilmesi ile disiplin soruşturması veya kovuşturması için gerekli olması.
• Kişisel verilerin işlenmesinin, bütçe, vergi ve mali konularla ilgili olarak Devletin ekonomik ve mali çıkarlarının korunması amacıyla gerekli olması.

Aydınlatma Metni Hazırlama Aşamaları ve Örnek Aydınlatma Metni

Aydınlatma metni hazırlanırken aşamalara uyulması, metnin eksiksiz şekilde hazırlanması açısından gerekli bir durumdur. Aksi halde aydınlatma metninin Kanuni yükümlülükleri taşımaması sebebiyle ihlaller söz konusu olabilmektedir. 

Aydınlatma metni hazırlanırken önce veri sorumlusunun organizasyonel yapısı çıkarılmalı, departmanlarda işlenen kişisel veriler ve bu kişisel verilerin nitelikleri tespit edilmelidir. Yapılan tespitin ardından şekli ve esasa ilişkin unsurlar dikkate alınarak aydınlatma metni her veri sorumlusunun yapısına göre ayrı ayrı oluşturulmalıdır. 

Aydınlatma metni hazırlanırken takip edilecek aşamalar ve örnek aydınlatma metni, “KVKK aydınlatma metni örneği” başlıklı makalede yer almaktadır

Açık Rızanın Bulunması Halinde Aydınlatma Yükümlülüğünün Uygulanması 

Açık rızanın bulunması halinde aydınlatma yükümlülüğünün uygulanması ayrıca yapılan bir işlemdir. 

Diğer bir ifadeyle, veri işleme şartlarından biri olan açık rızanın alınması halinde de kişiye ayrıca aydınlatma metni iletilmiş olmalıdır. Aydınlatma metni ve açık rıza metninin ayrı ayrı oluşturulmaması halinde kanuna aykırı veri işleme faaliyeti söz konusu olmaktadır.

Aydınlatma Yükümlülüğünün İhlali Halinde Uygulanacak Yaptırımlar

Aydınlatma yükümlülüğünün yerine getirilmemesi halinde veri sorumlusuna verilecek idari para cezaları 2024 yılı için en düşük 47.303 lira, en yüksek 946.308 liradır. İdari para cezaları her yıl yeniden değerleme oranında yayınlanmaktadır. 

Sonuç

Aydınlatma yükümlü kişisel verilerin korunması kanunu ile getirilen veri sorumlusu yükümlülüklerinden biridir. Aydınlatma yükümlülüğünün kanuna uygun şekilde yapılmaması halinde veri sorumlusu idari para cezası ile karşı karşıya kalabilmektedir. Bu itibarla, aydınlatma yükümlülüğü hazırlanırken alanda uzman bir veri koruma avukatından danışmanlık almak oldukça önemlidir.