KVKK Aydınlatma Metni Nedir? İçeriği ve Açık Rızadan Farkı

KVKK aydınlatma metni, veri sorumlusunun kişiye verilerinin hangi amaçla, hangi hukuki sebebe dayanılarak ve nasıl işlendiğini açıkladığı bilgilendirme metnidir. Veri sorumlusunun kimliği, aktarım yapılabilecek kişiler ve ilgili kişinin hakları da açıklanır. Metnin okunması veya teslim alınması, verilerin işlenmesine açık rıza verildiği anlamına gelmez.

Aydınlatma yükümlülüğü ile açık rıza ayrı işlemlerdir. Aydınlatmada verilerin işlenmesi hakkında bilgi verilir; açık rıza ise ilgili işlemenin hukuki şartlarından biridir. Özel nitelikli verilerin işlenme koşulları özel nitelikli kişisel veri yazısında açıklanmıştır.

Bu yazı kişisel veriler hakkındaki aydınlatmayı ele alır. Hekimin tıbbi müdahale öncesindeki bilgilendirme borcu ayrı bir konudur; aydınlatılmış onam yazısında incelenmiştir.

1. Aydınlatma Metninde Hangi Bilgiler Bulunmalıdır?

Aydınlatmada veri sorumlusunun kimliği, işleme ve aktarım amaçları, alıcılar, verinin toplanma yöntemi, hukuki sebep ve ilgili kişinin hakları açıklanır.

Tebliğ m.4, bilgilendirmede bulunması gereken asgari içeriği şöyle düzenler:

MADDE 4 – (1) Kanunun 10 uncu maddesine göre; kişisel verilerin elde edilmesi sırasında veri sorumluları veya yetkilendirdiği kişilerce, ilgili kişilerin bilgilendirilmesi gerekmektedir. Bu yükümlülük yerine getirilirken veri sorumluları veya yetkilendirdiği kişilerce yapılacak bilgilendirmenin asgari olarak aşağıdaki konuları içermesi gerekmektedir: a) Veri sorumlusunun ve varsa temsilcisinin kimliği, b) Kişisel verilerin hangi amaçla işleneceği, c) Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi, d) İlgili kişinin Kanunun 11 inci maddesinde sayılan diğer hakları.

(Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.4)

Bu bilgiler aydınlatmanın asgari içeriğidir; işleme faaliyetini açıklamak için gerekli ayrıntılar da verilmelidir. Ayrıca Tebliğ, aydınlatmanın sözlü, yazılı, ses kaydı veya çağrı merkezi gibi fiziksel ya da elektronik ortamlarda yapılabileceğini kabul eder; yazılı olma zorunluluğu yoktur. Ancak ispat yükü nedeniyle yazılı ya da kayıtlı biçim fiilen tercih edilir.

Tebliğ bir de zamanlama kuralı koyar: kişisel veri işleme amacı değiştiğinde, veri işleme faaliyetinden önce bu amaç için aydınlatma yükümlülüğü ayrıca yerine getirilmelidir. Yani ilk temasta yapılan tek bir aydınlatma, sonradan eklenen yeni bir amacı kapsamaz.

Aydınlatmadan ayrı olarak alınan açık rızanın geçerlilik şartları ve geri alınması, kişinin hangi veri işleme faaliyetine izin verdiği üzerinden değerlendirilir.

2. Aydınlatma Yükümlülüğü ile Açık Rıza Arasındaki Fark Nedir?

Aydınlatma, kişiye verilerinin nasıl işleneceğini bildirmeyi; açık rıza ise belirli bir işleme için özgür iradesiyle izin vermesini ifade eder. Kanundaki diğer işleme şartlarından birine dayanılması, aydınlatma yükümlülüğünü ortadan kaldırmaz.

Ayrımın kaynağı iki maddenin farklı işlev görmesidir. Aydınlatma yükümlülüğünü düzenleyen madde bir borç kurar:

MADDE 10- (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; a) Veri sorumlusunun ve varsa temsilcisinin kimliği, b) Kişisel verilerin hangi amaçla işleneceği, c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi, d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.10)

İşleme şartlarını düzenleyen madde ise bir hukuki sebep listesi kurar ve açık rızayı bu listenin dışında, genel kural olarak konumlandırır:

MADDE 5- (1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. (2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür: a) Kanunlarda açıkça öngörülmesi.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.5)

İkinci fıkra, açık rızanın yedi alternatifi olduğunu gösterir: kanunlarda açıkça öngörülmesi, fiili imkânsızlık, sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin alenileştirmesi, bir hakkın tesisi veya korunması ve veri sorumlusunun meşru menfaati. Bu şartlardan biri varsa rıza aranmaz.

Buradan çıkan sonuç uygulamayı doğrudan değiştirir. Bir işveren, çalışanının kimlik bilgisini kanuni yükümlülüğü gereği işliyorsa rıza almasına gerek yoktur; ama çalışanı aydınlatmak zorundadır. Tersi de doğrudur: rıza alınmış olması, aydınlatma yapılmadığı için doğan aykırılığı gidermez.

Tebliğ bu ilkeyi açıkça yazar: ilgili kişinin açık rızasına veya Kanundaki diğer işleme şartlarına bağlı olarak kişisel veri işlendiği her durumda aydınlatma yükümlülüğü yerine getirilmelidir.

3. Aydınlatma ve Açık Rıza İşlemleri Nasıl Ayrılır?

Açık rızaya dayalı işlemede aydınlatma ile rızanın alınması ayrı ayrı yerine getirilir. Kişinin bilgi aldığını göstermesi ile verilerinin işlenmesine izin vermesi aynı onaya bağlanamaz. Tebliğ m.5 bu ayrımı açıkça düzenler:

f) Kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak gerçekleştirilmesi halinde, aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin ayrı ayrı yerine getirilmesi gerekmektedir.

(Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5)

Kuralın gerekçesi rızanın tanımındadır. Kanun açık rızayı, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Bilgilendirme ile rızanın tek onaya bağlanması, rızanın bilgilendirmeye dayandığını denetlenemez hâle getirir ve rızayı hizmet almanın koşulu gibi gösterir; bu da özgür irade unsurunu zedeler.

Pratik sonuç şudur: aydınlatma metni bilgilendirme, açık rıza beyanı ayrı bir irade açıklaması olarak düzenlenmeli; iki işlem ayrı belgede ya da en azından ayrı ve bağımsız onay adımlarında tamamlanmalıdır. Rızanın kapsamı da yalnızca gerçekten rızaya dayanan işlemelerle sınırlı tutulmalıdır; başka bir şarta dayanan işlemeler için rıza istenmesi, gereksiz olduğu gibi rızanın geçerliliğini de tartışmaya açar.

3.1. Kurulun 2018/90 Sayılı Kararı

Kişisel Verileri Koruma Kurulu, çevrim içi iş başvurusunda üyelik kaydını zorunlu tutan ve aynı kutucukla hem aydınlatma metninin okunduğu hem de açık rıza verildiği onayını alan bir sistemi re’sen inceledi. Kurul, iki işlemin amaçlarının farklı olduğu gerekçesinden hareket etti:

Ayrıca, veri sorumlusu tarafından aydınlatma yükümlülüğünün yerine getirilmesi herhangi bir onaya bağlı değildir. Aydınlatma yükümlülüğünün yerine getirilmesindeki amaç kişisel verilerin işlenmesi noktasında ilgili kişinin bilgi sahibi olmasının temin edilmesidir. Açık rıza alınmasında amaç ise, veri sorumlusu tarafından kişisel verilerinin işlenmesinin hukuki bir gerekçeye dayandırılmasıdır. Bu sebeple, ilgili kişi aydınlatma metni sayesinde kişisel veri işleme faaliyeti ile ilgili olarak bilgi edinmiş olmakla birlikte, söz konusu metinde yazılanlara açık rıza vermek zorunda değildir.

(Kişisel Verileri Koruma Kurulu, K. 2018/90, T. 26.07.2018)

Bu ayrımın pratikteki sonucu, kararın son cümlesinde görülür. Kurul, aykırılığı tek başına metnin başlığında değil ispat mekanizmasında buldu ve veri sorumlusunu şu yönde talimatlandırdı:

aydınlatma metninin okunduğuna ilişkin geri bildirim alınması ile ilgili kişilerin kişisel verilerinin işlenmesi hususunda gerekli seçimlik haklarının da tanındığı açık rıza metninin onaylandığının ispatını sağlayacak mekanizmaların ayrıştırılması hususunda veri sorumlusunun talimatlandırılmasına

(Kişisel Verileri Koruma Kurulu, K. 2018/90, T. 26.07.2018)

Buradaki ölçüt, iki onayın görsel olarak ayrılması değildir. Kurulun aradığı şey, aydınlatmanın okunduğuna ilişkin geri bildirim ile açık rızanın onaylandığının ispatını ayrı ayrı sağlayabilen bir yapıdır. Dolayısıyla kullanıcıya, rıza vermemesi hâlinde de başvurusunu tamamlayabileceği gerçek bir seçim imkânı tanınmalıdır.

4. Hukuki Sebep Yazmak Ne Demek?

KVKK m.10’un birinci fıkrasının (ç) bendi, aydınlatmada bulunması gereken kalemlerden birini “kişisel veri toplamanın yöntemi ve hukuki sebebi” olarak sayar. Hukuki sebep, verinin hangi işleme şartına dayanılarak işlendiğini gösterir. Tebliğ bu kavramı şöyle tanımlar:

h) Kanunun 10 uncu maddesinin birinci fıkrasının (ç) bendinde yer alan “hukuki sebep” ten kasıt, aydınlatma yükümlülüğü kapsamında kişisel verilerin Kanunun 5 ve 6 ncı maddelerinde belirtilen işleme şartlarından hangisine dayanılarak işlendiğidir. Aydınlatma yükümlülüğünün yerine getirilmesi esnasında hukuki sebebin açıkça belirtilmesi gerekmektedir.

(Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5)

Yani hukuki sebep, “mevzuat gereği” ya da “faaliyetlerimizin yürütülmesi amacıyla” gibi bir gerekçe cümlesi değildir; Kanunun 5. veya 6. maddesindeki hangi bende dayanıldığının açıkça gösterilmesidir. Aynı Tebliğ ayrıca, verinin tamamen veya kısmen otomatik yollarla mı yoksa veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerle mi elde edildiğinin açık biçimde belirtilmesini ve aktarım bakımından aktarma amacı ile alıcı gruplarının gösterilmesini ister.

Bu, denetimde somut sonuç doğuran bir ayrımdır: her işleme kalemi için hangi şarta dayanıldığı gösterilmemiş bir metin, Tebliğin aradığı içeriği taşımaz.

5. İspat Yükü Veri Sorumlusundadır

Aydınlatma yükümlülüğünün yerine getirildiğini veri sorumlusu ispat eder. Kullanılan metnin sürüm ve tarih bilgileri, hangi bilgilendirmenin yapıldığını göstermek bakımından önemlidir.

Tebliğ ispat yükünü tek cümleyle dağıtır:

e) Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.

(Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5)

Bu hükmün sonucu şudur: bir uyuşmazlıkta ilgili kişinin “bana bilgi verilmedi” demesi yeterlidir; aksini ispat yükü veri sorumlusundadır. Bu nedenle aydınlatmanın kaydı tutulmalıdır. Web sitesinde aydınlatma metnine hangi tarihte hangi sürümün yayımlandığı, çağrı merkezinde hangi anonsun ne zaman devrede olduğu, matbu formların hangi sürümünün ne zaman kullanıldığı belgelenebilir olmalıdır. Sürüm ve tarih kaydı tutulmayan bir aydınlatma metni, sonradan ispat edilemeyebilir.

6. Aydınlatma Talebe Bağlı Değildir

Veri sorumlusu, ilgili kişinin soru sormasını veya başvurmasını beklemeden aydınlatma yapar. Tebliğ, bu yükümlülüğün ilgili kişinin talebine bağlı olmadığını açıkça belirtir.

Bu kural, aydınlatma yükümlülüğünü ilgili kişinin bilgi talep etme hakkından ayırır. Kanunun 11. maddesindeki bilgi talep etme hakkı başvuruyla kullanılır ve muhatabı bir talebe cevap vermektir; aydınlatma ise talep beklenmeksizin, verinin elde edilmesi sırasında yerine getirilir. İki kurumun karıştırılması, “kimse sormadı, o yüzden yapmadık” savunmasına yol açar ki bu savunma Tebliğ karşısında sonuç doğurmaz. Başvuru hakkının kendisini veri sorumlusuna başvuru yazımızda ele aldık.

7. Muğlak İfade Yasağı

Tebliğ, metnin dili bakımından da somut şartlar getirir. Aydınlatma kapsamında açıklanacak işleme amacının belirli, açık ve meşru olması gerekir; genel nitelikte ve muğlak ifadelere yer verilmemelidir. Gündeme gelmesi muhtemel başka amaçlar için kişisel verilerin işlenebileceği kanaatini uyandıran ifadeler de kullanılmamalıdır.

Bu kural, “ve benzeri amaçlarla”, “ticari faaliyetlerimiz kapsamında” ya da “gerekli görülen hâllerde” gibi kalıpları doğrudan hedef alır. Bu tür ifadeler, henüz belirlenmemiş amaçlarla veri işlenebileceği izlenimi verdiği için Tebliğin aradığı belirlilikle bağdaşmaz.

Tebliğ ayrıca bildirimin anlaşılır, açık ve sade bir dille yapılmasını ister ve aydınlatma yapılırken eksik, yanıltıcı ve yanlış bilgilere yer verilmemesini şart koşar. Yani hukuken doğru ama okunamayacak kadar ağır bir metin de yükümlülüğü tam olarak karşılamaz.

Bir uyum noktası daha vardır: Sicile kayıt yükümlülüğü bulunuyorsa, aydınlatma kapsamında ilgili kişiye verilecek bilgiler Sicile açıklanan bilgilerle uyumlu olmalıdır. Yani aydınlatma metniniz ile VERBİS bildiriminiz birbirini tutmalıdır; ikisi arasındaki çelişki tek başına bir tutarsızlık bulgusudur.

8. Veri İlgili Kişiden Alınmadıysa Ne Zaman Aydınlatılır?

Veri ilgili kişiden alınmadıysa Tebliğ üç ayrı zamanlama kuralı koyar (makul süre / ilk iletişim / ilk aktarım).

Veri her zaman doğrudan ilgili kişiden alınmaz; bir referanstan, bir iş ortağından ya da açık kaynaklardan da elde edilebilir. Tebliğ bu hâl için üç ayrı zamanlama kuralı koyar:

MADDE 6 – (1) Kişisel verilerin ilgili kişiden elde edilmemesi halinde; a) Kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde, b) Kişisel verilerin ilgili kişi ile iletişim amacıyla kullanılacak olması durumunda, ilk iletişim kurulması esnasında, c) Kişisel verilerin aktarılacak olması halinde, en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada ilgili kişiyi aydınlatma yükümlülüğünün yerine getirilmesi gerekir.

(Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.6)

Bu hüküm, dolaylı yolla veri toplayan her faaliyeti bağlar. Bir listeden elde edilen telefon numarasına yapılan ilk aramada aydınlatma yapılması gerekir; verinin aktarılması planlanıyorsa aydınlatma en geç ilk aktarım anında tamamlanmalıdır. Kişinin hiç haberi olmadan veri toplanıp süresiz biçimde saklanması bu kural karşısında savunulamaz.

9. Aykırılığın Yaptırımı

Aydınlatma yükümlülüğünün yerine getirilmemesi, Kanunun kabahatler maddesinde ayrı bir bent olarak yaptırıma bağlanmıştır. Bu, dört kabahat kaleminden biridir ve muhatabı veri sorumlusudur.

Dikkat edilecek nokta, bu bendin kabahat listesindeki en düşük ceza aralığını taşımasıdır; veri güvenliğine ilişkin yükümlülüklerin ihlali ya da Kurul kararının yerine getirilmemesi daha yüksek aralıklarla yaptırıma bağlanmıştır. Ancak aydınlatma eksikliği pratikte tek başına kalmaz: bir şikâyet incelemesinde aydınlatmanın hiç yapılmadığı ya da hukuki sebebin gösterilmediği tespit edildiğinde, aynı dosyada işlemenin hukuki dayanağı da tartışmaya açılır ve diğer yükümlülüklere aykırılık ayrıca incelenir.

Tutarların neden her yıl değiştiği, cezanın muhatabının kim olduğu ve idari yolun adli yoldan nasıl ayrıldığı için KVKK ihlalinde ceza yazımıza bakabilirsiniz.

İlgili yazılar: Özel Nitelikli Kişisel Veri Nedir? İşleme Şartları · Veri Sorumlusu Kimdir? Veri İşleyenden Farkı ve Yükümlülükleri · KVKK İhlalinde Ceza: İdari Para Cezası ile Suç Arasındaki Fark