Aydınlatma Yükümlülüğü ile Açık Rıza Arasındaki Fark

Kısa Cevap

Aydınlatma yükümlülüğü ile açık rıza, uygulamada en çok karıştırılan iki kurumdur ve karıştırılmaları doğrudan idari para cezası riski doğurur.

Aydınlatma yükümlülüğü bir bilgilendirme borcudur ve kişisel veri işlenen her durumda yerine getirilir. Açık rıza ise bir hukuki sebeptir; yalnızca işlemenin dayanacağı başka bir şart yoksa gerekir. Yani rıza almadığınız bir işlemede de aydınlatma zorunludur; buna karşılık aydınlatma yapmış olmak rıza yerine geçmez.

Bu yazı iki kurumun usul farkına odaklanır. Açık rızanın kendisi ve özellikle 2024te değişen özel nitelikli veri rejimi ayrı bir konudur; onu özel nitelikli kişisel veri yazımızda ele aldık.

Bir not: buradaki aydınlatma, veri koruma hukukuna ait bir yükümlülüktür. Hekimin hastayı tıbbi girişim öncesinde bilgilendirme borcu olan aydınlatılmış onam ile aynı kurum değildir; o kurumun kaynağı ve sonuçları farklıdır ve aydınlatılmış onam yazımızda ayrıca anlatılmıştır.

Aydınlatma Her Hâlde Zorunlu, Rıza Değil

Ayrımın kaynağı iki maddenin farklı işlev görmesidir. Aydınlatma yükümlülüğünü düzenleyen madde bir borç kurar:

MADDE 10- (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; a) Veri sorumlusunun ve varsa temsilcisinin kimliği, b) Kişisel verilerin hangi amaçla işleneceği, c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi, d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.10)

İşleme şartlarını düzenleyen madde ise bir hukuki sebep listesi kurar ve açık rızayı bu listenin dışında, genel kural olarak konumlandırır:

MADDE 5- (1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. (2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür: a) Kanunlarda açıkça öngörülmesi.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.5)

İkinci fıkra, açık rızanın yedi alternatifi olduğunu gösterir: kanunlarda açıkça öngörülmesi, fiili imkânsızlık, sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin alenileştirmesi, bir hakkın tesisi veya korunması ve veri sorumlusunun meşru menfaati. Bu şartlardan biri varsa rıza aranmaz.

Buradan çıkan sonuç uygulamayı doğrudan değiştirir. Bir işveren, çalışanının kimlik bilgisini kanuni yükümlülüğü gereği işliyorsa rıza almasına gerek yoktur; ama çalışanı aydınlatmak zorundadır. Tersi de doğrudur: rıza alınmış olması, aydınlatma yapılmadığı için doğan aykırılığı gidermez.

Tebliğ bu ilkeyi açıkça yazar: ilgili kişinin açık rızasına veya Kanundaki diğer işleme şartlarına bağlı olarak kişisel veri işlendiği her durumda aydınlatma yükümlülüğü yerine getirilmelidir.

Aydınlatma Yükümlülüğünün İçeriği

Tebliğ, Kanundaki beş kalemi asgari içerik olarak tekrar eder ve bunun bir taban olduğunu belirtir:

MADDE 4 – (1) Kanunun 10 uncu maddesine göre; kişisel verilerin elde edilmesi sırasında veri sorumluları veya yetkilendirdiği kişilerce, ilgili kişilerin bilgilendirilmesi gerekmektedir. Bu yükümlülük yerine getirilirken veri sorumluları veya yetkilendirdiği kişilerce yapılacak bilgilendirmenin asgari olarak aşağıdaki konuları içermesi gerekmektedir: a) Veri sorumlusunun ve varsa temsilcisinin kimliği, b) Kişisel verilerin hangi amaçla işleneceği, c) Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi, d) İlgili kişinin Kanunun 11 inci maddesinde sayılan diğer hakları.

(Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.4)

“Asgari olarak” ibaresi önemlidir: bu beş kalem tavana değil tabana işaret eder. Ayrıca Tebliğ, aydınlatmanın sözlü, yazılı, ses kaydı veya çağrı merkezi gibi fiziksel ya da elektronik ortamlarda yapılabileceğini kabul eder; yazılı olma zorunluluğu yoktur. Ancak ispat yükü nedeniyle yazılı ya da kayıtlı biçim fiilen tercih edilir.

Tebliğ bir de zamanlama kuralı koyar: kişisel veri işleme amacı değiştiğinde, veri işleme faaliyetinden önce bu amaç için aydınlatma yükümlülüğü ayrıca yerine getirilmelidir. Yani ilk temasta yapılan tek bir aydınlatma, sonradan eklenen yeni bir amacı kapsamaz.

En Sık Yapılan Hata: İkisini Tek Metinde Birleştirmek

Piyasada en yaygın uygulama hatası, “Aydınlatma Metni ve Açık Rıza Beyanı” başlıklı tek bir belgeye tek imza ya da tek onay kutusu koymaktır. Tebliğ bunu açıkça yasaklar:

f) Kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak gerçekleştirilmesi halinde, aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin ayrı ayrı yerine getirilmesi gerekmektedir.

(Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5)

Kuralın gerekçesi rızanın tanımındadır. Kanun açık rızayı, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Bilgilendirme ile rızanın aynı işlemde eritilmesi, rızanın bilgilendirmeye dayandığını denetlenemez hâle getirir ve rızayı hizmet almanın koşulu gibi gösterir; bu da özgür irade unsurunu zedeler.

Pratik sonuç şudur: aydınlatma metni bilgilendirme, açık rıza beyanı ayrı bir irade açıklaması olarak düzenlenmeli; iki işlem ayrı belgede ya da en azından ayrı ve bağımsız onay adımlarında tamamlanmalıdır. Rızanın kapsamı da yalnızca gerçekten rızaya dayanan işlemelerle sınırlı tutulmalıdır; başka bir şarta dayanan işlemeler için rıza istenmesi, gereksiz olduğu gibi rızanın geçerliliğini de tartışmaya açar.

Kurulun 2018/90 Sayılı Kararı

Kişisel Verileri Koruma Kurulu, çevrim içi iş başvurusunda üyelik kaydını zorunlu tutan ve aynı kutucukla hem aydınlatma metninin okunduğu hem de açık rıza verildiği onayını alan bir sistemi re’sen inceledi. Kurul, iki işlemin amaçlarının farklı olduğu gerekçesinden hareket etti:

Ayrıca, veri sorumlusu tarafından aydınlatma yükümlülüğünün yerine getirilmesi herhangi bir onaya bağlı değildir. Aydınlatma yükümlülüğünün yerine getirilmesindeki amaç kişisel verilerin işlenmesi noktasında ilgili kişinin bilgi sahibi olmasının temin edilmesidir. Açık rıza alınmasında amaç ise, veri sorumlusu tarafından kişisel verilerinin işlenmesinin hukuki bir gerekçeye dayandırılmasıdır. Bu sebeple, ilgili kişi aydınlatma metni sayesinde kişisel veri işleme faaliyeti ile ilgili olarak bilgi edinmiş olmakla birlikte, söz konusu metinde yazılanlara açık rıza vermek zorunda değildir.

(Kişisel Verileri Koruma Kurulu, K. 2018/90, T. 26.07.2018)

Bu ayrımın pratikteki sonucu, kararın son cümlesinde görülür. Kurul, aykırılığı tek başına metnin başlığında değil ispat mekanizmasında buldu ve veri sorumlusunu şu yönde talimatlandırdı:

aydınlatma metninin okunduğuna ilişkin geri bildirim alınması ile ilgili kişilerin kişisel verilerinin işlenmesi hususunda gerekli seçimlik haklarının da tanındığı açık rıza metninin onaylandığının ispatını sağlayacak mekanizmaların ayrıştırılması hususunda veri sorumlusunun talimatlandırılmasına

(Kişisel Verileri Koruma Kurulu, K. 2018/90, T. 26.07.2018)

Buradaki ölçüt, iki onayın görsel olarak ayrılması değildir. Kurulun aradığı şey, aydınlatmanın okunduğuna ilişkin geri bildirim ile açık rızanın onaylandığının ispatını ayrı ayrı sağlayabilen bir yapıdır. Dolayısıyla kullanıcıya, rıza vermemesi hâlinde de başvurusunu tamamlayabileceği gerçek bir seçim imkânı tanınmalıdır.

Hukuki Sebep Yazmak Ne Demek?

KVKK m.10’un birinci fıkrasının (ç) bendi, aydınlatmada bulunması gereken kalemlerden birini “kişisel veri toplamanın yöntemi ve hukuki sebebi” olarak sayar. Uygulamada bu kalem en çok geçiştirilen kalemdir; oysa Tebliğ ne anlama geldiğini tanımlar:

h) Kanunun 10 uncu maddesinin birinci fıkrasının (ç) bendinde yer alan “hukuki sebep” ten kasıt, aydınlatma yükümlülüğü kapsamında kişisel verilerin Kanunun 5 ve 6 ncı maddelerinde belirtilen işleme şartlarından hangisine dayanılarak işlendiğidir. Aydınlatma yükümlülüğünün yerine getirilmesi esnasında hukuki sebebin açıkça belirtilmesi gerekmektedir.

(Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5)

Yani hukuki sebep, “mevzuat gereği” ya da “faaliyetlerimizin yürütülmesi amacıyla” gibi bir gerekçe cümlesi değildir; Kanunun 5. veya 6. maddesindeki hangi bende dayanıldığının açıkça gösterilmesidir. Aynı Tebliğ ayrıca, verinin tamamen veya kısmen otomatik yollarla mı yoksa veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerle mi elde edildiğinin açık biçimde belirtilmesini ve aktarım bakımından aktarma amacı ile alıcı gruplarının gösterilmesini ister.

Bu, denetimde somut sonuç doğuran bir ayrımdır: her işleme kalemi için hangi şarta dayanıldığı gösterilmemiş bir metin, Tebliğin aradığı içeriği taşımaz.

İspat Yükü Veri Sorumlusundadır

Tebliğ ispat yükünü tek cümleyle dağıtır:

e) Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.

(Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5)

Bu hükmün sonucu şudur: bir uyuşmazlıkta ilgili kişinin “bana bilgi verilmedi” demesi yeterlidir; aksini ispat yükü veri sorumlusundadır. Bu nedenle aydınlatmanın kaydı tutulmalıdır. Web sitesinde aydınlatma metnine hangi tarihte hangi sürümün yayımlandığı, çağrı merkezinde hangi anonsun ne zaman devrede olduğu, matbu formların hangi sürümünün ne zaman kullanıldığı belgelenebilir olmalıdır. Sürüm ve tarih kaydı tutulmayan bir aydınlatma metni, sonradan ispat edilemeyebilir.

Aydınlatma Talebe Bağlı Değildir

Tebliğ, yükümlülüğün ilgili kişinin talebine bağlı olmadığını ayrıca belirtir. Bu, aydınlatmanın resen yapılması gerektiği anlamına gelir: kimse sormasa da veri sorumlusu bilgilendirmeyi yapacaktır.

Bu kural, aydınlatma yükümlülüğünü ilgili kişinin bilgi talep etme hakkından ayırır. Kanunun 11. maddesindeki bilgi talep etme hakkı başvuruyla kullanılır ve muhatabı bir talebe cevap vermektir; aydınlatma ise talep beklenmeksizin, verinin elde edilmesi sırasında yerine getirilir. İki kurumun karıştırılması, “kimse sormadı, o yüzden yapmadık” savunmasına yol açar ki bu savunma Tebliğ karşısında sonuç doğurmaz. Başvuru hakkının kendisini veri sorumlusuna başvuru yazımızda ele aldık.

Muğlak İfade Yasağı

Tebliğ, metnin dili bakımından da somut şartlar getirir. Aydınlatma kapsamında açıklanacak işleme amacının belirli, açık ve meşru olması gerekir; genel nitelikte ve muğlak ifadelere yer verilmemelidir. Gündeme gelmesi muhtemel başka amaçlar için kişisel verilerin işlenebileceği kanaatini uyandıran ifadeler de kullanılmamalıdır.

Bu, uygulamada sıkça görülen “ve benzeri amaçlarla”, “ticari faaliyetlerimiz kapsamında” ya da “gerekli görülen hâllerde” gibi kalıpları doğrudan hedef alır. Bu tür ifadeler, ileride doğabilecek amaçlara şimdiden kapı açma işlevi gördüğü için Tebliğin aradığı belirlilikle bağdaşmaz.

Tebliğ ayrıca bildirimin anlaşılır, açık ve sade bir dille yapılmasını ister ve aydınlatma yapılırken eksik, yanıltıcı ve yanlış bilgilere yer verilmemesini şart koşar. Yani hukuken doğru ama okunamayacak kadar ağır bir metin de yükümlülüğü tam olarak karşılamaz.

Bir uyum noktası daha vardır: Sicile kayıt yükümlülüğü bulunuyorsa, aydınlatma kapsamında ilgili kişiye verilecek bilgiler Sicile açıklanan bilgilerle uyumlu olmalıdır. Yani aydınlatma metniniz ile VERBİS bildiriminiz birbirini tutmalıdır; ikisi arasındaki çelişki tek başına bir tutarsızlık bulgusudur.

Veri İlgili Kişiden Alınmadıysa Ne Zaman Aydınlatılır?

Veri her zaman doğrudan ilgili kişiden alınmaz; bir referanstan, bir iş ortağından ya da açık kaynaklardan da elde edilebilir. Tebliğ bu hâl için üç ayrı zamanlama kuralı koyar:

MADDE 6 – (1) Kişisel verilerin ilgili kişiden elde edilmemesi halinde; a) Kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde, b) Kişisel verilerin ilgili kişi ile iletişim amacıyla kullanılacak olması durumunda, ilk iletişim kurulması esnasında, c) Kişisel verilerin aktarılacak olması halinde, en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada ilgili kişiyi aydınlatma yükümlülüğünün yerine getirilmesi gerekir.

(Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.6)

Bu hüküm, dolaylı yolla veri toplayan her faaliyeti bağlar. Bir listeden elde edilen telefon numarasına yapılan ilk aramada aydınlatma yapılması gerekir; verinin aktarılması planlanıyorsa aydınlatma en geç ilk aktarım anında tamamlanmalıdır. Kişinin hiç haberi olmadan veri toplanıp süresiz biçimde saklanması bu kural karşısında savunulamaz.

Aykırılığın Yaptırımı

Aydınlatma yükümlülüğünün yerine getirilmemesi, Kanunun kabahatler maddesinde ayrı bir bent olarak yaptırıma bağlanmıştır. Bu, dört kabahat kaleminden biridir ve muhatabı veri sorumlusudur.

Dikkat edilecek nokta, bu bendin kabahat listesindeki en düşük ceza aralığını taşımasıdır; veri güvenliğine ilişkin yükümlülüklerin ihlali ya da Kurul kararının yerine getirilmemesi daha yüksek aralıklarla yaptırıma bağlanmıştır. Ancak aydınlatma eksikliği pratikte tek başına kalmaz: bir şikâyet incelemesinde aydınlatmanın hiç yapılmadığı ya da hukuki sebebin gösterilmediği tespit edildiğinde, aynı dosyada işlemenin hukuki dayanağı da tartışmaya açılır ve bu, daha yüksek aralıklı bentlere kapı aralar.

Tutarların neden her yıl değiştiği, cezanın muhatabının kim olduğu ve idari yolun adli yoldan nasıl ayrıldığı için KVKK ihlalinde ceza yazımıza bakabilirsiniz.

Sık Yapılan Hatalar

• Aydınlatmayı rızaya bağlamak. Aydınlatma, veri işlenen her durumda zorunludur; rıza yalnızca başka bir işleme şartı yoksa gerekir.
• İkisini tek belgede ve tek onayda birleştirmek. Tebliğ, açık rızaya dayalı işlemede iki işlemin ayrı ayrı yerine getirilmesini şart koşar.
• Hukuki sebep yerine amaç yazmak. Hukuki sebep, Kanunun 5. veya 6. maddesindeki hangi bende dayanıldığıdır; “mevzuat gereği” ibaresi bunu karşılamaz.
• Gereksiz yere rıza istemek. Sözleşmenin ifası ya da kanuni yükümlülük gibi bir şarta dayanan işleme için rıza istemek, rızanın geçerliliğini de tartışmaya açar.
• Amaç değiştiğinde yeniden aydınlatmamak. Yeni amaç için, işleme faaliyetinden önce ayrıca aydınlatma yapılmalıdır.
• Sürüm ve tarih kaydı tutmamak. İspat yükü veri sorumlusundadır; kaydı olmayan aydınlatma ispat edilemez.
• Muğlak kalıplara sığınmak. “Ve benzeri amaçlarla” türü ifadeler, Tebliğin aradığı belirlilikle bağdaşmaz.
• Aydınlatma metni ile VERBİS bildirimini birbirine uydurmamak. Sicile açıklanan bilgilerle uyum aranır.
• Dolaylı toplanan veride aydınlatmayı atlamak. Veri ilgili kişiden alınmadıysa Tebliğ üç ayrı zamanlama kuralı koyar.

Özet

• Aydınlatma her durumda zorunludur; açık rıza yalnızca başka bir işleme şartı yoksa gerekir.
• Açık rızanın yedi alternatifi vardır; biri varsa rıza aranmaz ama aydınlatma yine yapılır.
• Açık rızaya dayalı işlemede aydınlatma ile rızanın alınması ayrı ayrı yerine getirilmelidir → tek belgede tek onay hatalıdır.
• Hukuki sebep, Kanunun 5. veya 6. maddesindeki hangi bende dayanıldığıdır; “mevzuat gereği” ibaresi bunu karşılamaz.
• İspat yükü veri sorumlusundadır → metnin sürüm ve tarih kaydı tutulmalıdır.
• Aydınlatma talebe bağlı değildir; resen ve verinin elde edilmesi sırasında yapılır.
• İşleme amacı değiştiğinde, faaliyetten önce yeniden aydınlatma gerekir.
• Muğlak ifade yasağı: “ve benzeri amaçlarla” türü kalıplar Tebliğin aradığı belirlilikle bağdaşmaz.
• Veri ilgili kişiden alınmadıysa Tebliğ üç ayrı zamanlama kuralı koyar (makul süre / ilk iletişim / ilk aktarım).
• Aydınlatmada verilen bilgiler Sicile açıklanan bilgilerle uyumlu olmalıdır.

İlgili yazılar: Özel Nitelikli Kişisel Veri Nedir? İşleme Şartları · Veri Sorumlusu Kimdir? Veri İşleyenden Farkı ve Yükümlülükleri · KVKK İhlalinde Ceza: İdari Para Cezası ile Suç Arasındaki Fark