KVKK Aydınlatma Metni Nedir? İçeriği ve Açık Rızadan Farkı

KVKK aydınlatma metni, kişisel verilerin kim tarafından, hangi amaçla ve hukuki sebeple işlendiğini, kimlere aktarılabileceğini ve kişinin haklarını açıklayan bilgilendirmedir. Metni okumak veya teslim almak, açık rıza vermek değildir. Aydınlatma yükümlülüğü, Kanunun kapsam ve istisnaları içinde veri sorumlusunca yerine getirilir; rızaya dayanılarak veri işlenmesiyle aynı işlem sayılmaz (6698 sayılı Kişisel Verilerin Korunması Kanunu m.3/1-a, m.10, m.28).

Bir form, iş başvurusu veya internet sitesi için metin hazırlıyorsanız önce gerçek veri akışını belirleyin. Elinizdeki metni değerlendiriyorsanız kimliğin, amacın, aktarımın ve hukuki sebebin sizin işleminizi açıklayıp açıklamadığına bakın. Bu yazı kişisel veriler hakkındaki bilgilendirmeyi ele alır; tıbbi müdahaleye ilişkin aydınlatılmış onam ayrı konudur.

İşyerindeki personel işlemleri için alanların nasıl doldurulacağı, çalışan aydınlatma metni hazırlama rehberinde açıklamalı örnekle gösterilmiştir.

Aydınlatmanın açık rıza, sözleşme ve kişisel veri haklarıyla ilişkisi KVKK ana rehberinde karşılaştırmalı olarak açıklanmıştır.

1. KVKK Aydınlatma Metninde Hangi Bilgiler Bulunmalıdır?

KVKK aydınlatma metninde veri sorumlusunun kimliği, işleme amacı, aktarım yapılabilecek kişiler ve aktarım amacı, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları açıklanır. Bu bilgiler asgari içeriktir; yalnız “KVKK kapsamında bilgi verilmiştir” cümlesiyle bu konuların açıklanmış olduğu kabul edilemez (KVKK m.10; Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.4).

Zorunlu içerik	Metinde cevap­la­na­cak soru	Dayanak
Veri sorum­lu­su­nun ve varsa tem­sil­ci­si­nin kimliği	Verilerin işlen­me­sin­den kim sorumlu?	KVKK m.10/1-a
Kişisel verilerin işlenme amacı	Veriler hangi belirli amaçla işleniyor?	KVKK m.10/1-b
Aktarım alıcıları ve amacı	Veriler kimlere, hangi amaçla akta­rı­la­bi­lir?	KVKK m.10/1-c
Toplama yöntemi ve hukuki sebep	Veriler nasıl elde ediliyor, hangi işleme şartına dayanılıyor?	KVKK m.10/1-ç
İlgili kişinin hakları	Kişi kendi verileri hakkında hangi haklara sahip?	KVKK m.10/1-d, m.11

Aktarım bölümünde alıcı grupları ile aktarım amaçları belirtilmelidir. Toplama yönteminde de verilerin tamamen veya kısmen otomatik yollarla mı, veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerle mi elde edildiği açıklanır. Yalnız “çeşitli kanallardan toplanır” ifadesini kullanmak yerine kendi toplama faaliyetini tarif etmek gerekir (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-ı, m.5/1-i).

Veri sorumlusu ile onun adına işlem yapan hizmet sağlayıcı aynı sıfatı taşımaz. Metindeki kimliği belirlerken veri sorumlusu ile veri işleyen farkını dikkate alın. Veri sorumlusunun kim olduğunu açıklamayan bir ticari marka veya genel site adı, bu soruyu cevapsız bırakabilir (KVKK m.3/1-ğ, m.3/1-ı, m.10/1-a).

2. KVKK Aydınlatma Metni Nasıl Hazırlanır?

KVKK aydınlatma metni, önce işleme faaliyeti belirlenip ardından zorunlu içerik o faaliyete uyarlanarak hazırlanır. Metni yazmak, veriyi işlemeye hukuki sebep oluşturmaz; işleme şartının bulunması ve kişinin doğru bilgilendirilmesi ayrı ayrı değerlendirilir (KVKK m.5, m.6/3, m.10).

1. İşlemi ve ilgili kişiyi belirleyin. Çalışan adayı, müşteri veya ziyaretçi bakımından hangi verilerin toplandığını ve hangi işlemde kullanıldığını açıklığa kavuşturun. Aynı kurumda farklı işlemlerin amaçları aynı olmayabilir (KVKK m.3, m.10).
2. Her amacı işleme şartıyla ilişkilendirin. Veriyi neden kullandığınızı ve bu kullanımı hangi kanuni şartın mümkün kıldığını ayrı yazın. Genel nitelikli ve özel nitelikli verileri aynı şartlara tabi saymayın (KVKK m.5, m.6/3, m.10/1-ç).
3. Kimlik, yöntem, aktarım ve hakları tamamlayın. Yukarıdaki içerik tablosundaki konuları gerçek faaliyetiniz üzerinden açıklayın; belirsiz ihtimalleri gerçekleşen işlem gibi yazmayın (KVKK m.10).
4. Bilgilendirme anını ve kanalını belirleyin. Metnin ilgili kişiye ne zaman, nasıl sunulacağını ve aydınlatmanın yapıldığının nasıl gösterileceğini planlayın. Dolaylı elde edilen veriler için farklı zamanlama kuralları bulunur (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.4, m.5, m.6).
5. İçeriği gerçekleşen işlemle karşılaştırın. İşleme amacı değişmişse yeni amaçla işlemden önce ayrıca aydınlatma yapın. Sicile kayıt yükümlülüğünüz varsa metindeki bilgiler Sicile açıklananlarla uyumlu olmalıdır (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-b, m.5/1-ç).

Bu sıra, her faaliyete aynı ifadeleri yerleştiren bir doldurma işlemi değildir. Örneğin yalnız iş başvurusu almak için hazırlanan metin, müşteri verilerinin pazarlama amacıyla kullanılmasını kendiliğinden açıklamaz. Hangi amacın, hangi kişiye ve hangi veriler bakımından bildirildiğini somutlaştırın (KVKK m.10).

İnternet sitesindeki çerezler için hazırlık yapıyorsanız, teknik kullanım listesinden bilgilendirme ve tercih düzenine geçiş çerez politikası nasıl hazırlanır rehberinde açıklanmıştır.

Aydınlatmayı internet sitesinin diğer veri uygulamalarıyla birlikte ele almak için gizlilik politikası nasıl hazırlanır rehberine bakılabilir.

3. KVKK Aydınlatma Metni Örneği Nasıl Uyarlanır?

KVKK aydınlatma metni örneği, zorunlu başlıkları görmeye yardımcı olabilir; başka bir kuruluşun kimliğini değiştirerek kullanılması kendi veri işleme faaliyetinizi açıklamaya yetmeyebilir. İçerikteki amaçların, toplama yöntemlerinin ve aktarım alıcılarının sizin işleminize karşılık gelmesi gerekir. Eksik, yanıltıcı veya yanlış bilgi verilmemelidir (KVKK m.10; Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-j).

Varsayımsal bir iletişim formunda “talebinize cevap verilmesi” amacı yazılabilir; fakat bu amaç cümlesi hukuki sebebin yerine geçmez. Formdan alınan verilerin hangi işleme şartına dayandığı, kimlere aktarılabileceği ve bu aktarımın amacı ayrıca açıklanmalıdır. Aynı formdaki verilerin farklı bir amaçla kullanılacağı varsayılıyorsa, bu kullanımın işleme şartı ve aydınlatması da ayrı incelenir (KVKK m.5, m.10).

Kurumun Aydınlatma Tebliği metni, örnek metni kontrol ederken esas alınacak içeriği ve usulü gösterir. Hazır bir örnekte uzun bir mevzuat listesi bulunması, sizin işleme faaliyetinizin açıklandığını tek başına göstermez; kişinin hangi işlemin neden yapıldığını anlayabilmesi gerekir (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-g, m.5/1-ğ, m.5/1-h).

4. KVKK Aydınlatma Metninde Amaç ve Hukuki Sebep Nasıl Yazılır?

KVKK aydınlatma metninde amaç, verinin ne için kullanıldığını; hukuki sebep, Kanundaki hangi işleme şartına dayanıldığını açıklar. “Faaliyetlerimizi yürütmek için” veya yalnız “mevzuat gereğince” demek, bu iki konuyu somutlaştırmaz. İşleme şartının açıkça belirtilmesi gerekir (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-g, m.5/1-h).

İşlemenin sözleşmeye dayanması örneğinde Kanun, verinin sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmasını ve sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli bulunmasını arar. Bu nedenle kuruluşun herhangi bir sözleşmesinin bulunması, bütün veri işlemlerine aynı hukuki sebebin yazılmasını haklı kılmaz (KVKK m.5/2-c).

Genel nitelikli veriler için açık rıza dışındaki şartlar arasında kanunda açıkça öngörülme, hukuki yükümlülük, hakkın tesisi veya korunması gibi ayrı durumlar vardır. Meşru menfaat şartında da kişinin temel hak ve özgürlüklerine zarar vermeme ve veri işlemenin zorunlu olması koşulları korunur. Şartların adlarını sıralamak yerine faaliyetin gerçekten hangisine dayandığını belirleyin (KVKK m.5/2).

Özel nitelikli verilerin işlenme şartları ise ayrı düzenlenir; genel veri işleme şartlarını bunlara olduğu gibi taşımayın. Özel nitelikli kişisel veri değerlendirmesi, örneğin sağlık verisi içeren bir süreçte hukuki sebebin belirlenmesi için ayrıca yapılmalıdır (KVKK m.6/1, m.6/3).

5. KVKK Aydınlatma Metni ile Açık Rıza Arasındaki Fark Nedir?

KVKK aydınlatma metni bilgi verir; açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan izindir. Kanundaki başka bir işleme şartına dayanılması, aydınlatma yükümlülüğünün kapsam ve istisnaları içindeki yerini ortadan kaldırmaz. Aydınlatma, yalnız rıza istenen işlemlere özgü değildir (KVKK m.3/1-a, m.5, m.6/3, m.10, m.28).

Kar­şı­laş­tırma	Aydınlatma	Açık rıza
İşlevi	Kişiyi veri işleme hakkında bil­gi­len­dir­mek	Belirli bir işleme için irade açıklaması almak
Temel içerik	Veri sorumlusu, amaç, aktarım, yöntem, hukuki sebep ve haklar	Belirli konu, bil­gi­len­dirme ve özgür irade
Diğer işleme şartlarıyla ilişkisi	İşleme başka şarta dayansa da kapsam ve istisnalar içinde ayrıca değer­len­di­ri­lir	Başka bir işleme şartı varsa açık rıza aran­mak­sı­zın işleme mümkün olabilir
Birbirinin yerine geçmesi	Rızanın alındığını göstermez	Aydın­lat­ma­nın ayrıca yapılması gereğini kaldırmaz

Bu ayrımın dayanakları KVKK m.3/1-a, m.5, m.6/3 ve m.10 ile Aydınlatma Tebliğinin ayrı işlem kuralıdır. Tebliğ, açık rızaya dayalı veri işlemede aydınlatma yükümlülüğü ile açık rıza alma işlemlerinin ayrı ayrı yerine getirilmesini ister. Tek bir genel onayı hem bilgilendirme hem bütün işlemlere izin saymak bu ayrımı karşılamaz (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-f).

Belgenin adını “açık rıza” yapmak, içeriğin geçerli bir rıza açıklaması olduğunu tek başına göstermez. İlgili işlemenin konusu, yapılan bilgilendirme ve iradenin özgür oluşu ayrıca incelenir. Bu şartların ayrıntısı açık rızanın geçerliliği ve geri alınması yazısındadır (KVKK m.3/1-a).

İleti izinlerinin formda nasıl ele alınacağı, İYS ve KVKK rehberinin aydınlatma ve onay bölümünde açıklanmıştır.

6. KVKK Aydınlatma Metnini İmzalamak veya Onaylamak Gerekir mi?

KVKK aydınlatmasında genel bir yazılı metin veya imza şartı konulmamıştır. Aydınlatma sözlü, yazılı, ses kaydı veya çağrı merkezi gibi fiziksel ya da elektronik ortamlarda yapılabilir. Buna karşılık aydınlatmanın yerine getirildiğini ispat yükü veri sorumlusundadır; seçilen yöntemin bu yükümlülüğü nasıl göstereceği de düşünülmelidir (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1, m.5/1-e).

Bir imza veya çevrim içi kutu kullanılıyorsa hangi işlev için alındığını açık tutun. “Metin tarafıma sunuldu” kaydıyla “belirli veri işleme faaliyetine rıza veriyorum” açıklaması aynı şey değildir. Bilgilendirme kaydı, kişinin rızasına ihtiyaç duyulan bir işlemi kendiliğinden hukuka uygun hâle getirmez (KVKK m.3/1-a, m.5, m.10; Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-f).

İspat hazırlığında sunulan metnin sürümü, sunulduğu işlem ve tarih ile kullanılan kanalın kayıtlarını birlikte korumak yararlıdır. Bunlar her faaliyet için aynı adla tutulması zorunlu belgeler listesi değildir. Örneğin yalnız bugün internet sitesinde bulunan metin, önceki bir form gönderiminde hangi içeriğin sunulduğunu açıklamaya yetmeyebilir; kayıt hazırlığının amacı bu ilişkiyi gösterebilmektir (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-e).

7. KVKK Aydınlatma Yükümlülüğü Ne Zaman Yerine Getirilir?

KVKK aydınlatması, kural olarak kişisel verilerin elde edilmesi sırasında yapılır; ilgili kişinin ayrıca sorması beklenmez. Bilgilendirme yapılmasıyla kişinin daha sonra bilgi talep etmesi farklı işlemlerdir. Aydınlatma yükümlülüğü ilgili kişinin talebine bağlı değildir (KVKK m.10; Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-d).

Kişisel veriler doğrudan ilgili kişiden alınmıyorsa Tebliğ şu zamanlama kurallarını öngörür:

Veri ilgili kişiden alın­ma­dı­ğında	Aydınlatma zamanı
Genel durum	Elde edil­me­sin­den itibaren makul süre içinde
Veri kişiyle iletişim amacıyla kul­la­nı­la­cak	İlk iletişim kurulması sırasında
Veri aktarılacak	En geç ilk aktarımın yapılacağı sırada

Bu tablo sabit bir gün sayısı veya kişiye hiçbir zaman ulaşılmayacağı varsayımı kurmaz. Doğru zaman, verinin nasıl elde edildiği ve ne için kullanılacağıyla birlikte belirlenir. Başka kaynaktan elde etme hâllerindeki dayanak, Tebliğin 6. maddesidir (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.6).

İşleme amacı değiştiğinde, yeni amaçla işleme başlamadan önce ayrıca aydınlatma yapılır. İlk metindeki “ileride gerekli görülebilecek diğer amaçlar” gibi bir cümle, yeni amacı peşinen açıklamış sayılmaz; belirsiz gelecek amaçları izlenimi oluşturan ifadelere yer verilmemelidir (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-b, m.5/1-g).

8. KVKK Aydınlatma Metninin Dili ve VERBİS Uyumu Nasıl Olmalıdır?

KVKK aydınlatma metni anlaşılır, açık ve sade dille hazırlanmalıdır. İşleme amacı belirli, açık ve meşru olmalı; genel ve muğlak ifadelere yer verilmemelidir. Henüz gündeme gelmemiş başka amaçlarla da verilerin işlenebileceği izlenimi oluşturulmamalıdır (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-g, m.5/1-ğ).

“Ve benzeri amaçlar” veya “gerekli görülen işlemler” gibi ifadeler kullanıldığında, kişinin hangi işlem hakkında bilgilendirildiği belirsiz kalabilir. Somut amacı açıklayın; doğru olmayan aktarım alıcılarını veya gerçekte kullanılmayan toplama yöntemlerini sırf başka metinde bulunduğu için eklemeyin. Eksik, yanlış ve yanıltıcı bilgi verilmesi de yasaklanmıştır (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-g, m.5/1-j).

Sicile kayıt yükümlülüğü bulunuyorsa ilgili kişiye verilen bilgiler, Sicile açıklananlarla uyumlu olmalıdır. Bu koşul, her veri sorumlusunun aynı kayıt yükümlülüğüne sahip olduğu anlamına gelmez; VERBİS kayıt yükümlülüğü ayrıca belirlenir. Kayıtla yükümlü kuruluş, metniyle Sicil açıklamasının aynı işleme faaliyetini anlattığını kontrol etmelidir (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-ç).

9. KVKK Aydınlatma Yükümlülüğünün İstisnaları Nelerdir?

KVKK aydınlatma yükümlülüğü için “istisnasız her durumda zorunludur” denilemez. Kanunun bütünüyle uygulanmadığı hâller ile yalnız belirli hükümlerinin uygulanmadığı durumlar ayrı düzenlenmiştir. Bir faaliyetin istisnaya girdiği, Kanundaki koşulları karşılayıp karşılamadığı üzerinden belirlenir (KVKK m.2, m.28/1-2).

Kanunun 28. maddesinin ikinci fıkrasında, Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla aydınlatma hükmünün uygulanmadığı şu durumlar sayılır:

• Suç işlenmesinin önlenmesi veya suç soruşturması için gerekli kişisel veri işleme.
• İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
• Kanunun verdiği yetkiye dayanan görevli ve yetkili kamu kurumları ile kamu kurumu niteliğindeki meslek kuruluşlarının denetleme, düzenleme ve disiplin soruşturma veya kovuşturması için gerekli veri işleme.
• Bütçe, vergi ve mali konularda Devletin ekonomik ve mali çıkarlarının korunması için gerekli veri işleme.

Bu liste, temel ilkelerden ve orantılılıktan bağımsız bir serbestlik tanımaz. “Veri internette bulunuyordu” ifadesi de ilgili kişinin kendisinin alenileştirmesi şartıyla aynı değildir. İstisna değerlendirmesinde veriyi kimin açıkladığı, hangi amaçla işlendiği ve kanuni koşulların oluşup oluşmadığı belirlenmelidir (KVKK m.4, m.28/2).

Kanunun tamamen uygulanmadığı birinci fıkra ise farklı bir kapsamdadır. Örneğin gerçek kişinin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyeti için veri işlemesinde, üçüncü kişilere vermeme ve veri güvenliğine ilişkin yükümlülüklere uyma koşulları aranır. Bu dar kapsamlı düzenleme, ticari bir faaliyetin sırf küçük ölçekli olması nedeniyle uygulanamaz (KVKK m.28/1-a).

10. KVKK Aydınlatma Yapılmamasının Sonucu ve Başvuru Yolu Nedir?

KVKK aydınlatma yükümlülüğünün yerine getirilmemesi, veri sorumlusuna uygulanacak idari para cezasının ayrı dayanağıdır. Bu yaptırımın başka bir veri güvenliği ihlaliyle aynı şey olduğu varsayılmamalıdır; hangi yükümlülüğün yerine getirilmediği belirlenir. Cezanın muhatabı ve uygulanabilecek sınırlar Kanunda ayrıca düzenlenmiştir (KVKK m.18/1-a, m.18/2).

Cari tutar, cezanın belirlenmesi ve itiraz yolu için KVKK ihlal cezası ve güncel para cezaları yazısına bakabilirsiniz. Aydınlatma metninin bulunması da tek başına veri işlemenin bütün yönleriyle hukuka uygun olduğunu göstermez; işleme şartları ayrıca incelenir (KVKK m.5, m.6/3, m.10).

Verisi işlenen kişi, kendisiyle ilgili hangi verilerin işlendiğini, amacı ve aktarım yapılan kişileri öğrenmek için veri sorumlusuna başvurabilir. Başvurular talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır. Başvuru metni, gönderim yöntemi ve teslim kaydı veri sorumlusuna KVKK başvurusu yazısında açıklanmıştır (KVKK m.11, m.13).

Başvurunun reddi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde, başvuru yolu tüketildikten sonra Kurula şikâyet mümkündür. Kanun, cevabı öğrenmeden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün sınırını birlikte düzenler. Bu süreler ile cezanın muhatabının yargı yoluna başvurması farklı konulardır; KVKK Kuruluna şikâyet yolu ayrıca izlenir (KVKK m.14).