İçindekiler
Kişisel Verilerin Korunması Mevzuatı uyarınca ilgili kişinin kişisel verilerini işlemeden önce aydınlatma yükümlülüğü yerine getirilmelidir.
Aydınlatma Yükümlülüğü Nedir?
6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat uyarınca veri sorumlusu veya yetkilendirdiği kişi ilgili kişiye kişisel verilerinin işlenmesine ilişkin olarak Kanun’da sayılmış olan belli başlı konularda bilgilendirme yapmalıdır. Kanun’un 10. Maddesinde bu bilgilendirmenin kapsamı evleviyetle belirtilmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanunu’na ek olarak 10 Mart 2018 tarihinde Resmî Gazete ’de bu yükümlülüğünün nasıl yerine getirileceğine ilişkin “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ”[1]yayımlanmıştır. Yayımlandığı tarihte yürürlüğe girmiştir.
Aydınlatma Yükümlülüğü Hangi Şekilde Yerine Getirilebilir?
Kişisel Veri Mevzuatı’nda kişisel verisi işlenen gerçek kişi olarak tanımlanmış olan ilgili kişi, kişisel verisi işlenmeden önce kişisel verilerinin işlenmesinde uygulanacak usul ve esaslar hakkında veri sorumlusu veya yetkilendirdiği kişi tarafından bilgilendirilmektedir.
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10. Maddesinde yer alan Aydınlatma Yükümlülüğünün Kapsamı uyarınca ilgili kişinin kişisel verilerinin hangi usul ve esaslara uygun olarak işlenebileceği açıklanmıştır. İlgili kişiyi bilgilendirme anlamına gelen aydınlatma yükümlülüğü veri sorumlusu veya yetkilendirdiği kişi tarafından aşağıda yer alan hususları asgari bir biçimde içermelidir:
- Aydınlatma veri sorumlusunun ve varsa temsilcisinin kimliğini içermelidir.
- İlgili kişinin kişisel verilerinin veri sorumlusu tarafından hangi amaçla işleneceği açık bir biçimde belirtilmelidir.
- Veri sorumlusu tarafından işlenen verilerin kimlere ve hangi amaçla aktarılabileceği açıklanmalıdır.
- Kişisel veri toplamanın yöntemi ve hukuki sebebi ilgili kişiye açık bir biçimde belirtilmelidir.
- İlgili kişinin 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca diğer haklarının ne olduğu açıkça gösterilmelidir.
Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de ilgili kişiye yapılacak olan bilgilendirmenin kapsamı Kanun’a paralel olacak şekilde açıklanmıştır.
Yukarıda da bahsolunduğu üzere Kanun ve ilgili Tebliğ’de belirtilmiş olan asgari unsurların aydınlatma metni içerisinde yer almıyor olması ilgili kişiye yapılacak bilgilendirmeyi hukuken geçersiz kılacaktır. Kanun’un ve ilgili mevzuatın belirttiği asgari unsurlar dışında yer alması gereken başka unsurlar varsa bu unsurların da ilgili kişiye sunulacak olan aydınlatma metninde yer alması gerekir. Bu unsurların yer almaması Kanun’dan doğmuş olan bu yükümlülüğün yerine getirilmemesinin sonuçlarını doğuracaktır.
Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Usul ve Esaslar
Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 5.maddesinde veri sorumlusu tarafından kişisel verisi işlenecek ilgili kişiye yapılacak aydınlatmanın içeriğinden ayrıntılı bir biçimde bahsedilmiştir.
Tebliğ’in ilgili maddesi uyarınca veri sorumlusu ve yetkilendirdiği kişi tarafından bilgilendirme sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılarak yapılabilecektir. Ancak bu yükümlülük yerine getirilirken ilgili kişinin açık rızasına veya Kanundaki diğer işleme şartlarına bağlı olarak kişisel verinin işlendiği durumlarda aydınlatmayla ilgili yükümlülük yerine getirilmelidir. Buna ek olarak aydınlatmaya ve açık rıza şartına dayalı olarak gerçekleştiriliyorsa aydınlatma ve açık rızanın alınması işlemleri ayrı ayrı yerine getirilmelidir. Kurulun 2018/90 sayılı kararı uyarınca[2] aydınlatma metninin okunduğuna dair geri bildirim alınması ile ilgili kişiye sunulacak açık rıza metninin onaylandığını sağlayacak mekanizmaların ayrıştırılması gerektiği belirtilmiştir.
Veri sorumlusu veya yetkilendirdiği kişi kişisel veri işleme amacı değiştiğinde, ilgili kişinin kişisel verisini işlemeden önce bu değişen amaçlar kapsamında da bilgilendirme yapmalıdır. Kişisel verisi işlenen gerçek kişinin verisi üzerinde hakimiyeti esasına göre kişisel verisinin hangi amaçla işlendiği veya aktarıldığını bilmeye hakkı vardır.
Veri sorumlusu kişilerin VERBİS’e (Veri Sorumluları Sicili) kayıt yükümlülüğü bulunması halinde aydınlatma kapsamında ilgili kişiye verilecek bilgilerin sicile açıklanan bilgilerle uyumlu olması gerekir. Kişisel verilerin hangi amaçla işleneceği, alınan tedbirler, işlenmesi gereken azami süre vb. bilgiler ilgili kişiye yapılmış aydınlatma ile uyumlu olmalıdır.
Aydınlatmaya ilişkin yükümlülüğünün yerine getirilmesi ilgili kişinin talebine bağlı değildir. Veri sorumlusu veya yetkilendirdiği kişi, ilgili kişinin talepte bulunmamasını bir kurtuluş beyyinesi olarak ileri süremeyecektir. İlgili kişinin kişisel verisini işleme faaliyetini yerine getirecek kişi bu yükümlülüğünü kendiliğinden yerine getirmelidir.
Ayrıca veri sorumlusunun, aydınlatmaya ilişkin yükümlülüğünü yerine getirdiğine dair ispat yükü de kendisi üzerindedir. Bu noktada veri sorumlusu kötü niyetli ilgili kişilere karşı gereken tedbirleri almalıdır. Yazılı veya elektronik ortamda sunulmuş aydınlatma metinleri bilgilendirmenin yapılması adına ispat kolaylığı sağlayacaktır. Yalnızca sözlü olarak yerine getirilmiş olan aydınlatma, ilgili kişinin böyle bir bilgilendirmenin yapılmadığına dair savunması karşısında ispatı zorlaştıracaktır.
Yükümlülüğün yerine getirilmesi kapsamında yapılacak bilgilendirmede kişisel veri işleme amacı sarih ve meşru olmalıdır. Ayrıca bu yükümlülük yerine getirilirken genel nitelikte ve muğlak ifadelere yer verilmemelidir. Başkaca amaçlar için de ilgili kişinin kişisel verisinin işlenebileceğine dair ifadeler yer almamalıdır. Karmaşık bir dil kullanmak, genelleyici ifadeler yer vermek bilgilendirme yükümlülüğünün gereği gibi yerine getirilmemesi sonucunu doğuracaktır. Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) yukarıda sayılan özellikleri barındıran bilgilendirmeleri şeffaf bilgilendirme olarak açıklamaktadır.
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10. Maddesinin birinci fıkrasının (ç) bendi uyarınca kişisel veri toplamanın yöntemi ve hukuki sebebi yapılacak bilgilendirme kapsamında yerine getirilmelidir. Hukuki sebepten kasıt bilgilendirme kapsamında Kişisel Verilerin Korunması Kanunu’nun 5. Ve 6. Maddelerinde belirtilen işleme şartlarından hangisine dayanılarak işlendiğidir. Hukuki sebepler ilgili kişiye aydınlatma yapılırken açıkça belirtilmeli, ilgili kişi kişisel verilerinin hangi hukuki sebeplere dayanılarak işlendiği konusunda bilgilendirilmiş olmalıdır.
Kişisel Verilerin Korunması Kurulu’nun 02/05/2019 tarihli ve 2019/122 sayılı kararında veri sorumlusu kuruluş tarafından sunulan aydınlatma metninde 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda 5. Ve 6. Maddelerinde yer alan işleme şartlarından hangisine dayanıldığının net bir biçimde belirtilmemesinin muğlaklığa sebep olduğu belirtilmiştir. İşbu karar uyarınca da görüldüğü üzere aydınlatma metninde açık, sade, kesin bir dilin kullanılması gerekmektedir.
Aydınlatmaya dair yükümlülük kapsamında kişisel verilerin aktarılma amacı ve aktarılacak alıcı grupları açıkça belirtilmelidir. Buna ek olarak veri sorumlusu, ilgili kişinin kişisel verilerinin tamamen veya kısmen otomatik yollarla ya da veri kayıt sisteminin parçası olmak şartıyla otomatik olmayan yöntemlerden hangisiyle elde edildiğini açık bir şekilde belirtmelidir.
Sunulacak aydınlatma metninde veya diğer yollarla yapılacak aydınlatmalarda ilgili kişilere eksik, yanıltıcı ve yanlış bilgiler sunulmamalıdır.
Kişisel verilerin ilgili kişi haricinde üçüncü bir kişiden elde edilmesi halinde ilgili kişi, kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde bu husus hakkında bilgilendirilmelidir. Kişisel verisi elde edildikten sonra çeşitli iletişim kanallarıyla ilgili kişiye ulaşılabilmesi durumunda ilk iletişim kurulduğu esnada aydınlatma yapılmalıdır. Kişisel verilerin aktarılacak olması halinde, en geç aktarımın yapılacağı esnada aydınlatmaya ilişkin yükümlülük yerine getirilmelidir. Tebliğ’in lafzı uyarınca ilgili kişiyle iletişim kurulamaması halinde bu aktarım hiçbir şekilde yapılamayacaktır.
Aydınlatma yükümlülüğünün gereği gibi yerine getirilmemesi halinde veri sorumlularının KVKK şikayeti ve cezaları ile karşılaşmaları mümkündür. Kişilerin şartların oluşması halinde KVKK ihlali nedeniyle tazminat davası açma hakları genel hükümlere göre her zaman saklıdır.
Yukarıda hukuki açıdan önem ihtiva eden aydınlatma yükümlülüğü konusu genel bir çerçeveyle açıklanmıştır. 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca yapılacak aydınlatmanın usul ve esasları ile geri alınması hususu oldukça önemli ve hukuki danışmanlık alınması gereken başlıca konulardan biridir. Daha fazla bilgi ve danışmanlık için hukuk büromuzla iletişime geçebilirsiniz.
[1] https://www.resmigazete.gov.tr/eskiler/2018/03/20180310-5.htm
