KVKK kapsamında aydınlatma yükümlülüğü, veri sorumlusunun kişisel verileri elde ederken ilgili kişiye verinin hangi amaçla, hangi hukuki sebeple, kimlere aktarılabilecek şekilde işlendiğini ve haklarını açıklamasıdır. Açık rıza alınmasa da bu bilgilendirme gerekir. Veri doğrudan kişiden alınmıyorsa Tebliğ'deki özel zamanlar uygulanır; bildirimin yapıldığını ispat etme yükü veri sorumlusundadır.
KVKK Kapsamında Aydınlatma Yükümlülüğü Kime Aittir?
Aydınlatma yükümlülüğü, kişisel verinin işlenme amaçlarını ve araçlarını belirleyen veri sorumlusuna aittir. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 10. maddesi, bilginin veri sorumlusu veya onun yetkilendirdiği kişi tarafından verilmesini öngörür. Şirket, dernek, kamu kurumu veya gerçek kişi bu sıfatı taşıyabilir. Formu hazırlayan hizmet sağlayıcı ya da bildirimi yapan çalışan görevlendirilmiş olsa bile ilgili faaliyet bakımından kimin veri sorumlusu olduğu açıkça gösterilmelidir.
Örneğin iş başvurusunu kendi işe alım amacı için alan işveren, aday verilerinin hangi alanlardan toplandığını ve nasıl kullanılacağını belirler. Bir yazılım sağlayıcısı yalnız işverenin talimatıyla formu barındırıyorsa hukuki sıfatlar farklılaşır. Sözleşmede kullanılan ad tek başına belirleyici değildir; işleme amacına ve araçlarına ilişkin fiilî karar yetkisi incelenir. Bu ayrımın ayrıntısı veri sorumlusu başlığında açıklanmıştır.
Aydınlatmanın muhatabı, verisi işlenen gerçek kişidir. Çalışan, aday, müşteri, tedarikçi yetkilisi, ziyaretçi veya internet sitesi kullanıcısı farklı kanallardan bilgi verebilir. Her biri için aynı uzun metni sunmak yerine, gerçekten uygulanan işlemleri ve veri akışını doğru yansıtan bildirim gerekir. Örneğin adayın özgeçmişine ilişkin hukuki sebep ile mağazaya giren kişinin kamera kaydının amacı aynı değildir.
Kanun'un 5 veya 6. maddesinde açık rıza dışındaki bir işleme şartının bulunması hâlinde de veri sorumlusu neyi, hangi sebeple yaptığını açıklamalıdır. Sözleşmenin ifası, hukuki yükümlülük veya bir hakkın tesisi buna örnektir. Kanun'un 28. maddesindeki tam ve kısmi istisnalar kendi koşullarında uygulanır. İnternette görülen bir veri bakımından özellikle alenileştirmenin ilgili kişi tarafından yapılıp yapılmadığı ve işlemenin amacı araştırılır.
Bir otopark işletmecisi, plaka bilgisinin aleni olduğu gerekçesiyle bilgilendirme yapmadığını ileri sürmüştür. Kurul, somut veri edinme ve işleme koşullarında bu savunmayı kabul etmemiş, aydınlatma ödevinin mevcut olduğunu belirtmiştir:
Kişisel Verileri Koruma Kurulu, 01.06.2023 Tarihli ve 2023/924 Sayılı Karar: "[…] somut olayda ilgili kişiye ait kişisel verilerin işlenmesi bakımından ilgili kişiye aydınlatma yapma yükümlülüğü bulunan veri sorumlusunun, bu yükümlülüğünü yerine getirmediği"
Bu karar, otopark borcu için plaka ve fotoğraf bilgilerinin işlendiği bir olaya ilişkindir. İşletmeci ilgili kişiye yapılan bildirimi gösterememiş; ileri sürdüğü aleniyet iddiası da somut istisna koşullarını karşılamamıştır. Başka bir açık kaynak verisinde sonuç, veriyi kimin alenileştirdiğine ve yeni işlemenin amacına göre değişebilir.
Aydınlatma Metninde Hangi Bilgiler Bulunmalıdır?
Aydınlatma metninin asgari içeriği, veri sorumlusunun kimliği, işleme amacı, aktarımın muhatapları ve amacı, verinin toplama yöntemi ile hukuki sebebi ve ilgili kişinin haklarıdır. Bunlar faaliyetle ilişkilendirilmiş bilgiler olmalıdır. Kanun'un 10. maddesi bu çerçeveyi şöyle kurar:
6698 Sayılı Kişisel Verilerin Korunması Kanunu, m. 10/1: "Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; […] konusunda bilgi vermekle yükümlüdür."
Örneğin "hizmetlerin geliştirilmesi" sözü, hangi müşteri verisinin hangi hizmet adımı için işlendiğini göstermiyorsa amaç açıklaması olarak zayıf kalabilir. Siparişin teslimi, fatura düzenlenmesi, destek talebinin cevaplanması ve pazarlama iletişimi aynı ilişki içinde gerçekleşse bile hukuki sebep ve alıcı yönünden ayrı sonuçlar doğurur. İlgili kişi, kendi verisinin akıbetini anlamaya yarayan ilişkiyi metinde görebilmelidir.
Alıcılar bakımından kanun, her gerçek veya tüzel kişinin adının yayımlanmasını genel kural olarak istemez; alıcı grupları ve aktarım amacı açıkça belirtilmelidir. "İş ortaklarıyla paylaşılabilir" ifadesi tek başına somut aktarımları anlaşılır kılmayabilir. Kargo sağlayıcısı, ödeme hizmeti sağlayıcısı, bordro şirketi veya yetkili kamu kurumu gibi gerçekten mevcut gruplar, ilgili veri ve amaçla eşleştirilir. Hiç gerçekleşmeyen bir yurt dışı aktarımını ihtimalmiş gibi standart cümleyle yazmak da yanıltıcıdır.
Toplama yöntemi, verinin web formundan, iş başvurusundan, sözleşmeden, telefon görüşmesinden, kameradan veya üçüncü kişiden edinilmesini kapsar. Hukuki sebep ise "KVKK" gibi genel bir etiket değildir; işleme faaliyetinin Kanun'un 5 veya 6. maddesindeki hangi şarta dayandığıdır. 2024'te değişen özel nitelikli kişisel veri rejimi nedeniyle eski hazır metinlerin bu alanda ayrıca kontrol edilmesi gerekir. İşleme şartı, verinin hassasiyetine ve somut faaliyete göre belirlenir.
Kanun m. 11'deki haklar, verinin işlenip işlenmediğini öğrenme, bilgi isteme, düzeltme, şartları varsa silme veya yok etme, aktarımı öğrenme ve kanuna aykırı işleme nedeniyle zarar doğmuşsa giderim talep etme gibi başlıkları içerir. Bildirim, hakların kullanılabileceği veri sorumlusunu belirgin kılmalıdır. Hak listesinin uzunluğu metni anlaşılmaz hâle getiriyorsa açık ve ulaşılabilir bir hak açıklamasıyla bağlantılı yapı kurulabilir; kişinin başvuru olanağı görünmez bırakılmamalıdır.
İşleme Amacı ve Hukuki Sebep Nasıl Eşleştirilir?
Her işleme faaliyeti için veri kategorisi, amaç ve Kanun'daki somut hukuki sebep arasında anlaşılır bir bağ kurulmalıdır. Bütün faaliyetlerin yanına 5 ve 6. maddelerin tamamını yazmak, ilgili kişiye hangi işlemde hangi dayanağın kullanıldığını söylemez. Kişisel veri envanteri doğru hazırlanmışsa bu eşleştirme için önemli bir başlangıç sağlar; metin envanterin doğrudan kopyası olmamalıdır.
Bir üyelik hizmetinde e-posta adresi hesap açma ve güvenlik bildirimleri için, alışveriş geçmişi fatura veya destek için, iletişim tercihi pazarlama için kullanılabilir. Bu işlemlerin aynı şirket tarafından yürütülmesi, hepsinin otomatik olarak aynı hukuki sebebe dayanacağı anlamına gelmez. Gereksiz geniş "her türlü ticari faaliyet" anlatımı sonradan gündeme gelebilecek belirsiz amaçlara açık çek vermez. Yeni amaç doğduğunda işleme şartı ve bildirim ayrıca gözden geçirilir.
Kurul, bir web sitesindeki "Gizlilik ve KVK Politikamız" metninde veri türlerinin yasal yükümlülük mü, açık rıza mı temelinde işlendiğinin ayrılmadığını incelemiştir. Genel başlıklı politika, somut işleme sebebini göstermediği için Kurul metnin güncellenmesini ve rıza sürecinin ayrı yürütülmesini istemiştir:
Kişisel Verileri Koruma Kurulu, 08.07.2019 Tarihli ve 2019/206 Sayılı Karar: "[…] kişisel verilerin hangilerinin ‘ilgili mevzuat’tan kaynaklanan yasal yükümlülük çerçevesinde hangilerinin ise ilgili kişilerin açık rızalarına istinaden işlendiğinin açıkça belirtilmemiş olduğu"
Bu karardaki sorun yalnız belgenin adı değildir; farklı amaç ve veri gruplarının tek belirsiz hukuki sebep altında toplanmasıdır. Kurul, açık rıza dışı bir dayanakla sürdürülebilen işlemenin sonradan rızaya bağlanıp rıza geri çekilince başka gerekçeyle sürdürülmesini de aldatıcı bulmuştur. Bu nedenle metin yazımında önce gerçek işlem ve hukuki zemin belirlenir, sonra kullanıcıya sunulan cümleler kurulur. Bir politika sayfası uygun içeriği ve zamanlamayı sağlamıyorsa kendi başına aydınlatma yerine geçmez.
Metnin doğruluğu ile biçimsel eksikliğin hukuki sonucu da aynı şey değildir. Bir kredi limiti sorgusunda Kurul, bildirimde Kanun m. 10'un asgari unsurlarını görmüş; yine de veri kategorisi, amaç, dayanak ve alıcı bağı bakımından Tebliğ'e uygun düzeltme istemiştir:
Kişisel Verileri Koruma Kurulu, 02.06.2022 Tarihli ve 2022/545 Sayılı Karar: "İlgili kişiye Kanun’un 10’uncu maddesi uyarınca hukuken geçerli bir şekilde aydınlatmada bulunulduğu fakat bu aydınlatmada […] giderilmesi gereken eksiklikler bulunduğu […]"
Somut olayda bildirim bütünüyle yok sayılmamış, tespit edilen eksiklerin giderilmesi istenmiştir. Karar, her farklı hataya aynı yaptırımın uygulanacağı anlamına gelmez. Metnin ilgili kişi tarafından ne zaman görüldüğü, hangi unsuru gerçekten aktardığı ve verinin hangi amaçla işlendiği ayrıca önem taşır.
Aydınlatma Yükümlülüğü Ne Zaman Yerine Getirilir?
Veri doğrudan ilgili kişiden elde ediliyorsa aydınlatma, elde etme sırasında yapılır. Başvuru formu gönderildikten, telefon konuşması kaydedildikten veya ziyaretçinin görüntüsü alındıktan çok sonra erişilebilen bir politika sayfası, o ilk temasa ilişkin eksikliği her durumda gidermeyebilir. İşlem başlamadan önce kişinin asıl bilgilere makul biçimde erişebilmesi gerekir.
Veri ilgili kişiden doğrudan elde edilmiyorsa Tebliğ m. 6 özel zamanlama öngörür. Üçüncü kişiden alınan iletişim bilgisi, bir kaynaktan sağlanan kayıt veya tedarikçi üzerinden edinilen veri bu ayrımı gündeme getirebilir. Düzenlemenin ilgili kısmı şöyledir:
Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, m. 6/1: "[…] c) Kişisel verilerin aktarılacak olması halinde, en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada […]"
Verinin kaynağı ve sonraki kullanımı, bu zaman işaretlerinden hangisinin önem kazanacağını gösterir. İlk arama pazarlama konuşmasına dönüşürken veri sorumlusunun kimliği, verinin kaynağı ve amaç açıklanmalıdır. Aktarım planlanıyorsa bilgi en geç ilk aktarım anında ilgili kişiye ulaşmalıdır. Tebliğ'de, ilgili kişiyle temas kurulamayan her durumda aktarımın "hiçbir şekilde" yapılamayacağı yönünde bir hüküm yoktur; aktarımın hukuki şartları Kanun m. 8 ve 9'da ayrıca yer alır.
Tebliğ m. 5'e göre kişisel veri işleme amacı değişirse yeni amaç için işleme başlamadan önce bilgilendirme gerekir. Önceki formun "gerektiğinde farklı amaçlarla" ibaresi, sonradan ortaya çıkan belirli bir pazarlama veya profil çıkarma amacını anlatmaz. Örneğin sipariş iletişim bilgisini daha sonra kampanya gönderiminde kullanacak şirket, yeni faaliyetin hukuki sebebini belirleyip bilgilendirmeyi bu geçişten önce yapmalıdır.
Aydınlatma Hangi Yöntemle Yapılır ve Katmanlı Bilgilendirme Nasıl İşler?
KVKK aydınlatması yazılı, elektronik veya sözlü yöntemle yapılabilir; belirleyici olan ilgili kişinin gerekli bilgiye uygun zamanda, açık ve erişilebilir biçimde ulaşmasıdır. Tek başına basılı bir formun varlığı ya da internet sitesinin alt bilgisinde gizlenmiş bağlantı, bilgilendirmenin gerçekten yapıldığını göstermeyebilir. Veri toplama kanalının özellikleri yöntemi değiştirir: çevrimiçi formda görünür bağlantı, kamera alanında anlaşılır ilk uyarı ve ayrıntıya erişim, çağrı merkezinde uygun anons ve yönlendirme gerekebilir.
Katmanlı aydınlatma, ilk temas noktasında temel bilgiyi verip ilgili kişiyi Kanun m. 10'un bütün unsurlarını taşıyan ayrıntılı açıklamaya kolayca ulaştırır. Katmanlar farklı anda belirsiz belgeler sunma imkânı değildir. İlk katman, veri sorumlusu ve işlemenin esas amacı gibi kişinin o anda anlaması gereken bilgileri anlaşılır kılar; ikinci katmanın adresi veya erişim yolu gerçek ve çalışır olmalıdır. İlgili kişi, yalnız hangi kanalın var olduğunu değil, kendi verisine ilişkin metni bulabilmelidir.
Kişisel Verileri Koruma Kurumunun aydınlatma yükümlülüğü duyurusu, gizlilik politikasıyla aydınlatmanın karıştırılmamasına ve farklı işleme süreçleri için kolay erişilebilir, açık metinler kullanılmasına dikkat çeker. Bu yaklaşım, uzun bir sayfayı her temas alanına yapıştırmak yerine kişiye doğru açıklamayı doğru zamanda göstermeyi sağlar. Bununla birlikte metnin kısalması, hukuki sebep veya alıcı grubu gibi zorunlu bilgilerin kaybolması anlamına gelemez.
Bir çağrı merkezi, görüşme kaydını bildiren anons yaptığını ve internet sitesinde müşteri aydınlatma metni bulunduğunu savunmuştur. Kurul, anonsun tek başına Kanun m. 10 içeriğini taşımadığını, ilgili kişinin bu içeriğe yönlendirilmesi ve bunun gösterilmesi gerektiğini değerlendirmiştir:
Kişisel Verileri Koruma Kurulu, 26.10.2023 Tarihli ve 2023/1818 Sayılı Karar: "[…] Veri Sorumlusunun, İlgili Kişiye yönelik olarak görüşme kaydı aldığı hususunda bilgilendirmede bulunmasına karşın bu bilgilendirmenin Kanun ve Tebliğ hükümleri uyarınca gerçekleştirilmediği"
Bu olayda aramanın kayda alınacağı söylense de veri sorumlusunun kimliği, amaç, yöntem ve hukuki sebep gibi unsurları içeren bilgilendirme ya da bu unsurlara erişim yolu kurulmamıştı. Telefon anonsunun bütün metni okuması şart değildir; ilk mesajdan ayrıntılı bildirime geçişin fiilen çalışması ve bu akışın gösterilebilmesi gerekir. Kamera uyarısı ile SMS bağlantısında aynı amaç farklı tasarımla sağlanabilir.
Aydınlatma Metni ile Açık Rıza Metni Arasındaki Fark Nedir?
Aydınlatma, veri sorumlusunun yerine getirmek zorunda olduğu bilgi verme ödevidir; açık rıza ise yalnız ilgili işleme şartı gerçekten buysa kişinin özgür ve belirli irade beyanıdır. Kişi bildirimi okudu diye veri işlenmesine rıza vermiş sayılmaz. "Aydınlatma metnini okudum ve tüm işlemlere onay verdim" türü tek kutucuk, iki ayrı hukuki işlemi birbirine karıştırır.
Aydınlatmanın rızaya veya kişinin talebine bağlı olmadığı, Tebliğ m. 5/1(a) ve (f) ile kurulmuştur:
Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, m. 5/1(a) ve (f): "Kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak gerçekleştirilmesi halinde, aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin ayrı ayrı yerine getirilmesi gerekmektedir."
İş başvurusunda tek onay kutusuyla hem aydınlatma metninin okunduğunu hem veri işlemeye rıza verildiğini alan bir platform hakkında Kurul bu iki mekanizmanın ayrılmasını istemiştir. Önceki bildirimin varlığı, açık rızanın konusunu ve seçim imkânını ortadan kaldırmaz:
Kişisel Verileri Koruma Kurulu, 26.07.2018 Tarihli ve 2018/90 Sayılı Karar: "Ayrıca, veri sorumlusu tarafından aydınlatma yükümlülüğünün yerine getirilmesi herhangi bir onaya bağlı değildir."
Bu kararda Kurulun hedeflediği, okuma teyidi ile veri işleme izninin ayrı ve ispatlanabilir seçimler olmasıdır. Okuma teyidi alınması, uygun tasarlanmış bir sistemde bilgilendirmenin ulaştığını gösterebilir; bu teyit "aydınlatmaya rıza"ya dönüştürülemez. Açık rıza gerekmeyen bir işleme faaliyetinde ise sırf alışılmış form düzeni nedeniyle rıza kutusu eklenmesi hukuki sebebi belirsizleştirir. KVKK kapsamında açık rıza değerlendirmesi, rızanın kendi şartları bakımından ayrıca ele alınmalıdır.
Kurul, karışık metinleri ve aydınlatma için onay istenmesini bir ilke kararıyla ayrıca ele almıştır. İlgili kişinin önüne aynı sayfada iki metin konulması yasaklanmamış; farklı başlıklar ve ayrı beyanlar istenmiştir:
Kişisel Verileri Koruma Kurulu, 18.02.2026 Tarihli ve 2026/347 Sayılı İlke Kararı: "Aydınlatma metni ve açık rıza metinlerinin aynı sayfada bulunması halinde farklı başlıklar altında […] düzenlenmesi"
İlke kararı, ayrıca açık rıza dışındaki bir işleme şartı mevcutsa kişiye ayrı rıza metni sunulmamasını ve bir başka veri sorumlusunun hazır metninin faaliyet uyarlaması yapılmadan kopyalanmamasını vurgular. Bu çerçeve, rızanın gerekli olduğu gerçek işlemlerle diğer işleme şartlarının açıkça ayrılmasını gerektirir. Rızanın geri alınması mümkündür; önceki bilgilendirmenin "geri alınması" diye bir işlem ise yoktur. Rıza geri alındığında sonraki işlemenin hukuki durumu, ilk başta beyan edilen gerçek hukuki zemin ve işleme amacı üzerinden değerlendirilir.
Alıcı Grupları ve Yurt Dışına Aktarım Aydınlatmada Nasıl Gösterilir?
Veri alıcıları, aktarım amacıyla birlikte ve gerçek akışa uygun gruplar hâlinde açıklanmalıdır. "Üçüncü kişilerle paylaşılır" sözü, şirketin kargo, ödeme, muhasebe, barındırma veya yetkili kamu kurumu gibi farklı alıcılara hangi veri için başvurduğunu belirsiz bırakır. Ayrıca veri işleyen adına yürütülen teknik işlem ile başka bir veri sorumlusuna aktarım arasında hukuki rol ayrımı vardır; bütün tedarikçiler aynı etiketle anlatılamaz.
Yurt içi aktarımda Kanun m. 8, yurt dışına aktarımda 2024'te yeniden düzenlenen Kanun m. 9 ayrıca incelenir. Güncel m. 9; yeterlilik kararı, uygun güvenceler ve belirli koşullarda arızi aktarım yollarını ayırır. Açık rıza, bütün yurt dışı aktarımlarının varsayılan ve tek hukuki zemini değildir. Yeterlilik kararı veya uygun güvence bulunmayan durumda arızi aktarım için kanundaki koşullar ayrıca aranır. Yurt dışı bulut, müşteri ilişkileri yazılımı, e-posta veya grup şirketi erişimi gibi bağlantılar gerçek veri akışı yönünden incelenmeden "yurt dışına aktarım yoktur" yahut "her zaman aktarılır" cümlesi kurulamaz.
Kanun'un yeni düzeninde uygun güvenceler arasında standart sözleşme de yer alır. Bu yol kullanılıyorsa kanun, imzalanan sözleşmenin bildirilmesi için belirli süre öngörür:
6698 Sayılı Kişisel Verilerin Korunması Kanunu, m. 9/5: "Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir."
Bu süre, aydınlatma için genel bir beş günlük süre değildir; belirli yurt dışı aktarım güvencesinin Kuruma bildirimine ilişkindir. Aydınlatma metni, gerçekleşen aktarımın amacı ve alıcı grubunu doğru göstermeli; aktarımın hukuki şartları ise ayrı dosyada doğrulanmalıdır. Bir veri sorumlusunun m. 10 metnini yazması, m. 8 veya 9'daki aktarım şartlarını tamamlamaz. Uygun güvence kurulmuş olsa da ilgili kişi m. 10 kapsamındaki bilgileri zamanında almalıdır.
VERBİS Kaydı Aydınlatma Yükümlülüğünün Yerine Geçer Mi?
VERBİS kaydı, ilgili kişiye yapılacak somut aydınlatmanın yerine geçmez. Sicil, Kanun m. 16 çerçevesinde belirli veri sorumluları için kamuya açık kayıt ve bildirim sistemidir; ilgili kişinin veri verme anında hangi işleme faaliyetine maruz kaldığını ayrıca öğrenmesi gerekir. Sicil kaydından istisna tutulmak da Kanun m. 10 bakımından genel bir muafiyet oluşturmaz.
Sicile kayıtla yükümlü veri sorumlularında aydınlatma metni, VERBİS bildirimi ve kişisel veri işleme envanteri arasında tutarlılık aranır. Bir metin "yurt dışına aktarım yok" derken sistem gerçekte yurt dışındaki sağlayıcıya veri açıyorsa mesele yalnız belge uyumsuzluğu değildir; fiilî aktarımın hukuki zemini de gündeme gelir. Öte yandan VERBİS formundaki geniş veri kategorilerinin bütününü açıklamasız biçimde kişiye göstermek, faaliyete özgü ve sade bilgilendirme işlevini karşılamaz. Sicil, envanter ve ilk temas bildirimi aynı akışın farklı görünüşleridir.
İşletmenin sicile tabi olup olmadığı, güncel istisna kararı ve kendi faaliyet ölçütleriyle ayrıca belirlenir. Ciro veya çalışan sayısına ilişkin eski bir internet örneğini, güncel ve bütün işletmeler için geçerli eşik gibi tekrarlamak hatalı olabilir. Sicil değerlendirmesiyle aydınlatma değerlendirmesinin ayrıntıları şirketler için KVKK uyum süreci içinde birlikte ele alınmıştır.
Aydınlatmanın Yapıldığı Nasıl İspatlanır?
Aydınlatmanın yerine getirildiğini ispat etme yükü veri sorumlusundadır. Tebliğ m. 5/1(e) kısa ve açık biçimde bu kuralı koyar:
Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, m. 5/1(e): "Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir."
İspatın yöntemi her kanalda aynı değildir. Elektronik formda hangi metin sürümünün hangi tarihte kişiye gösterildiği, ekranda bağlantının nerede bulunduğu ve işlem kaydı önem taşıyabilir. Yazılı formda teslim ve kullanılan sürüm; çağrı merkezinde anons akışı ile kayıt; fiziksel mekânda levhanın konumu, içeriği ve hangi dönemde kullanıldığı incelenebilir. İspatın ağırlığı, kullanılan kanala ve uyuşmazlıkta tartışılan ana göre değişir.
"Okudum" geri bildirimi, hangi metne erişim sağlandığını belgeleyebilir. Fakat bu geri bildirim, açık rıza gerektiren işlem için otomatik onay sayılmaz. Bilgilendirme metninin sürüm numarası ile rıza kaydının ayrı tutulması hem 2018/90 kararındaki ayrımı hem 2026/347 ilke kararındaki ayrı beyan kuralını uygulamada görünür kılar. Aynı ekranda iki işlem varsa kişiye hangi beyanın ne sonuç doğurduğu açık olmalıdır.
Kurumsal kayıtta metnin bulunmasıyla kişiye doğru anda gösterilmesi farklı olgulardır. Başvuru formu veri girildikten sonra açılıyorsa sistemde "metin mevcut" kaydı bulunsa da zamanlama sorunludur. Çağrı merkezindeki "görüşme kaydediliyor" anonsu bakımından Kurulun incelediği mesele de kişinin zorunlu bilgilere nasıl ulaşabildiğidir.
Bildirim sürümleri, mevzuat ve süreç değişikliklerinde izlenebilir tutulmalıdır. Yeni alıcı grubu, yeni kamera alanı, farklı bir bulut hizmeti veya yeni işe alım formu açıldığında eski metnin hangi tarihe kadar geçerli olduğu anlaşılabilmelidir. Bu kayıt düzeni denetim ve ilgili kişi başvurularında olayın geçtiği tarihte hangi açıklamanın sunulduğunu ortaya koyar. Gereksiz kişisel veri biriktiren ispat sistemi kurmak ise veri minimizasyonu ve güvenlik ilkeleriyle ayrıca değerlendirilmelidir.
Eksik Aydınlatma Hangi Hukuki Sonuçlara Yol Açar?
Eksik ya da hiç yapılmayan aydınlatma, Kanun m. 18/1(a) kapsamında idari yaptırım ve eksikliğin giderilmesine ilişkin Kurul talimatı doğurabilir. Kanun, aydınlatma ödevinin ihlalini ayrı kabahat olarak düzenler:
6698 Sayılı Kişisel Verilerin Korunması Kanunu, m. 18/1(a): "[…] 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında […] idari para cezası verilir."
Kanun metnindeki parasal alt ve üst sınırlar yıllık yeniden değerleme nedeniyle güncel uygulanacak tutar olarak doğrudan alınmamalıdır. Yaptırım, ihlalin niteliğine, tarihe ve Kurulun somut olaydaki değerlendirmesine bağlıdır. Otopark kararında Kurul aydınlatma yapılmadığı için para cezası vermiş ve uygun metin hazırlanmasını istemiştir. Kredi limiti kararında ise mevcut aydınlatmanın bazı Tebliğ eksiklerinin giderilmesi yönünde talimat kurulmuştur. Bu iki örnek, "bir unsur eksikse bütün veri işleme otomatik olarak yok hükmündedir" gibi tek sonuçlu bir cümle kurulamayacağını gösterir.
Aydınlatma metninin varlığı, hukuka aykırı işleme için izin oluşturmaz. Kanun m. 5 veya 6'da uygun işleme şartı bulunmuyorsa kişinin ayrıntılı biçimde bilgilendirilmesi o şartı yaratmaz. Rıza gerekiyorsa rızanın özgür iradeye dayanması ve ilgili konuyu göstermesi gerekir. Üçüncü kişiden alınan telefon numarasıyla pazarlama yapılması gibi durumlarda, bildirimin zamanı ve verinin hangi işleme şartıyla kullanıldığı ayrı olgulardır.
Şikâyet denetimi dışında, ilgili kişi Kanun m. 11 kapsamındaki bilgi ve düzeltme haklarını kullanabilir; şartları varsa kişilik hakkı ihlaline dayalı tazminat da ayrı bir hukuki yoldur. Zarara ilişkin iddia, illiyet bağı ve görevli yargı yolu kendi koşullarına göre ele alınır. İdari para cezasının verilmesi, özel hukukta her somut zararın kendiliğinden kanıtlandığı anlamına gelmez. Kurul kararına karşı kanundaki idari yargı yolu ile kişinin tazminat talebi birbirinden ayrıdır.
Aydınlatma Yapılmadığında İlgili Kişi Nereye ve Ne Zaman Başvurabilir?
İlgili kişi, Kanun kapsamındaki taleplerini önce veri sorumlusuna iletir; veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Kanun m. 13/2'nin süre kuralı açıktır:
6698 Sayılı Kişisel Verilerin Korunması Kanunu, m. 13/2: "Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır."
Başvurunun reddi, yanıtın yetersiz görülmesi veya süresinde yanıt verilmemesi durumunda Kurula şikâyet yolu açılabilir. Kanun m. 14, yanıtın öğrenilmesinden itibaren otuz gün ve başvuru tarihinden itibaren her hâlde altmış günlük sınır getirir:
6698 Sayılı Kişisel Verilerin Korunması Kanunu, m. 14/1-2: "[…] ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir."
Süreler somut başvuru ve cevap tarihlerine göre hesaplanır. Şikâyet, veri sorumlusundan hangi verinin hangi amaçla ve hangi hukuki sebeple işlendiği hakkında açıklama isteme hakkından farklı bir aşamadır. İlgili kişinin önüne konan metnin sürümü, ilk temasın tarihi ve varsa yazılı/elektronik yanıt, incelemenin maddi temelini oluşturur. KVKK şikâyeti ve cezaları hakkında ayrı açıklama, başvuru yolunun ayrıntılarını içerir.
Kişi yalnız metindeki soyut eksikliği değil, verisinin hukuka aykırı işlenmesi nedeniyle doğan somut zararı da ileri sürüyorsa genel hükümlere göre tazminat hakkı saklıdır. Kanun m. 14/3 bu ayrımı korur. Kurula şikâyet ve tazminat, aynı ad ve süre altında birleştirilmemelidir; başvuru hakkının kapsamı ve hukuki yol olayın niteliğine göre belirlenir.
KVKK Aydınlatma Metni Nasıl Hazırlanır ve Ne Zaman Güncellenir?
KVKK aydınlatma metni, işletmenin gerçek veri akışı ve muhatap grubu belirlendikten sonra yazılır; hazır bir örnekte yalnız şirket adının değiştirilmesi yeterli değildir. Çalışan, aday, müşteri, ziyaretçi ve internet sitesi kullanıcısı için toplanan veriler, amaçlar ve açıklamanın gösterileceği an farklı olabilir. Önce iş akışında verinin nereden geldiği, kimin eriştiği, nereye aktarıldığı ve ne kadar süre tutulduğu belirlenir. Ardından her işlem için hukuki sebep ve uygun aydınlatma yüzeyi seçilir.
Metin, ilgili kişinin karşılaşacağı gerçek sorulara cevap vermelidir: Veri sorumlusu kimdir? Hangi bilgi neden alınmaktadır? Kimler görebilir veya alabilir? Bu işlem hangi hukuki şarta dayanır? Haklara ilişkin başvuru kime yapılır? Her süreç için birbiriyle ilgisiz bütün ihtimalleri sıralamak açıklığı artırmaz. Kurulun 2026/347 ilke kararı, başka veri sorumlusundan kopyalanmış, gereksiz uzun veya gerçek faaliyeti yanlış gösteren metinlerin sorununu özellikle vurgulamıştır.
Belgenin uygulandığı kanal ayrıca incelenir. İnternet formunda okunabilir başlık ve bağlantı, çağrı merkezinde erişilebilir yönlendirme, fiziksel alanda görünür levha ve ayrıntılı metne ulaşım, işe alımda adayın veri gönderiminden önce bilgilendirilmesi farklı tasarım gerektirir. Çerez yoluyla veri işleniyorsa aydınlatma ve rıza ilişkisi, kullanılan çerezlerin niteliğine göre ayrıca değerlendirilir; internet sitesi çerezleri bu özel alanın konusudur.
Metin, sistem veya süreç değişikliğinde yeniden incelenir. Şirket müşteri kayıtlarını yeni bir bulut hizmetine taşıdığında veriye erişenler ve aktarımın coğrafyası değişebilir. Eski açıklama bu akışı göstermiyorsa yalnız tarihini yenilemek yeterli olmaz. Fiilî işlem ve hukuki dayanak değiştiği ölçüde açıklama, gerekiyorsa rıza mekanizması ve ispat kaydı da uyarlanır.
AEY Legal'in veri koruma hukuku danışmanlığı, aydınlatma metninin sözcük seçimiyle sınırlı değildir. Veri kategorisi, işlem amacı, Kanun'daki hukuki sebep, aktarım alıcısı, başvuru yöntemi ve kullanılan ekran veya form birlikte değerlendirilir. Bu inceleme, veri sorumlusunun gerçekte uygulamadığı bir faaliyeti metinde vaat etmesini ya da gerekli bilgiyi ilk temasın gerisine bırakmasını önlemeye yönelir. Somut olayda başvuru, Kurul denetimi veya uyuşmazlık varsa ilgili kayıtlar ve kararlar ayrıca değerlendirilir. KVKK alanında avukatlık hizmeti ve somut hukuki değerlendirme için AEY Legal iletişim sayfası kullanılabilir.
Aydınlatma Metni Açık Rıza Yerine Geçer Mi?
Hayır. Aydınlatma, veri sorumlusunun bilgi verme yükümlülüğüdür; açık rıza gerekiyorsa konuya özgü, bilgilendirilmiş ve özgür iradeye dayanan ayrı bir beyan aranır. Metnin okunması, tüm işlemlere onay anlamına gelmez. İşleme başka bir kanuni şarta dayanıyorsa ayrıca rıza metni sunulması da kişiyi hukuki sebep konusunda yanıltabilir.
Aydınlatma Veriler Toplandıktan Sonra Yapılabilir Mi?
Veri doğrudan kişiden alınıyorsa Kanun m. 10, bilgilendirmenin elde etme sırasında yapılmasını öngörür. Üçüncü kişiden edinilen veride Tebliğ m. 6'daki makul süre, ilk iletişim ve en geç ilk aktarım zamanları dikkate alınır. Daha sonra erişilebilir bir politika sayfasının bulunması, önceki zamanlama eksikliğini kendiliğinden gidermeyebilir.
Sözlü Aydınlatma Geçerli Midir?
Evet, uygun koşullarda sözlü aydınlatma mümkündür; önemli olan zorunlu bilgilerin açık ve zamanında verilmesi ile bunun ispatıdır. Bir çağrı kaydı veya kısa anons yalnız "görüşme kaydediliyor" diyorsa bütün zorunlu unsurlar iletilmiş sayılmayabilir. Katmanlı yöntem kullanılacaksa ayrıntılı metne gerçek ve anlaşılır erişim sağlanmalıdır.
Aydınlatmanın Yapıldığını Hangi Kayıtlar Gösterir?
Kanun tek bir imza veya kayıt biçimi zorunlu kılmaz. Kullanılan metnin sürümü ve tarihi, ekrandaki görünüm, teslim veya yönlendirme kaydı, telefon anons akışı ve fiziksel levhanın varlığı somut olayda delil olabilir. Kayıt, bilginin yalnız hazırlanmış olduğunu değil, ilgili kişiye uygun zamanda ulaştığını gösterebilmelidir.
VERBİS Kaydı Olan İşletme Ayrıca Aydınlatma Yapar Mı?
Evet. VERBİS, belirli veri sorumluları için sicil yükümlülüğüdür; ilgili kişinin kendi verisinin elde edilmesi sırasında bilgilendirilmesi ayrı bir ödevdir. Sicile kayıt istisnası da tek başına aydınlatma istisnası değildir. Envanter, sicil bildirimi ve kişiye sunulan metin fiilî veri akışı yönünden tutarlı tutulmalıdır.
Aydınlatma Eksikse Kurula Ne Kadar Sürede Şikâyet Edilebilir?
İlgili kişi önce veri sorumlusuna başvurur. Veri sorumlusu talepleri en geç otuz gün içinde sonuçlandırır. Yanıtın reddi veya yetersizliği ya da cevapsızlık halinde, cevabın öğrenilmesinden itibaren otuz ve ilk başvurudan itibaren her hâlde altmış gün içinde Kurula şikâyet gündeme gelebilir. Somut tarih hesabı ve başvurunun kapsamı ayrıca incelenir.
Aydınlatma Metninde Yurt Dışı Aktarım Yazması Aktarıma İzin Verir Mi?
Hayır. Metin, gerçek aktarım amacını ve alıcı grubunu ilgili kişiye açıklar; yurt dışına aktarımın hukuki şartları Kanun m. 9 uyarınca ayrıca sağlanmalıdır. 2024 değişikliğiyle yeterlilik kararı, uygun güvenceler ve sınırlı arızi aktarım yolları ayrılmıştır. Gerçekte olmayan aktarımı metne eklemek de yanıltıcı bilgilendirme riski doğurur.
