Aydınlatma Metni Nasıl Yazılır? Zorunlu Unsurlar

Aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 10. maddesindeki beş zorunlu unsuru eksiksiz karşılayacak biçimde, açık ve sade bir dille yazılır. Bu beş unsur şunlardır: veri sorumlusunun ve varsa temsilcisinin kimliği; kişisel verilerin hangi amaçla işleneceği; işlenen verilerin kimlere ve hangi amaçla aktarılabileceği; kişisel veri toplamanın yöntemi ve hukuki sebebi; ilgili kişinin Kanun'un 11. maddesinde sayılan hakları. Metnin nasıl hazırlanacağının usul ve esasları ise 10 Mart 2018 tarihli ve 30356 sayılı Resmi Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'de belirlenmiştir.

Aydınlatma yükümlülüğü, açık rıza dahil hiçbir işleme şartına bağlı değildir; verinin işlendiği her durumda ve rızadan bağımsız olarak yerine getirilir. Yani rıza almadığınız, Kanun'da sayılan başka bir şarta dayandığınız durumlarda dahi ilgili kişiyi aydınlatmak zorundasınız. Kurum, aydınlatmanın kural olarak veri işleme faaliyeti başlamadan önce yapılması gerektiği görüşündedir. Bu yükümlülük yerine getirilirken ilgili kişinin ayrıca onay vermesi aranmaz; aydınlatma tek taraflı bir bilgilendirmedir, karşılığında imza veya kutu işaretletme gerekmez.

İlk zorunlu unsur olan veri sorumlusu kimliği bölümünde, işleme kararını veren gerçek veya tüzel kişinin tam unvanı yazılır. Tüzel kişilerde veri sorumlusu şirketin kendisidir; müdür, çalışan veya departman değil. Şirketin ticaret unvanı, iletişim için kullanılabilecek açık adresi, varsa VERBİS kaydı ve ulaşılabilecek bir iletişim kanalı (KEP adresi, e-posta veya telefon) bu bölümde yer alır. Yurt dışında yerleşik veri sorumlularının Türkiye'de temsilci ataması gerekiyorsa, temsilcinin kimliği de bu kısımda belirtilir.

İşleme amaçları bölümünde 'şirket faaliyetlerinin yürütülmesi' gibi genel ve belirsiz ifadeler yeterli sayılmaz. Tebliğ, aydınlatmanın genel nitelikte değil, somut ve belirli olmasını arar. Her amaç ayrı ayrı ve anlaşılır biçimde sayılmalıdır: örneğin 'iş sözleşmesinden doğan yükümlülüklerin yerine getirilmesi', 'bordro ve özlük işlemlerinin yürütülmesi', 'müşteri sipariş ve teslimat süreçlerinin takibi', 'yasal saklama sürelerine uyum'. Amaçların, toplanan veri kategorileriyle ilişkili ve ölçülü olması gerekir; işlemeyle bağlantısı kurulamayan amaç yazılmamalıdır.

Aktarım bölümünde, verinin kimlere aktarıldığı alıcı grupları düzeyinde ve aktarım amacıyla birlikte açıklanır. 'Gerektiğinde üçüncü kişilere aktarılabilir' türü kapalı ifadeler kabul edilmez. Alıcı grupları somut belirtilir: yetkili kamu kurum ve kuruluşları, iş ortakları, tedarikçiler, hizmet alınan bankalar, muhasebe veya hukuk hizmeti sağlayıcıları gibi. Yurt dışına aktarım söz konusuysa bu durum ayrıca belirtilmeli ve Kanun'un yurt dışı aktarıma ilişkin şartlarına dayanılmalıdır. Aktarım yapılmıyorsa 'aktarım yapılmamaktadır' denmesi tercih edilir.

Yöntem ve hukuki sebep bölümü metnin en çok hata yapılan kısmıdır. Yöntem kısmında verinin tamamen veya kısmen otomatik yollarla mı, yoksa veri kayıt sisteminin parçası olarak otomatik olmayan yollarla mı toplandığı ve hangi kanaldan (web formu, çağrı merkezi, sözleşme, kamera, başvuru evrakı vb.) elde edildiği açıkça yazılır. Hukuki sebep ise Kanun'un 5. maddesindeki genel işleme şartlarından veya özel nitelikli veri işleniyorsa 6. maddedeki şartlardan hangisine dayanıldığını gösterir. Tebliğ, hukuki sebebin açıkça belirtilmesini zorunlu kılar; her işleme amacının hangi hukuki sebebe bağlandığı eşleştirilebilir olmalıdır. Örneğin bordro işlemleri 'kanunlarda açıkça öngörülme' ve 'sözleşmenin ifası' şartlarına dayanabilir.

Beşinci unsur olan ilgili kişinin hakları bölümünde, Kanun'un 11. maddesinde sayılan haklar aktarılır: kişisel verinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, şartları oluştuğunda silinmesini veya yok edilmesini talep etme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, işlenen verilerin münhasıran otomatik sistemlerle analizi sonucu aleyhe bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğranması halinde tazminat talep etme hakları. Başvurunun nasıl yapılacağı da (Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ çerçevesinde) belirtilmelidir.

Örnek yapı şu sırayı izler: başlık ve veri sorumlusu kimliği; işlenen kişisel veri kategorileri; işleme amaçları; her amaç için hukuki sebep; toplama yöntemi; aktarım yapılan alıcı grupları ve amaçları; saklama süresine ilişkin bilgi; ilgili kişinin hakları ve başvuru kanalı. Metin katmanlı olarak da sunulabilir: web sitesinde kısa bir özet bilgilendirme, ayrıntılı metne bağlantıyla erişim. Farklı ilgili kişi grupları için (çalışan, müşteri, ziyaretçi, aday, tedarikçi) ayrı aydınlatma metinleri hazırlanması, tek bir genel metin kullanılmasından daha uygundur; çünkü işlenen veri, amaç ve hukuki sebep her grup için farklıdır.

Sık yapılan hatalar yaptırıma yol açar. Aydınlatma metnini açık rıza metniyle aynı belge içinde birleştirmek Tebliğ'e aykırıdır; ikisi ayrı süreçlerdir ve ayrı sunulmalıdır. Aydınlatma metninde rıza alındığı izlenimi yaratmak, hukuki sebep yerine sadece 'KVKK kapsamında' demek, aktarım alıcılarını belirsiz bırakmak ve tüm süreçler için tek tip genel metin kullanmak Kurul denetimlerinde eleştirilen uygulamalardır. Aydınlatma yükümlülüğünün ispatı veri sorumlusuna aittir; metnin ne zaman, nasıl ve kime iletildiğinin kayıt altına alınması gerekir.

İşletmenizin aydınlatma metinlerinin 6698 sayılı Kanun ve Aydınlatma Tebliği'ne uygunluğunu kontrol ettirmek isterseniz, KVKK Danışman ücretsiz bir ön değerlendirme sunuyor. Mevcut metinlerinizi inceleyip eksik veya riskli noktaları kısa bir raporla paylaşabiliriz.

Randevu Al