Dijital Biz Dergisi | Yazar

Av. Sefa KARCIOĞLU

Şubat 2022

Aydınlatma Yükümlülüğü

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) 7 Nisan 2016 tarihinde yürürlüğe girmiştir. Bu kanun ile kişisel verilerin işlenmesinde uyulması gereken usul ve esaslar düzenleme altına alınmıştır. Kişisel verilerin korunması aynı zamanda Anayasa’nın 20. maddesinde “özel hayatın gizliliği ve korunması hakkı” kapsamında Anayasal güvence altına alınmıştır. Söz konusu fıkrada; “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” hükmüyle kişilerin en temel hakkı olduğu belirtilerek ele alınmıştır.

Kişisel veri, elde edildiği takdirde belirli veya belirlenebilir bir kişiyle ilgili tüm bilgilerdir. Kişisel verilerin işlenmesi, kişisel verilerin elde edilmesi, saklanması, üzerinde herhangi bir değişiklik yapılması, sınıflandırılması, başkalarına aktarılması ve başkaları tarafından erişilebilir hâle getirilmesi, ya da kullanılması ve ait olduğu kişi tarafından kullanımının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade eder. KVKK kapsamında kişisel verileri işleyen veri sorumluları Kanun’da öngörülen idari ve teknik tedbirleri almakla yükümlüdür.

Kanunun veri sorumlularına ilişkin getirdiği en önemli yükümlülüklerden biri de aydınlatma yükümlülüğüdür. Aydınlatma yükümlülüğü, veri sorumluları için bir yükümlülük olmakla birlikte kişisel verisi işlenen gerçek kişiler için de bir hak olarak karşımıza çıkmaktadır. Bu yükümlülük, ilgili kişilerin kişisel verileri üzerinde kontrol ve denetim yetkisinin sahip olduğunun en önemli göstergesidir.

Aydınlatma yükümlülüğü işlenen kişisel verilerle ilgili ilgili kişilerin bilgilendirmesini ifade etmektedir.  Kişisel verilerinin hukuka uygun olarak işlenebilmesi için aydınlatma yükümlülüğünün yerine getirilmesi zorunludur. Aydınlatma yükümlülüğünün yerine getirilebilmesi için, kişisel verileri işlenen kişiler asgari olarak Kanunun 10. maddesinde sayılan şartlar hakkında bilgilendirilmelidir. Söz konusu aydınlatma yükümlülüğü yerine getirilirken Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğe, Kişisel Verilerin Korunması Kurulu tarafından yayımlanan Aydınlatma Yükümlülüğü Rehberi ile verilen kararlara uyulmalıdır.

Aydınlatma yükümlülüğünün yerine getirilmemesi durumlarında Kanunun 18. maddesinde düzenlenen yaptırım uygulanır. Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.

Bu kapsamda aydınlatma yükümlülüğü yerine getirilirken veri sorumluları veya yetkilendirdiği kişilerce yapılacak bilgilendirmenin asgari olarak aşağıdaki konuları içermesi gerekmektedir:

a) Veri sorumlusunun ve varsa temsilcisinin kimliği,

b) Kişisel verilerin hangi amaçla işleneceği,

c) Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,

d) İlgili kişinin Kanunun 11 inci maddesinde sayılan diğer hakları.

Tebliğin 5. maddesine göre veri sorumlusu ya da yetkilendirdiği kişi tarafından aydınlatma yükümlülüğü; sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortamlar kullanılmak suretiyle yerine getirilebilmektedir. Veri sorumlusu veya yetkilendirdiği kişi, bu yöntemlerden hangisini kullanacağına kendisi karar vermelidir.

Bu yöntemlere örnek olarak; veri sorumlusu ya da yetkilendirdiği kişi tarafından sözlü (yüz yüze yapılan, şifahi aydınlatma gibi), yazılı (web sayfasında yer alan metin, bina girişinde duvara asılı levha, bir kameranın altında duvara monte edilmiş bilgi panosu gibi), ses kaydı (ilgili kişiye ses kaydı dinletilmesi gibi), çağrı merkezi (operatörle görüşmeden önce bir ses dosyası dinletilmesi) gibi fiziksel veya elektronik ortam (web sayfasında yer alan bir belgede katmanlı aydınlatma yapılması, açılan pencere [pop-up pencere] çıkması, mobil uygulamalar gibi) kullanılmak suretiyle aydınlatma yükümlülüğünün yerine getirilmesi verilebilir. Aynı zamanda Kurul’un yayınlamış olduğu rehberde katmanlı aydınlatma yapılmasına imkân sağlamıştır. Buna göre aydınlatmanın daha açık ve anlaşılır olması için birtakım şekil ve görsellerin kullanılması ve karekod gibi uygulamalarla detaylı metinlere yönlendirme yapılması mümkündür.

Aydınlatmaların açık, sade ve anlaşılabilir bir dille süreç faaliyet bazında gerçekleştirilmesi gerekmektedir. Aydınlatma yükümlülüğünün temel amacı kişisel verileri işlenen ilgili kişilerin hangi kişisel verilerin hangi amaçla ve hangi hukuki sebebe dayanarak işlendiği, kimlere aktarıldığı ve ne kadar süre ile saklanacağı gibi temel konularda ilgili kişiyi bilgilendirmektir. Bu kapsamda ilgili kişinin hangi faaliyet kapsamında kişisel verisi işlenecekse o faaliyetle ilgili bilgilendirilmesi uygun olacak matbu olarak ayrı süreçlerde ilgili kişilere yönelik hazırlanan aydınlatma metinleri Kanun’un amacına uygun olmayacaktır. Kişisel Verilerin Korunması Kurulu tarafından verilen kararlarda da işbu hususun altı çizilmiştir.
Aydınlatma yükümlülüğü ile ilgili güncel uygulamalar birçoğu hukuka uygun olmasa da Kişisel Verilerin Korunması Kurulu’nun verdiği kararlar ile gün geçtikçe hukuka uygun hale gelecektir.