KVKK Aydınlatma Metni Nedir?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, kişisel veri işleyen gerçek veya tüzel kişiler belirli yükümlülüklerle karşı karşıyadır. Bu yükümlülüklerden en önemlilerinden biri, veri sahiplerini işlem faaliyetleri hakkında bilgilendirme yükümlülüğüdür. Bu yazıda, aydınlatma metninin ne olduğu, hangi hukuki dayanağa sahip olduğu ve pratikte nasıl uygulanması önerildiği hakkında genel bir çerçeve sunulmaktadır.

Aydınlatma Metni Nedir?

Aydınlatma metni, veri sorumlusunun; kişisel verilerin hangi amaçla, hangi hukuki sebeple, ne kadar süreyle işleneceği, kimlere aktarılabileceği ve ilgili kişinin hakları hakkında veri sahibini bilgilendirdiği dokümandır. Kanunun 10. maddesi, veri sorumlusunun, veri sahibinden veri toplarken veya veri toplama amacı doğrultusunda en kısa sürede bu bilgileri sağlamasını öngörmektedir. Aydınlatma, veri işleme faaliyetinin başlangıcında veya veri elde edilmesinden hemen sonra, işleme amacıyla uyumlu olacak şekilde yapılmalıdır.

Bu bilgilendirme, veri işleme faaliyetinin şeffaf ve meşru olması açısından önem taşımaktadır. İlgili kişinin kendi verilerinin ne şekilde kullanıldığını bilmesi, temel hak ve özgürlüklerin korunması bakımından da değerlendirilmektedir. Aydınlatma metni, sadece web siteleri için değil; yüz yüze formlar, sözleşmeler, e-posta kampanyaları ve diğer veri toplama faaliyetleri için de geçerli olabilir. Her veri işleme amacı için ayrı aydınlatma metni hazırlanması veya tek bir kapsamlı metinde tüm faaliyetlerin açıklanması mümkündür; hangi yaklaşımın sizin durumunuz için daha uygun olduğu konusunda hukuk danışmanına başvurulması önerilir. Aydınlatma metni, gizlilik politikasıyla ilişkili olmakla birlikte, KVKK özelinde daha dar kapsamlı ve Kanunun öngördüğü unsurlara odaklı bir metin olarak değerlendirilebilir.

Hukuki Dayanak

KVKK'nın 10. maddesi, veri sorumlusunun aydınlatma yükümlülüğünü düzenlemektedir. 2018 tarihli "Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ" ise bu yükümlülüğün nasıl yerine getirileceğine ilişkin örnek ve açıklamalar içermektedir. Tebliğ, aydınlatma metninde bulunması gereken asgari unsurları ortaya koymaktadır. Bu Tebliğ hükümlerinin işinize uygunluğu için hukuk danışmanına danışılması önerilir. Tebliğe göre aydınlatma, kişisel verilerin elde edilmesi sırasında veya elde edilmesinden sonra, ancak işleme amacıyla uyumlu olacak şekilde en kısa sürede yapılmalıdır.

Aydınlatma yükümlülüğü, veri işlemenin hukuka uygunluğunun temel şartlarından biridir. Veri sorumlusu, ilgili kişiyi bilgilendirmeden kişisel veri işlemeye başlarsa Kanunun ihlali söz konusu olabilir. Dolaylı olarak elde edilen veriler (örneğin çerezler aracılığıyla toplanan IP adresi) için de aydınlatma yapılması önerilir. Web sitesi ziyaretçisi, siteye girdiği anda veya veri toplamadan hemen önce bilgilendirilmelidir. Kanun, aydınlatmanın "açık ve anlaşılır" bir dille yapılmasını öngörmektedir; bu nedenle hukuki jargon yerine sade Türkçe kullanılması genel olarak tavsiye edilir.

Metinde Bulunması Önerilen Unsurlar

Tebliğ ve mevzuat uyarınca, aydınlatma metninde genel çerçevede aşağıdaki başlıkların yer alması önerilmektedir:

• Veri sorumlusunun kimliği: Veriyi işleyen gerçek veya tüzel kişinin unvanı, adresi ve iletişim bilgileri.
• İşleme amacı: Verilerin hangi amaçla işlendiği (örneğin hizmet sunumu, iletişim, pazarlama).
• Hukuki sebep: İşlemenin hangi hukuki sebebe dayandığı (açık rıza, sözleşmenin ifası, meşru menfaat vb.).
• Aktarım: Verilerin yurt içi veya yurt dışına aktarılıp aktarılmayacağı, aktarım varsa alıcılar.
• Toplama yöntemi: Verilerin nasıl toplandığı (form, e-posta, çerez vb.).
• İlgili kişi hakları: 11. madde kapsamındaki talepte bulunma, bilgi alma, düzeltme, silme ve itiraz hakları ile başvuru yolları.

Veri Sorumlusu Kimliği ve İrtibat

Veri sorumlusunun kimliği, aydınlatma metninin ilk sırada yer alması önerilen bölümdür. Unvan (şirket adı veya gerçek kişi adı), adres, e-posta ve mümkünse telefon veya KEP adresi belirtilebilir. İrtibat kişisi atanmışsa, bu bilgiler de metinde yer almalıdır. İlgili kişilerin KVKK 11. madde kapsamındaki talepleri için kullanacakları adresin açıkça belirtilmesi önemlidir.

Saklama Süresi

Aydınlatma metninde verilerin ne kadar süreyle saklanacağı da belirtilmelidir. Bu süre, işleme amacına bağlı olarak değişebilir. Örneğin vergi mevzuatı gereği fatura bilgileri belirli süre saklanmak zorunda olabilir. İletişim talepleri için ise talebin karşılanması sonrası makul bir süre önerilebilir. Somut saklama sürelerinin hukuk ve muhasebe danışmanınızla netleştirilmesi tavsiye edilir. Kanun, verilerin işlenme amacı ortadan kalktığında silinmesini, yok edilmesini veya anonim hale getirilmesini öngörmektedir; bu nedenle aydınlatma metninde belirtilen sürelerin gerçekçi ve yasal sürelerle uyumlu olması önerilir.

Toplama Yöntemi ve Veri Kaynakları

Verilerin hangi kanallardan toplandığı (web formu, e-posta, telefon, çerez, fiziksel form vb.) aydınlatma metninde açıklanmalıdır. Üçüncü taraflardan (veri araştırma şirketi, ortaklar vb.) elde edilen veriler varsa bu da belirtilmelidir. Kullanıcının doğrudan verdiği bilgiler ile otomatik toplanan teknik veriler (IP, cihaz bilgisi) ayrı ayrı ele alınabilir. Her veri kaynağı için işleme amacı ve hukuki sebep netleştirilmesi, metnin bütünlüğü açısından faydalı olabilir.

Web Sitede Nereye Konulmalı?

Aydınlatma metninin, veri toplanmadan önce ilgili kişiye sunulması genel olarak önerilmektedir. Web sitelerinde bu metin, genellikle "KVKK Aydınlatma Metni", "Gizlilik Politikası" veya benzeri başlıkla ayrı bir sayfada tutulabilir. İletişim formu, kayıt formu gibi veri toplayan noktalarda, bu sayfaya link verilmesi veya özet bilginin forma eklenmesi yaygın uygulamalardandır. Site haritasında ve footer bölümünde bu sayfaya link verilmesi, kullanıcıların kolay erişimi açısından önerilir. Mobil uyumlu sitelerde metnin okunabilir formatta sunulması da kullanıcı deneyimi açısından önem taşır.

Yaygın Hatalar

Pratikte sıkça karşılaşılan eksiklikler arasında; metnin güncel olmaması, veri işleme amacının net belirtilmemesi, yurt dışı aktarımın bildirilmemesi, irtibat kişisi veya başvuru adresinin eksik olması sayılabilir. Ayrıca, metnin çok uzun ve anlaşılması zor hale getirilmesi de ilgili kişinin bilgilendirilmesi amacına hizmet etmeyebilir. Dilin sade ve anlaşılır olması genel olarak önerilmektedir. Çerez, Analytics veya üçüncü taraf hizmetler kullanılıyorsa bunların metinde açıklanmaması da eksiklik oluşturabilir. Yeni veri işleme faaliyeti başlatıldığında veya mevcut faaliyet değiştiğinde aydınlatma metninin güncellenmesi önerilir.

Hukuki Sebep Açıklaması

Aydınlatma metninde işlemenin hangi hukuki sebebe dayandığı belirtilmelidir. KVKK madde 5’e göre kişisel veriler; açık rıza, sözleşmenin kurulması veya ifası, hukuki yükümlülük, hayati çıkar, meşru menfaat veya veri sorumlusunun meşru menfaati gibi sebeplerden biriyle işlenebilir. Hangi sebebin sizin işlemenize uygulanacağı faaliyetinize bağlıdır; bu konuda hukuk danışmanından görüş almanız önerilir. Metinde "verileriniz sözleşmenin ifası amacıyla işlenmektedir" veya "meşru menfaatimiz çerçevesinde işlenmektedir" gibi örnek ifadeler kullanılabilir; ancak doğru sebebin belirlenmesi için hukuki değerlendirme gereklidir. Bir veri işleme faaliyeti için birden fazla hukuki sebep söz konusu olabilir; örneğin iletişim talebi için hem meşru menfaat hem de sözleşmenin ifası birlikte değerlendirilebilir.

Yurt Dışı Veri Aktarımı

Kişisel verilerin yurt dışına aktarılması, KVKK madde 9 kapsamında özel koşullara tabidir. Yeterli koruma sağlanan ülkelere aktarımda Kurul tarafından belirlenen usuller uygulanır. Yeterli koruma sağlanamayan ülkelere aktarımda ise açık rıza veya Kurulun izni gibi mekanizmalar gerekebilir. Cloud hizmeti, Analytics veya e-posta sağlayıcısı gibi hizmetler ABD veya Avrupa sunucularında veri işliyorsa, aydınlatma metninde bu aktarımın açıkça belirtilmesi ve hukuki dayanağın açıklanması önerilir.

Kurulun yeterli koruma sağladığını belirttiği ülke listesi periyodik olarak güncellenebilir; bu listenin takip edilmesi ve aydınlatma metninin buna göre revize edilmesi önerilir. Veri işleyen sözleşmelerinde (Data Processing Agreement) yurt dışı aktarım koşullarının netleştirilmesi, hem şeffaflık hem de Kurul talepleri karşısında belge sunma açısından faydalı olabilir. Aktarım yapılan ülke veya alıcı kurumların adı, genel çerçevede (örneğin "hosting sağlayıcısı", "e-posta servisi") veya mümkünse özelleştirilmiş şekilde aydınlatma metninde yer alabilir.

Sonuç

Aydınlatma metni, KVKK uyum sürecinde temel bir araç olarak değerlendirilmektedir. Her işletmenin faaliyet alanı ve veri işleme biçimi farklı olduğundan, metnin kendi durumunuza göre özelleştirilmesi ve gerekirse hukuk danışmanı ile gözden geçirilmesi önerilir. Periyodik olarak metnin güncelliğinin kontrol edilmesi, yeni hizmet veya çerez eklenmesinde metnin buna göre revize edilmesi uyum sürecini güçlendirebilir.

Kendi Aydınlatma Metninizi Oluşturun →