Müşterilerinin, çalışanlarının veya web sitesi ziyaretçilerinin kişisel verilerini işleyen hemen her işletme, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında birtakım yükümlülüklere tabidir. Bu yükümlülüklerin başında, veri sahiplerinin bilgilendirilmesini sağlayan aydınlatma yükümlülüğü gelir; bu yükümlülüğün eksik yerine getirilmesi, hem idari para cezalarına hem de veri sahiplerinin açacağı hukuk davalarına zemin hazırlayabilir.
Aydınlatma Yükümlülüğü Nedir? Yasal Dayanak
6698 sayılı KVKK’nın 10. maddesi, kişisel verileri işleyen veri sorumlusunun (veya yetkilendirdiği kişinin), kişisel verilerin elde edilmesi sırasında veri sahibine belirli konularda bilgi vermekle yükümlü olduğunu düzenler. Bu yükümlülük, verinin işlenmesinden önce veya işlenme anında yerine getirilmelidir; sonradan yapılan bir bilgilendirme, kanunun aradığı aydınlatmayı karşılamaz.
Aydınlatma Metninde Bulunması Gereken Asgari Unsurlar
KVKK m. 10 uyarınca aydınlatma metninde şu hususların yer alması zorunludur:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
- Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- KVKK’nın 11. maddesinde sayılan diğer hakları (verilerine erişme, düzeltme, silme talep etme gibi).
Genel İlkelere Uygunluk (KVKK m. 4)
Aydınlatma yükümlülüğü tek başına yeterli değildir; işlenen veriler ayrıca KVKK m. 4’te sayılan genel ilkelere (hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli-açık-meşru amaçlarla işleme, amaçla bağlantılı-sınırlı-ölçülü olma, gerektiği süre kadar saklama) uygun şekilde işlenmelidir. Aydınlatma metni ne kadar eksiksiz olursa olsun, fiilen bu ilkelere aykırı bir veri işleme faaliyeti, veri sorumlusunun sorumluluğunu ortadan kaldırmaz.
Uygulamada Sık Yapılan Hatalar
Uygulamada en sık karşılaşılan hatalar arasında; aydınlatma metninin veri toplama anından çok sonra sunulması, metnin genel ve muğlak ifadelerle sınırlı tutulup veri aktarımı gibi kritik unsurları içermemesi, aynı metnin hem aydınlatma hem açık rıza beyanı gibi sunularak iki farklı işlemin birbirine karıştırılması sayılabilir. Kişisel Verileri Koruma Kurulu’nun yayımladığı kararlar, bu tür eksik veya yanıltıcı aydınlatma uygulamalarını idari para cezasına konu edebilmektedir.
Kaynakça
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 4, 10, 18.
Sıkça Sorulan Sorular
Aydınlatma yükümlülüğü yerine getirilmezse ne olur?
KVKK m. 18 uyarınca aydınlatma yükümlülüğünü yerine getirmeyenler hakkında Kişisel Verileri Koruma Kurulu tarafından idari para cezası uygulanabilir; ayrıca veri sahibi, bu eksiklik nedeniyle maddi/manevi tazminat davası da açabilir.
Aydınlatma metni ile açık rıza metni aynı şey midir?
Hayır; aydınlatma, veri işlemenin hangi hukuki sebebe dayandığından bağımsız olarak her durumda yapılması gereken bir bilgilendirme yükümlülüğüdür, açık rıza ise yalnızca başka bir hukuki sebep bulunmadığında aranan ayrı bir işlemdir; ikisi karıştırılmamalıdır.
Web sitesi üzerinden toplanan veriler için de aydınlatma gerekir mi?
Evet; iletişim formu, çerezler (cookie) veya üyelik sistemleri aracılığıyla toplanan tüm kişisel veriler için de aydınlatma yükümlülüğü aynen geçerlidir.
Çalışanlar için ayrı bir aydınlatma metni gerekir mi?
Evet; işveren-çalışan ilişkisinde özlük dosyası, bordro, kamera kaydı gibi farklı veri işleme faaliyetleri için işverenin çalışanlara yönelik ayrı ve kapsamlı bir aydınlatma metni sunması önerilir.
İlgili Yazılar
Yazar Hakkında
Bu yazı, Kırklareli Barosu’na kayıtlı Avukat Onur Akçınar tarafından, güncel mevzuat ve Yargıtay/Danıştay içtihadı esas alınarak hazırlanmıştır. Bu içerik genel bilgilendirme amaçlıdır, somut olaya özgü hukuki tavsiye niteliği taşımaz.
İletişim
Sorularınız için iletişim sayfamız üzerinden bize ulaşabilirsiniz.
Bir yanıt yazın