KVKK kapsamında aydınlatma yükümlülüğü: usul, esaslar ve VERBİS

Kişisel verilerin korunması hukukunun temel taşlarından biri, ilgili kişinin kendisiyle ilgili veri işleme faaliyeti hakkında bilgi sahibi olmasıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m. 10, veri sorumlusuna kişisel verilerin elde edilmesi sırasında ilgili kişiyi aydınlatma yükümlülüğü getirir. Bu yükümlülük, Anayasa m. 20/3'te güvence altına alınan kişisel verilerin korunmasını isteme hakkının ve bu hak kapsamındaki kendisiyle ilgili kişisel veriler hakkında bilgilendirilme yetkisinin kanuni düzeydeki en somut yansımasıdır. Aydınlatma, ilgili kişinin diğer haklarını kullanabilmesinin ön koşuludur; verisinin işlendiğini bilmeyen kişi ne bilgi talep edebilir ne silme isteyebilir ne de şikâyet yoluna başvurabilir. Uygulamada aydınlatma yükümlülüğünün usul ve esasları, Kişisel Verileri Koruma Kurumu tarafından çıkarılan ve 10 Mart 2018 tarihli Resmî Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile ayrıntılı biçimde düzenlenmiştir.

Aydınlatmanın zorunlu unsurları

KVKK m. 10/1 uyarınca veri sorumlusu veya yetkilendirdiği kişi, kişisel verilerin elde edilmesi sırasında ilgili kişiye asgari olarak şu bilgileri vermek zorundadır:

• Veri sorumlusunun ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• İlgili kişinin Kanun'un 11. maddesinde sayılan diğer hakları.

Bu unsurlardan herhangi birinin eksik bırakılması, aydınlatma yükümlülüğünün hiç yerine getirilmemesiyle aynı hukuki sonucu doğurabilir. Kurul uygulamasında, yalnızca veri sorumlusunun ticaret unvanını içeren ancak işleme amaçlarını ve hukuki sebebi göstermeyen metinler geçerli bir aydınlatma olarak kabul edilmemektedir.

Hukuki sebebin somut olarak gösterilmesi

Tebliğ m. 5/1-h, aydınlatma kapsamında kişisel verilerin hangi hukuki sebebe dayanılarak işlendiğinin açıkça belirtilmesini arar. Buradaki hukuki sebep, KVKK m. 5 ve m. 6'da sayılan işleme şartlarından hangisine dayanıldığıdır. Kurul, aydınlatma metinlerinde sıkça rastlanan “kişisel verileriniz ilgili mevzuat kapsamında işlenmektedir” veya “Kanun'un 5. ve 6. maddelerinde belirtilen şartlar dâhilinde işlenmektedir” gibi genel geçer ve muğlak ifadeleri yeterli görmemektedir. Her veri kategorisi ve işleme amacı için hangi somut şarta dayanıldığının eşleştirilerek gösterilmesi beklenir. Örneğin bir e-ticaret sitesi, teslimat adresini “sözleşmenin ifası için gereklilik” şartına, pazarlama amaçlı e-posta gönderimini ise açık rızaya dayandırdığını ayrı ayrı belirtmelidir. Tüm işleme şartlarının blok hâlinde sayılıp geçilmesi, ilgili kişiye gerçek bir bilgi vermediği için Tebliğ'e aykırıdır.

Aydınlatma Tebliği'nin getirdiği usul kuralları

Aydınlatmanın açık rızadan ayrı yapılması

Tebliğ m. 5/1-f uyarınca, kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak gerçekleştirilmesi hâlinde, aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin ayrı ayrı yerine getirilmesi gerekir. Bunun nedeni iki kurumun farklı işlevler görmesidir: aydınlatma, işleme şartından bağımsız olarak her hâlde yerine getirilmesi gereken tek taraflı bir bilgilendirme yükümlülüğüdür; açık rıza ise yalnızca diğer işleme şartlarının bulunmadığı hâllerde başvurulan bir hukuka uygunluk sebebidir. Aydınlatma metniyle rıza beyanının tek metinde birleştirilmesi ve tek kutucukla onaylatılması, hem rızanın bilgilendirmeye dayanma unsurunu hem de aydınlatmanın rızadan bağımsızlığını zedeler.

Her veri işleme kanalı için aydınlatma ve katmanlı aydınlatma

Aydınlatma, kişisel verinin elde edildiği her ortam ve kanal için ayrı ayrı yerine getirilmelidir. İnternet sitesi üzerinden, çağrı merkezi aracılığıyla, fiziki ortamda form doldurularak veya güvenlik kamerası vasıtasıyla veri toplayan bir veri sorumlusu, her bir kanalda o kanala uygun yöntemle bilgilendirme yapmak zorundadır. Sözlü, yazılı, ses kaydı ve elektronik ortam dâhil her yöntem kullanılabilir; önemli olan bilgilendirmenin veri elde edilmeden önce veya en geç elde edilme sırasında yapılması ve ilgili kişinin buna kolayca erişebilmesidir.

Uygulamada en işlevsel yöntemlerden biri katmanlı aydınlatmadır. Bu yöntemde ilk katmanda kısa ve öz bir bilgilendirme yapılır; ayrıntılı aydınlatma metnine bağlantı, karekod veya yönlendirme ile erişim sağlanır. Kurul'un kamera ile izleme faaliyetlerine ilişkin yerleşik yaklaşımı buna iyi bir örnektir: izlemenin yapıldığı alanın girişine, kamera kaydı yapıldığını, veri sorumlusunun kimliğini ve ayrıntılı bilgiye nereden ulaşılabileceğini gösteren bir bilgilendirme levhası asılmalı; ayrıntılı aydınlatma metni ise veri sorumlusunun internet sitesinde veya danışma noktasında hazır bulundurulmalıdır. Yalnızca “bu alanda kamera vardır” yazan bir uyarı, aydınlatmanın zorunlu unsurlarını içermediği için tek başına yeterli değildir.

İspat yükü veri sorumlusundadır

Tebliğ m. 5/1-b, aydınlatma yükümlülüğünün yerine getirildiğinin ispatının veri sorumlusuna ait olduğunu açıkça düzenler. Bu nedenle veri sorumlularının, aydınlatmanın hangi tarihte, hangi kanaldan ve hangi içerikle yapıldığını gösterecek kayıt düzenini kurmaları gerekir. İnternet ortamında zaman damgalı kayıtlar, fiziki ortamda tarihli tutanak veya form nüshaları, çağrı merkezinde ses kayıtları bu amaçla kullanılabilir. Kurul önündeki incelemelerde “aydınlatma yapıldı ancak belgesi yok” savunması, yükümlülüğün ihlal edildiği sonucuna götürmektedir.

Kişisel Verileri Koruma Kurulu, yerleşik kararlarında aydınlatmanın ilgili kişiye gerçek ve anlaşılır bir bilgi vermesi gerektiğini vurgulamakta; genel, soyut ve tüm ihtimalleri kapsayacak şekilde kaleme alınmış metinlerin, işleme amaçlarının belirli, açık ve meşru olması ilkesiyle bağdaşmadığını ve bu nitelikteki metinlerle aydınlatma yükümlülüğünün yerine getirilmiş sayılamayacağını kabul etmektedir.

VERBİS kayıt yükümlülüğü ve aydınlatmadan farkı

KVKK m. 16, veri işleyen gerçek ve tüzel kişilerin, veri işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolmasını öngörür. Kurul, çeşitli kararlarıyla bu yükümlülüğe istisnalar getirmiş ve eşikler belirlemiştir. Buna göre kayıt yükümlülüğü esas olarak şu mantıkla işler:

1. Yıllık çalışan sayısı veya yıllık mali bilanço toplamı Kurulca belirlenen eşiklerin üzerinde olan gerçek ve tüzel kişi veri sorumluları kayıt yükümlüsüdür.
2. Eşiklerin altında kalmakla birlikte ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumluları da kayıt yükümlüsüdür.
3. Yurt dışında yerleşik veri sorumluları, Türkiye'de veri işlemeleri hâlinde çalışan sayısı ve bilançodan bağımsız olarak kayıt yükümlüsüdür ve Türkiye'de bir temsilci atamak zorundadır.
4. Noterler, dernekler, vakıflar ve sendikalardan yalnızca kendi mevzuatları çerçevesinde veri işleyenler, siyasi partiler, avukatlar, gümrük müşavirleri ve serbest muhasebeci mali müşavirler gibi bazı gruplar Kurul kararlarıyla kayıt yükümlülüğünden istisna tutulmuştur.

Burada sık yapılan bir hata, VERBİS kaydı ile aydınlatma yükümlülüğünün birbirinin yerine geçtiğinin sanılmasıdır. Oysa bunlar farklı maddelerde düzenlenmiş, farklı işlevlere sahip ve ayrı yaptırımlara bağlanmış iki bağımsız yükümlülüktür. VERBİS'e yapılan bildirim kamuya açık genel bir envanter beyanıdır; ilgili kişiye yöneltilmiş bir bilgilendirme değildir. Kurul, VERBİS kaydının varlığının aydınlatma yükümlülüğünü ortadan kaldırmayacağını; aynı şekilde aydınlatma yapılmasının da kayıt yükümlülüğünü sona erdirmeyeceğini kabul etmektedir. Kayıt yükümlüsü olmayan küçük ölçekli bir işletme dahi, veri işlediği sürece aydınlatma yükümlülüğüne tabidir.

Aykırılığın yaptırımı

Aydınlatma yükümlülüğünü yerine getirmeyen veri sorumluları hakkında KVKK m. 18/1-a uyarınca idari para cezası uygulanır. Kanun'da 2016 yılı için belirlenen alt ve üst sınırlar, 5326 sayılı Kabahatler Kanunu m. 17/7 gereğince her yıl yeniden değerleme oranında artırılmaktadır; bu nedenle güncel ceza aralığı her takvim yılında değişir ve Kurumun duyurularından takip edilmelidir. VERBİS'e kayıt ve bildirim yükümlülüğüne aykırılık ise m. 18/1-ç kapsamında ayrı ve daha yüksek bir ceza aralığına tabidir. Cezanın somut tutarı belirlenirken ihlalin ağırlığı, etkilenen kişi sayısı, veri sorumlusunun kusuru ve ekonomik durumu gözetilir. Ayrıca 7499 sayılı Kanun'la yapılan değişiklik sonrasında, 1 Haziran 2024'ten itibaren Kurul kararlarına karşı yargı yolu idare mahkemeleridir.

Uygulamada dikkat edilmesi gereken noktalar

• Aydınlatma metni, veri sorumlusunun fiilen yürüttüğü işleme faaliyetleriyle birebir örtüşmeli; kişisel veri işleme envanterine dayanmalıdır.
• Metin sade ve anlaşılır bir dille yazılmalı, hukuki ve teknik terimler zorunlu olmadıkça kullanılmamalıdır.
• Amaç değişikliği hâlinde yeni amaç için yeniden aydınlatma yapılmalıdır; ilk aydınlatma sonraki farklı amaçları kapsamaz.
• Çocuklara yönelik hizmetlerde aydınlatmanın çocuğun anlayabileceği bir dille yapılması gözetilmelidir.
• Aydınlatmanın yapıldığına ilişkin kayıtlar, olası bir Kurul incelemesinde sunulmak üzere düzenli olarak saklanmalıdır.

Sonuç olarak aydınlatma yükümlülüğü, biçimsel bir metin yayımlama işi değil, ilgili kişinin verisi üzerindeki denetimini fiilen mümkün kılan bir şeffaflık güvencesidir. Genel geçer kalıplarla geçiştirilen aydınlatma metinleri hem idari para cezası riski doğurur hem de açık rızaya dayalı işlemelerde rızanın geçerliliğini tartışmalı hâle getirir. Veri sorumlularının aydınlatma süreçlerini envanter temelli, kanal bazlı ve ispatlanabilir şekilde kurgulamaları, KVKK uyumunun en görünür ve en çok denetlenen ayağını sağlam temele oturtacaktır.