Aydınlatma Yükümlülüğü Nedir?

Veri sorumluları, kişisel verileri açık rıza ya da diğer veri işleme şartlarına dayalı olarak işlemekle yükümlüdür. Ancak bu yükümlülüğe uymak veri işleme faaliyetinin hukuka uygun olması için tek başına yeterli olmaz. Buna ilave olarak veri sorumlusu, kişisel verilerin elde edilme esnasında ; işleyeceği bu verilerinin kim tarafından, hangi amaçlarla ve hangi hukuki sebeplere dayanılarak işlenebileceği, kimlere hangi amaçlarla aktarılabileceği gibi hususlarda ilgili kişileri aydınlatmakla mükelleftir. Aksi takdirde veri sorumlusu, birtakım cezai ve hukuki müeyyidelerle karşı karşıya kalacaktır.

Aydınlatma Yükümlülüğü Nasıl Yerine Getirilir?

Kanuna göre kişisel verilerin elde edilmesi sırasında Veri Sorumlusu, bizzat veya yetkilendirdiği kişi aracılığıyla veri sahibine;

• Veri sorumlusunun ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• Veri sahibinin Kanun’un 11’inci maddesinde yer alan hakları

konularında bilgi vermekle yükümlüdür.

Yanlış anlaşılmalara mahal vermemek adına peşinen belirtmeliyiz ki; kişisel verinin işlenmesinde, açık rızanın gerekmesi veya bu şartın istisna tutulması arasında aydınlatma yükümlülüğü açısından herhangi bir fark bulunmamaktadır.

Dolayısıyla açık rıza zorunluluğuna ilişkin (veri sorumlusunun meşru menfaati gibi) bir istisna bulunuyor olsa bile; veri sahibini aydınlatma yükümlülüğü devam etmektedir.

Aydınlatma yükümlülüğü, veri sorumlusu açısından kişisel veri elde edilen her aşamada bir mükellefiyet olarak devam etmektedir. Her aşamada aynı tek tip aydınlatma metnini kullanmak doğru olmayıp kişisel verilerin elde edileceği aşamaya göre; toplanma yöntemi ve hukuki sebebi değiştikçe aydınlatma metni de yeni aşamaya göre değiştirilmelidir.

Örneğin bir e-ticaret sitesi önceden müşterilerinin yalnızca kimlik ve adres bilgisini işlemekte iken sonrasında müşterilerinin alışveriş eğilimlerini de işlemek isteyip (hangi ürüne ne zaman ne kadar süre boyunca baktı vb.) diğer verileri de işlemek isterse; bunun için yeni bir aydınlatma metni hazırlamalıdır.

Ayrıca aydınlatma yükümlülüğünü yerine getirilirken veri sahibine verilecek bilgiler, Veri Sorumluları Sicilinde açıklanan bilgilerle uyumlu ve kategorik şekilde olmalıdır.

Aydınlatma yükümlülüğünün yerine getirilmesi hususunda Kanun’da öngörülen herhangi bir şekil şartı bulunmamaktadır. Dolayısıyla kural olarak söz konusu bilgilerin veri sahibine sözlü olarak (örneğin fiziki ortamda ya da çağrı merkezi kanalıyla) verilmesi yeterlidir. Ancak aydınlatma yükümlülüğünün yerine getirildiğinin ispatının veri sorumlusuna ait olduğu göz önüne alındığında, aydınlatmanın yazılı olarak veya elektronik ortamda yapılıp (eğer aydınlatma elektronik ortamda gerçekleşmiş ise zaman damgası ile mühürlenmiş) kayıtlara ilişkin kopyaların saklanması daha sağlıklı olacaktır.

Bu noktada şunu belirtmekte de fayda görmekteyiz: Aydınlatma metinlerinin veri sahibi tarafından onaylanması aranmamaktadır, bilginin kişiye sunulduğunun ispat edilmesi yeterli olacaktır. 

Aydınlatma Esnasında Kişisel Verileri Aktardığım Kişi Ve Kurumları Her Birini Belirtmeli miyiz?

Aydınlatma esnasında (eğer aktarılacaksa) kişisel verilerin hangi kişi ve kurumlara hangi amaçla aktarılacağının belirtilmesi gerekmektedir. Ancak veri sorumlusunun bu kapsamda verilerin aktarılacağı kişi ve kurumların isimlerini teker teker saymasına gerek yoktur. Yükümlülüğün yerine getirilmesi bakımından verilerin aktarılacağı tarafların faaliyet alanlarına göre kategorize edilerek belirtilmesi Kişisel Verileri Koruma Kurulu tarafından yeterli görülmektedir.

Örneğin, sigorta şirketleri, kargo şirketleri, hukuk büroları, grup şirketleri gibi kategorik ifadeler kullanılarak hukuka uygun bir şekilde aydınlatma yapılabilmektedir.

Kişisel verilerin elde edilmesinin ardından  süreç içerisinde (o ana kadar hesapta olmayan) başka bir kuruma veri aktarma ihtiyacının ortaya çıkması halinde bu durumun veri sahibine makul bir süre içerisinde bildirilmesinde fayda vardır.

Aydınlatma Yükümlülüğünü Katmanlı Olarak Gerçekleştirebilir miyiz?

Kişisel verilerin elde edildiği her aşamasında veri sahibini detaylı şekilde bilgilendirmek, uygulaması her zaman kolay bir süreç değildir. Bu kapsamda uygulamada Katmanlı Bilgilendirme yöntemiyle aydınlatma yükümlülüğü yerine getirilebilecektir. Katmanlı bilgilendirme, veri işlemeye ilişkin bilgilendirilme yapılırken, önce kısa ve kolay anlaşılır bir metin sunulup, daha ayrıntılı açıklama talep edilmesi durumunda detaylı açıklamalara işaret edilmesi durumudur.

Bir e-ticaret sitesinin müşterilerine çerezlerin kaydedildiğine dair esaslı noktaları içeren bir pop-up sunup dileyen müşterileri daha detaylı açıklamaların bulunduğu bir sayfaya yönlendirmesi, katmanlı bilgilendirmenin güzel bir örneğidir.

 Aydınlatma Metinleri Nasıl Hazırlanmalı?

Aydınlatma metinlerinin dilleri sade ve anlaşılır olmalı; çok küçük puntolar kullanılmamalı ve sektöre özgü teknik terimlerin kullanılmasından kaçınılmalıdır. Aydınlatma metinlerinde kullanılan dil, bilginin hitap ettiği veri sahibi kategorisi göz önüne alınarak belirlenmelidir. Metinlerde eksik ya da veri sahiplerini yanıltıcı bilgilere yer verilmemelidir. Veri sahibinin, kişisel verilerinin işlenmesinin sonuçlarını anlaması sağlanmalıdır.

Aydınlatma Yükümlülüğüne Uymamanın Yaptırımı Nedir?

Kişisel Verilerin Korunması Kanunu uyarınca aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk Lirasına kadar idari para cezası uygulanır. Para cezası bandının bu denli geniş tutulmasının nedeni, Kurul’a yaptırım uygulayacağı veri sorumlusunun mali durumu ve ticari büyüklüğü ile ihlalin niteliğine göre bir esneklik tanımaktır. Bunlara ilave olarak veri sahibinin  bir zarara uğraması halinde tazminat talep etme hakkı da saklıdır.

Özetle; Aydınlatma yükümlülüğü Kanun’la getirilen bir yükümlülük olup veri sorumlularının cezai ve hukuki müeyyidelere maruz kalmamak için aydınlatma yükümlülüğüne uygun şekilde veri sahiplerini bilgilendirmesi gerekmektedir.