6698 Sayılı Kişisel Verilerin Korunması Kanunu’na göre veri sorumlularının yükümlülüklerinden biri de aydınlatma yükümlülüğüdür. Peki, nedir bu aydınlatma yükümlülüğü?
Bu yazımızda aydınlatma yükümlülüğünün kavramına, unsurlarına, istisnai hallerinin varlığına, yerine getirilmemesi durumunda neler ile karşılaşılabileceği gibi hususları irdeleyeceğiz.
Aydınlatma yükümlülüğü kavramına baktığımızda KVKK 10. Maddesinde yer almaktadır. Ayrıca bu konu hakkında Kurul tarafından 10.03.2018 tarihli Resmi Gazete’de yayınlanan bir tebliğde bulunmaktadır. Aydınlatma yükümlülüğü, kişisel verileri işleyen veri sorumlusu ya da yetkilendirdiği kişiler tarafından, kişisel verilerin elde edileceği esnada ilgili kişilerin bu konu hakkında bilgilendirilmesine ilişkin bir yükümlülüktür. Veri sorumlusu açısından bir yükümlülük olarak karşımıza çıkan aydınlatma, kişisel verileri işlenen ilgili kişiler açısından ise bir haktır. Kişisel verilerin elde edilmesi esnasında ilgili kişiler veri sorumlusundan kendilerini bu konu hakkında bilgilendirmesini talep etme hakkına sahiptir. Böyle bir talep olmasa bile her halükârda veri sorumluları ya da yetkilendirdikleri birimler, bu aydınlatma yükümlülüğünü yerine getirmek zorundadır. Talebe bağlı bir sorumluluk değildir.
Aydınlatma yükümlülüğü yerine getirilirken asgari şu hususlarda bilgilendirme yapılması gerekmektedir:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
- Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- Kanunda sayılan ilgili kişilerin haklarının neler olduğu,
Aydınlatma yükümlülüğü ne şekilde yerine getirilmelidir?
Bu sorunun cevabını Kurul yayınladığı Tebliğ’ de vermiştir. Sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortamlar kullanılarak yerine getirilebilir. Aydınlatma yükümlülüğü yerine getirilirken kullanılan yöntemin sade, açık, tereddüde yer bırakmayacak ve anlaşılabilir olması gerekmektedir.
- Öncelikle veri sorumlusunun hangi tür verileri işlediğini detaylı olarak tespit etmesi faydalı olacaktır.
- İşlenmesini öngördüğü kişisel verilerin hangi amaçla işlediğini aydınlatma yükümlülüğünde yerine getirmesi gerekmektedir.
- Yurt içi veya yurt dışına kişisel verilerin aktarılıp aktarılmayacağı konusunda bilgi verdikten sonra şayet aktarılacak ise bu kişilerin kimler olacağını açıkça belirtmesi gerekmektedir.
- Kanunda sayılan hangi şartlara dayanarak kişisel verilerin işleneceğinin ve kişisel verileri toplama yönteminin açık bir şekilde mutlak surette belirtmesi gerekmektedir. İlgili kişilerinin hangi haklara sahip olduğunu da açıkça belirtmelidir.
Aydınlatma yükümlülüğü, söz konusu kişisel verilerinin işlenmesi faaliyetine özel olarak hazırlanmalıdır. Kişisel verilerin işlenme faaliyetinin sınırları çizilmeden, genel ifadeler ile hazırlanan bilgilendirmeler aydınlatma yükümlülüğünü hukuka uygun şekilde yerine getirilmemesi demektir.
Peki aydınlatma yükümlülüğünün yerine getirildiğini kim ispat edecektir? Veri sorumlusu mu yoksa kişisel verileri işlenen ilgili kişi mi?
Bu sorunun cevabını Tebliğ vermektedir. “Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.” İspat yükümlülüğü şekil şartına bağlanmamıştır. Kurul ayrıca açık rıza şartına dayanarak işlenen kişisel veri işleme faaliyetinin gerçekleştirilmesi halinde, açık rızanın alınması ile aydınlatma yükümlülüğünün ayrı ayrı yerine getirilmesi gerektiğini belirtmektedir. Örneğin, veri sorumlusu aydınlatma metninin altına ispatını sağlamak adına ‘okudum’ seçeneği sunması ve ilgili kişinin bu seçeneği seçmesi halinde bu kişisel verilerinin işlenmesine açık rıza gösterdiği anlamına gelmeyecek olup, kişisel verilerin işlenmesi faaliyetleri konusunda kendisine bilgilendirme yapıldığını gösterecektir.
Son olarak aydınlatma yükümlülüğünün bulunmadığı durumları inceleyelim;
6698 Sayılı KVKK 28/2 md. göre aşağıda belirtilen şartlarda aydınlatma yükümlülüğünü veri sorumlusu ya da yetkilendirdiği kişi yerine getirmek zorunda değildir;
- Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli
olması. - İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
- Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu
kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması. - Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak devletin ekonomik
ve mali çıkarlarının korunması için gerekli olması.
Bu yazımızda kişisel verilerin korunmasında önemli bir unsuru olan aydınlatma yükümlülüğünden bahsettik. Veri sorumluları tarafından aydınlatma yükümlülüğü özen ve dikkatle yerine getirilmesi gereken bir sorumluluktur. Veri sorumluları, aydınlatma metinlerinin kafa karıştırmayacak şekilde açık, anlaşılır olmasına dikkat etmeleri gerekmektedir.
Ancak şunu da unutmamak gerekir ki bilgi sahibi olmak aydınlatma yükümlülüğü yerine getirirken önemli bir durumdur. Kanunun hangi unsurları aradığı, teknik bilgilerin neler olduğu gibi hususları bilmeleri veri sorumlularının yaptırımla karşılaşmalarına engel olacaktır.
