Aydınlatma yükümlülüğü, verisi işlenen ilgili kişilerin verileri üzerindeki hakimiyetinin sağlanması bakımından 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) kapsamında getirilen en önemli uygulamalardan biri olarak temel hak ve özgürlüklerin korunması açısından büyük bir önem taşımaktadır. Buna minvalde, KVKK 10. Maddesi gereğince hazırlanan 10 Mart 2018 yürürlük tarihli “Aydınlatma Yükümlülüğün Yerine Getirilmesinde Uygulanacak Usul ve Esaslar Hakkında Tebliğ” (“Tebliğ”) ile veri sorumluları ya da veri sorumlularının yetkili kıldığı kişiler tarafından ifa edilmesi gereken aydınlatma yükümlülüğünün usul ve esaslarının belirlenmesi amaçlanmıştır.

Aydınlatma Yükümlülüğünün Kapsamı

KVKK’nın 10. maddesi çerçevesinde veri sorumlusu, kişisel verilerin elde edilmesi sırasında bizzat veya yetkilendirdiği kişi aracılığıyla aşağıdaki bilgileri ilgili kişiye sağlamakla yükümlüdür:

• Veri sorumlusunun ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• maddede sayılan diğer hakları.

Aydınlatma yükümlülüğünün eksiksiz olarak yerine getirilebilmesi için yapılacak aydınlatmanın, KVKK 10. maddede belirtilen tüm hususları içermesi gerekmektedir. İlgili kişiye karşı aydınlatma yükümlülüğü yerine getirilirken aydınlatma içeriğinde bu hususlardan herhangi birinin yer almaması halinde aydınlatma yükümlülüğü yerine getirilmiş sayılmayacaktır.

Aydınlatma Yükümlülüğünün Yerine Getirilmesi 

Aydınlatma yükümlülüğünün ne şekilde yerine getirileceği Kişisel Verilerin Korunması Kurumu tarafından yayınlanan Tebliğ’de düzenlenmiştir. Veri sorumlularının kişisel veri işleme faaliyetinde bulunurken bu tebliğdeki esaslara uygun hareket etmesi gerekir.

Veri sorumlusu ya da yetkilendirdiği kişi tarafından sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle aydınlatma yükümlülüğünün yerine getirilmesi mümkün olup aşağıda sayılan usul ve esaslara uyulması gerekmektedir:

• Kişisel veri işlendiği her durumda aydınlatma yükümlülüğü yerine getirilmelidir.
• Kişisel veri işleme amacı değiştiğinde, veri işleme faaliyetinden önce bu amaç için aydınlatma yükümlülüğü ayrıca yerine getirilmelidir.
• Veri sorumlusunun farklı birimlerinde kişisel veriler farklı amaçlarla işleniyorsa, aydınlatma yükümlülüğü her bir birim nezdinde ayrıca yerine getirilmelidir.
• Aydınlatma yükümlülüğünün yerine getirilmesi, ilgili kişinin talebine bağlı değildir.
• Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.
• Kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak gerçekleştirilmesi halinde, aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin ayrı ayrı yerine getirilmesi gerekmektedir.
• Aydınlatma yükümlülüğü kapsamında açıklanacak kişisel veri işleme amacının belirli, açık ve meşru olması gerekir. Aydınlatma yükümlülüğü yerine getirilirken, genel nitelikte ve muğlakifadelere yer verilmemelidir. Gündeme gelmesi muhtemel başka amaçlar için kişisel verilerin işlenebileceği kanaatini uyandıran ifadeler kullanılmamalıdır.
• Aydınlatma yükümlülüğü kapsamında ilgili kişiye yapılacak bildirimin anlaşılır, açık ve sade bir dil kullanılarak gerçekleştirilmesi gerekmektedir.
• Aydınlatma yükümlülüğünün yerine getirilmesi esnasında hukuki sebebin açıkça belirtilmesi gerekmektedir.
• Aydınlatma yükümlülüğü kapsamında, kişisel verilerin aktarılma amacı ve aktarılacak alıcı grupları belirtilmelidir.
• Aydınlatma yükümlülüğü kapsamında kişisel verilerin, tamamen veya kısmen otomatik yollarla ya da veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerden hangisiyle elde edildiği açık bir şekilde belirtilmelidir.
• Aydınlatma yükümlülüğü yerine getirilirken eksik, ilgili kişileri yanıltıcı ve yanlış bilgilere yer verilmemelidir.

İstisnalar

KVKK’nın 28.maddesinin 1.fıkrasında aşağıdaki durumlarda KVKK hükümlerinin uygulanmayacağı hüküm altına alınmıştır:

• Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.
• Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.
• Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

Dolayısıyla ilgili maddede bulunan hallerin mevcudiyeti halinde aydınlatma yükümlülüğünün yerine getirilmesi gerekli değildir.  Yine KVKK’nın 28/2.maddesindeki hallerin var olması durumunda da aydınlatma yükümlülüğünün yerine getirilmesine gerek bulunmamaktadır:

• Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
• İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
• Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
• Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

Yaptırımlar

Yukarıda detaylıca izah edildiği üzere, aydınlatma yükümlülüğü veri işleme faaliyetine başlamadan önce KVKK kapsamında yerine getirilmesi gereken en önemli yükümlülüklerdendir. Öyle ki, Kanun kapsamında bu yükümlülüğün yerine getirilmemesine yönelik olarak ayrıca bir idari para cezası yaptırımı öngörülmüştür. KVKK 18/1-a maddesine göre;

“10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar”

İdari para cezası yaptırımı uygulanacaktır. İlgili idari para cezasının, 2021 yılında yapılan yeniden değerleme oranına göre alt sınırı 9.834 TL ve üst sınırı ise 196.686 TL olarak belirlenmiştir.

27/01/2020 tarihinde veri sorumlusunun aydınlatma yükümlülüğüne aykırı davranması sebebiyle Kişisel Verilerin Korunması Kurumu’nun vermiş olduğu 2020/65 Numaralı karar aşağıdaki gibidir:

 “Söz konusu uygulamanın yüklenmesi akabinde üye olunması esnasında ilgili kişilere bir aydınlatma gerçekleştirilmediği ve ilgili kişinin yolculuklarının şoförler tarafından değerlendirilerek çıkarılacak bir puanlamaya dayalı veri işleme faaliyetine, internet sitesinde yer alan veri sorumlusunun aydınlatma metni yerine geçen “Kişisel Verilerin Korunması Hakkında Bilgilendirme” dokümanında ve Kullanım Koşulları başlıklı belgede yer verilmemesi sebebiyle, Kanunun 10 uncu maddesinde yer alan “Veri Sorumlusunun Aydınlatma Yükümlülüğünü yerine getirmemiş olduğu kanaatine varılmasından ötürü Kanunun 18 inci maddesinin (1) numaralı fıkrasının (a) bendi kapsamında veri sorumlusu hakkında 10.000 TL idari para cezası uygulanmasına’’[1]

[1] Kişisel Verilerin Korunması Kurumun Kararı. https://www.kvkk.gov.tr/Icerik/6717/2020-65 Erişim tarihi: 24.08.2021