Aydınlatma Yükümlülüğünün Yerine Getirilmesi Hakkında

Veri sorumlularının, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında birtakım yükümlülükleri bulunmaktadır. Kanunun 10. maddesinde sayılan bu yükümlülüklerin başında aydınlatma yükümlülüğü gelmektedir.

Veri sorumlularının, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında birtakım yükümlülükleri bulunmaktadır. Kanunun 10. maddesinde sayılan bu yükümlülüklerin başında aydınlatma yükümlülüğü gelmektedir.

Belli usul ve esaslara tabi olarak yerine getirilmesi gereken aydınlatma yükümlülüğüne ilişkin ayrıca “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ” (“Tebliğ”) yayınlanmıştır. Ancak aydınlatma yükümlülüğünün uygulamada yerine getirilmesi konusunda gerek Kanunda gerekse Tebliğde belirtilen usul ve esaslarla ilgili olarak tereddütler bulunmaktadır. Veri sorumluları da bu gri alandan ötürü aydınlatma yükümlülüğünün yerine getirilmesi sırasında zaman zaman hatalı metinler ortaya koymakta, aydınlatmayı hiç veya gerektiği şekilde yerine getirememektedir. Kişisel Verileri Koruma Kurumu da (“Kurum”), bu durumu dikkate alarak hem Kararlarında hem de yayınladığı Rehber niteliğinde metinlerle konuya açıklık getirmeye çalışmaktadır. Bu kapsamda 26.06.2020 tarihinde yayınlanan duyuru ile aydınlatma yükümlülüğünün yerine getirilmesine ilişkin önemli noktaları tekrar belirtme gereği duymuştur.

Aydınlatma yükümlülüğünün yerine getirilmesinde dikkat edilmesi gereken önemli noktalar aşağıdaki gibidir:

• İlgili kişinin açık rızasının veya diğer kişisel veri işleme sebeplerinden birinin bulunması hallerinden her birinde aydınlatma yükümlülüğü yerine getirilmelidir.

• Aydınlatmanın, ilgili kişiden verilerin elde edilmesi öncesinde veya en geç verilerin elde edilmesi sırasında gerçekleştirilmesi gerekmektedir.

• Aydınlatma belirtilen kişisel veri işleme amaçları, işleme faaliyeti ile sınırlı olmalı, açık ve meşru olmalı, gelecekte gündeme gelmesi muhtemel başka amaçlar için veri işleneceğine yönelik kanaat uyandırmamalıdır.

• Aydınlatmada, hukuki sebep ile işleme amacı ayrı ayrı belirtilmelidir.

• Aydınlatma kullanılan metinler anlaşılır, açık ve sade dil kullanılarak hazırlanmalıdır. Genel nitelikte, farklı anlaşılmaya müsait, eksik ve ilgili kişileri yanıltıcı bilgilere yer verilmemelidir.

• Aydınlatma metinlerinde, kişisel verilerin aktarılmasına yönelik amaçlara ve verilerin aktarılacağı alıcı gruplarına açıkça yer verilmelidir.

• Aydınlatma metinleri işleme faaliyeti ile sınırlı olmalıdır. Bu sebeple “Gizlilik Politikaları” veya “Veri İşleme Politikaları” ile birlikte aydınlatma yükümlülüğü yerine getirilmiş sayılmaz. Nitekim 27.02.2020 tarihli Amazon Türkiye Kararında “Veri sorumlusunca web sitesinde yayınlanan Gizlilik Bildiriminin, birçok bilgi içermesi, veri işlemeye ilişkin genel bir bilgilendirme olması nedeniyle kişisel verilerin işlenmesine ilişkin ilgili kişilere aydınlatma yapıldığı anlamına gelmediği göz önünde bulundurulduğunda…” ifadesi yer almaktadır.

• Açık rıza alınmasına ve aydınlatmanın yerine getirilmesine yönelik yükümlülük aynı başlık altında yerine getirilmemelidir. Yine Amazon Türkiye kararında “…aydınlatmanın yapılması ile açık rızanın alınmasının birlikte yapılması yürürlükteki mevzuata uygun kabul edilmemektedir…” denilmiştir.

• Aydınlatma metinleri, ilgili kişilerin kolaylıkla erişebilecekleri platformlarda bulunmalıdır.

• Aydınlatma metinleri onaya sunulmamalıdır. Yalnızda, bu yükümlülüğün yerine getirildiğine ilişkin ispatın gerçekleştirilebilmesi açısından “aydınlatma metninin okunduğuna” ilişkin onay alınabilir.