Aydınlatma yükümlülüğü nedir?
6698 sayılı KVKK, veri sorumlusunun kişisel verileri elde ederken ilgili kişiyi bilgilendirmesini zorunlu tutar. Buna aydınlatma yükümlülüğü denir ve verinin hangi hukuki sebebe dayanılarak işlendiğinden bağımsız olarak yerine getirilmelidir. Yani bir işçinin bordrosunun hazırlanması gibi açık rızaya gerek olmayan bir faaliyette de çalışan aydınlatılmalıdır.
Aydınlatma, ilgili kişinin verilerinin nasıl kullanıldığını bilmesini sağlar; kişiden bir onay almaz. Aydınlatma metninin “okudum, onaylıyorum” şeklinde imzalatılması zorunlu değildir; ancak aydınlatmanın yapıldığının veri sorumlusu tarafından ispat edilebilmesi önemlidir. Bu ispat; imzalı bir okundu kaydı, sistem kaydı veya metnin erişilebilir bir yerde sunulduğunu gösteren başka yöntemlerle sağlanabilir.
Aydınlatma metninde neler bulunmalı?
Kanun ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca aydınlatmada en az şu bilgiler yer almalıdır:
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçla işleneceği
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
- Kişisel veri toplamanın yöntemi ve hukuki sebebi
- İlgili kişinin KVKK kapsamındaki hakları ve bu hakları nasıl kullanabileceği
Açık rıza nedir?
Açık rıza, KVKK’da “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanır. Bu tanımdan üç unsur çıkar: rıza belirli bir konuya ilişkin olmalı, kişi neye rıza verdiğini bilerek karar vermeli ve rıza herhangi bir baskı veya zorunluluk olmadan verilmelidir.
Açık rıza, Kanun’da sayılan kişisel veri işleme şartlarından yalnızca biridir. Kanun; kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası için gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, bir hakkın tesisi, kullanılması veya korunması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati gibi başka işleme şartları da sayar. Bu şartlardan biri mevcutsa açık rıza alınmasına gerek yoktur.
Açık rıza her zaman geri alınabilir. Bu nedenle başka bir işleme şartına dayanan faaliyetler için açık rıza istemek yalnızca gereksiz değil, aynı zamanda yanıltıcıdır: kişi rızasını geri aldığında veri işlemeye devam edilecekse, aslında rızaya hiç dayanılmıyor demektir.
Temel farklar
- Niteliği: aydınlatma bir bilgilendirme yükümlülüğüdür; açık rıza bir işleme şartıdır.
- Kapsamı: aydınlatma her veri işleme faaliyeti için yapılır; açık rıza yalnızca başka bir işleme şartının bulunmadığı durumlarda gerekir.
- Kişinin iradesi: aydınlatmada kişiden onay beklenmez; açık rızada kişinin özgür iradesiyle bir beyanda bulunması gerekir.
- Geri alınabilirlik: aydınlatmanın geri alınması diye bir kavram yoktur; açık rıza her zaman geri alınabilir.
- Sıralama: açık rıza, aydınlatmanın yapılmış olmasını gerektirir; bilgilendirilmeden verilen rıza geçerli bir açık rıza sayılmaz. Ancak ikisi aynı belgede birleştirilmemelidir.
Açık rıza ne zaman gerekebilir? Örnekler
Hangi işleme şartının uygulanacağı her somut faaliyet için ayrı ayrı değerlendirilmelidir. Aşağıdaki örnekler yalnızca genel bir fikir vermek içindir:
- Genellikle açık rıza gerekmeyen durumlar: çalışanın bordrosunun hazırlanması ve SGK bildirimleri (hukuki yükümlülük), müşteri siparişinin teslim edilmesi için adres bilgisinin kullanılması (sözleşmenin ifası), muhasebe kayıtlarının saklanması (kanunlarda öngörülme).
- Açık rızanın gündeme gelebileceği durumlar: ticari elektronik ileti gönderimi ve pazarlama amaçlı profilleme, çalışan fotoğraflarının tanıtım materyallerinde kullanılması, bazı yurt dışı aktarım senaryoları, kanunda öngörülen diğer şartların bulunmadığı özel nitelikli veri işleme faaliyetleri.
En sık yapılan hatalar
- Aydınlatma ile açık rızayı tek metinde birleştirmek: metnin sonuna “okudum, anladım, verilerimin işlenmesine açık rıza veriyorum” ifadesi eklemek, aydınlatma ile rızayı birbirine karıştırır ve rızanın özgür iradeye dayandığı konusunda soru işareti yaratır.
- Her işleme için açık rıza istemek: bordro veya sözleşme ifası gibi başka şartlara dayanan faaliyetlerde rıza istemek, rıza geri alındığında çözümsüz bir durum yaratır.
- Rızayı hizmet şartına bağlamak: hizmetin verilmesi için gerekli olmayan bir veri işlemeye rıza vermeyen kişiye hizmetin reddedilmesi, rızanın özgür iradeyle verildiği değerlendirmesini zayıflatır.
- Genel ve belirsiz ifadeler: “tüm verileriniz şirketimizin faaliyetleri kapsamında işlenebilir” gibi ifadeler ne aydınlatma ne de açık rıza açısından yeterlidir.
- Önceden işaretlenmiş onay kutuları: kişinin aktif bir eylemi olmadan verilmiş sayılan rıza, açık rıza niteliği taşımaz.
- Hazır metinleri kopyalamak: başka bir kuruluşun metni, sizin işleme amaçlarınızı, alıcı gruplarınızı ve hukuki sebeplerinizi doğru yansıtmaz.
- Kanalları unutmak: web sitesi formları, çağrı merkezi, kamera kayıtları, iş başvuruları ve ziyaretçi girişleri için ayrı ve uygun yöntemlerle aydınlatma yapılmaması.
- Rıza kayıtlarını tutmamak: kimin, ne zaman, hangi metne rıza verdiğinin ve rızasını geri alıp almadığının ispat edilememesi.
Doğru metinleri hazırlamak için izlenecek sıra
Envanterden başlayın
Hangi ilgili kişi grubundan hangi verilerin, hangi amaçla ve hangi hukuki sebeple işlendiğini kişisel veri envanteri üzerinden belirleyin.
Metinleri ilgili kişi gruplarına göre ayırın
Çalışan, aday, müşteri, ziyaretçi ve tedarikçi için ayrı aydınlatma metinleri hazırlayın; her biri yalnızca o gruba ilişkin işlemeleri anlatsın.
Açık rıza gereken faaliyetleri ayıklayın
Yalnızca başka işleme şartı bulunmayan faaliyetler için, her biri ayrı bir onay seçeneği olacak şekilde açık rıza metni hazırlayın.
Kanala uygun sunum yöntemi seçin
Web formlarında bağlantı ve onay kutusu, kamera alanlarında görünür bilgilendirme levhası ve ayrıntılı metne erişim, telefonla toplanan verilerde sesli bilgilendirme gibi yöntemler belirleyin.
İspat ve kayıt yöntemini kurun
Aydınlatmanın yapıldığını ve rızaların verildiğini veya geri alındığını gösteren kayıtları düzenli biçimde saklayın.
Metinlerinizi birlikte gözden geçirelim
Aydınlatma metinleri ve açık rıza beyanları, kuruluşun veri işleme pratiğinin dışa dönük yüzüdür; envanterle tutarlı olmadıklarında hem ilgili kişiler hem de olası bir inceleme açısından sorun yaratırlar. Kişisel Verileri Koruma Kurulu’nun bu konudaki rehberleri ve kararları zaman içinde güncellenebileceği için metinlerinizi düzenli aralıklarla güncel düzenlemelere göre gözden geçirmeniz önerilir.
HENA olarak mevcut metinlerinizi inceliyor, ilgili kişi gruplarına ve kanallara göre aydınlatma metinlerinizi ve gerektiğinde açık rıza beyanlarınızı hazırlıyoruz. Ayrıntılar için KVKK uyum danışmanlığı sayfamızı inceleyebilir, teklif talebinizi iletebilirsiniz.
Sıkça sorulan sorular
Aydınlatma metnini çalışanlara imzalatmak zorunlu mu?
Kanun imza şartı aramaz. Ancak aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır; bu nedenle imzalı okundu kaydı, elektronik onay kaydı veya benzeri bir ispat yöntemi kullanılması önerilir.
Açık rıza geri alınırsa ne olur?
Rızanın geri alınmasından sonra, yalnızca açık rızaya dayanan veri işleme faaliyeti durdurulmalıdır. Geri alma, daha önce rızaya dayanılarak yapılan işlemlerin hukuka uygunluğunu geriye dönük olarak etkilemez.
Tek bir metinle hem aydınlatma hem açık rıza yapılabilir mi?
Önerilmez. Aydınlatma ile açık rıza ayrı belgelerde veya en azından açıkça ayrılmış bölümlerde yer almalı; açık rıza her faaliyet için ayrı bir onay olarak alınmalıdır.