Sosyal ve ticari hayatın gelişimi ve teknolojinin günlük yaşamın büyük bir bölümüne nüfuz etmesi ile birlikte kişilerin kimlik, iletişim, sağlık vb. bilgileri hayatın her alanında sıklıkla kullanılmaya başlamıştır. Neticede bu bilgilerin gizliliğinin korunması da büyük öneme sahip olmuştur. Bu kapsamda ülkemizde 7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK", "Kanun") ile kişisel verilerin korunması amaçlanmıştır. İşbu yazımızda Kanun'un 10. maddesi uyarınca, veri sorumlusunun "Aydınlatma Yükümlülüğü"ne ilişkin değerlendirmelerde bulunulacaktır.
With the development of social and commercial life and the widespread integration of technology into daily life, individuals' identity, communication, and health data have begun to be frequently utilized in all areas of life. As a result, the protection of the confidentiality of such data has gained great importance. In this context, the Law No. 6698 on the Protection of Personal Data ("PDPL" or "the Law"), which entered into force in our country on April 7, 2016, aims to ensure the protection of personal data. In this legal brief, pursuant to Article 10 of the Law, the "obligation to inform" of the data controller will be assessed.
Öncelikle belirtmek isteriz ki, kişisel veri; Kanun'un 3. maddesinde; "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi", veri sorumlusu ise aynı maddenin (ı) bendi uyarınca; "kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi" olarak tanımlanmıştır. Kanun kapsamında veri sorumlusunun kişisel verileri elde ederken ve işlerken uyması gereken belli başlı yükümlülükleri söz konusudur. Veri sorumlusu tarafından ilgili kişinin aydınlatılması bu yükümlülüklerin başında gelmektedir. Aydınlatma yükümlülüğünün yerine getirilmesi, verisi işlenecek kişinin talep veya isteğinden bağımsız bir durumu ifade eder.
Kanun'un 10. maddesinde düzenleme alanı bulan aydınlatma yükümlüğü kapsamında kişisel verileri işlenen ilgili kişilere bilgi edinme hakkı tanınmıştır. Bu düzenlemeye göre veri sorumlusu, bizzat veya yetkilendirdiği kişi aracılığıyla ilgili kişiye aşağıdaki bilgileri sağlamakla yükümlüdür:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- Kişisel verilerin kimlere hangi amaçla aktarılabileceği,
- Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- 11. maddede sayılan diğer hakları.
İfade etmemiz gerekir ki, aydınlatma yükümlüğü yazılı olarak yapılabileceği gibi sözlü olarak da yapılabilmektedir. Nitekim Aydınlatma Yükümlüğünün Yerine Getirilmesine Uyulacak Usul ve Esaslar Hakkında Tebliğ ("Tebliğ")'in 5. maddesinin 1. fıkrası uyarınca veri sorumluları ya da yetkilendirdiği kişiler aydınlatma yükümlülüğünü; sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanmak suretiyle yerine getirebilmektedir. Ancak bu noktada önemle belirtmek gerekir ki aydınlatma yükümlülüğünün yerine getirildiğinin ispatı ise veri sorumlusuna aittir.
Tebliğ'in 5. maddesi uyarınca ilgili kişinin açık rızasına veya Kanundaki diğer işleme şartlarına bağlı olarak kişisel veri işlendiği durumlarda aydınlatma yükümlülüğü veri sorumlusu tarafından yerine getirilmelidir. Açık rıza hukuka uygunluk sebebine dayanılarak aydınlatma yükümlülüğünün yerine getirildiği hallerde bu işlemler ayrı ayrı yapılmalıdır.
Aydınlatma yükümlülüğü yerine getirilirken; Kanun'un 5. ve 6. maddesinde sayılan işleme şartlarından hangisine dayanılarak işleme yapıldığının yani hukuki sebebin belirtilmesi, verilerin toplama yöntemi, verilerin aktarılma amacı ve aktarılacak alıcı gruplarının belirtilmesi gereklidir. Ayrıca kişisel veri işleme amaçlarının veya hukuka uygunluk sebeplerinin değişmesi vb. durumlarda da veri sorumlusu, aydınlatma yükümlülüğünü yerine getirdiği vasıtaları güncellemeli ve revize etmelidir.
Ek olarak veri sorumlusunun kişiye ait kişisel verileri farklı amaçlarla işleyebilmesi de mümkündür. Örnek vermek gerekirse veri sorumlusu kişinin kimlik bilgilerini iş faaliyetlerinin yürütülmesi ve denetlenmesi amacıyla veya finans ve muhasebe işlerinin yürütülmesi amacıyla işleyebilmesi muhtemeldir. Bu durumda veri sorumlusu Tebliğ'in 5. maddesi uyarınca her bir işleme amacını ayrı ayrı belirtmekle yükümlü kılınmıştır.
Aydınlatma yükümlülüğü kapsamında açıklanacak kişisel veri işleme amaçları belirli, açık ve meşru olmalıdır. Dolaysıyla söz konusu yükümlülük yerine getirilirken genel nitelikte ve belirsiz ve muğlak ifadelere yer verilmemeli, sade ve açık bir dil kullanılması gerekmektedir. Veri sorumlusu, aydınlatma yükümlülüğünü yerine getirirken eksik, yanıltıcı ve yanlış bilgilere de yer vermemelidir. Aydınlatma yükümlülüğünün Kanun'un aradığı şartlara uygun olarak yerine getirilmemesi, veri işleme işlemini hukuka aykırı hale getireceğinden Kanun'da sayılan her hususa aydınlatma metinlerinde değinilmesi gereklidir.
Aydınlatma yükümlülüğünün istisnaları ise Kanun'un 28. maddesinde sayılmıştır. Kanun'un 28. maddesinin birinci fıkrasında düzenlenen hallerin mevcudiyeti halinde KVKK hükümlerinin uygulanmayacağı düzenlenmiştir. Dolayısıyla ilgili maddede bulunan hallerin varlığı halinde aydınlatma yükümlülüğünün yerine getirilmesi de gerekli değildir. Fakat Kanunda belirtilen bu hallerin sınırlı sayıda olduğu unutulmamalıdır.
Son olarak Kanun'un 18. maddesinde aydınlatma yükümlülüğünü yerine getirmeyen gerçek veya özel hukuk tüzel kişisi niteliğindeki veri sorumluları hakkında Kişisel Verileri Koruma Kurumu tarafından her yıl belirlenecek oranda idari para cezaları verilmesi öngörülmüştür.
SONUÇ
- Kanun'un 10. maddesi çerçevesinde veri sorumlusu, kişisel verilerin elde edilmesi sırasında bizzat veya yetkilendirdiği kişi aracılığıyla ilgili kişiyi Kanun'da sayılan şartlara uygun olarak aydınlatmakla yükümlü kılınmıştır.
- Aydınlatma yükümlülüğü yazılı veya sözlü olarak yapılabilmektedir. Ancak aydınlatma yükümlülüğünün yerine getirilmesi noktasında ispat yükü veri sorumlusunda bulunduğundan yazılı veya sözlü olarak yapılması ispat hukuku açısından önem arz etmektedir.
- Veri sorumlusu aydınlatma yükümlülüğünü yerine getirirken söz konusu yükümlülüğü her bir amaç için ayrı ayrı yerine getirmekle yükümlüdür. Kişisel verilerin veri sorumlusunun farklı birimlerinde işlenmesi halinde de her bir birim için aydınlatma yükümlüğü ayrıca yerine getirilmelidir.
- Aydınlatma yükümlülüğünde yer alan veri işleme amaçları, belirli, açık ve meşru olmalı, muğlak ifadelere yer verilmemeli, sade ve açık bir dil kullanılması gerekmektedir. Veri sorumlusu, aydınlatma yükümlülüğünü yerine getirirken eksik, yanıltıcı ve yanlış bilgilere de yer vermemelidir. Aksi durumda aydınlatma yükümlülüğünün yerine getirildiği söylenemeyeceğinden veri işleme hukuka aykırı hale gelecektir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
