KVKK Veri Yönetimi Dairesi Başkanlığı

Nisan 2019, ANKARA

T.C. Kişisel Verileri Koruma Kurumu
Adres: Nasuh Akar Mahallesi 1407 Sokak No: 4 Çankaya / ANKARA
Telefon: 0.312.216 50 00
www.kvkk.gov.tr

Bu rehberde yer alan yazı ve sair içeriklerin, bireysel kullanım dışında izin alınmadan kısmen ya da tamamen kopyalanması, çoğaltılması, kullanılması, yayımlanması ve dağıtılması yasaktır. Bu yasağa uymayanlar hakkında 5846 sayılı Kanun uyarınca yasal işlem yapılacaktır. Ürünün tüm hakları saklıdır.

Özet

6698 sayılı Kişisel Verilerin Korunması Kanununun 10. maddesi ile, veri sorumluları için kişisel verisini işlediği ilgili kişileri aydınlatma yükümlülüğü getirilmiştir. Aydınlatma yükümlülüğü, veri sorumluları için bir yükümlülük olmakla birlikte kişisel verisi işlenen gerçek kişiler için de bir hak olarak karşımıza çıkmaktadır. İşlenen kişisel verilerle ilgili bilgilendirmeyi ifade etmekte olan aydınlatma yükümlülüğü, kişisel veri işlemenin hukuka uygun şekilde yerine getirilmesi için olmazsa olmaz bir şarttır. Aydınlatma yükümlülüğünün yerine getirilebilmesi için, kişisel verileri işlenen kişiler asgari olarak Kanunun 10. maddesinde sayılan şartlar hakkında bilgilendirilmelidir. Söz konusu aydınlatma yükümlülüğü yerine getirilirken Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğe uyulmalıdır. Bununla birlikte, aydınlatma yükümlülüğü yerine getirilirken bu rehberde yer alan öneri, açıklama ve örneklerin de dikkate alınmasında fayda görülmektedir.

Abstract

In accordance with the Article 10 of the Law on the Protection of Personal Data (Law No. 6698), the data controllers are obliged to inform the data subjects whose personal data are processed. The obligation to inform which is a liability for the data controllers, is also a right for natural persons whose personal data are processed. The informing obligation, which means giving information about the processed personal data, is an essential requirement for the lawful execution of personal data processing. In order to fulfill the obligation of informing, the persons whose personal data are processed must be informed at least as to the conditions listed in Article 10 of the Law. While fulfilling the informing obligation in question, “Communique on the Procedures and Principles to be Followed for the Fulfillment of the Obligation of Informing” must be complied with. However, it is useful to take into consideration the suggestions, explanations and examples in this guideline when exercising the informing obligation.

Anahtar Kelimeler

  • Kişisel Veriler
  • Aydınlatma Yükümlülüğü
  • Veri Sorumlusu
  • İlgili Kişi
  • Açık Rıza
  • Veri Kayıt Sistemi
  • Katmanlı Aydınlatma
  • Kişisel Veri İşleme Envanteri

Keywords

  • Personal Data
  • Information Obligation
  • Data Controller
  • Data Subject
  • Open Consent
  • Data Recording System
  • Layered Notice
  • Personal Data Processing Inventory

İçindekiler

  1. Giriş
    1. Amaç ve Dayanak
    2. İçerik
    3. Tanımlar
  2. Aydınlatma Yükümlülüğünün Kapsamı
  3. Uyulması Gereken Usul ve Esaslar
    1. Kişisel Verilerin İlgili Kişilerden Elde Edilmesi Halinde Aydınlatma
      1. Veri sorumlusunun ve varsa temsilcisinin kimliği
      2. Kişisel verilerin hangi amaçla işleneceği
      3. Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
      4. Kişisel veri toplamanın yöntemi ve hukuki sebebi
      5. İlgili kişinin, Kanunun 11. maddesinde sayılan diğer hakları
    2. Kişisel Verilerin İlgili Kişiden Elde Edilmemesi Halinde Aydınlatma
    3. Aydınlatma Yükümlülüğünün Yerine Getirilmediği Haller
  4. Açık Rıza ve Aydınlatma Yükümlülüğü İlişkisi
  5. Aydınlatma Yükümlülüğünün Yerine Getirilmesi
    1. Aydınlatma Yükümlülüğünün Hangi Yöntemle Yerine Getirileceğinin Tespiti
    2. Aydınlatma Yükümlülüğü Sürecini Yürütecek Kişi / Kişilerin Görevlendirilmesi
    3. Kişisel Veri İşleme Envanteri Hazırlanması
    4. Aydınlatma Metni Hazırlanması Aşamaları
  6. Aydınlatma Metni Örnekleri
    1. Aydınlatma Yükümlülüğüne Uygun Örnekler
    2. Aydınlatma Yükümlülüğüne Uygun Olmayan Örnekler

1. Giriş

Günümüzde birçok şirket, kamu kurum ve kuruluşu, yabancı kuruluş veya gerçek kişi kendi faaliyetleri kapsamında çok sayıda kişisel veri elde etmekte, kullanmakta ve daha iyi hizmet sunmak veya ticaret hacmini artırmak üzere daha fazla kişisel veriye ulaşmayı ve üçüncü kişilerle paylaşmayı hedeflemektedir. Daha fazla kişisel veri işlemeye yönelmek; işlenen kişisel verilerin sağladığı kolaylık ve avantajlar nedeniyle ekonomik katkı sağlamakla birlikte veri güvenliğine dair çeşitli risk ve ihlal ihtimallerini de gündeme getirmektedir.

Bu riskler ve ihlal ihtimalleri nedeniyle kişisel verilerin korunmasına yönelik hukuki bir altyapının oluşturulmasına ihtiyaç duyulmuş ve öncelikle Türkiye Cumhuriyeti Anayasasında 2010 yılında yapılan değişiklikle, kişisel verilerin korunması hakkı Anayasal güvenceye kavuşturulmuştur. Anayasada yapılan değişiklikle, kişisel verilerin korunmasının usul ve esaslarının Kanunla düzenlenmesi gerektiği hükme bağlanmıştır. Bu hükme istinaden TBMM tarafından 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kabul edilmiş ve 07.04.2016 tarihli Resmi Gazete’de yayımlanarak yürürlüğe girmiştir.

Kanun, temel hak ve hürriyetlerin korunması ve kişisel veri işlenmesi konusunda gerçek ve tüzel kişilerin uyacakları usul ve esasları belirlemiştir. Ancak genel olarak değerlendirildiğinde Kanun, kişisel verilerin işlenmesini sınırlamamakta, kişisel veri işlenmesini belli kurallara bağlayarak disiplin altına almaktadır. Kanunun veri sorumlularına ilişkin getirdiği en önemli yükümlülüklerden biri de aydınlatma yükümlülüğüdür. Bu yükümlülük, ilgili kişilerin kişisel verileri üzerinde kontrol ve denetim yetkisinin sahip olduğunun en önemli göstergesidir. Kişisel veriler üzerinde denetim yetkisine sahip olan ilgili kişiler, kişisel verilerinin geleceğini de belirleyebileceklerdir.

Kanunun 10. maddesi ile getirilen aydınlatma yükümlülüğü, veri sorumluları için bir yükümlülük olmakla birlikte aynı zamanda kişisel verisi işlenen gerçek kişiler için de bir haktır. Söz konusu yükümlülük esasen, işlenen kişisel verilerle ilgili bilgilendirmeyi ifade etmekte olup, kişisel veri işlemenin hukuka uygun şekilde yerine getirilmesi için olmazsa olmaz bir şarttır. Aydınlatma yükümlülüğü, ilgili kişinin talebine bağlı bir yükümlülük değildir. İlgili kişinin açık rızasının ya da diğer kişisel veri işleme şartlarının bulunması durumunda veri sorumlusu, aydınlatma yükümlülüğünü yerine getirmelidir. Çünkü aydınlatma yükümlülüğü gerek açık rıza gerekse de Kanundaki diğer kişisel veri işleme şartlarından bağımsız olarak yerine getirilmesi gereken bir yükümlülüktür.

Kanun Madde 10

Madde 10- (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;

  • Veri sorumlusunun ve varsa temsilcisinin kimliği,
  • Kişisel verilerin hangi amaçla işleneceği,
  • İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
  • Kişisel veri toplamanın yöntemi ve hukuki sebebi,
  • 11 inci maddede sayılan diğer hakları,

konusunda bilgi vermekle yükümlüdür.

Aydınlatma yükümlülüğünün yerine getirilmemesi durumlarında Kanunun 18. maddesinde düzenlenen yaptırım uygulanır. Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir. Hukuka uygun şekilde aydınlatma yükümlülüğünün yerine getirilmesi; veri sorumluları ile ilgili kişiler arasındaki güven ilişkisinin tesisi, şeffaflık ve hesap verebilirlik ilkeleri açısından önem arz etmektedir.

1.1 Amaç ve Dayanak

Kanunun 10. maddesine göre kişisel verilerin elde edildiği sırada, veri sorumlusu ya da yetkilendirdiği kişilerce, ilgili kişilere aydınlatma yapılması gerekmektedir. Bu hüküm ve Kanunun 22. maddesinin birinci fıkrasının (e) bendi uyarınca Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (“Tebliğ”) hazırlanmış olup anılan tebliğ 10 Mart 2018 tarihli ve 30356 sayılı Resmi Gazete’de yayımlanmıştır. Bu Tebliğe dayanarak söz konusu yükümlülüğün nasıl yapılacağı hakkında uygulamada açıklık sağlanması ve iyi uygulama örnekleri oluşturması bakımından Kurul tarafından “Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi” (“Rehber”) hazırlanmış ve kamuoyunun bilgi ve istifadesine sunulmuştur.

1.2 İçerik

Rehberin;

  • Birinci bölümü giriş bölümü olup bu bölümde rehber hazırlanmasının amacına, dayanağına, içeriğine ve tanımlara yer verilmiştir.
  • İkinci bölümünde veri sorumlusu ya da yetkilendirdiği kişilerce ilgili kişilere yapılacak aydınlatmanın kapsamına yer verilmiştir.
  • Üçüncü bölümde, aydınlatma yükümlülüğü yerine getirilirken uyulması gereken usul ve esaslar belirtilmiştir.
  • Dördüncü bölümde, açık rıza ve aydınlatma ilişkisine değinilmiştir.
  • Beşinci bölümde, aydınlatma yükümlülüğünün yerine getirilmesi ile ilgili aşamalardan bahsedilmiştir.
  • Altıncı bölümde aydınlatma yükümlülüğü kapsamında, uygun olan ve olmayan uygulama örnekleri paylaşılmıştır.

1.3 Tanımlar

  • Alıcı grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisini,
  • İlgili kişi: Kişisel verisi işlenen gerçek kişiyi,
  • Kanun: 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanununu,
  • Katmanlı aydınlatma: Kişisel verilerin elde edilmesi sırasında ilgili kişiye, kişisel verilerinin elde edildiği konusunda ön bilgilendirme yapılarak, ilgili kişinin Kanunun 10. maddesine uygun aydınlatmaya yönlendirilmesini,
  • Kurul: Kişisel Verileri Koruma Kurulunu,
  • Kurum: Kişisel Verileri Koruma Kurumunu,
  • Sicil: Başkanlık tarafından tutulan Veri Sorumluları Sicilini,
  • Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,
  • Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,
  • Veri sorumlusu temsilcisi: Türkiye’de yerleşik olmayan veri sorumlularını 30/12/2017 tarihli ve 30286 sayılı Resmî Gazete’de yayımlanan Veri Sorumluları Sicili Hakkında Yönetmeliğin 11. maddesinin üçüncü fıkrasında belirtilen konularda asgari temsile yetkili Türkiye’de yerleşik tüzel kişi ya da Türkiye Cumhuriyeti vatandaşı gerçek kişiyi, ifade eder.

Bu Rehberde yer almayan tanımlar için Kanun ve Tebliğdeki tanımlar geçerli olacaktır.

2. Aydınlatma Yükümlülüğünün Kapsamı

Aydınlatma yükümlülüğü, faaliyetleri kapsamında kişisel veri işlemekte olan gerçek ve tüzel kişi veri sorumluları için getirilmiş bir yükümlülüktür. Bu nedenle aydınlatma yükümlülüğü, veri sorumlularını kapsamaktadır.

Aydınlatma yükümlülüğü, ilgili kişinin talebine bağlı bir yükümlülük değildir. İlgili kişinin açık rızasının ya da diğer kişisel veri işleme şartlarının bulunması durumunda veri sorumlusu, aydınlatma yükümlülüğünü yerine getirmelidir. Çünkü aydınlatma yükümlülüğü gerek açık rıza gerekse de Kanundaki diğer kişisel veri işleme şartlarından bağımsız olarak yerine getirilmesi gereken bir yükümlülüktür. Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı da veri sorumlusuna aittir. Aydınlatma yükümlülüğü yerine getirilirken Kanunun 4. maddesindeki genel ilkeler göz önünde bulundurulmalıdır.

3. Uyulması Gereken Usul ve Esaslar

3.1. Kişisel Verilerin İlgili Kişilerden Elde Edilmesi Halinde Aydınlatma

Kanuna göre kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişilerce, ilgili kişilerin bilgilendirilmesi gerekmektedir. Aydınlatma yükümlülüğüne ilişkin hükümlerin yer aldığı Kanunun 10. maddesine göre ilgili kişilere aydınlatma yükümlülüğü yerine getirilirken veri sorumlusu veya yetkilendirdiği kişilerce yapılacak bilgilendirmenin asgari olarak aşağıdaki şartları içermesi gerekmektedir:

3.1.1. Veri sorumlusunun ve varsa temsilcisinin kimliği

Veri sorumlusu ve varsa temsilcisi, aydınlatma sırasında kimliğini ortaya koyan bilgileri ve kendisiyle farklı yöntemlerle kolaylıkla iletişime geçilebilecek iletişim bilgilerini açıklamalıdır. Örneğin; veri sorumlusu tüzel kişi ise tüzel kişinin unvanı, gerçek kişi ise gerçek kişinin adı soyadı, yurtdışında yerleşik veri sorumlusu ise, atadığı veri sorumlusu temsilcisinin adı / unvanı gibi kimlik bilgileri ile telefon numarası, e-posta adresi, internet adresi veya posta adresi gibi iletişim bilgileri belirtilmelidir.

3.1.2 Kişisel verilerin hangi amaçla işleneceği

Tebliğin 5. maddesi birinci fıkrasına göre; aydınlatma yükümlülüğü yerine getirilirken işleme amacının belirli, açık ve meşru olması gerekir. Ayrıca bilgilendirmede; genel nitelikte, muğlak ve gündeme gelmesi muhtemel başka amaçlar için işlenebileceği kanaatini uyandıran ifadelerden kaçınılmalıdır.