Müşterisinden, çalışanından veya web sitesi ziyaretçisinden herhangi bir şekilde kişisel veri toplayan her işletme, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusu sıfatını taşır. Bu sıfatın ilk ve en temel yükümlülüğü aydınlatmadır.
Aydınlatma, çoğu işletmenin sandığının aksine tek seferlik bir belge işi değildir; verinin toplandığı her noktada yerine getirilmesi gereken bir yükümlülüktür.
Aydınlatma metninde bulunması gerekenler
KVKK’nın 10. maddesi uyarınca ilgili kişi şu konularda bilgilendirilmelidir:
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçla işleneceği
- İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği
- Veri toplamanın yöntemi ve hukuki sebebi
- İlgili kişinin 11. maddede sayılan hakları
Bu beş başlıktan biri eksikse metin yükümlülüğü karşılamaz. Uygulamada en sık atlanan kalem hukuki sebep olmaktadır: metinlerde amaç yazılır ama verinin hangi hukuki dayanakla işlendiği belirtilmez.
Aydınlatma ile açık rıza aynı şey değil
Bu ikisinin karıştırılması en yaygın hatadır ve ciddi sonuç doğurur.
Aydınlatma her veri işleme faaliyeti için zorunludur. Bir bilgilendirmedir; onay değildir, reddedilebilir bir şey değildir.
Açık rıza ise yalnızca kanunda sayılan diğer hukuki sebeplerden hiçbiri yoksa aranır. Belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır.
Pratik sonucu şudur: sözleşmenin kurulması için zorunlu olan bir veriyi işlerken açık rıza istemek yanlıştır. Rıza istendiğinde ilgili kişi onu geri çekebilir; oysa veri zaten sözleşme gereği işlenmektedir. Gereksiz yere rıza almak, işletmeyi kendi kurduğu bir çelişkinin içine sokar.
Bir başka sık hata, aydınlatma ve açık rızayı tek bir onay kutusunda birleştirmektir. İkisi farklı hukuki niteliktedir ve rıza gerekiyorsa ayrı ve özgürce verilebilir olmalıdır.
Metin nerede bulunmalı
- Web sitesindeki iletişim ve üyelik formlarında
- İşe alım süreçlerinde, özgeçmiş toplanan her kanalda
- Müşteri sözleşmelerinde ve hizmet formlarında
- Kamera kaydı yapılan alanlarda (ayrıca bildirim levhasıyla birlikte)
- Çağrı merkezi kayıtlarında, görüşme başında
Ölçüt basittir: veri nerede toplanıyorsa aydınlatma orada yapılır. Yalnızca web sitesinin altına bir metin koymak, işe alımda toplanan özgeçmişler bakımından yükümlülüğü karşılamaz.
Uyulmamasının sonuçları
Aydınlatma yükümlülüğünü yerine getirmeyen veri sorumluları hakkında Kişisel Verileri Koruma Kurulu tarafından idari para cezası uygulanabilir. Ayrıca ilgili kişiler Kurula şikâyette bulunabilir veya genel hükümlere göre tazminat talep edebilir.
Şikâyetlerin önemli bir bölümünün, veri ihlali gibi ağır olaylardan değil, basit bir metin eksikliğinden doğduğunu belirtmek gerekir. Bu, giderilmesi en kolay ve en ucuz uyumsuzluk türüdür.
Kontrol listesi
- Kişisel veri toplanan her nokta tek tek listelendi mi
- Her nokta için aydınlatma metni mevcut mu ve beş başlığın tamamını içeriyor mu
- Aydınlatma ile açık rıza ayrıştırıldı mı, ayrı kutularda mı alınıyor
- Saklama süreleri belirlendi mi, süresi dolan veri için imha yordamı var mı
- Yurt dışına aktarım varsa metinde açıkça belirtildi mi
- VERBİS kayıt yükümlülüğü varsa tamamlandı mı
Metinler bir kez yazılıp unutulmamalı; toplanan verinin kapsamı veya amacı değiştiğinde güncellenmelidir.
Veri sorumlusu yükümlülükleri, aydınlatma ve açık rıza süreçleri ile veri ihlali bildirimi hakkında ayrıntılı bilgi için KVKK çalışma alanımıza göz atabilir, uyum süreciniz için bizimle iletişime geçebilirsiniz.
Bu yazı genel bilgilendirme amaçlıdır; somut olayınıza ilişkin hukuki tavsiye niteliği taşımaz.
Dosyanızı görüşmek ister misiniz?
Buradaki bilgiler geneldir. Kendi dosyanız için bize ulaşabilirsiniz.