Veri sorumlusunun aydınlatma yükümlülüğü, veri sorumluları için bir yükümlülük olmakla birlikte kişisel verisi işlenen gerçek kişiler için bir haktır. Aydınlatma yükümlülüğü, Kişisel Verilerin Korunması Kanunu‘nun 10’uncu maddesinde düzenlenmiştir. Buna göre, veri sorumlusu veya yetkilendirdiği kişi, kişisel verilerin elde edilmesi esnasında ilgili kişilere aşağıda belirtilen konularda bilgi vermekle yükümlüdür:
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçla işleneceği
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
- Kişisel veri toplamanın yöntemi ve hukuki sebebi
- İlgili kişinin Kişisel Verilerin Korunması Kanunu’nun 11’inci maddesinde sayılan diğer hakları
Kişisel Verileri Koruma Kurumu tarafından, aydınlatma yükümlülüğünün usul ve esaslarının belirlenmesi amacıyla “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ” hazırlanmış ve 10 Mart 2018 tarihinde Resmî Gazetede yayımlanarak yürürlüğe girmiştir. Tebliğe göre, veri sorumlusu ya da yetkilendirdiği kişi tarafından; sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle, aydınlatma yükümlülüğünün yerine getirilmesi esnasında bazı usul ve esaslara riayet edilmesi gerekmektedir:
- Aydınlatma yükümlülüğünün yerine getirilmesi, ilgili kişinin talebine bağlı değildir. Kişisel verilerin ilgili kişinin açık rızasına veya Kişisel Verilerin Korunması Kanunu kapsamındaki diğer işleme şartlarına bağlı olarak işlendiği her durumda ilgili kişilere bilgi verilmeli ve aydınlatma yükümlülüğü yerine getirilmelidir.
- Aydınlatma yükümlülüğü kapsamında kişisel verilerin, tamamen veya kısmen otomatik yollarla ya da veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerden hangisiyle elde edildiği açık bir şekilde belirtilmelidir.
- Kişisel veriler, veri sorumlusunun farklı birimleri tarafından farklı amaçlarla işleniyorsa, aydınlatma yükümlülüğü her bir birim için ayrı ayrı yerine getirilmelidir. Ayrıca, kişisel veri işleme amacı değiştiğinde, veri işleme faaliyetinden önce bu değişiklikle ilgili aydınlatma yükümlülüğü yerine getirilmelidir.
- Veri sorumlusunun VERBİS’e kayıt yükümlülüğünün bulunması durumunda, aydınlatma yükümlülüğü çerçevesinde ilgili kişiye verilecek bilgiler, VERBİS’e kaydedilen bilgilerle uyumlu olmalıdır.
- Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.
- Gizlilik politikaları veya veri işleme politikaları gibi genel nitelikli belgeler aydınlatma metinleri olarak kullanılmamalı ve işleme faaliyeti ile sınırlı olacak şekilde aydınlatma metinleri hazırlanmalıdır. Ayrıca, aydınlatma metinlerinin kolayca erişilebilir ve fark edilebilir olmasına dikkat edilmeli, ilgili kişilerin aydınlatma metnine erişimini zorlaştıracak yöntemler kullanılmamalıdır.
- Aydınlatma katmanlı olarak gerçekleştirilecekse, ilgili kişileri ayrıntılı bilgi için başka bir mecraya yönlendirmeden önce, en başta veri sorumlusunun kimliği ve veri işlemenin amacı gibi temel bilgilerin ilgili kişiye sağlandığından emin olunmalı, yönlendirilen metinlerin işleme faaliyeti ile sınırlı içeriğe sahip olduğuna dikkat edilmelidir.
- Açık rıza alınarak kişisel veri işleme faaliyetinin gerçekleştirilmesi durumunda, aydınlatma yükümlülüğü ve açık rızanın alınması işlemleri ayrı ayrı gerçekleştirilmelidir.
- Kişisel veri işleme amacının belirli, açık ve meşru olması ve bu amacın aydınlatma yükümlülüğü kapsamında ilgili kişiye açıklanması gerekmektedir. Aydınlatma yükümlülüğü yerine getirilirken, genel nitelikte ve muğlak ifadelere yer verilmemeli veya başka amaçlar için kişisel verilerin işlenebileceği kanaatini uyandıran ifadeler kullanılmamalıdır.
- Aydınlatma yükümlülüğü kapsamında ilgili kişiye yapılacak bildirimin anlaşılır, açık ve sade bir dil kullanılarak gerçekleştirilmesi gerekmektedir. Aydınlatma yükümlülüğü yerine getirilirken, örneğin ilgili kişinin bir çocuk ya da engelli olması durumunda, ilgili kişinin durumu gözetilerek aydınlatma yükümlülüğü yerine getirilmelidir. Ayrıca, veri sorumluları tarafından aydınlatma yükümlülüğü yerine getirilirken eksik, muğlak, genel, yanıltıcı ve yanlış bilgilere yer verilmemelidir.
- Aydınlatma yükümlülüğünün yerine getirilmesi esnasında veri sorumlusu tarafından kişisel verilerin işlenmesindeki hukuki sebebin açıkça belirtilmesi gerekmektedir. Kişisel Verilerin Korunması Kanunu’nun 5’inci maddesinde belirtilen kişisel verilerin işlenme şartları ile 6’ıncı maddesinde belirtilen özel nitelikli kişisel verilerin işlenme şartları, kişisel verilerin veri sorumlusu tarafından işlenmesi için gereken hukuki sebepleri teşkil etmektedir.
- Kişisel verilerin üçüncü kişilere aktarılma amacı ve aktarılacak alıcı grupları aydınlatma yükümlülüğü kapsamında belirtilmelidir.
- Kişisel verilerin ilgili kişiden elde edilmemesi durumunda, kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde, kişisel verilerin ilgili kişi ile iletişim amacıyla kullanılacak olması durumunda, ilk iletişim kurulması esnasında veya kişisel verilerin aktarılacak olması hâlinde, en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada veri sorumlusu tarafından ilgili kişiyi aydınlatma yükümlülüğü yerine getirilmelidir.
- Aydınlatma metninde, ilgili kişilerin Kanun’un 11’inci maddesinde sayılan haklarının yer alması ve bu hakları kullanabilmeleri için bir iletişim kanalının belirtilmesi gerekmektedir.
Kişisel Verilerin Korunması Kanunu’nun 28’inci maddesi kapsamında istisnalar düzenlenmiştir. Buna göre hem birinci fıkrada hem de ikinci fıkrada sayılan durumlarda veri sorumlusunun aydınlatma yükümlülüğü bulunmamaktadır. Buna göre, örneğin kişisel verilerin resmî istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi, suç işlenmesinin önlenmesi veya suç soruşturması için kişisel verilerin işlenmesinin gerekli olması ya da ilgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi durumunda veri sorumlusunun aydınlatma yükümlülüğü bulunmayacaktır.
