6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlusuna, kişisel veriyi elde ettiği sırada ilgili kişiyi bilgilendirme yükümlülüğü yükler. Aydınlatma yükümlülüğünün yerine getirilmesinde uyulacak usul ve esaslar hakkındaki Tebliğ ise bu bilgilendirmenin nasıl yapılacağını somutlaştırır. Uygulamada denetimlerde en sık rastlanan eksiklik, metnin varlığı değil, içeriğinin ve zamanlamasının kurallara uymamasıdır.
Aydınlatma Ne Zaman Yapılır
Bilgilendirme, verinin elde edilmesi sırasında yapılmalıdır; sonradan gönderilen bir e-posta yükümlülüğü karşılamaz. Veri doğrudan ilgili kişiden alınmıyorsa, yani üçüncü bir kaynaktan temin ediliyorsa, bilgilendirmenin makul bir süre içinde veya ilk iletişim anında yapılması gerekir. Web sitesi formları, çağrı merkezi kayıtları ve işe alım süreçleri bu zamanlama kuralının en çok ihlal edildiği alanlardır.
Metinde Bulunması Gereken Unsurlar
- Veri sorumlusunun ve varsa temsilcisinin kimliği.
- Kişisel verilerin hangi amaçla işleneceği; amaçların genel değil, somut biçimde sayılması.
- Verilerin kimlere ve hangi amaçla aktarılabileceği.
- Veri toplamanın yöntemi ve dayandığı hukuki sebep.
- İlgili kişinin Kanun'un kendisine tanıdığı hakları.
Aydınlatma ile Açık Rızanın Karıştırılması
En kritik hata, aydınlatma metni ile açık rıza metninin tek bir belgede birleştirilmesidir. Aydınlatma bir bilgilendirme, açık rıza ise bir hukuki sebeptir ve her veri işleme faaliyeti için rıza gerekmez. İkisi tek metinde toplandığında, rızanın özgür iradeyle verildiği tartışmalı hâle gelir; ayrıca hizmetin sunulmasını rızaya bağlamak da rızayı sakatlar. Rıza gerektiren ve gerektirmeyen işleme faaliyetleri ayrıştırılmalı, rıza ayrı ve seçimlik bir onay olarak alınmalıdır.
İspat Yükü Kimde
Aydınlatmanın yapıldığını ispat yükümlülüğü veri sorumlusundadır. Bu nedenle metnin yalnızca hazırlanmış olması yetmez; hangi kişiye, hangi tarihte, hangi versiyonun sunulduğunun kayıt altına alınması gerekir. Pratikte önerilen yöntem, metnin versiyon numarasıyla arşivlenmesi ve sunum anının log kaydıyla eşleştirilmesidir. Kâğıt ortamda alınan bilgilendirmelerde ise imzalı nüshanın saklanması gerekir.
Uygulama İçin Kontrol Adımları
- Veri envanterinizi çıkarın; her toplama noktası için ayrı aydınlatma senaryosu belirleyin.
- Metinleri sade ve anlaşılır dille yazın; teknik jargon ve muğlak amaç ifadelerinden kaçının.
- Aydınlatma ve rıza metinlerini fiziksel ve dijital olarak birbirinden ayırın.
- Versiyon değişikliklerinde eski metni silmeyin, arşivde tutun.
- Çalışan, müşteri ve aday gibi farklı ilgili kişi grupları için ayrı metinler kullanın.
Bu içerik genel bilgilendirme amaçlıdır. Aydınlatma metninin yeterliliği, işlenen verinin türüne ve iş süreçlerinin yapısına göre değişir; kurumunuzun süreçlerine özgü bir uyum çalışması yapılması yerinde olur.