6698 sayılı KVKK, kişisel verinin işlendiği her durumda ilgili kişinin önceden bilgilendirilmesini zorunlu kılar. Aydınlatma yükümlülüğü açık rızadan bağımsızdır; rıza aranmayan işleme şartlarında bile yerine getirilmesi gerekir. Uygulamadaki uyuşmazlıkların önemli bölümü, metnin varlığından değil, zamanlamasından ve kapsamından doğar.
Aydınlatma ne zaman yapılmış sayılır?
Bilgilendirmenin verinin elde edilmesi sırasında yapılması gerekir. Sözleşme imzalandıktan sonra gönderilen bir metin, geçmişe etkili biçimde eksikliği gidermez. Aydınlatmanın açık rıza metniyle aynı kutuda birleştirilmesi de sık rastlanan bir hatadır; iki işlem farklı hukuki sonuç doğurduğundan ayrı ayrı sunulmalıdır. Çağrı merkezi, kamera kaydı, web formu ve mobil uygulama gibi her kanal için ayrı bir sunum yöntemi belirlenmelidir.
Metinde bulunması gereken unsurlar
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Verilerin hangi amaçla işleneceği, genel ifadelerden kaçınılarak
- Kimlere ve hangi amaçla aktarılabileceği
- Toplama yöntemi ve dayanılan hukuki sebep
- İlgili kişinin sahip olduğu haklar ve bu hakların kullanım yolu
Başvuru ve şikâyet takvimi
İlgili kişi, haklarını kullanmak için önce veri sorumlusuna başvurur. Veri sorumlusunun cevap vermesi gereken bir süre vardır ve bu sürenin geçmesi ya da cevabın yetersiz bulunması hâlinde Kurula şikâyet yolu açılır. Şikâyet için hem cevabın öğrenilmesinden itibaren işleyen bir süre hem de başvuru tarihinden itibaren işleyen üst bir süre öngörülmüştür. Bu takvimin en kırılgan yeri başvurunun tarihidir: elektronik posta ile yapılan bir başvurunun ulaştığı gün ispatlanamadığında, şikâyet süresinin hesabı tartışmalı hâle gelir. Kayıtlı elektronik posta, noter ihtarı veya sistem üzerinden alınan başvuru numarası bu riski ortadan kaldırır.
Veri sorumlusu tarafında hazırlık
Kurumlar açısından aydınlatma metni tek başına yeterli değildir; metinde yazılanla envanterdeki kayıtların ve fiilî uygulamanın örtüşmesi gerekir. Metinde yer almayan bir aktarımın yapılıyor olması, incelemede doğrudan bir uyumsuzluk kalemi oluşturur. Web sitesi üzerinden yürüyen işlemlerde 5651 kapsamındaki kayıt yükümlülükleriyle KVKK kapsamındaki saklama süreleri arasındaki uyum ayrıca kontrol edilmelidir.
Şikâyet ile tazminat davası arasındaki tercih
Kurula şikâyet, idari yaptırım sonucu doğurabilir ancak bireysel zararı gidermez. Uğranılan zararın tazmini için adli yargıda ayrı bir dava gerekir. Karşı tarafla yürütülen ve verinin silinmesi ya da düzeltilmesiyle sonuçlanan bir mutabakat, hızlı çözüm sağlaması bakımından değerlidir; buna karşılık ihlal sürüyorsa ya da veri üçüncü kişilere aktarılmışsa, yalnızca silme taahhüdüne dayanan bir anlaşma yetersiz kalır. Görüşmeler sürerken şikâyet sürelerinin işlemeye devam ettiği unutulmamalıdır.
Buradaki açıklamalar genel niteliktedir; veri işleme faaliyetinizin kapsamı ve kullanılan kanallar farklı yükümlülükler doğurabileceğinden, uyum çalışmasının bir hukukçu eşliğinde yapılması önerilir.