Aydınlatma yükümlülüğü, çoğu kurumda tek bir metin yazılıp web sitesine konularak tamamlandığı düşünülen bir başlıktır. Oysa 6698 sayılı KVKK uygulamasında incelenen şey metnin varlığı değil, hangi veri işleme faaliyeti için hangi anda ve hangi kanaldan sunulduğudur. Bu rehber, aydınlatmayı bir belge olmaktan çıkarıp işleyen bir sürece dönüştürmeye ve usule aykırı uygulamalardan doğan idari para cezası riskini azaltmaya odaklanır.
Aydınlatma ile Açık Rızayı Ayırmak
En yaygın kusur, aydınlatma metni ile açık rıza beyanının tek bir kutucukta birleştirilmesidir. Aydınlatma her hâlde yerine getirilmesi gereken bir yükümlülükken, açık rıza yalnızca belirli hukuki sebeplerin bulunmadığı hâllerde gündeme gelir. İkisinin aynı onaya bağlanması, rızanın özgür iradeyle verilip verilmediği tartışmasını doğurur ve hizmetin alınmasını rızaya bağlama görüntüsü yaratır.
Kanal Bazlı Kurgu
- Web formu, çağrı merkezi, mağaza içi ve mobil uygulama için ayrı sunum yöntemi belirlenmelidir.
- Sözlü kanallarda bilgilendirmenin yapıldığını gösteren kayıt tutulmalıdır.
- Fiziki ortamda alınan verilerde metnin görülebilir ve okunabilir biçimde sunulması sağlanmalıdır.
- Çalışan adayları, tedarikçiler ve ziyaretçiler için ayrı metinler hazırlanmalıdır.
- Kamera kaydı, çağrı kaydı ve konum verisi gibi faaliyetler ayrı başlıkta ele alınmalıdır.
Metnin İçeriğinde Sık Görülen Eksikler
Veri sorumlusunun kimliğinin genel bir marka adıyla geçiştirilmesi, işleme amaçlarının pazarlama gibi tek kelimeye indirgenmesi, aktarım yapılan taraf kategorilerinin hiç yazılmaması ve saklama süresine ilişkin hiçbir bilgiye yer verilmemesi en sık rastlanan eksiklerdir. Yurt dışına aktarım söz konusuysa bunun ayrıca belirtilmesi gerekir. İnternet yayını üzerinden yürüyen faaliyetlerde 5651 sayılı Kanun kapsamındaki bilgilendirme yükümlülükleriyle metnin birbirini tekrar etmesi değil, tamamlaması beklenir.
Denetime Hazırlık Sıralaması
- Veri işleme envanteri ile yayımlanan metin satır satır karşılaştırılır, kapsam dışı kalan faaliyetler listelenir.
- Metnin güncellendiği tarihler ve önceki sürümleri arşivlenir.
- Aydınlatmanın veri elde edilmeden önce sunulduğunu gösteren teknik kayıtlar hazırlanır.
- İlgili kişi başvurularına verilen cevaplar ile metindeki taahhütlerin uyumu kontrol edilir.
- Çalışanlara verilen eğitim kayıtları ve iç prosedürler dosyaya eklenir.
Ceza Riskini Azaltan Somut Göstergeler
Değerlendirmede belirleyici olan, kurumun aydınlatmayı bir kerelik iş olarak değil sürekli bir yükümlülük olarak ele aldığını gösterebilmesidir. Yeni bir veri işleme faaliyeti başlatılırken metnin güncellenmesi, envanterle metin arasında düzenli karşılaştırma yapılması ve başvurulara verilen cevapların tutarlı olması bu yaklaşımı somutlaştırır. Buna karşılık yıllardır değişmemiş tek bir metnin, aradan geçen sürede eklenen faaliyetleri kapsadığını iddia etmek savunmayı zayıflatır.
Yukarıdakiler genel bilgilendirme amaçlıdır. Sektör, veri kategorileri ve işleme yoğunluğu yükümlülüğün kapsamını değiştirdiğinden, metinler yayımlanmadan önce faaliyet envanteriyle birlikte hukuki incelemeden geçirilmesi yerinde olur.