Aydınlatma yükümlülüğü, KVKK sisteminin görünmeyen temelidir: kişi verisinin neden, hangi hukuki sebeple ve kime aktarılmak üzere işlendiğini bilmiyorsa, diğer hakların hiçbirini bilinçli kullanamaz. 6698 sayılı Kanun kapsamında bu yükümlülüğün ihlali, veri ihlali bildiriminden farklı bir hatta ilerler ve başvuru yolu da farklıdır. Bu rehber, eksik ya da hiç yapılmamış aydınlatma karşısında izlenecek adımları ele alıyor.
Aydınlatma Metnini Denetlemek
- Veri sorumlusunun ve varsa temsilcisinin kimliği belirtilmiş mi?
- Verilerin hangi amaçla işleneceği somut mu, yoksa geniş ve kalıplaşmış ifadeler mi kullanılmış?
- Kimlere ve hangi amaçla aktarılacağı açıkça yazılmış mı?
- Toplama yöntemi ve dayanılan hukuki sebep gösterilmiş mi?
- İlgili kişinin hakları eksiksiz sayılmış mı?
Metnin varlığı tek başına yeterli değildir; yükümlülük, veri işlemenin başladığı anda ve anlaşılabilir biçimde yerine getirilmiş olmalıdır. Sözleşme imzalandıktan sonra gönderilen bir bilgilendirme, zamanlama yönünden eksik kabul edilebilir.
Aydınlatma ile Açık Rızanın Karıştırılması
Uygulamadaki en yaygın kusur, aydınlatma metni ile açık rıza beyanının tek bir kutucukta birleştirilmesidir. Aydınlatma bir yükümlülük, açık rıza ise belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir onaydır. Hizmetin alınmasının rıza şartına bağlanması, rızanın özgür iradeye dayanmadığı sonucunu doğurabilir. Şikâyet dilekçesinde bu ayrımın gösterilmesi, dosyanın en güçlü noktasıdır.
Şikâyet ile İhbar Arasındaki Fark
Kurula şikâyet yolu, kural olarak önce veri sorumlusuna başvurulmasını gerektirir ve bu yol kendine özgü süre zinciriyle işler: cevabın öğrenilmesinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün. Buna karşılık Kanuna aykırılığı öğrenen kişilerin Kuruma ihbarda bulunması ayrı bir imkândır ve bu ihbar, şikâyetin süre koşullarına tabi değildir. Kendi verisi işlenen kişi bakımından iki yol birlikte değerlendirilebilir; ancak ihbar yolu, şikâyette elde edilebilecek bireysel sonucu her zaman sağlamaz.
Süre Riskinin İki Yüzü
- Veri sorumlusuna başvuru gönderilen gün, otuz ve altmış günlük iki hatırlatma takvime işlenmelidir.
- Şirketle yazışmanın uzaması, süreyi durdurmaz.
- Kurulun vereceği karara karşı idari yargı yolu için ayrı bir dava açma süresi işler.
- Uğranılan zararın tazmini için genel hükümlere göre açılacak davanın zamanaşımı ayrıca hesaplanmalıdır.
İdari Yaptırım ve Sonrası
Aydınlatma yükümlülüğünü yerine getirmeyen veri sorumluları hakkında idari para cezası uygulanabilir. Ancak yaptırım kararı, ilgili kişinin zararını doğrudan karşılamaz; iki sonucu birbirine bağlamak beklenti hatasına yol açar. Verilerin hukuka aykırı biçimde ele geçirilmesi veya yayılması söz konusuysa, TCK kapsamındaki kişisel verilere ilişkin suçlar bakımından ayrıca başvuru değerlendirilebilir.
Bu açıklamalar genel bilgilendirme amacı taşır; metnin içeriği, veri işleme faaliyetinin niteliği ve tarihler sonucu değiştirebilir. Kendi dosyanızdaki başvuru ve cevap tarihlerini bir hukukçuyla birlikte gözden geçirmeniz uygun olur.