Aydınlatma yükümlülüğü, kişisel veri işleyen her veri sorumlusunun ilk ve vazgeçilmez ödevidir. 6698 sayılı KVKK, verinin işlenmesinden önce ilgili kişinin bilgilendirilmesini zorunlu tutar; bu yükümlülük, açık rızadan bağımsız olarak her hukuki sebepte yerine getirilmelidir.
Aydınlatma ile Rızanın Karıştırılması
Uygulamadaki en yaygın hata, aydınlatma metni ile açık rıza beyanının aynı metinde birleştirilmesidir. Aydınlatma bir bilgilendirme, açık rıza ise bir irade beyanıdır. İkisinin iç içe geçirilmesi, rızayı sakatlayabilir ve verinin hukuka aykırı işlenmesi sonucunu doğurabilir. Metinler ayrı ayrı sunulmalıdır.
Aydınlatma Metninde Bulunması Gerekenler
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Verilerin hangi amaçla işleneceği ve hukuki sebebi
- Verilerin kimlere ve hangi amaçla aktarılabileceği
- İlgili kişinin başvuru ve şikayet hakları
Yurt Dışına Aktarımda Değişen Çerçeve
Kişisel verinin yurt dışına aktarımı, KVKK'da özel olarak düzenlenmiş ve zaman içinde güncellenmiş bir alandır. Aktarım; açık rıza, yeterlilik kararı veya uygun güvencelerin (taahhütname, bağlayıcı kurumsal kurallar gibi) varlığına bağlanabilir. Bulut hizmetleri ve yurt dışı sunucular çoğu zaman farkında olunmadan bir aktarım doğurduğundan, veri akış haritası çıkarılmalıdır.
İçerik ve Erişim Sağlayıcı Boyutu
İnternet üzerinden yürütülen faaliyetlerde 5651 sayılı Kanun kapsamındaki içerik ve erişim yükümlülükleri, KVKK yükümlülükleriyle kesişebilir. Log tutma ve saklama süreleri bu iki düzenleme birlikte okunarak belirlenmelidir.
İhlal Halinde Yol Haritası
Veri ihlali durumunda, ilgili kişiye ve Kurula bildirim süreçleri işletilmelidir. İlgili kişi ise önce veri sorumlusuna başvurabilir, sonuç alamazsa Kurula şikayet yoluna gidebilir; ayrıca doğan zarar için hukuki yol açıktır.
Her veri işleme faaliyetinin amacı, hukuki sebebi ve aktarım yapısı farklıdır. Yurt dışı aktarım koşulları güncel mevzuata göre değiştiğinden, uyum sürecinin bir hukukçu eşliğinde kurgulanması yerinde olur.