Aydınlatma metni nasıl yazılır? Zorunlu unsurlar ve örnek iskelet

İnternetten indirilen bir aydınlatma metnini şirket adını değiştirerek kullanmak, uygulamada en sık gördüğümüz uyum hatasıdır. Aydınlatma metni bir formalite belgesi değil, şirketin kendi veri işleme faaliyetinin aynasıdır; gerçek süreçlerle örtüşmediğinde denetimde işe yaramaz, hatta aleyhe delil hâline gelir.

Dayanak: Kanunun 10. maddesi ve Tebliğ

6698 sayılı Kanun'un 10. maddesi, veri sorumlusuna kişisel verilerin elde edilmesi sırasında ilgili kişiyi bilgilendirme yükümlülüğü getirir. Yükümlülüğün nasıl yerine getirileceği ise Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile ayrıntılandırılmıştır.

İki nokta baştan netleşmeli:

• Aydınlatma, ilgili kişi talep etmese de yapılır. Bir hak değil, kendiliğinden doğan bir yükümlülüktür.
• Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır. Metni yazmış olmak yetmez; ilgili kişiye ulaştığını gösterebilmek gerekir.

Beş zorunlu unsur

Kanun'un 10. maddesi, metinde bulunması gerekenleri sayar. Bu beşinden biri eksikse metin yükümlülüğü karşılamaz:

1. Veri sorumlusunun ve varsa temsilcisinin kimliği. Ticaret unvanı, adres ve iletişim kanalları açıkça yazılır. "Şirketimiz" ifadesi kimlik bildirimi değildir.
2. Kişisel verilerin hangi amaçla işleneceği. Her amaç ayrı ayrı ve somut yazılır.
3. İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği. Alıcı grupları (ör. "mali müşavir", "kargo firması", "yetkili kamu kurumları") belirtilir.
4. Veri toplamanın yöntemi ve hukuki sebebi. Yöntem: form, kamera, çağrı merkezi kaydı, çerez... Hukuki sebep: Kanun'un 5. ve 6. maddelerindeki hangi işleme şartına dayanıldığı.
5. İlgili kişinin 11. maddedeki hakları. Hakların sayılması ve bu hakların nasıl kullanılacağının gösterilmesi gerekir.

Metni geçersiz kılan yaygın hatalar

1. Muğlak ifadeler. "vb.", "gibi", "benzeri amaçlarla" kalıpları amacı sınırsızlaştırır. Tebliğ, genel nitelikte ve belirsiz ifadelerden kaçınılmasını açıkça arar.
2. Aydınlatma ile açık rızayı aynı metinde birleştirmek. Tebliğ, açık rıza alınması gereken hâllerde aydınlatmanın ve rızanın ayrı ayrı yerine getirilmesini şart koşar. Tek bir "okudum, kabul ediyorum" kutusu her ikisini birden karşılamaz. Ayrıntı için açık rızada en sık yapılan hatalar yazımıza bakabilirsiniz.
3. Hukuki sebebi hep "açık rıza" yazmak. Sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi bir şart varken açık rızaya dayanmak, hem yanlıştır hem gereksiz risk üretir.
4. VERBİS kaydıyla çelişmek. Sicile bildirilen veri kategorileri, amaçlar ve saklama süreleri ile metin tutarlı olmalıdır. Aralarındaki çelişki denetimde ilk fark edilen şeydir — VERBİS yükümlülüğü yazımızda bu bağı ele almıştık.
5. Tek metinle her süreci karşılamaya çalışmak. Çalışan, müşteri, çalışan adayı ve ziyaretçi farklı verileri farklı amaçlarla işlenen gruplardır; her biri için ayrı metin gerekir.
6. Ağır hukuk dili. Tebliğ, bildirimin anlaşılır, açık ve sade bir dille yapılmasını arar. Okunmayan metin, aydınlatma sayılmaz.

Örnek iskelet

Aşağıdaki iskelet, şirketinizin gerçek süreçleriyle doldurulmak üzere bir başlangıç noktasıdır — olduğu gibi kullanılacak bir şablon değildir:

1. Veri sorumlusunun kimliği
   [Ticaret unvanı], [adres], [e-posta], [KEP adresi]

2. İşlenen kişisel veriler
   [Kimlik: ad, soyad, T.C. kimlik no ...]
   [İletişim: telefon, e-posta ...]

3. İşleme amaçları ve hukuki sebepleri
   [Amaç] — [KVKK m.5/2-... : sözleşmenin ifası / hukuki yükümlülük ...]
   [Amaç] — [Açık rıza (yalnızca başka şart yoksa)]

4. Toplama yöntemi
   [İnternet sitesi formu / matbu form / çağrı merkezi kaydı ...]

5. Aktarım yapılan alıcı grupları ve amaçları
   [Mali müşavir — yasal yükümlülüklerin yerine getirilmesi]
   [Yetkili kamu kurum ve kuruluşları — mevzuattan doğan talepler]

6. İlgili kişinin hakları ve başvuru yolu
   [KVKK m.11'deki haklar + başvurunun nasıl yapılacağı]

Yazmak yetmez: ulaştırmak ve ispatlamak

Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır. Uygulamada en zayıf halka budur: metin web sitesinde durur, ama "bu kişiye, şu tarihte ulaştırıldı" denemez. İşe alım sırasında imzalatılan matbu formlar zamanla kaybolur; e-posta ekindeki PDF'in açılıp açılmadığı bilinmez.

Kanal kanal hangi kaydın delil değeri taşıdığını aydınlatmanın ispatı yazımızda ayrıntılı ele aldık. Özetle: aydınlatma metinlerinin ilgili kişilere kişiye özel bağlantıyla iletilmesi ve görüntülenme anının zaman damgasıyla kayda geçmesi, denetimde tartışmayı bitiren yöntemdir. Aydınlatma gönderimi hizmetimiz bu ispat kaydını otomatik üretir.

Bir metni değiştirdiğinizde ne olur?

Aydınlatma metnini güncellemeniz gerekiyorsa, bunun sebebi neredeyse her zaman metnin kendisi değildir: yeni bir işleme amacı eklenmiştir, bir hukuki sebep değişmiştir ya da veri yeni bir alıcı grubuna aktarılmaya başlanmıştır. Bu değişikliklerin hiçbiri tek bir belgede kalmaz.

Aynı değişiklik nedeniyle gözden geçirilmesi gerekenler:

• Kişisel veri envanteri — yeni amaç, veri kategorisi ve saklama süresi envantere işlenmelidir; envanter bu yapının kaynak belgesidir.
• VERBİS kaydı — sicile bildirilen bilgiler değiştiyse güncellenmelidir.
• Açık rıza metinleri — bir işleme artık rızaya dayanıyorsa (ya da tam tersi, rızadan başka bir sebebe geçildiyse) rıza yapısı da değişir.
• Saklama ve imha politikası — yeni veri kategorisinin süresi belirlenmelidir.
• Veri işleyen sözleşmeleri — aktarım yapılan yeni bir taraf varsa sözleşmesel güvenceler kurulmalıdır.

Tek bir metni güncelleyip diğerlerini olduğu yerde bırakmak, denetimde en hızlı fark edilen çelişkidir. Bu nedenle değişiklikleri bütüncül bir gözden geçirmeyle yürütmenizi ve hukuki destek almanızı öneririz. Genç Partners'ın saha deneyimi bu haritayı çıkarmayı kolaylaştırır; kisiselverilerim.com ise ortaya çıkan metinlerin ilgililere ulaştırılmasını ve ispatını üstlenir.

Özet

• Metinde beş zorunlu unsur bulunmalı: kimlik, amaç, aktarım, yöntem ve hukuki sebep, ilgili kişinin hakları.
• Aydınlatma ile açık rıza ayrı ayrı yerine getirilir.
• Muğlak ifadeler, tek beden metinler ve VERBİS ile çelişki en sık görülen hatalardır.
• Yazmak yeterli değildir; ulaştırıldığının ispatı veri sorumlusuna aittir.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Şirketinize özgü metinlerin hazırlanması ve diğer uyum belgelerinizle uyumlulaştırılması için hukuki destek alınız.