Aydınlatma Yükümlülüğü Nedir- Yükümlülüğün Kapsamı ve Şekli Nasıldır ?

aydinlatma-yukumlulugu-kapak

Aydınlatma Yükümlülüğü ile ilgili düzenlemenin bulunduğu Kişisel Verilerin Korunması Kanunu’nun 10.maddesine göre; Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;

a) Veri sorumlusunun ve varsa temsilcisinin kimliği,

b) Kişisel verilerin hangi amaçla işleneceği,

c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,

d) 11 inci maddede sayılan diğer hakları,

konusunda bilgi vermekle yükümlüdür. Kanunun Veri sorumlusuna yüklediği bu bilgilendirme yükümlülüğüne aydınlatma yükümlülüğü ismi verilmiştir.

Aydınlatma yükümlülüğü veri sorumlusu için bir yükümlülük olduğu kadar ilgili kişi açısından temel ve vazgeçilemez bir haktır. Bu sebeple aydınlatma yükümlülüğünün talebe bağlı veya onaya tabi olmadığı söylenebileceği gibi veri işleme faaliyeti için ilgili kişinin açık rızasının aranmadığı istisna hallerinde dahi veri sorumlusunun aydınlatma yükümlülüğünün devam ettiği ifade edilmektedir.

  • Aydınlatma Yükümlülüğü Kapsamında Hangi Bilgilerin Verilmesi Gerekli ?

Kişisel Verileri Koruma Kurumu tarafından yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul Ve Esaslar Hakkında Tebliğ ile veri sorumluları veya yetkilendirdiği kişilerce yerine getirilmesi gereken aydınlatma yükümlülüğü kapsamında uyulacak usul ve esaslar düzenlenmiştir.

Tebliğin 5.maddesi ile aydınlatma yükümlülüğü ile ilgili usul ve esaslar düzenlenmiştir. Kurum tarafından bir de ilave olarak Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi yayımlanmıştır.

  • Her şeyden önce Tebliğin 5/ğ maddesine göre bildirim anlaşılır açık olmalı bildirimde sade bir dil kullanılmalıdır. Yani ilgili kişi’ye gereğinden fazla karmaşık bilgi ve hukuki metin içeren bir aydınlatma yapılmamalıdır. Aksi durum aydınlatmadan beklenen faydanın yerine getirilmeyeceği anlamına gelecektir.
  • Tebliğe göre kişisel verilerin hangi amaçla işleneceği bilgisi verilirken genel nitelikte, muğlak ve gündeme gelmesi muhtemel başka amaçlar için işlenebileceği kanaatini uyandıran ifadelerden kaçınılması gerektiğinden bahsedilmektedir. Buradan özellikle aydınlatma metinlerinde sadece kanun maddelerine yapılan genel atıflardan kaçınılması ve işleme amacının açık ve anlaşılır bir şekilde yazılması gerektiğini anlayabiliyoruz.

aydinlatma-acik-ve-sade-olmali

  • Yine veri işlemenin hukuki sebebi belirtilir iken; Kanunun 5 ve 6 ncı maddelerinde belirtilen işleme şartlarından hangisine dayanılarak işlendiğinin yani hukuki sebebin açıkça belirtilmesi gerekmektedir.
  • Veri toplama yöntemi olarak bilgisayar veya telefon kullanılıyor ise tamamen veya kısmen otomatik yollar ile verinin toplandığı, yazılı bir anket veya form dolduruluyor ise de bir veri kayıt sisteminin parçası olmak kaydı ile otomatik olmayan bir yöntemle verilerin toplandığı açıklanmalıdır.
  • Verilerin hangi alıcı gruplarına hangi amaçlar ile aktarılabileceği açık bir şekilde belirtilmelidir.
  • Aydınlatma yükümlülüğü kapsamında İlgili kişiye Kanunun 11.maddesinde belirtilen hakları olduğu bildirilmelidir. Veri sorumlusu bu bilgiyi verirken kanuna atıf yapabileceği gibi hakları tek tek sayma yoluna da başvurabilir.

En önemlisi Aydınlatma yükümlülüğü yerine getirilirken eksik, ilgili kişileri yanıltıcı ve yanlış bilgilere yer verilmemelidir.

Aydınlatma Yükümlülüğü Yazılı Yapılmak Zorunda mı ?

Kanunda aydınlatma yükümlülüğünün yazılı yapılmak zorunda olduğuna dair bir düzenleme bulunmamaktadır. Tebliğin 5.maddesi ile Veri Sorumlusunun sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle Aydınlatma yükümlülüğünü yerine getirebileceği anlamına gelen ifadelerde bulunulmuştur.

Ancak yine Tebliğ’in 5/e maddesine göre Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir. Bu sebeple yükümlülük hangi şekilde yerine getirilmiş olursa olsun veri sorumlusunun yerine getirildiğini ispatlaması gerekir.

Kişisel Verileri Koruma Kurulu’nun 26.07.2018 tarih ve 2018/90 sy kararı ile Veri Sorumlusu aydınlatma metninin okunduğuna ilişkin geri bildirim alınması ile ilgili kişilerin kişisel verilerinin işlenmesi hususunda gerekli seçimlik haklarının da tanındığı açık rıza metninin onaylandığının ispatını sağlayacak mekanizmaların ayrıştırılması hususunda talimatlandırılmıştır.

guvenlik-kamera-uyarisi

Uygulamada veri sorumlusu tarafından yüz yüze yapılan bir aydınlatma, internet sitesine konulan bir metin, bina girişlerine veya kayıt bankolarına konulan ilan metinleri, e-posta veya SMS gönderimleri veya çağrı merkezlerinde operatörden ses kaydının dinletilmesi ya da bina içinde güvenlik kamerasının kayıt yaptığını gösterir kamera fotoğraflarının bulunması gibi yöntemler ile aydınlatma yükümlülüğünün yerine getirildiği görülmektedir.

Ayrıca bazı durumlarda aydınlatma yapılabilecek yeterli vakit yok ise veyahut veri sorumlusu tarafından yapılacak uzun uzun bir aydınlatmadan önce kısa bir bilgilendirme yapılmasının da yeterli olması durumunda katmanlı aydınlatma yöntemi de uygulanabilir.

Örneğin kısa bir aydınlatma metni ile birlikte detaylı aydınlatma politikasına yönlendiren bir bağlantı gönderilebileceği gibi çağrı merkezi operatörünün kısa bir konuşmasının ardından detaylı bilgi için başka bir numara tuşlamasının da önerilmesi yeterli olabilecektir.

Ancak Kurum tarafından hazırlanan “Doğru Bilinen Yanlışlar Rehberi”’nde belirtildiğine göre ilgili kişinin hiçbir açıklama yapılmaksızın doğrudan bir linke yönlendirilmesi katmanlı aydınlatma yapılması anlamına gelmemektedir.

Veri Sorumlusu İlgili Kişiyi Ne Zaman Aydınlatmalı ?

Veri Sorumlusunun ilgili kişiye ne zaman bilgi vermesi gerektiği veriyi ilgili kişinin kendisinden doğrudan alıp almadığı ile ilgilidir. Bu sebeple sürenin tespitinde önce verinin nasıl elde edildiğinin tespiti önemli hale gelecektir.

  • Kişisel Verinin İlgili Kişi’den Elde Edilmesi Halinde

6698 sy Kişisel Verilerin Korunması Kanunu’nun 10.maddesine göre veri sorumlusu kişisel verileri elde ettiği sırada aydınlatma yükümlülüğünü yerine getirmesi ve ilgili kişiyi bilgilendirmesi gerekmektedir.

Konu ile yayınlanan Tebliğ ile daha detaylı düzenlemeler yapılmıştır.

Tebliğ’in 5/a maddesine göre kişisel veri işlendiği her durumda aydınlatma yükümlülüğü yerine getirilmeli 5/b maddesine göre de; veri sorumlusunun işleme amacı değiştiğinde de veri işleme faaliyetinden önce bu amaç için de ayrıca aydınlatma yükümlülüğü ayrıca yerine getirilmelidir.

Yine Tebliğ’in 5/f maddesine göre de Kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak gerçekleştirilmesi halinde, aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin ayrı ayrı yerine getirilmesi gerekmektedir.

verinin-ilgili-kisiden-dogrudan-alinmasi

Tüm bu detayları birlikte değerlendirdiğimizde Veri Sorumlusunun adeta atacağı her adımda ilgili kişiye bilgi vermesi gerektiği sonucu çıkmakta ve bu durum öğreti ile uygulamada eleştiriye sebep olmaktadır. Gerçekten de ilgili kişiyi bu kadar çok bilgi ve belge bombardımanına maruz bırakmak çok doğru gelmemekte ve artık gösterilen her belge bir nevi formaliteye dönüşmektedir.

Gerçekten de kaynak kanun olan 95/45 EC Direktifinde bilgilendirmenin daha önce yapılmış olması durumunda tekrar yapılmasına gerek olmadığı değerlendirilmiştir.

  • Kişisel Verinin Dolaylı Olarak Elde Edilmesi Halinde

Yine Kaynak Kanun olan 95/45 EC Direktifinin 11.maddesinde ve GDPR’ın 14.maddesinde kişisel verinin ilgili kişiden elde edilmemesi hali düzenlenmiş iken, benzer bir düzenleme Kanun’da yer almamakta ancak Kurum bu eksikliği tebliğ ile gidermiş bulunmaktadır.

Tebliğ’in 6.maddesine göre;

Kişisel verilerin ilgili kişiden elde edilmemesi halinde;

  1. Kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde,
  2. Kişisel verilerin ilgili kişi ile iletişim amacıyla kullanılacak olması durumunda, ilk iletişim kurulması esnasında,
  3. Kişisel verilerin aktarılacak olması halinde, en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada

ilgili kişiyi aydınlatma yükümlülüğünün yerine getirilmesi gerekir.

Kişisel verinin veri sahibinden elde edilmemesi halinde aydınlatmanın ne zaman yapılması gerektiği akla gelebilir. Tebliğ ile bu süre makul süre olarak belirtilmiştir. Makul süre her olayın şartlarına göre değişecektir. GDPR’da da makul süre kavramı kullanılmış ancak bu sürenin 1 ayı geçmeyeceği vurgulanmıştır.

Kişisel Verinin iletişim veya aktarım için işlenmesi söz konusu ise aydınlatmanın bu işlemler ile birlikte yapılması gerektiği düzenlenmiştir.

veri-arsivi

Ancak Tebliğ’de GDPR’ın aksine aydınlatma yükümlülüğünün istisnaları düzenlenmemiştir. Oysa GDPR’a göre kamu yararına arşivleme amaçları, bilimsel veya tarihi araştırma amaçları ya da istatistiki amaçlar başta olmak üzere söz konusu bilgilerin sağlanmasının imkansız olması veya ölçüsüz bir çaba gerektirmesi halinde veya aydınlatma yükümlülüğünün bu işleme hedeflerinin yakalanmasını imkansız hale getirmesi veya yakalanmasına ciddi şekilde zarar vermesinin muhtemel olduğu durumlarda aydınlatma yükümlüğünün olmayacağı düzenlenmiş ve ilave olarak kişisel verilerin yasalardan doğan veya mesleki olarak sır saklama yükümlülüğü altında bulunan kişilerin de aydınlatmadan muaf olduğu açıklanmıştır.

Bu türden istisnaların Tebliğ’de yer almaması sebebi ile istatistik veya arşiv amacı ile çok sayıda veriyi işleyen bir kurumun bu veriler ile ilgili bütün ilgilii kişilere aydınlatma yapması gerektiği gibi borçlu aleyhine ihtiyatı haciz başvurusu yapacak bir avukatın da önceden borçluyu arayıp bilgi vermesi gerektiği sonucu doğacaktır.

Yorum Bırak

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir