Aydınlatma Yükümlülüğü ve Açık Rıza: Uyum Rehberi

1. Aydınlatma Yükümlülüğünün Hukuki Dayanağı

KVKK m. 10 uyarınca veri sorumlusu veya yetkilendirdiği kişi, kişisel verilerin elde edilmesi sırasında veri sahiplerini aydınlatmakla yükümlüdür. Aydınlatma yükümlülüğü, şeffaflık ilkesinin somut bir gereğidir.

• Kim aydınlatır: Veri sorumlusu veya onun adına hareket eden yetkili temsilci aydınlatma yükümlüsüdür.
• Ne zaman: Verilerin elde edilmesi sırasında veya mümkün olan en kısa sürede aydınlatma yapılmalıdır.
• Kime: Aydınlatma, veri sahibi gerçek kişiye yönelik olmalıdır.

2. Aydınlatma Metninde Bulunması Gereken Unsurlar

KVKK m. 10'da sayılan zorunlu unsurlar, aydınlatma metninin içeriğini belirler. Eksik veya belirsiz aydınlatma, veri sorumlusunu idari yaptırıma maruz bırakabilir.

• Veri sorumlusunun kimliği: Ticaret unvanı, adres ve iletişim bilgileri.
• İşlenecek kişisel verilerin amacı: Verilerin hangi amaçla kullanılacağı açıkça belirtilir.
• Hukuki sebep ve meşru menfaat: İşlemenin dayanağı ve varsa meşru menfaat gerekçesi.
• Aktarım alıcıları: Verilerin kimlere ve hangi amaçla aktarılabileceği.
• Yurt dışı aktarım: Verilerin yurt dışına aktarılıp aktarılmayacağı ve varsa ülkeler.
• Haklar: Veri sahibinin KVKK m. 11'de sayılan hakları (bilgi talep, düzeltme, silme, itiraz vb.).

3. Açık Rızanın Geçerlilik Şartları

Açık rıza, KVKK m. 3'te "belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onam" olarak tanımlanmıştır. Rıza, ön şart olarak istenemez; aydınlatma önce yapılmalıdır.

• Belirlilik: Rıza, belirli bir veri kategorisi ve işleme amacı için alınmalıdır; genel ve kapsayıcı rıza geçersizdir.
• Bilgilendirme: Veri sahibi, rıza vermeden önce aydınlatma metniyle bilgilendirilmelidir.
• Özgür irade: Rıza, hizmet veya sözleşme koşuluna bağlanamaz; gerçek bir tercih olmalıdır.
• Açık beyan: Rıza, açık ve anlaşılır bir şekilde ortaya konmalıdır; ön işaretleme kabul edilmez.
• İptal edilebilirlik: Veri sahibi dilediği zaman rızasını geri alabilir.

4. Özel Nitelikli Kişisel Veriler ve Çocuk Verileri

Özel nitelikli kişisel verilerin işlenmesi için KVKK m. 6'ya göre ek güvenceler gerekir. Sağlık ve cinsel hayat dışındaki özel nitelikli veriler için açık rıza zorunludur; sağlık ve cinsel hayat verilerinde ise kanunda öngörülen hallerde meşru menfaat veya hukuki yükümlülük yeterli olabilir.

• Özel nitelikli veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep ve benzeri veriler.
• Çocuk verileri: 18 yaşından küçüklerin verilerinin işlenmesinde ek özen gösterilmeli; ebeveyn veya vasinin bilgisi ve rızası aranmalıdır.
• Yeterli önlem: Özel nitelikli veriler için teknik ve idari tedbirler daha sıkı uygulanmalıdır.

Sonuç

Aydınlatma ve açık rıza, KVKK uyumunun iki temel unsurudur. Aydınlatma metinlerinin güncel, anlaşılır ve erişilebilir olması; rıza mekanizmalarının belirli, özgür ve kaydedilebilir şekilde tasarlanması gerekir. Kuruluşların bu süreçleri periyodik olarak hukuki danışmanlıkla gözden geçirmeleri önerilir.