KVKK Aydınlatma Metni Örneği: m.10 Unsurları ve Tebliğ Kuralları

İyi bir KVKK aydınlatma metni örneği, siteye asılan genel bir "gizlilik politikası" değil, 6698 sayılı Kanun m.10'un saydığı beş unsuru belirli bir veri işleme faaliyeti için somut olarak cevaplayan bir belgedir. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (RG 10.03.2018, 30356) bu beş unsura biçim kuralları ekler: muğlak ifade yasağı, hukuki sebebin açıkça yazılması, açık rızadan ayrı tutulma ve ispat yükünün veri sorumlusunda olması. Aşağıda önce hukuki çerçeveyi, sonra madde madde bir iskeleti veriyoruz.

Aydınlatma Yükümlülüğünün Hukuki Dayanağı

6698 s.K. m.10, kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişinin ilgili kişilere şu konularda bilgi vermekle yükümlü olduğunu söyler:

1. Veri sorumlusunun ve varsa temsilcisinin kimliği,
2. Kişisel verilerin hangi amaçla işleneceği,
3. İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
4. Kişisel veri toplamanın yöntemi ve hukuki sebebi,
5. İlgili kişinin m.11'de sayılan diğer hakları.

Yükümlülüğün öznesi veri sorumlusudur: kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişi (m.3). Avukatlık bürosu, işveren, e-ticaret sitesi, site yönetimi ve dernek bu tanıma girer; veri işleyen (örneğin bordro hizmeti veren firma) aydınlatmanın öznesi değildir, ancak Tebliğ m.5 veri sorumlusunun yetkilendirdiği kişilerin de bu bildirimi yapabileceğini kabul eder.

Tebliğ m.4 beş unsuru aynen tekrar eder ve "asgari" olduklarını vurgular; m.5 ise usul kurallarını, m.6 verinin ilgili kişiden alınmadığı hâllerdeki zamanlamayı düzenler.

Aydınlatma ile Açık Rıza Aynı Şey Değildir

Uygulamadaki en yaygın hata, aydınlatma metninin altına "okudum, kabul ediyorum" kutusu koyup bunu açık rıza saymaktır. İki işlem hukuken farklıdır:

• Aydınlatma tek taraflı bir bilgilendirmedir; Tebliğ m.5/1-d uyarınca ilgili kişinin talebine bağlı değildir ve imzasını gerektirmez.
• Açık rıza m.3'te belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır ve yalnız m.5/2 ile m.6'daki diğer işleme şartlarından hiçbiri bulunmadığında gündeme gelir.

Tebliğ m.5/1-f açıktır: işleme açık rızaya dayanıyorsa aydınlatma ile açık rızanın alınması ayrı ayrı yerine getirilir. Tek belgede iki işlemi birleştirmek, rızanın "bilgilendirmeye dayalı" ve "özgür" olduğunu ispatı güçleştirir; ayrıca hizmetin rızaya bağlanması rızanın özgürlüğünü tartışmalı hâle getirir.

Bu ayrım sözleşme metinleri için de geçerlidir. İş sözleşmesine gömülen genel bir "verilerim işlenebilir" maddesi ne aydınlatma ne açık rıza yerine geçer; iş ilişkisinde çoğu işleme zaten m.5/2-c (sözleşmenin ifası) ve m.5/2-ç (hukuki yükümlülük) sebeplerine dayanır. Sözleşmeye eklenecek doğru madde için iş sözleşmesi örneğimize bakabilirsiniz.

Hukuki Sebep: m.5 ve m.6 Şartları Açıkça Yazılır

Tebliğ m.5/1-h, m.10/1-ç'deki "hukuki sebep" ile kastedilenin, verinin m.5 ve m.6'daki işleme şartlarından hangisine dayanılarak işlendiği olduğunu ve bunun açıkça belirtilmesi gerektiğini söyler. "Kanunlarda öngörülen hâllerde ve gerekirse açık rızanız alınarak" gibi kalıplar bu şartı karşılamaz.

m.5/2'de açık rıza aranmaksızın işlemeye imkân veren şartlar şunlardır:

• Kanunlarda açıkça öngörülmesi (a),
• Fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması (b),
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla tarafların verilerinin işlenmesinin gerekli olması (c),
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması (ç),
• İlgili kişinin kendisi tarafından alenileştirilmiş olması (d),
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (e),
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olması (f).

Özel nitelikli veriler (m.6: sağlık, ceza mahkûmiyeti, biyometrik ve genetik veri, dernek ve sendika üyeliği, din, siyasi düşünce vb.) için işleme şartları ayrıdır ve 2024'te 7499 sayılı Kanun'la yeniden düzenlenmiştir; sağlık verisi işleyen her metin m.6'nın güncel fıkralarına göre ayrıca yazılmalıdır.

Metinde doğru yöntem, her veri kategorisi için amaç ve hukuki sebebi eşleştiren bir tablodur: "kimlik ve iletişim verileri — sözleşmenin ifası (m.5/2-c)", "işe giriş sağlık raporu — kanunlarda öngörülmesi (m.6)", "kamera kaydı — meşru menfaat (m.5/2-f)". Aynı verinin birden fazla amaçla işlenmesi hâlinde Tebliğ m.5/1-c, farklı birimlerde farklı amaçlar için aydınlatmanın her birim nezdinde ayrıca yapılmasını ister.

Aktarım: Alıcı Grupları ve Yurt Dışı

m.10/1-c ve Tebliğ m.5/1-ı, verinin kimlere ve hangi amaçla aktarılabileceğini ister; Tebliğ "alıcı grubu" kavramını kullanır (m.3/1-a). Alıcı grubunu somut yazın: "iş ortakları" yerine "bordro hizmeti aldığımız mali müşavir, SGK, bankalar, hukuki uyuşmazlıkta yetkili yargı mercileri" gibi.

Yurt dışına aktarım m.9'a tabidir ve bu madde 2024'te 7499 sayılı Kanun'la esaslı biçimde değişmiştir: aktarım, m.5 ve m.6'daki şartlardan birinin varlığı yanında aktarılacak ülke, sektör veya uluslararası kuruluş hakkında Kurulca verilmiş yeterlilik kararına, yoksa tarafların sağladığı uygun güvencelere dayanır. Bulut sunucusu, e-posta altyapısı ve müşteri ilişkileri yazılımı yurt dışında barındırılıyorsa bu bir aktarımdır ve metinde hem alıcı grubu hem dayanılan m.9 mekanizması yazılır. Gizlilik taahhüdü içeren ticari ilişkilerde aktarımın sözleşmesel çerçevesi için gizlilik sözleşmesi örneğimize bakınız.

Ne Zaman, Hangi Kanaldan ve Nasıl Bir Dille?

Tebliğ m.5, sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik her ortamı kabul eder; ölçü kanal değil içeriktir. Uyulması gereken kurallar:

• Açık rıza veya diğer şartlara dayalı her işlemede aydınlatma yapılır (a); amaç değişince yeni amaç için işlemeden önce ayrıca yapılır (b).
• Sicile (VERBİS) kayıt yükümlülüğü varsa metindeki bilgiler Sicile açıklananlarla uyumlu olmalıdır (ç).
• Amaç belirli, açık ve meşru yazılır; genel ve muğlak ifadeler ile "ileride başka amaçlarla da işlenebilir" izlenimi veren cümleler yasaktır (g).
• Dil anlaşılır, açık ve sadedir (ğ); eksik, yanıltıcı ve yanlış bilgiye yer verilmez (j).
• Verinin otomatik yollarla mı, veri kayıt sisteminin parçası olarak otomatik olmayan yollarla mı elde edildiği açıkça belirtilir (i).
• İspat yükü veri sorumlusundadır (e): metnin sunulduğu tarih, kanal ve sürüm kayıt altına alınır.

Veri ilgili kişiden alınmıyorsa (referans, kamu kaynakları, üçüncü kişi) Tebliğ m.6 üç an belirler: elde edilmeden itibaren makul süre; iletişim amacıyla kullanılacaksa ilk iletişim; aktarılacaksa en geç ilk aktarım anı. E-ticaret ve uzaktan hizmet ilişkilerinde aydınlatma, sipariş formuna ulaşmadan önce erişilebilir olmalıdır; sözleşme kurulmadan önce verilmesi gereken diğer ön bilgilerle birlikte tasarlanması için mesafeli satış sözleşmesi örneğimiz yol gösterir.

İlgili Kişinin Hakları ve Başvuru Usulü

Metin m.11'deki hakları eksiksiz saymalıdır. İlgili kişi veri sorumlusuna başvurarak:

• verisinin işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme (a-b),
• işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme (c),
• yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme (ç),
• eksik veya yanlış işlenmişse düzeltilmesini, m.7 şartlarında silinmesini veya yok edilmesini ve bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme (d-e-f),
• münhasıran otomatik sistemlerle analiz sonucu aleyhine bir sonuç çıkmasına itiraz etme (g),
• kanuna aykırı işleme nedeniyle zararının giderilmesini talep etme (ğ) haklarına sahiptir.

Başvuru m.13 uyarınca yazılı olarak veya Kurulun belirlediği diğer yöntemlerle yapılır; veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır. Ret, yetersiz cevap veya cevapsızlık hâlinde ilgili kişi cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvurudan itibaren altmış gün içinde Kurula şikâyet edebilir (m.14); başvuru yolu tüketilmeden şikâyet yoluna gidilemez. Metinde başvuru kanalını (adres, KEP, e-posta) somut yazın.

KVKK Aydınlatma Metni Örneği

Aşağıdaki iskelet müşteri ve ziyaretçi verisi işleyen bir işletme içindir; köşeli parantezler dosyaya göre doldurulur.

Metnin altına imza kutusu koymayın; açık rıza gereken kalemler (örnekte 2-e) için ayrı, kalem bazlı bir rıza beyanı düzenleyin.

Sık Yapılan Hatalar

• Beş unsurdan birini, çoğunlukla hukuki sebebi, hiç yazmamak ya da "ilgili mevzuat uyarınca" diye geçiştirmek.
• Her işlemeyi açık rızaya dayandırmak; m.5/2'deki bir şart varken rıza istemek, hem gereksizdir hem rızanın geri alınmasıyla işlemeyi kesintiye uğratır.
• Aydınlatma ile açık rızayı tek belgede, tek imzayla toplamak (Tebliğ m.5/1-f).
• Alıcı gruplarını "iş ortaklarımız, tedarikçilerimiz" gibi belirsiz yazmak; yurt dışı sunucuyu aktarım saymamak.
• Web sitesine tek bir genel metin asıp çalışan, müşteri, ziyaretçi ve iş başvurusu süreçleri için ayrı metin hazırlamamak; farklı birimlerde farklı amaçlar ayrı aydınlatma ister (Tebliğ m.5/1-c).
• VERBİS kaydındaki kategori ve amaçlarla metnin çelişmesi (Tebliğ m.5/1-ç).
• Metnin hangi tarihte ve hangi sürümle sunulduğunun kaydını tutmamak; ispat yükü veri sorumlusundadır.
• Serbest çalışan ve danışmanlarla yapılan sözleşmelerde tarafların birbirlerinin verisini hangi sıfatla işlediğini belirlememek; bu ilişkilerde rol dağılımı için freelance sözleşmesi örneğimiz ayrıca yol gösterir.

Beyan ile KVKK Aydınlatma Metni Hazırlamak

Beyan'da sözleşme ve bilgilendirme metni üretmek için belge yüklemek zorunlu değildir: veri sorumlusunu, işlenen veri kategorilerini, amaçları ve aktarım yapılan tarafları talimat olarak yazmanız yeterlidir; mevcut bir metniniz varsa PDF, DOCX veya görsel olarak yükleyip "Belge İnceleme" ile m.10 ve Tebliğ unsurlarına göre denetletebilirsiniz. Çıktı DOCX, PDF veya UDF olarak alınır; son hukuki denetim Av.K. m.34 uyarınca avukattadır.