KISISEL-VERI-AKTARIMINDA-HAZIRLANACAK-TAAHHUTNAMELERDE-edilmesi Kurul’un yurt dışına aktarım izni vermesi açısından önem arz etmektedir.
Yeterli koruma bulunan ülke-bulunmayan ülke ayrımından bağımsız olarak KVKK m. 9/5’e göre “Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.” Bu hüküm veri aktarılacak ülke de yeterli koruma bulunsa da bulunmasa da uygulanır. Kişisel verilerin aktarılacağı ülkede yeterli koruma bulunsa ve KVKK m.5-6 veri işleme şartları gerçekleşse bile “ciddi anlamda menfaat ihlali”nin474 olacağı durumlarda kişisel verilerin yurt dışına aktarımı için Kurul’un izni gerekmektedir.
§6. Tarafların Hak ve Yükümlülükleri
I. Veri Sorumlusunun Yükümlülükleri
bu denetim “kişisel verilerin geleceğini belirleme hakkı”nın bir gereğidir475. Aydınlatma yükümlülüğü yerine getirilmeden yapılacak bir veri işleme (her ne kadar veri işleme şartlarını taşısa da) hukuka aykırı olacaktır. Söz konusu yükümlülük KVKK m. 10’da hükme bağlanmıştır. Hükme göre “Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi, 11. maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür.” Veri sorumluları tarafından ilgili kişilere yapılacak bilgilendirme, en azından hükümde yer alan hususları içermelidir.
Veri sorumluları, bu yükümlülüklerini yerine getirirken ayrıca Kurum tarafından RG’de476 yayınlanan “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ”e477 riayet etmelidirler.
Kişisel veriler, KVKK m. 5 veya m. 6’daki hangi veri işleme şartına bağlı olarak işlenirse işlensinler bu yükümlülüğe uyulmak zorunludur. İlgili kişinin açık rızasıyla veri işlendiği durumlarda da kişi bu yükümlülük gereği aydınlatılmalıdır. Kısacası nerede kişisel verilerin işlenmesi varsa orada aydınlatma yükümlülüğü vardır478.
AYT m. 5/f gereği “Kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak gerçekleştirilmesi halinde, aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin ayrı ayrı yerine getirilmesi gerekmektedir.” Bu maddedeki “ayrı ayrı” ibaresine özellikle
475 Kurum, Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi, Yayın No: 24, Ankara 2019, s. 8.
476 RG. 10.03.2018, S. 30356.
477 Bundan böyle AYT olarak anılacaktır.
478 AYT, m. 5/1/a
dikkat çekilmesi gerekmektedir. Bu faaliyetlerin her birinin ayrı olarak yapılması veri işlenmesine onay verecek ilgili kişinin iki kez düşünmesini sağlayacaktır. Ayrıca veri sorumlusunun aynı anda hem bir yükümlülüğünü yerine getirmesi hem de işleme için rıza alması engellenmiş olacaktır.
Aydınlatma yükümlülüğünün gerçekleştirilmesi sırasında “hukuki sebebin” net bir şekilde ilgili kişiye açıklanması gereklidir. KVKK m. 10’da belirtilen “hukuki sebep”, verileri işlerken KVKK m. 5 ve m. 6 kapsamında hangi işleme sebebine dayanıldığıdır.
Hangi işleme şartına dayanılarak veri işlendiğinin de aydınlatmada belirtilmesi gereklidir (AYT m. 1/h).
Aydınlatma yükümlülüğünde kişisel verilerin hangi işleme şartına dayanılarak işlendiği (KVKK m. 5 ve 6’da sayılan şartlar) tereddüde yer vermeyecek bir şekilde net olarak yer almalıdır. Özellikle aydınlatma metninde “gibi amaçlar için işlenmektedir”
şeklinde belirsiz ifadeler yer almamalıdır479.
Aydınlatma yükümlüğü icra edilirken uyulması gereken herhangi bir şekil şartı bulunmamaktadır. Bu yükümlülük sözlü veya yazılı şekilde fiziksel ya da elektronik ortamda gerçekleştirilebilir. Ancak aydınlatma yükümlülüğünün gerçekleştirildiğini kanıtlayacak olan veri sorumlusudur. Bu sebeple tarafımızca aydınlatma yükümlüğünün yazılı olarak yerine getirilmesi tavsiye edilmektedir. Ayrıca veri sorumlusu tarafından aydınlatma tek taraflı olarak yapılmalıdır. Bu konuda ilgili kişinin herhangi bir başvurusuna veya talebine gerek yoktur480.
479 Kurul Kararı, 02.05.2019 T., 2019/122 K. https://kvkk.gov.tr/Icerik/5461/2019/122 (E.T.: 03.04.2020).
480 AYT, m. 5/1
Veri sorumluları tarafından “katmanlı aydınlatma” yapılarak da aydınlatma yükümlülüğü gerçekleştirilebilmektedir. Kurum’un yayınladığı rehbere göre481,
“Katmanlı aydınlatma; kişisel verilerin elde edilmesi sırasında ilgili kişiye, kişisel verilerin elde edildiği konusunda ön bilgilendirme yapılarak, ilgili kişinin KVKK 10.
maddesine uygun aydınlatmaya yönlendirilmesini ifade eder.” Bu uygulamada aydınlatma metninden önce ön bir bilgi verilmekte, isteyen kişiler istemesi durumunda ön bilgilendirmede atıf yapılan asıl metne ulaşabilmektedir. Örneğin kamera kaydı yapılan bir iş yerinde bu yola başvurulabilir. Ancak yine de veri sorumlusunun kimliği ve ön bilgilendirme yapılmalıdır. “X. A.Ş olarak güvenliğinizin sağlanması için şirket binamız 7/24 kamera ile kayıt altına alınmakta ve izlenmektedir. Detaylı bilgi için şuraya bkz.” minvalindeki bir metin katmanlı aydınlatma metnine örnek olarak gösterilebilir482. Bir kozmetik firmasının mobil uygulamasından alışveriş yaparken öncelikle “veri sorumlusunun kimliği ve ön aydınlatma bilgilerinin” kısaca belirtilip ardından “Detaylı aydınlatma metni için tıklayınız.” ibaresinin bulunması da örnek teşkil eder. Yine kurumun sitesinde VERBİS kaydına başlanmadan önce yer alan “Kurumumuzca hazırlanmış olan Veri Sorumluları Sicil Bilgi Sistemi Aydınlatma Metnine bu linke tıklayarak ulaşabilirsiniz.” ibaresi katmanlı aydınlatmaya örnek olarak gösterilebilir.
Kanaatimizce ilgili kullanıcıya uzun ve karmaşık aydınlatma metinleri sunmak yerine katmanlı aydınlatma yöntemi tercih edilmelidir. Zira uygulamada karmaşık ve uzun metinlerin ilgili kullanıcılar ve hatta biz hukukçular tarafından dahi okunmadığı gözlemlenmektedir. Ancak kısa ve öz bilgilere ilk metinde yer verilmesi yerinde olacaktır. Bu sayede ilgili kullanıcı en önemli ve net bilgilere sahip olacaktır. Eğer ilgili kişi, kişisel verilerin işlenmesiyle ilgili detayları incelemek istiyorsa ilk metnin atıf
481 Kurum, Aydınlatma Yükümlülüğü, s. 8.
482 Kurum, Aydınlatma Yükümlülüğü, s. 19.
yaptığı detaylı metinde bu isteğini gerçekleştirebilecektir.
Aydınlatma yükümlülüğü, ilgili kişinin anlayacağı bir dille yapılmalıdır. Teknik ve hukuki tabirlere yer verilmesinden kaçınılmalı, yer verilecekse bu ifadeler ilgili kişinin anlayacağı bir şekilde açıklanmalıdır. Zira aksi durum veri sorumlularının kanuni bir prosedürü aşma çabasından öteye gidemeyecektir.
Kişisel verilerin ileride farklı amaçlarla da işlenebileceği çağrıştıran ibareler kullanılmamalıdır. Örneğin “Kişisel verilerinizi yeni hizmetler geliştirmek için kullanabiliriz.” şeklinde genel ve belirsiz ifadelere yer verilmemelidir483. Ayrıca veri sorumlusunca VERBİS’e girilen bilgilerle ilgili kişiye verilen bilgiler arasında tutarsızlık olmamalı, bilgiler uyuşmalıdır.
Kural olarak, işlenecek kişisel veriler ilgili kişilerden elde edilir. KVKK, aksi durumu düzenlememiştir. Ancak AYT m. 6’da “Kişisel verilerin ilgili kişiden elde edilmemesi halinde aydınlatma yükümlülüğü” düzenlenmiştir. Buna göre ilgili kişiden verilerin toplanamadığı, ilgili kişiye ulaşılamaması gibi haller söz konusu olabilir. Bu hallerde işlenen veriler doğrudan ilgili kişiden elde edilemiyorsa, “kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde” ilgili kişiyi aydınlatma yükümlülüğü gerçekleştirilmelidir.
Daha önce de ifade ettiğimiz gibi, KVKK m. 28/1’de düzenlenen hallerde zaten KVKK uygulama alanı bulmayacaktır. KVKK m. 28/2’deki hallerde ise KVKK’nın bazı hükümlerinin uygulanmayacağı hükme bağlanmıştır. Bu hükümler arasında aydınlatma yükümlülüğü (m. 10) maddesi de vardır. Sonuç olarak KVKK m. 28/2’ye giren hallerde KVKK m. 10 uygulanmayacaktır. Bu nedenle söz konusu hallerde veri sorumlusunun aydınlatma yapma zorunluluğu doğmayacaktır.
483 Kurum, Aydınlatma Yükümlülüğü, s. 14-15.
Aydınlatma yükümlülüğün yerine getirilmemesi, KVKK m. 18’de kabahat olarak nitelendirilmiş ve idari para cezası yaptırımına bağlanmıştır. Buna göre, “KVKK 10.
maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası verilir.”