KVKK Aydınlatma Metni Şablonu İzmir

Kısa Cevap

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10. maddesi, veri sorumlularına kişisel veri toplamadan önce veri sahibini aydınlatma zorunluluğu getirir. Bu yükümlülük; veri sorumlusunun kimliğini, verilerin hangi amaçla işleneceğini, kimlere aktarılacağını ve veri sahibinin sahip olduğu hakları kapsayan bir aydınlatma metninin sunulmasını gerektirir. Yükümlülüğün yerine getirilmemesi 100.000 - 1.000.000 TL arasında idari para cezasına neden olur.

Aydınlatma Metni Nedir, Neden Zorunlu?

Aydınlatma metni (ya da aydınlatma yükümlülüğü bildirimi), bir veri sorumlusunun kişisel veri işlemeden önce veri sahibine sunmakla yükümlü olduğu yazılı açıklamadır. KVKK m.10 uyarınca bu yükümlülük kural olarak veri işlenmeden önce yerine getirilmek zorundadır.

Aydınlatmanın amacı bilgi asimetrisini gidermektir: Kişisel verileri toplayan taraf, hangi verileri neden topladığını ve ne yapacağını bilirken veri sahibi çoğu zaman bu sürecin farkında bile değildir. Aydınlatma yükümlülüğü, bu dengesizliği kısmen gidererek veri sahibine bilinçli bir tercih yapma imkânı tanır.

Aydınlatmanın zorunlu olduğu durumlar:

• Web sitesi üzerinden üyelik veya iletişim formu dolduran ziyaretçilerden veri toplandığında
• Çağrı merkezi aramalarında ses kaydı alındığında
• İş başvurusu esnasında özgeçmiş ve kişisel bilgi toplandığında
• Güvenlik kamerası görüntüsü kaydedildiğinde
• E-ticaret siparişinde müşteri bilgisi işlendiğinde
• Mobil uygulama üzerinden kullanıcı verisi toplandığında
• Çerez (cookie) veya benzeri izleme teknolojileri kullanıldığında

Yasal dayanak:

KVKK m.10, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (RG: 10.03.2018) ve KVKK Kurulu’nun 2019/365 sayılı kararı bu yükümlülüğün içeriğini ve sınırlarını belirler.

Aydınlatma Metni ile Açık Rıza Farkı

Bu iki kavram sıklıkla karıştırılır; ancak hukuki işlevleri farklıdır:

Önemli bir husus: Açık rıza, ancak yeterli aydınlatma yapıldıktan sonra geçerli biçimde alınabilir. KVKK Kurulu’nun çeşitli kararlarında, aydınlatma metninde belirsiz veya yanıltıcı ifadelerin yer alması nedeniyle açık rızanın geçersiz sayıldığı görülmektedir.

Ayrıca veri işleme her zaman açık rıza gerektirmez: Sözleşmenin ifası, yasal yükümlülük veya meşru menfaat gibi hukuki gerekçeler mevcutsa açık rıza aranmaz; ancak aydınlatma yükümlülüğü bu hallerde de devam eder.

Zorunlu İçerik: KVKK m.10’un 5 Elementi

KVKK m.10 ve ilgili Tebliğ uyarınca aydınlatma metni en az şu beş unsuru içermelidir:

1. Veri Sorumlusunun Kimliği Şirket unvanı, adresi, ticaret sicil numarası ve iletişim bilgileri açık biçimde yer almalıdır. Veri sorumlusu temsilcisi atanmışsa temsilcinin bilgileri de eklenmelidir.

2. Kişisel Verilerin İşlenme Amacı Her veri kategorisi için ayrı ayrı ve somut işleme amacı belirtilmelidir. “Yasal yükümlülükler” veya “hizmet iyileştirme” gibi muğlak ifadeler tek başına yeterli değildir; hangi yükümlülük, hangi hizmet oldukları açıklanmalıdır.

3. Kimlere ve Hangi Amaçla Aktarıldığı Veriler; yurt içindeki iş ortakları, tedarikçiler, grup şirketleri, kamu kurumları veya yurt dışındaki alıcılara aktarılıyorsa her aktarım grubu ve aktarım amacı ayrıca belirtilmelidir.

4. Veri Toplamanın Hukuki Sebebi ve Yöntemi Verilerin hangi hukuki gerekçeye (açık rıza, sözleşme ifası, yasal yükümlülük vb.) dayandığı ve hangi yöntemle toplandığı (form, çerez, ses kaydı, kamera vb.) açıklanmalıdır.

5. Veri Sahibinin Hakları (KVKK m.11) Veri sahibine şu hakların tanındığı metinde açıkça yer almalıdır:

• Kişisel verilerin işlenip işlenmediğini öğrenme
• İşlenmişse bilgi talep etme
• İşlenme amacı ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içi veya yurt dışı aktarım bilgisi talep etme
• Eksik veya yanlış işlenmişse düzeltilmesini isteme
• KVKK m.7 kapsamında silinmesini veya yok edilmesini talep etme
• Düzeltme ve silme işleminin aktarılan üçüncü kişilere bildirilmesini isteme
• Verilerin otomatik sistemle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme
• Hukuka aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etme

Hangi Kanallarda Aydınlatma Zorunlu?

Web Sitesi ve Mobil Uygulama Kişisel veri toplandığı her noktada (kayıt formu, iletişim formu, alışveriş sepeti, abone olma butonu vb.) aydınlatma metni bağlantısı erişilebilir olmalıdır. Çerezler için ayrıca bir Çerez Politikası gereklidir.

Çağrı Merkezi Arama başında “görüşmeniz kalite ve eğitim amacıyla kaydedilmektedir” gibi sözlü aydınlatma yapılmalı; tam aydınlatma metni yazılı kanal üzerinden de erişilebilir kılınmalıdır.

Güvenlik Kamerası İşyerine veya kapalı alana giriş noktasında görünür biçimde bildirim tabelası asılmalıdır. Tabela; veri sorumlusu kimliği, kameranın amacı ve daha fazla bilgi için iletişim bilgisini içermelidir.

Fiziki Form ve Sözleşme Kağıt formlar, sözleşmeler veya başvuru belgelerinde imza alınmadan önce aydınlatma metni okunmak üzere sunulmalıdır. Formun alt kısmına “aydınlatma metnini okudum ve anladım” onay kutusu eklenebilir; ancak bu onay açık rıza değil, aydınlatmanın gerçekleştiğinin kaydıdır.

İnsan Kaynakları (İşe Alım) Özgeçmiş toplarken, iş başvurusu alırken ve personel bordrosunu işlerken ayrı bir işe alım sürecine özgü aydınlatma metni hazırlanması önerilir.

Sektöre Özel Notlar

E-Ticaret Sipariş verisi, ödeme bilgisi, teslimat adresi ve davranışsal profil ayrı veri kategorileri olarak işlendiğinden aydınlatma metni kapsamlı ve ayrıntılı olmalıdır. Kargo ve ödeme altyapısı sağlayıcıları ile yapılan veri aktarımları mutlaka belirtilmelidir.

Sağlık Hizmetleri Sağlık verisi “özel nitelikli kişisel veri” (KVKK m.6) kategorisindedir ve işlenmesi için açık rıza zorunludur. Aydınlatma metni bu veriler için ayrıca detaylandırılmalı; Sağlık Bakanlığı’na yapılan zorunlu bildirimler aydınlatmada yer almalıdır.

Muhasebe ve Finans Vergi Usul Kanunu ve Sosyal Güvenlik mevzuatı kapsamında tutulan kayıtların hukuki dayanağını aydınlatma metninde açıklamak, “yasal yükümlülük” gerekçesine atıf yaparak açık rıza ihtiyacını ortadan kaldırır.

İnsan Kaynakları ve İşe Alım Çalışan verisi için ayrı bir çalışan aydınlatma metni hazırlanmalıdır. İş başvuru sahipleri için de ayrı bir aday aydınlatma metni gereklidir. Biometric devamlılık sistemleri (parmak izi, yüz tanıma) için ise her çalışanın ayrıca açık rızası alınmalıdır.

Tam Şablon Aydınlatma Metni

Aşağıdaki şablon KVKK m.10 ve Tebliğ gerekliliklerini karşılayacak biçimde hazırlanmıştır. Köşeli parantez içindeki alanları kendi işletmenize göre doldurunuz.

[ŞİRKET UNVANI] KİŞİSEL VERİLERİN KORUNMASI AYDINLATMA METNİ

Veri Sorumlusu: [Şirket Unvanı], [Adres], [Vergi No], [İletişim e-postası]

1. Hangi Kişisel Verilerinizi İşliyoruz? [Örn.: Ad-soyad, e-posta adresi, telefon numarası, teslimat adresi, IP adresi, çerez verileri, ödeme bilgileri]

2. Kişisel Verilerinizi Hangi Amaçlarla İşliyoruz?

• Sözleşmenin kurulması ve ifası (sipariş yönetimi, teslimat)
• Yasal yükümlülüklerin yerine getirilmesi (fatura, muhasebe)
• Müşteri hizmetleri ve destek
• [Ek amaç varsa belirtin]

3. Kişisel Verilerinizi Kimlere Aktarıyoruz?

• Kargo ve lojistik hizmeti sağlayıcıları (teslimat amacıyla)
• Ödeme altyapısı sağlayıcıları (işlem güvenliği amacıyla)
• Yetkili kamu kurumları ve düzenleyici otoriteler (yasal yükümlülük kapsamında)
• [Yurt dışı aktarım varsa belirtin; aktarılan ülke ve güvence mekanizmasını açıklayın]

4. Kişisel Verilerinizi Nasıl Topluyoruz? Verileriniz; web sitemiz, mobil uygulamamız, telefon görüşmeleri ve fiziki başvurular aracılığıyla otomatik veya manuel yöntemlerle toplanmaktadır.

5. Saklama Süresi Kişisel verileriniz, ilgili mevzuatta öngörülen süre boyunca veya işleme amacının gerektirdiği süre kadar saklanır; bu sürenin sona ermesinin ardından silinir, yok edilir veya anonim hale getirilir.

6. Haklarınız (KVKK m.11) Veri sahibi olarak; işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme, aktarım bilgisi isteme, otomatik kararlara itiraz etme ve tazminat talep etme haklarına sahipsiniz. Bu haklarınızı kullanmak için [e-posta] adresine veya [adresine] yazılı başvuru yapabilirsiniz.

Son Güncelleme: [Tarih]

Sık Yapılan Hatalar

KVKK Kurulu kararlarında ve şikâyet süreçlerinde en sık rastlanan 6 hata şunlardır:

1. Genel ve muğlak ifadeler kullanmak “Hizmetlerimizi geliştirmek” veya “yasal gereklilikler” gibi belirsiz ifadeler tek başına yeterli değildir. Her veri kategorisi için somut amaç belirtilmelidir.

2. Aktarılan tarafları belirtmemek Çerez araçları (Google Analytics, Facebook Pixel), kargo firmaları veya bulut altyapısı sağlayıcıları gibi veri aktarımı yapılan üçüncü taraflar mutlaka sayılmalıdır.

3. Aydınlatma ile açık rızayı birleştirmek Aydınlatma metni ve açık rıza onay kutusu tek bir metinde iç içe geçirilmemelidir. KVKK Kurulu, birleşik belgelerde açık rızanın serbestçe verilip verilmediğini sorgular.

4. Hakları eksik saymak Bazı aydınlatma metinlerinde veri sahibinin hakları yalnızca “düzeltme ve silme” ile sınırlı tutulmaktadır. KVKK m.11’deki tüm hakların eksiksiz sıralanması zorunludur.

5. Erişimi zorlaştırmak Aydınlatma metninin yalnızca gizlilik politikasının son paragrafında yer alması, küçük punto veya gri yazı rengiyle sunulması erişilebilirlik ihlali olarak değerlendirilebilir.

6. Güncellememek Yıl önce hazırlanan aydınlatma metni güncellenmeden kullanılmaya devam edilmekte; yeni hizmetler, iş ortakları veya veri kategorileri metne yansıtılmamaktadır.

Ceza Riskleri (KVKK m.18/1)

KVKK m.18/1-a uyarınca aydınlatma yükümlülüğünü ihlal eden veri sorumlusuna 100.000 TL ile 1.000.000 TL arasında idari para cezası uygulanır. Ceza miktarı belirlenirken ihlal süresi, etkilenen veri sahibi sayısı ve veri sorumlusunun ölçeği dikkate alınır.

2023-2025 döneminde KVKK Kurulu’nun aydınlatma yükümlülüğü ihlali nedeniyle verdiği kararlardan öne çıkanlar:

• Web sitesi çerez aydınlatmasının eksikliği nedeniyle 500.000 TL ceza (e-ticaret sektörü)
• İşe alım sürecinde aydınlatma yapılmaması nedeniyle 200.000 TL ceza (insan kaynakları)
• Kamera aydınlatma tabelasının bulunmaması nedeniyle 150.000 TL ceza (perakende)

İzmir İşletmeleri İçin Pratik Kontrol Listesi

İzmir’deki işletmeler için KVKK aydınlatma uyumu kontrol listesi:

• Web sitesinde aydınlatma metni bağlantısı her sayfanın altbölümünde görünür mü?
• Form gönderme noktalarında (iletişim, üyelik, teklif) aydınlatma metni sunuluyor mu?
• Çerez bildirimi (cookie banner) ayrıca hazırlandı mı?
• Çalışanlar için ayrı bir çalışan aydınlatma metni mevcut mu?
• Güvenlik kamerası bulunan her giriş noktasında bildirim tabelası var mı?
• Aydınlatma metni son 12 ayda gözden geçirildi mi?
• Yurt dışı veri aktarımı yapılıyorsa bu aktarım ve dayanağı metinde yer alıyor mu?
• Aydınlatma metni dilsiz kişilere veya yabancı dil kullanıcılarına nasıl sunuluyor?

Bu listedeki maddelerden herhangi birinin yanıtı “hayır” ise, KVKK uyum sürecinizi gözden geçirmeniz ve bir bilişim hukuku avukatı ile çalışmanız önerilir.

Sık Sorulan Sorular

Aydınlatma metni şablonu indirip kullanabilir miyim?

Genel şablonlar başlangıç noktası olarak kullanışlıdır; ancak şablonun işletmenizin somut veri işleme faaliyetlerine, sektörünüze ve kullandığınız araçlara göre özelleştirilmesi zorunludur. Hazır şablonu değiştirmeden kullanan işletmelerin Kurul incelemelerinde “yetersiz aydınlatma” gerekçesiyle ceza aldığı görülmektedir.

KVKK Kurulu’na nasıl başvurulur?

KVKK m.13 ve m.14 uyarınca veri sorumlusuna başvuru yapıldıktan sonra 30 gün içinde yanıt alınamazsa veya yanıt yeterli görülmezse Kişisel Verileri Koruma Kurulu’na (kvkk.gov.tr) online şikâyet başvurusu yapılabilir.

Küçük ölçekli işletmeler de yükümlü mü?

Evet. KVKK m.10 kapsamında veri işleyen her gerçek veya tüzel kişi aydınlatma yükümlülüğüne tabidir. İşletme büyüklüğü yükümlülüğü ortadan kaldırmaz; ancak Kurul cezaları belirlerken ölçeği dikkate alır.

KVKK uyum süreciniz için profesyonel destek almak isterseniz iletişim sayfamız üzerinden ulaşabilir, VERBİS kaydı ve KVKK danışmanlığı hizmetlerimizi inceleyebilirsiniz.