KVKK Aydınlatma Metni Nasıl Hazırlanır? Madde Madde Rehber

KVKK aydınlatma metni, kişisel verileri işleyen her kurumun, veriyi topladığı anda ilgili kişiyi bilgilendirmek için hazırladığı zorunlu bir belgedir. Metin; kimin, hangi veriyi, hangi amaçla, hangi hukuki sebeple işlediğini ve verinin kimlere aktarıldığını açık bir dille anlatmalıdır. Kısacası aydınlatma metni bir formalite değil, kanunun veri sorumlusuna yüklediği ve yerine getirilmediğinde idari yaptırım doğuran bir bilgilendirme borcudur.

Aydınlatma Yükümlülüğü Kime Düşer?

6698 sayılı Kanun'da bu yükümlülük veri sorumlusuna aittir. Veri sorumlusu, kişisel verilerin işlenme amacını ve yöntemini belirleyen gerçek veya tüzel kişidir. Yani müşteri kaydı tutan bir e-ticaret firması da, personel özlük dosyası oluşturan 8 kişilik bir imalathane de veri sorumlusudur.

Sahada sık gördüğümüz yanılgı, "biz küçük bir şirketiz, bize uygulanmaz" düşüncesi. Oysa muafiyet ölçütü çalışan sayısı değil, verinin işlenip işlenmediğidir. VERBİS'e kayıt zorunluluğunun kapsamı ayrı bir konudur; aydınlatma yükümlülüğü ise kayıt zorunluluğu olmayan kurumlar için de geçerlidir.

Yükümlülük, verinin toplandığı her kanal için ayrı ayrı doğar: web sitesi formu, iş başvurusu, kamera sistemi, çağrı merkezi kaydı, ziyaretçi defteri. Tek bir genel metinle tüm kanalları kapatmak, denetimlerde en çok eleştirilen noktalardan biri.

Aydınlatma Metni ile Açık Rıza Metni Farkı

Bu ikisinin karıştırılması, incelediğimiz dosyalarda en yaygın hata. Aydınlatma bir bilgilendirmedir ve her durumda yapılır. Açık rıza metni ise yalnızca başka bir hukuki sebep bulunmadığında devreye giren bir onay beyanıdır.

İki metni aynı paragrafta birleştirmek ya da rızayı hizmetin ön şartı hâline getirmek, rızayı sakatlar. Sözleşmenin kurulması, hukuki yükümlülük veya meşru menfaat gibi bir sebep varsa zaten rıza aramanıza gerek yoktur; gereksiz rıza almak da başlı başına bir uyumsuzluk riskidir.

KVKK Aydınlatma Metninde Bulunması Zorunlu Unsurlar

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, metnin asgari içeriğini net biçimde belirler. Madde madde bakalım:

1. Veri sorumlusunun kimliği: Ticaret unvanı, varsa temsilcisi, adres ve iletişim bilgisi. "Şirketimiz" gibi belirsiz ifadeler yetersizdir.
2. İşlenen kişisel veri kategorileri: Kimlik, iletişim, özlük, finans, görsel kayıt gibi somut başlıklar.
3. İşleme amaçları: "İş süreçlerinin yürütülmesi" gibi genel değil; "sipariş teslimatının sağlanması", "bordro hazırlanması" gibi belirli ve meşru amaçlar.
4. Toplama yöntemi: Elektronik form, matbu evrak, kamera, telefon kaydı gibi kanal bazlı açıklama.
5. Hukuki sebep: Kanun'un 5. ve 6. maddelerindeki hangi bende dayandığınızı açıkça yazın.
6. Aktarılan taraflar ve aktarım amacı: Muhasebe firması, kargo şirketi, bulut sağlayıcı, kamu kurumu gibi alıcı grupları.
7. Yurt dışına aktarım durumu: Yurt dışında barındırılan bir e-posta veya CRM kullanıyorsanız bunu belirtmek zorundasınız.
8. İlgili kişinin hakları: Kanun'un 11. maddesindeki tüm haklar ve bu hakların nasıl kullanılacağı.

Bu unsurlardan birinin eksikliği bile metni geçersiz kılabilir. Metnin tamamı sade, anlaşılır ve hedef kitleye uygun bir Türkçe ile yazılmalı; hukuki metin kopyalayıp yapıştırmak yerine kendi süreçlerinizi anlatmalısınız.

Adım Adım Hazırlama Süreci

Doğru sıra, metni yazmadan önce veriyi tanımaktan geçer. KOBİ'lerde uyguladığımız akış şöyle:

1. Veri envanteri çıkarın. Hangi departman hangi veriyi, nereden, ne kadar süreyle topluyor? Envanter yoksa metin de doğru olmaz.
2. Her faaliyet için hukuki sebep belirleyin. Sözleşme, kanuni yükümlülük, meşru menfaat veya açık rıza. Sebebi yoksa süreci yeniden tasarlayın.
3. Kanalları gruplayın. Çalışan, müşteri, tedarikçi, ziyaretçi, iş başvurusu gibi ilgili kişi gruplarına göre ayrı metin planlayın.
4. Taslağı yazın. Sekiz zorunlu unsuru şablona yerleştirin, cümleleri kısaltın.
5. Hukuk ve IT birlikte gözden geçirsin. Aktarım yaptığınız sunucu ve bulut sağlayıcıları IT tarafından doğrulanmalı.
6. Sunum anını kurgulayın. Metin, veri toplanmadan önce veya en geç toplandığı anda gösterilmeli.
7. İspat kaydını tutun. Hangi kullanıcıya, hangi sürümün, ne zaman gösterildiğini loglayın.
8. Yılda en az bir kez güncelleyin. Yeni bir yazılım, yeni bir aktarım demektir.

Bu adımların teknik ayağında zorlanan kurumlar için KVKK danışmanlığı hizmetimiz envanterden metin setine kadar süreci birlikte yürütmeyi kapsar.

Metni Nerede ve Nasıl Sunmalısınız?

Aydınlatma tek yönlüdür; karşı tarafın onayını gerektirmez ama ulaştığının ispatlanabilir olması gerekir. Web sitesinde ayrı bir sayfa, formun hemen üzerinde bir bağlantı, matbu evrakta okunabilir punto, kamera alanında bir tabela ve katmanlı bilgilendirme yaygın yöntemlerdir.

İstihdam süreçlerinde metni iş başvurusu anında sunmak kritiktir. Çok şirketli yapılarda özlük süreçlerini tek platformda toplayan İK izin yönetim çözümümüz Otium gibi araçlar, bilgilendirme kaydının sistemsel olarak tutulmasını kolaylaştırır.

Ayrıntılı mevzuat metinlerine ve Kurul kararlarına KVKK'nın resmî sitesinden ulaşabilirsiniz.

KOBİ'lerin En Sık Yaptığı Hatalar

• İnternetten bulunan bir metni unvan değiştirerek kullanmak.
• Aydınlatma metnini açık rıza metniyle tek belgede birleştirmek.
• Rıza kutusunu önceden işaretli bırakmak.
• Yurt dışı aktarımı hiç belirtmemek.
• Kamera sistemleri için ayrı bilgilendirme yapmamak.
• Metni bir kez yazıp yıllarca güncellememek.

Metin doğru olsa bile, altındaki teknik tedbirler zayıfsa uyum eksik kalır. Erişim yetkileri, log kaydı ve veri sızıntısına karşı kontroller için DLP veri kaybı önleme çözümleri ve ISO 27001 danışmanlığı birbirini tamamlar.

Karar Matrisi: Kendiniz mi Hazırlamalısınız?

Karar verirken ölçüt bütçe değil, taşıdığınız risktir. Özel nitelikli veri işleyen küçük bir klinik, yüz kişilik bir üretim firmasından daha yüksek riskle çalışabilir.

Yayına Almadan Önce Son Kontrol

Metni yayınlamadan önce şu üç soruyu yanıtlayın: Sekiz zorunlu unsurun tamamı var mı? Her ilgili kişi grubu için ayrı bir sürüm hazırlandı mı? Metnin sunulduğunu ispat edebilecek bir kaydınız var mı? Üçüne de "evet" diyebiliyorsanız temel yükümlülüğü karşılamışsınızdır.

Süreci kurum içinde yürütürken ikinci bir göze ihtiyaç duyarsanız bizimle iletişime geçebilir, mevcut metinlerinizin kısa bir uygunluk değerlendirmesini talep edebilirsiniz.