Kişisel Verilerin Korunması Bağlamında Açık Rıza ve Aydınlatma Yükümlülüğü

1)Genel Olarak
Dünyada yaşanan gelişmeler doğrultusunda sosyal ve ekonomik alanda yaşanan etkileşimler sonucu bir hizmetin sunumu, bir görevin yerine getirilmesi vb. faaliyetlere bağlı olarak bireylere ilişkin veriler gerçek ve tüzel kişiler tarafından elde edilmektedir. Bu veri toplanması ve işlenmesine ilişkin şartlar tüm dünyada olduğu gibi ülkemizde de kanuni bir zemine oturtulmuştur. 7 Nisan 2016 tarih ve 29677 sayılı Resmî Gazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Korunması Kanunu ile birlikte gerçek ve tüzel kişilerin etkileşimde oldukları kişilere ait kayıt altına alınan veriler düzenlenmiştir. Kişisel Verilerin Korunması Kanunu; 95/46/EC Sayılı Kişisel Verilerin Korunmasına İlişkin Avrupa Birliği Direktifi, daha sonra yayımlanarak yürürlüğe giren ve direktifin yerini alan AB Parlamentosu ve Konseyi’nin 27 Nisan 2016 tarihli ve 2016/679 sayılı Avrupa Birliği Genel Veri Koruma Tüzüğü ile 28 Ocak 1981 tarihinde Strazburg’da imzalanan 108 sayılı “Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi” ile uyumlu bir yasal düzenlemedir.
Kişisel verilerin işlenme amaçlarını ve yöntemlerini belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişilere “veri sorumlusu” adı verilmektedir. Veri sorumlularının kişisel verilerin korunması ve veri işleme faaliyetlerine ilişkin olarak dikkat etmesi gereken hususların başında ilgili kişiden açık rıza alınması ve bu kapsamda aydınlatma yükümlülüğüne uyulması meselesi gelmektedir. Bir kişisel verinin işlenip depolanabilmesi için ilgili kişinin bu konuda bilgilendirilmesi ve kanunda belirtilen haller dışında rızasının alınması şart koşulmuştur. 10 Mart 2018 tarihinde Resmi Gazete’de yayımlanan “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ”in 5. maddesinde veri sorumluları tarafından açık rıza alınması ve aydınlatma yükümlülüğünün yerine getirilmesinin gerekliliği vurgulanmıştır:
Usul ve esaslar
MADDE 5 – (1) Veri sorumlusu ya da yetkilendirdiği kişi tarafından sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle aydınlatma yükümlülüğünün yerine getirilmesi esnasında aşağıda sayılan usul ve esaslara uyulması gerekmektedir:
.
.
.
f) Kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak gerçekleştirilmesi halinde, aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin ayrı ayrı yerine getirilmesi gerekmektedir.
Bir kişinin kişisel veri niteliğindeki bilgisi sözlü, yazılı vb. ne şekilde toplanırsa toplansın mutlaka ilgili kişinin bu konuya dair bilgisi ve bilgisi sonucunda beyan ettiği açık rızası bulunmalıdır. Aksi takdirde veri sorumluları hukuki ve cezai yönden sorumluluk altına girecektir.

2)Kişisel Verilerin Korunması Bağlamında Açık Rıza Kavramı

Kanunda açık rıza kavramı; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak ifade edilmiştir. İstisna haller saklı olmak üzere, kişisel verilerin işlenebilmesi için ilgili kişinin açık rızasına ihtiyaç duyulmaktadır. Ancak bu açık rızanınvarlığı halinde veri işleme ve saklama prosedürleri uygulamaya konabilecektir.
Açık rızanın üç unsuru bulunmaktadır. Bunlar açık rızanın belirli bir konuya ilişkin olması, rızanın bilgilendirmeye dayanması ve rızanın özgür iradeyle açıklanmasıdır. Öncelikle ilgili kişi tarafından rıza verilecek konunun çerçevesi, veri sorumlusu veya görevlendirilen kişi tarafından net bir şekilde çizilmelidir. Genel kapsamda bir kişisel veri işleme rızası geçerli olmayacaktır. İkinci olarak, ilgili kişi tarafından verilen rıza bir bilgilendirme sürecinin sonunda gerçekleşmelidir. Aydınlatma yükümlülüğü kapsamında ilgili kişi, kişisel verisini işleyen kişiler ve hangi amaçla veri işleme işleminin yapıldığı gibi hususlarda bilgilendirme hakkına sahiptir. Son olarak verilen rıza özgür iradenin sonucu meydana gelmiş bir irade beyanı olmalıdır. Rıza beyanına ilişkin cebir, tehdit, hile, hata gibi iradeyi sakatlayıcı unsurlar bulunmamalı; ayrıca rıza verilmesi bir ürün veya hizmetin sunulmasına ya da ürün veya hizmetten yararlandırılmasına ilişkin ön şart olarak ileri sürülmemelidir.
Açık rıza herhangi bir şekil şartına tabi değildir. Kanundaki unsurları taşıması ve ispatlanabilir olması şartıyla yazılı, sözlü, elektronik vb. şekillerde açık rıza alınması mümkündür. Açık rızanın alındığı konusunda ispat yükü veri sorumlusu üzerindedir.

3) Aydınlatma Yükümlülüğünün Kapsamı ve Uygulanması

a)Veri Sorumlularının Aydınlatma Yükümlülüğü

Aydınlatma yükümlülüğü, veri sorumluları ya da yetkilendirdikleri kişiler tarafından kişisel verileri işlenen ilgili kişilere bu verilerinin kim tarafından, hangi amaçlarla ve hukuki sebeplerle işlenebileceği; kimlere hangi amaçlarla aktarılabileceği hususunda bilgi verilmesi ödevidir. Veri sorumlusu, kişisel verisi işlenecek ilgili kişiye dair işlem yapmadan önce aydınlatma yükümlülüğü kapsamında bilgilendirme yapmak durumundadır. Bu yükümlülük, ilgili kişi açısından da kişisel verisinin korunmasına dair temel bir haktır. Anayasamızda da kişisel verileri işlenen kişilerin bilgi sahibi olma hakkı vurgulanmıştır. Anayasanın 20.maddesinde kişisel verilerin işlenme amacının öğrenilmesine ilişkin : “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar.
Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” denilerek kişisel verilerin işlenmesi bakımından aydınlatma yükümlülüğünün bulunduğu ve ilgili kişilerin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme haklarının olduğu ortaya
konmuştur.

b)Kapsam ve Uygulanması

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10. maddesinde aydınlatma yükümlülüğünün esas ve kapsamı gösterilmiştir:
Veri sorumlusunun aydınlatma yükümlülüğü
MADDE 10- (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili
kişilere;
a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
b) Kişisel verilerin hangi amaçla işleneceği,
c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,
d) 11 inci maddede sayılan diğer hakları,
konusunda bilgi vermekle yükümlüdür.

Aydınlatma yükümlülüğünün yerine getirilebilmesi için ilgili kişiye asgari olarak 10.maddede sayılan hususlarda bilgi verilmelidir. Bu kapsamda öncelikle kişisel verilerin işlenmesi ve saklanmasından sorumlu veri sorumlusu ve varsa temsilcisinin kimler olduğuna dair ilgili kişi aydınlatılmalıdır. Bununla birlikte kişisel verilerin işlenme amacı, işlenecek bu verilerin kimlerle ve hangi amaçlarla paylaşılabileceği, veri toplama işleminin hangi metotla gerçekleştirileceği ve işlemin hukuki sebebi konularında veri sorumlusunun aydınlatma yükümlülüğü söz konusudur. Aydınlatılacak ilgili kişi aynı zamanda Kanunun 11. maddesinde düzenlenen haklarıyla ilgili de bilgi sahibi edilecektir. Veri sorumlusu veya
yetkilendirdiği kişiler, aydınlatma yükümlülüğünü yerine getirirken kanuna hem de aydınlatma yükümlülüğünün uygulanmasına ilişkin çıkarılan tebliğe uygun davranmakla yükümlüdür.
Kanunda tahdidi olarak gösterilen bu konular asgari ve zorunlu tutulmuştur. Veri sorumluları veya yetkili kişiler tarafından bu konuları da içerir daha geniş kapsamlı aydınlatma yapılması mümkündür. Aydınlatma yükümlülüğünün ne şekilde yerine getirilmesi gerektiği konusunda kanun bir sınırlama getirmemiştir. Veri sorumlusunun yükümlülüğünü yerine getirmeye kabil olmak üzere her şekilde bu bilgilendirme yapılabilecektir.
Aydınlatma yükümlülüğü birçok alternatif yöntemle yerine getirilebilecektir. Veri sorumlusu ya da yetkili kişi tarafından sözlü olarak bilgilendirme yapılması mümkündür. Bununla birlikte internet sitesine konulacak yazı ya da görev yapılan yerlere asılacak bilgi yazısı ile de aydınlatma yükümlülüğü yerine getirilebilecektir. Gelişen teknolojiyle birlikte elektronik
ortamda da bilgilendirme yoluna gidilebilir. Bu aydınlatmayı operatör görüşmesi öncesi ses kaydı yoluyla veya elektronik ortamda açılan belgeye ek olarak çıkacak sayfa yoluyla da
yerine getirmek mümkündür.
Hangi yöntemin benimsendiğine bakılmaksızın aydınlatma yükümlülüğünün öncelikle yazılı bir metin haline getirilmesi veri sorumlusuna kolaylık sağlayacaktır. İlgili kişilere yapılacak aydınlatma açık ve anlaşılır olmalıdır. Bu noktada aydınlatmanın teknik tabir ve terminolojiye boğulmadan sade bir dille yapılması önem arz etmektedir. Dikkat çekilmesi gereken bir başka nokta da aydınlatmanın doğruluğunun ve güncelliğinin korunmasıdır. Değişen şartlar ve standartlara göre yapılacak bilgilendirme güncellenmeli, ayrıca ilgili kişilerden alınan dönüşlere göre metinde gerekli düzeltmeler yapılmalıdır.
Kişisel Verilerin Korunması Kanunu uyarınca aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk Lirasına kadar idari para cezası uygulanır. İdari para cezasına hükmetme yetkisi Kişisel Verilerin Korunması Kurulu’na aittir. Kurul, veri sorumlusunun mali durumu ve ihlalin niteliğine göre kanunda belirtilen aralıkta bir cezaya hükmedecektir. Buna ek olarak veri sahibinin bir zarara uğraması halinde tazminat
talep etme hakkı da saklıdır.

c)Kişisel Verilerin İlgili Kişiden Elde Edilmemesi Halinde Aydınlatma Yükümlülüğü

Veri sorumluları, kimi durumlarda kişisel verilerin ilgili kişilerden elde edilememesi sorunuyla karşı karşıya kalabilmektedir. Bu sorun verilerin işlenmesinden önce aydınlatma yükümlülüğünün nasıl yerine getirileceği sorununu da beraberinde getirmektedir. Bu soruna ilişkin olarak Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 6. maddesinde düzenlemeye yer verilmiştir. Düzenlemeye göre ; kişisel verilerin ilgili kişiden elde edilmemesi halinde kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde, kişisel verilerin ilgili kişi ile iletişim amacıyla kullanılacak olması halinde ilk iletişim kurulması esnasında, kişisel verilerin aktarılacak olması halinde ise en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada ilgili kişiye karşı aydınlatma yükümlülüğü yerine getirilecektir.
Av.Erdem ARDA AKAY Av. Yalçın TORUN

UYARI
Web sitemizde yayımlanan yukarıdaki yazılı metnin, eser sahipliği hakları Av.Yalçın TORUN’a ve Av.Erdem Arda AKAY’a aittir. Bu yazılı metin hak sahipliğinin tespiti amacıyla zaman içerikli elektronik imza ile muhafaza edilmektedir. Sitemizdeki yazılı metinler avukat meslektaşlarımız tarafından dilekçelerinde serbestçe kullanılabilir, fakat metinlerin
tamamının, bir kısmının veya özetinin atıf yapılmaksızın başka web sitelerinde yayınlanmasına iznimiz yoktur.