Madde 10

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bakımından aydınlatma, veri sorumlusunun kişisel veriyi elde ederken ilgili kişiyi işleme faaliyeti hakkında bilgilendirme borcudur. Kanun bu borcu, talep gelmesine veya işlemenin açık rızaya dayanmasına bağlamaz.1

Bu nedenle aydınlatma, işlemenin hukuka uygunluğunu sağlayan izin değildir. Veri sorumlusu, kimliğini, amacı, alıcı çevresini, toplama yöntemini, hukuki sebebi ve ilgili kişi haklarını bildirir.2 İşleme şartının gerçekten bulunup bulunmadığı ise aydınlatma metninden ayrı olarak KVKK m.5 veya m.6'ya göre değerlendirilir.3

Kanun, aydınlatma borcunu veri sorumlusuna yükler. Veri sorumlusunun yetkilendirdiği kişi bu bildirimi yapabilir, ancak bildirimden doğan sorumluluk veri sorumlusunda kalır.1

Bu sebeple metinde görünen ticari unvan ile işleme amaç ve vasıtalarını fiilen belirleyen kişi aynı değilse, aydınlatma metni bu farkı gizleyemez. Veri sorumlusu somut faaliyete göre belirlenecektir.2

Kurulun 2026/347 sayılı İlke Kararı da başka bir veri sorumlusu için hazırlanmış metnin faaliyete uyarlanmadan kullanılmasını hukuka aykırı uygulamalar arasında göstermiştir.3

Veri doğrudan ilgili kişiden elde ediliyorsa bilgi, kişinin veriyi verdiği veya veri sorumlusunun onu doğrudan gözlemleyip kaydettiği işlem anında sunulur.1 Zamanlama kuralı, ilgili kişinin veri elde edildiği anda işleme faaliyetinin amacını ve hukuki sebebini öğrenebilmesini sağlar.2

İşleme amacı sonradan değişirse, önceki açıklama yeni faaliyet için yeterli sayılmaz. Veri sorumlusu, yeni amaçla kullanıma başlamadan önce değişen faaliyeti ayrıca açıklamalıdır.3

Veri ilgili kişiden alınmamışsa Tebliğ, makul süreyi genel ölçüt olarak kabul eder. Veri kişiyle iletişim kurmak için kullanılacaksa ilk iletişimde, aktarılacaksa en geç ilk aktarım sırasında bilgi verilmelidir.1

Bu ayrım, veri sorumlusunun bilgiyi kişi bakımından ilk sonuç doğuran kullanıma kadar ertelememesini sağlar. GDPR m.14'teki bir aylık süre, Türk hukukundaki makul süre ölçütünü belirlemez.2

Kanundaki içerik unsurları, her veri işleme faaliyeti için aynı açıklamanın kullanılacağı anlamına gelmez. Kimlik, amaç, aktarım, toplama yöntemi, hukuki sebep ve haklar, kişinin karşılaştığı somut faaliyeti anlaşılır kılacak biçimde bir araya getirilmelidir.1

Bu çerçeve, ilgili kişiye yalnız veri sorumlusunun adını değil, verisinin hangi işlemde kullanılacağını da gösterir.2 Aydınlatmanın veriler elde edilirken yapılması, içeriğin işlemden kopuk genel bir duyuruya dönüşmesini engeller.3

Bir telefon görüşmesinin kaydedileceğinin söylenmesi, asgari unsurlar açıklanmadıkça aydınlatma yükümlülüğünü karşılamaz. Kurul, çağrı sırasında yalnız kayıt yapıldığı bilgisinin verilmesini yeterli bulmamıştır. Asgari unsurların doğrudan açıklanmasını veya katmanlı yöntemde bu unsurlara ulaşılabilecek mecraya etkili yönlendirme yapılmasını istemiştir.4

İşleme amacı, verinin hangi faaliyet için kullanıldığını açıklar. Hukuki sebep ise o faaliyetin Kanundaki hangi işleme şartına dayandığını gösterir. Aynı cümlede yan yana geçmeleri, bu iki soruyu tek soruya dönüştürmez.1

Bu ayrım özellikle metnin yalnız m.5 ve m.6'ya genel gönderme yapması halinde önem kazanır. Kurul, bu tür belirsiz anlatımları eleştirmiştir.2 Kişi, metinden hem faaliyeti hem de o faaliyete gösterilen hukuki dayanağı anlayabilmelidir.3

KVKK m.10, veri kategorisini bağımsız bir bilgi bendi olarak saymaz. Buna karşılık, faaliyetin neyi işlediği açıklanmadan amaç ve hukuki sebep de kişi bakımından belirsiz kalabilir.1

Kurulun 2026/347 sayılı İlke Kararı, işlenen veriler ve kategorileriyle birlikte faaliyetin amaç ve hukuki sebebinin açık yazılmasını istemiştir. 2022/229 sayılı çerez kararında da eksik bulunan husus, bu üç unsur arasındaki somut bağlantının metinde kurulmamasıdır.2

Aydınlatma, aktarım gerçekleşmeden önce kişiye verisinin hangi alıcı gruplarına ve hangi amaçla aktarılabileceğini gösterir.1 Bu bildirim, alıcıların tek tek sonradan öğrenilmesine ilişkin bir cevap değildir.2

Aktarım gerçekleştikten sonra ilgili kişi, KVKK m.11 uyarınca verilerinin aktarıldığı üçüncü kişileri ayrıca öğrenebilir.3 Böylece önceden açıklanan alıcı çevresi ile sonradan sorulabilecek fiili aktarım bilgisi farklı hukuki iş görür.

Aydınlatma sözlü, yazılı veya elektronik ortamda yapılabilir. Seçilen kanal ne olursa olsun metin açık, anlaşılır ve yanıltıcı olmayan bilgi vermelidir.1

Katmanlı sunum, bu ölçütü yalnız bilgi çokluğu bulunan işlemlerde somutlaştıran bir anlatım yoludur. İlk aşamada kişinin işlem bakımından bilmesi gereken bilgiye, devamında ise ayrıntıya erişebilmesi hedeflenir.2

Kurulun 2025/1072 sayılı kararı, SMS doğrulama akışında kodun amacı ve paylaşılmasının sonucuyla ayrıntılı bilgi kanalının ilk aşamada gösterilmesini istemiştir. Bu değerlendirme, bütün dijital arayüzler için değişmez bir tasarım kuralı kurmaz.3

Aydınlatma, kişinin hangi işleme ile karşı karşıya olduğunu bilmesini sağlar. Açık rıza ise ancak rızaya dayalı işlem için kişinin serbest iradesini açıklar. Bu iki hukuki işlem ayrıldığında, metinlerin biçiminden önce bilgi ile irade arasındaki sıra korunur.1

Kurulun 2026/347 sayılı İlke Kararı, açık rızaya dayalı faaliyette aydınlatma ile açık rıza metinlerinin ayrı başlıklarla ve ayrı beyanlarla düzenlenmesini istemiştir. Aydınlatma metninin okunduğuna ilişkin geri bildirim alınabilirse de bu metindeki açıklamalar için onay istenemez.2

Yeni kararlar, bu ayrılığın faaliyete özgü kurulmasını da aramaktadır. Kurul, çerez ve pazarlama süreçlerinde rıza gereken faaliyetlerin ayrı seçime bırakılmasını istemiştir. Çalışan sistemi ile işyeri kamerasına ilişkin aydınlatmalarda ise genel madde atıfları yerine somut amaç ve hukuki sebebin açıklanmasını aramıştır.3

Veri sorumlusu yalnız bir metin hazırladığını değil, aydınlatmayı hangi faaliyet için ve hangi aşamada sunduğunu ispatlar.1 Bu ispat, içeriğin faaliyete ve sunum zamanına bağlanmasını gerektirir.2

2023/1461 sayılı kararda Kurul, okulun görüntü kaydında işleme şartını ve aydınlatmayı ayrı incelemiş, aydınlatmanın yapıldığı sonucuna ulaşmamıştır.3

İşleme amacı değiştiğinde önceki ispat kaydı yeni faaliyet bakımından tek başına yeterli olmaz. Veri sorumlusu, yeni kullanımdan önce ilgili kişiyi yeniden aydınlattığını göstermelidir.4

KVKK m.28/2'deki sınırlı istisna, ancak fıkrada sayılan halin somut olayda bulunması, işlemenin Kanunun amacına ve temel ilkelerine uygun olması ve orantılılık şartıyla gündeme gelir.1 Kamu kurumu olmak bu incelemenin yerine geçmez.2

Önce somut olayda istisnanın aydınlatma borcunu dışarıda bırakıp bırakmadığı belirlenir. Uygulanabilir bir istisna yoksa, aydınlatma yükümlülüğüne uyulmaması KVKK m.18/1-a bakımından yaptırım sorusunu doğurur. Yaptırımın şartları ayrıca değerlendirilir.3 Kurulun 2023/1461 sayılı kararındaki iki ayrı inceleme de bu sıralamayı gösterir.4

Anayasa Mahkemesi, kurumsal e-posta denetiminde önceden bilgilendirmeyi çalışanın özel hayatı, kişisel verileri ve haberleşmesi bakımından anayasal güvence içinde değerlendirmiştir. İncelenecek bilginin denetimin dayanağı, amacı, kapsamı, saklama süresi, sonuçları ve muhtemel yararlanıcılarını kapsaması gerekir.1

E.Ü. kararı KVKK m.10'u doğrudan yorumlamaz. Buna rağmen, önceden bilgi verilmemesini çalışanın makul beklentisini değerlendirirken dikkate alması, işyeri denetiminde bilginin anayasal rolünü gösterir.2

GDPR m.12, şeffaf ve erişilebilir iletişimi genel ilke olarak kurar. Tüzüğün 13. maddesi doğrudan elde etmede, 14. maddesi ise başka kaynaktan elde etmede verilecek bilgileri düzenler.1

Bu ayrım, Aydınlatma Tebliğinin doğrudan ve dolaylı elde etmeye ilişkin zamanlama ayrımıyla karşılaştırma imkanı verir. Ancak Türk hukukunda uygulanacak süre ve içerik KVKK m.10 ile Tebliğe göre belirlenir.2