Madde 10

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.10, kişisel veriler elde edilirken veri sorumlusunun veya onun yetkilendirdiği kişinin ilgili kişiyi bilgilendirmesini zorunlu kılar.1 Bu yükümlülük, ilgili kişinin talebine ya da işleme için açık rıza aranıp aranmadığına bağlı değildir.2

İlgili kişiye, veri sorumlusunun ve varsa temsilcisinin kimliği ile kişisel verilerin işlenme amacı bildirilmelidir. Bilgilendirme, kişisel verilerin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini, hukuki sebebi ve KVKK m.11'deki hakları da kapsamalıdır.3 Veri sorumlusu, dayandığı işleme şartını aydınlatma sırasında göstermelidir. Bu şartın somut olayda bulunup bulunmadığı ise KVKK m.5 veya m.6 çerçevesinde ayrıca belirlenecektir.4

Bilgi verme borcu veri sorumlusuna aittir. Bildirim, veri sorumlusunun yetkilendirdiği kişi aracılığıyla yapılabilir.1

Somut işleme faaliyetinin veri sorumlusu, aydınlatma metninde doğru unvanıyla gösterilmelidir. Metinde kullanılan unvan, veri sorumlusunun belirlenmesi için tek başına yeterli değildir. İşleme amaçlarını ve vasıtalarını fiilen kimin belirlediği de dikkate alınacaktır.2 Kişisel Verileri Koruma Kurulu, 2026/347 sayılı İlke Kararında bir kuruluşun başka bir veri sorumlusu için hazırlanmış aydınlatma metnini kendi yapısına ve faaliyetlerine uyarlamadan kullanmasını uygun bulmamıştır.3

Kişisel veri doğrudan ilgili kişiden elde ediliyorsa aydınlatma da verinin elde edildiği sırada yapılmalıdır.1 İlgili kişinin veriyi bir form aracılığıyla bizzat vermesi, doğrudan elde etmenin yalnızca bir örneğidir. Veri sorumlusunun ilgili kişiyi teknolojik araçlarla gözlemleyerek veya kaydederek elde ettiği veriler de bazı durumlarda doğrudan ilgili kişiden elde edilmiş sayılabilir.2

İşleme amacı değişirse, yeni faaliyete başlanmadan önce ilgili kişiye yeni amaç ve verilerin bu amaçla kullanılacağı açıklanmalıdır.34

Kişisel veri ilgili kişiden elde edilmemişse, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (Aydınlatma Tebliği) uyarınca aydınlatma kural olarak verinin elde edilmesinden itibaren makul süre içinde yapılır. Veri ilgili kişiyle iletişim kurmak için kullanılacaksa en geç ilk iletişimde, aktarım yapılacaksa en geç ilk aktarım sırasında yükümlülük yerine getirilmelidir.1

Genel Veri Koruma Tüzüğü (GDPR) m.14, dolaylı elde etmede aydınlatmanın en geç bir ay içinde yapılmasını öngörür. İlk iletişim ve ilk aktarım için de ayrı zaman sınırları belirler.2 Aydınlatma Tebliğinde gün olarak belirlenmiş bir üst süre bulunmadığından GDPR'daki bir aylık süre Türk hukukuna doğrudan taşınamaz.3

KVKK m.10 ile Aydınlatma Tebliği, aydınlatmada veri sorumlusunun ve varsa temsilcisinin kimliği ile işleme amacının açıklanmasını öngörür. Kişisel verilerin aktarılabileceği kişiler ve aktarım amacı, toplama yöntemi ile hukuki sebep ve ilgili kişinin hakları da verilmesi gereken bilgiler arasındadır.1 Bu bilgiler, hangi somut işleme faaliyetine ilişkin oldukları açıkça anlaşılacak biçimde verilmelidir.23

İşleme amacı, kişisel verinin hangi faaliyet için kullanılacağını gösterir. Hukuki sebep ise bu faaliyetin KVKK m.5 veya m.6'daki hangi işleme şartına dayandığını açıklar.1 Aydınlatma Tebliği, işleme amacının belirli, açık ve meşru olmasını ve hukuki sebebin açıkça belirtilmesini öngörür.2

Kişisel Verileri Koruma Kurulu, yalnız KVKK m.5 ve m.6'ya genel olarak gönderme yapan açıklamaları belirsiz bulmuştur.3 İlgili kişi, hangi işleme faaliyetinin hangi şarta dayandığını metinden açıkça anlayabilmelidir.4

KVKK m.10'da veri kategorileri ayrı bir bilgi unsuru olarak sayılmamıştır.1 Kişisel Verileri Koruma Kurulu, 2026/347 sayılı İlke Kararında aydınlatma metninde işlenen kişisel verilerin ve veri kategorilerinin, ayrıca işleme faaliyetinin amacı ile hukuki sebebinin açık ve net biçimde belirtilmesini istemiştir.2

Kurul, 2022/229 sayılı kararında çerez politikasında hangi kişisel verinin hangi işleme amacı ve hukuki sebeple ilişkilendirildiğinin açıkça belirtilmediğini tespit etmiştir. Bu tespit üzerine politikanın KVKK m.10 ve Aydınlatma Tebliğine uygun biçimde güncellenmesine karar vermiştir.3

KVKK m.10/1-c, aktarım söz konusu olduğunda kişisel verilerin kimlere ve hangi amaçla aktarılabileceği hakkında bilgi verilmesini öngörür.1 Aydınlatma Tebliğine göre bu bilgi, aktarım amacı ve alıcı grupları belirtilerek verilmelidir.2

İlgili kişi, verilerinin hangi kişi veya kuruluşlara aktarılabileceğini metinden açıkça anlayabilmelidir.3 İlgili kişinin, KVKK m.11 uyarınca verilerinin aktarıldığı üçüncü kişileri öğrenme hakkı da vardır.4

Aydınlatma sözlü veya yazılı olarak, ses kaydı, çağrı merkezi ya da başka fiziksel veya elektronik ortamlar kullanılarak yapılabilir.1 Hangi yol seçilirse seçilsin bildirim anlaşılır, açık ve sade olmalı, eksik veya yanıltıcı bilgi içermemelidir.2

Doktrinde savunulan bir görüşe göre, katmanlı aydınlatmada ilgili kişinin işlem anında bilmesi gereken temel bilgiler ilk aşamada görünür olmalı ve ayrıntılı bilgilere kolayca erişilebilmelidir.3

Kurul, 2025/1072 sayılı İlke Kararında SMS doğrulama kodunun amacı ile kodun paylaşılmasının doğuracağı sonuçların ilk aşamada gösterilmesini istemiştir. Kararda, ayrıntılı bilgiye ulaşılabilecek kanalın da aynı aşamada belirtilmesi gerektiği açıklanmıştır.4 Karardaki bu gereklilikler, doğrulama koduyla yürütülen ürün ve hizmet sunumu akışıyla sınırlıdır.5

Aydınlatma, veri sorumlusunun yerine getirmesi gereken bilgi verme yükümlülüğüdür. Açık rıza ise ilgili kişinin belirli bir işleme faaliyetine yönelik irade açıklamasıdır.1 Açık rıza gereken bir işleme, yalnız aydınlatmanın yapılmasına dayanılarak yürütülemez.2

Kişisel Verileri Koruma Kurulu, 2026/347 sayılı İlke Kararında açık rızaya dayalı bir faaliyette aydınlatma ve açık rıza metinlerinin ayrı başlıklar altında, birbirinden bağımsız biçimde düzenlenmesi gerektiğini belirtmiştir.3 Metinler aynı sayfada sunuluyorsa her biri için ayrı beyan alınmalıdır.4 İlgili kişiden yalnız aydınlatma metnini okuduğuna ve bilgi edindiğine ilişkin geri bildirim alınabilir. Aydınlatma metni için onay veya rıza istenemez.5

Aydınlatma yükümlülüğünün yerine getirildiğine ilişkin ispat yükü veri sorumlusuna aittir.1 Veri sorumlusu, aydınlatma metninin hangi işleme faaliyeti için ve hangi aşamada sunulduğunu da göstermelidir.2

Kişisel Verileri Koruma Kurulu, 2023/1461 sayılı kararında okulda yapılan görüntü kaydının işleme şartını ve aydınlatma yükümlülüğünü ayrı incelemiş, aydınlatmanın yapıldığının ispatlanamadığı sonucuna ulaşmıştır.3

Veri sorumlusu, işleme amacı değiştiğinde yeni faaliyete başlamadan önce ilgili kişiyi yeniden aydınlattığını gösterebilmelidir. Önceki aydınlatma metninin yeni faaliyeti kapsayıp kapsamadığı değerlendirilecektir.4

KVKK m.28/2'deki istisnanın uygulanabilmesi için fıkrada sayılan hallerden biri somut olayda bulunmalıdır. İşleme faaliyeti ayrıca Kanunun amacına ve temel ilkelerine uygun ve orantılı olmalıdır.1 Kamu kurumlarının faaliyetleri kendiliğinden istisna kapsamında değildir.2

KVKK m.18/1-a, aydınlatma yükümlülüğünün yerine getirilmemesini idari para cezasıyla yaptırıma bağlar.3 Kişisel Verileri Koruma Kurulu, 2023/1461 sayılı kararda hukuka uygun bulduğu görüntü kaydı bakımından aydınlatma yükümlülüğünü ayrıca incelemiştir.4

Anayasa Mahkemesi, kurumsal e-posta hesabının işveren tarafından denetlenmesini özel hayata saygı hakkı, kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti bağlamında incelemiştir.1 Mahkeme, derece mahkemelerinin çalışana işyeri denetimi hakkında önceden yeterli bilgi verilip verilmediğini gereği gibi incelemesi gerektiğini belirtmiştir. Önceden verilecek bilgi, denetimin hukuki dayanağını, amacını ve kapsamını içermelidir. Saklama süresi, olası sonuçlar, çalışanın hakları ve verilerin muhtemel yararlanıcıları da bu bilginin kapsamındadır.2

Anayasa Mahkemesinin E.Ü. kararında KVKK m.10 doğrudan yorumlanmamıştır.3 Mahkeme, önceden açık bilgi verilmemesini çalışanın makul beklentisi bakımından dikkate almıştır.4

Genel Veri Koruma Tüzüğü (GDPR) m.12, bilgi ve iletişimin kısa, şeffaf, anlaşılır, kolay erişilebilir ve açık bir dille sunulmasını ister.1 Tüzüğün 13. maddesi, veri doğrudan ilgili kişiden elde edildiğinde verilecek bilgileri düzenler. On dördüncü madde ise veri başka bir kaynaktan elde edildiğinde verilecek bilgilere ilişkindir.2

GDPR m.13-14 ile Aydınlatma Tebliği, aydınlatmanın zamanını verinin ilgili kişiden veya başka bir kaynaktan elde edilmesine göre farklı biçimde düzenler.4 Türk hukukunda uygulanacak süre ve içerik KVKK m.10 ile Aydınlatma Tebliğine göre belirlenecektir.3