Veri Sorumlularının Aydınlatma Yükümlülüklerinin Kapsamı 21 Kasım 2019
Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade eder. Tüzel kişiler, kişisel verileri işleme konusunda gerçekleştirdiği faaliyetler kapsamında bizatihi kendileri “veri sorumlusu” olup, ilgili düzenlemelerde belirtilen hukuki sorumluluk tüzel kişinin şahsında doğacaktır.
Veri sorumlularının 6698 sayılı Kişisel Verilerin Korunması Kanununun (“Kanun”) 10. maddesi doğrultusunda, kişisel verisini işlediği ilgili kişileri aydınlatma yükümlülüğü vardır. Aydınlatma yükümlülüğü, veri sorumluları için bir yükümlülük olmakla beraber kişisel verisi işlenen kişiler için de bir hak olarak karşımıza çıkmaktadır. Bu yükümlülük, ilgili kişilerin kişisel verileri üzerinde kontrol ve denetim yetkisinin sahip olduğunun en önemli göstergesidir. Kişisel verileri işlenen kişiler doğru bir şekilde bilgilendirmeyi ifade eden aydınlatma yükümlülüğü, kişisel veri işlemenin hukuka uygun şekilde yerine getirilmesi için olmazsa olmaz bir şarttır. Aydınlatma yükümlülüğünün yerine getirilebilmesi için, kişisel verileri işlenen kişi asgari olarak Kanun’un 10. maddesinde sayılan şartlar hakkında bilgilendirilmiş olmalıdır. Veri sorumlusu aydınlatma yükümlülüğünü yerine getirirken, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’e (“Tebliğ”)uymalıdır.
Aydınlatma yükümlülüğü, kişisel verisi işlenen ilgili kişinin talebine bağlı bir yükümlülük değildir. İlgili kişinin açık rızasının ya da diğer kişisel veri işleme şartlarının bulunması durumunda dahi veri sorumlusu, aydınlatma yükümlülüğünü yerine getirmelidir. Çünkü aydınlatma yükümlülüğü gerek açık rıza gerekse de Kanun’daki diğer kişisel veri işleme şartlarından bağımsız olarak yerine getirilmesi gereken bir yükümlülüktür.
- Kişisel Verilerin İlgili Kişilerden Elde Edilmesi Halinde Aydınlatma
Kanun’a göre kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişilerce, ilgili kişilerin bilgilendirilmesi gerekmektedir. Aydınlatma yükümlülüğüne ilişkin hükümlerin yer aldığı Kanun’un 10. maddesine göre ilgili kişilere aydınlatma yükümlülüğü yerine getirilirken veri sorumlusu veya yetkilendirdiği kişilerce yapılacak bu bilgilendirmenin asgari olarak aşağıdaki şartları içermesi gerekmektedir:
1.Veri sorumlusunun ve varsa temsilcisinin kimliği
Veri sorumlusu ve varsa temsilcisi, aydınlatma sırasında kimliğini ortaya koyan bilgileri ve kendisiyle farklı yöntemlerle kolaylıkla iletişime geçilebilecek iletişim bilgilerini açıklamalıdır. Örneğin; veri sorumlusu tüzel kişi ise tüzel kişinin unvanı, gerçek kişi ise gerçek kişinin adı soyadı, yurtdışında yerleşik veri sorumlusu ise, atadığı veri sorumlusu temsilcisinin adı / unvanı gibi kimlik bilgileri ile telefon numarası, e-posta adresi, internet adresi veya posta adresi gibi iletişim bilgileri belirtilmelidir.
2. Kişisel verilerin hangi amaçla işleneceği
Tebliğin 5. maddesi birinci fıkrasına göre; aydınlatma yükümlülüğü yerine getirilirken işleme amacının belirli, açık ve meşru olması gerekir. Ayrıca bilgilendirmede; genel nitelikte, muğlak ve gündeme gelmesi muhtemel başka amaçlar için işlenebileceği kanaatini uyandıran ifadelerden kaçınılmalıdır.
3. Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
Tebliğ’in 5. maddesine göre, veri sorumlusunca aydınlatma yükümlülüğü yerine getirilirken kişisel verilerin aktarılma amacı ve aktarılacak alıcı grupları da açıkça belirtilmelidir. Kişisel verilerin yurt içinde ve yurt dışına aktarımı hususları Kanun’un 8 ve 9. maddelerinde düzenlenmiştir. Buna göre veri sorumluları, işlemekte oldukları kişisel verilerin yurtiçinde ve yurtdışına aktarımı durumunda bu hükümlere uygun hareket etmek zorundadır. Söz konusu alıcı gruplarına iş ortağı, tedarikçi, iştirakler, hissedarlar, kanunen yetkili kamu kurum ve kuruluşları, kanunen yetkili özel hukuk kişileri, topluluk şirketleri vb. örnek olarak verilebilir.
4. Kişisel veri toplamanın yöntemi ve hukuki sebebi
Tebliğin 5. maddesine göre; Kanun’un 5 ve 6. maddelerinde sayılan kişisel veri işleme şartlarından hangisine dayanılarak kişisel verinin işlendiğinin açıkça belirtilmesi gerekir. Yine bu maddeye göre; kişisel verilerin tamamen veya kısmen otomatik yollarla ya da veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerden hangisiyle elde edildiğinin açık bir şekilde belirtilmesi de gerekmektedir.
Veri sorumlusu, veri toplama yöntemi ve aracına kendisi karar verecektir
5. İlgili kişinin, Kanun’un 11. maddesinde sayılan diğer hakları
Veri sorumlusu ve varsa temsilcisi ilgili kişiye aydınlatmada bulunurken Kanun’un 11. maddesinde sayılan haklara da sahip olduğunu belirtmelidir.
- Kişisel Verilerin İlgili Kişiden Elde Edilmemesi Halinde Aydınlatma
Kişisel verilerin Kanun’a uygun bir şekilde işlenebilmesi için öncelikle kişisel verilerin ilgili kişiden elde edilmesi gerekmektedir. Ancak; Tebliğ’in 6. maddesi, kişisel verilerin ilgili kişiden elde edilmemesi halinde aydınlatma yükümlülüğünün nasıl yerine getirileceğini düzenlemiştir.
Buna göre; fiili imkânsızlık veya ilgili kişiye ulaşılamaması nedeniyle kişisel veriler doğrudan ilgili kişiden elde edilemiyorsa;
- Kişisel verinin elde edilmesinden itibaren makul bir süre içerisinde,
- Kişisel verinin ilgili kişiyle iletişim amacıyla kullanılacak olması durumunda, ilk iletişim kurulması esnasında,
- Kişisel verilerin aktarılacak olması halinde, en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada, ilgili kişiye aydınlatma yükümlülüğünün yerine getirilmesi gerekir.
For English Version: http://www.kasaroglu.av.tr/en/Scope-of-the-Data-Controller-s-Obligation-to-Inform
