İlgili rehberler: Genel KVKK çerçevesi için KVKK Nedir? 2026 Kapsamlı Rehber · Sicile kayıt için VERBİS Kayıt Yükümlülüğü Rehberi · KVKK Veri Koruma Çözümü

Bir web formuna e-posta adresi girildiğinde, müşteri hizmetleri için telefon alındığında veya bir çalışan işe başlarken özgeçmişini teslim ettiğinde — her bu temas noktasında kişisel veri toplanır ve KVKK Madde 10 devreye girer. Aydınlatma yükümlülüğü, veri sorumlularının en sık ihmal ettiği ve KVKK Kurumu'nun en çok incelediği gerekliliklerden biridir. Bu rehber, doğru bir aydınlatma metninin nasıl hazırlanacağını ve nelere dikkat edilmesi gerektiğini pratik bir çerçevede açıklar.

Aydınlatma Metni Nedir?

Aydınlatma metni (ya da aydınlatma bildirimi), bir veri sorumlusunun kişisel veri toplamadan önce veya toplama anında, veri sahibine vermek zorunda olduğu bilgilerin bütünüdür. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) Madde 10 bu yükümlülüğün hukuki dayanağını oluşturur.

Aydınlatma metni, bir belge formatından çok bir yükümlülük olarak düşünülmelidir. Formlardaki küçük yazıdan e-posta bildirimlerine, bankalardaki sözlü bilgilendirmelerden mobil uygulama açılış ekranlarına kadar pek çok farklı biçimde sunulabilir. Önemli olan, veri sahibinin bilgiyi anlayabileceği bir yöntemde ve zamanda iletilmesidir.

KVKK Madde 10: Zorunlu Unsurlar

KVKK Madde 10, bir aydınlatma metninde yer alması zorunlu beş unsuru açıkça belirler:

1. Veri sorumlusunun kimliği

Kişisel verileri kim işliyor? Şirketin ticaret unvanı, adresi ve iletişim bilgileri belirtilmelidir. Veri sorumlusunun bir temsilcisi varsa — örneğin Türkiye dışında yerleşik bir şirketin atadığı veri sorumlusu temsilcisi — bu temsilcinin kimliği de yer almalıdır.

2. Kişisel verilerin işlenme amacı

Toplanan veriler hangi amaçlarla işlenecek? "Hizmet geliştirme" gibi belirsiz ifadeler değil, spesifik ve somut amaçlar belirtilmelidir. Örneğin: "Tarafınıza sipariş onayı ve kargo takip bildirimi iletmek amacıyla e-posta adresiniz işlenmektedir."

3. İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği

Veriler üçüncü kişilere (iş ortakları, bulut hizmet sağlayıcıları, kamu kurumları) aktarılıyorsa bu alıcı grupları ve aktarım amacı belirtilmelidir. Her aktarım için ayrı hukuki sebep gerekir.

4. Kişisel veri toplamanın yöntemi ve hukuki sebebi

Veriler nasıl toplandı — web formu, telefon görüşmesi, fiziksel başvuru formu mu? Daha kritik olanı: hukuki sebep açıkça belirtilmelidir. KVKK Madde 5'te sayılan hukuki sebeplerden hangisi geçerliyse — sözleşmenin ifası, veri sorumlusunun hukuki yükümlülüğü, meşru menfaat veya açık rıza — aydınlatma metninde bu sebep gösterilmelidir.

5. Veri sahibinin hakları (Madde 11)

İlgili kişinin KVKK Madde 11 kapsamında sahip olduğu haklar aydınlatma metninde sıralanmalıdır: veriye erişim, düzeltme, silme/yok etme, işlemeye itiraz, aktarım durumunda bilgi talep etme ve zararın giderilmesini talep etme hakları. Ayrıca bu hakların nasıl kullanılacağı — hangi kanal üzerinden başvuru yapılacağı — açıklanmalıdır.

Aydınlatma ile Açık Rıza: Kritik Ayrım

Uygulamada en sık karşılaşılan hata, aydınlatma metnini açık rıza onayıyla karıştırmaktır.

  • Aydınlatma yükümlülüğü (Madde 10): Veri işlemenin hukuki sebebinden bağımsız olarak her durumda yerine getirilmek zorundadır. Hukuki sebep meşru menfaat olsa bile, sözleşme ifası olsa bile — aydınlatma yapılmalıdır.

  • Açık rıza (Madde 3, 5): Yalnızca hukuki sebebin "açık rıza" olarak belirlendiği veriler için gereklidir. Bu durumda, önce aydınlatma yapılır, ardından özgür iradeyle ve bilgiye dayalı olarak rıza alınır.

Tek bir "okudum, onaylıyorum" kutusu bu iki farklı yükümlülüğü birleştiremez. KVKK Kurulu, iki yükümlülüğün ayrı tutulması gerektiğini kararlarında açıkça ifade etmiştir.

Adım Adım: Aydınlatma Metni Hazırlama

Adım 1: Veri envanteri çıkarın

Aydınlatma metni yazmadan önce şu soruların yanıtlanması gerekir:

  • Hangi kişisel veriler toplanıyor?
  • Hangi kanallarla toplanıyor (web, telefon, yüz yüze)?
  • Bu veriler hangi amaçlarla işlenecek?
  • Hangi üçüncü taraflara aktarılıyor?
  • Her bir veri kategorisi için hukuki sebep nedir?
  • Veriler ne kadar süre saklanacak?

Adım 2: Her temas noktası için aydınlatma tasarlayın

Aydınlatma, verilerin toplandığı her kanalda aktif biçimde sunulmalıdır:

  • Web formları: Formun altında veya üzerinde, gönder butonuna tıklamadan önce okunabilecek şekilde
  • Mobil uygulamalar: Kayıt ekranında veya ilgili iznin istendiği aşamada
  • Telefon görüşmeleri: Görüşmenin başında sözlü olarak (kayıt altına alınması önerilir)
  • Sözleşmeler: Sözleşme ekinde veya önceki aşamada teslim edilen belgede
  • Çerezler: Çerez politikası ve aydınlatma birlikte sunulmalıdır

Adım 3: Dili sadeleştirin

KVKK "açık ve anlaşılır" ifadesini zorunlu kılar. Uygulamada bu, hukuki jargondan arındırılmış, hedef kitlenin anlayabileceği bir dil kullanmak anlamına gelir. "Veri sorumlusu sıfatıyla", "işbu metin marifetiyle" gibi ifadeler yerine "biz", "sizin adınıza" gibi yalın ifadeler tercih edilmelidir.

Adım 4: Saklama sürelerini ekleyin

Zorunlu asgari unsurlar arasında yer almasa da KVKK Kurulu, kararlarında saklama sürelerinin aydınlatma metninde belirtilmesini önemle tavsiye etmektedir. Her veri kategorisi ve amaç için ne kadar süre saklanacağı ("sözleşme sona erdiğinde", "6 ay", "5 yıl") net biçimde yazılmalıdır.

Adım 5: İletişim kanalını belirtin

Veri sahiplerinin haklarını nasıl kullanacağı — hangi e-posta adresine, hangi forma veya fiziksel adrese başvuracağı — aydınlatma metninde yer almalıdır. Genel bir adres yerine veri koruma ile ilgili özel bir kanal açılması önerilir.

Sık Yapılan Hatalar

Tek bir genel metin kullanmak: Farklı temas noktaları (müşteri, çalışan, tedarikçi) için farklı aydınlatma metinleri gerekmektedir. Hepsini tek bir metinde toplamak hem okunabilirliği düşürür hem de eksik bilgi riski doğurur.

Hukuki sebebi belirtmemek: "Verileriniz işlenmektedir" ifadesi yeterli değildir. Hangi hukuki sebebe dayanıldığı her veri kategorisi için ayrı ayrı gösterilmelidir.

Gizlilik politikasına yönlendirmeyle yetinmek: Web sitesindeki bir gizlilik politikasına bağlantı vermek, aktif aydınlatma yükümlülüğünü karşılamaz. Aydınlatmanın, veri toplama eyleminin gerçekleştiği anda doğrudan iletilmesi gerekir.

Güncel tutmamak: Veri işleme pratiklerindeki her değişiklik aydınlatma metnini de etkiler. Güncelleme yapılmadan eski metin üzerinden devam edilmesi uyumsuzluk riski taşır.

Erişimi zorlaştırmak: Aydınlatma metnine ulaşmak için birden fazla sayfa gezmek zorunda kalmak, metnin varlığını işlevsizleştirir. Kolay erişilebilirlik esastır.

Uyum Riski: Neden Önemli?

KVKK Madde 18 kapsamında aydınlatma yükümlülüğüne aykırılık idari para cezasına yol açar. Kurul, kararlarında hem aydınlatmanın yapılıp yapılmadığını hem de içeriğinin yeterli olup olmadığını değerlendirmektedir.

Kurul kararları incelendiğinde sıkça tespit edilen ihlaller şunlardır: aydınlatma metninin hiç sunulmaması, içeriğin zorunlu unsurlardan bazılarını içermemesi, dil ve erişilebilirlik sorunları. Bu ihlallerin her biri ayrı değerlendirme konusu yapılabilir.

Ceza riski dışında, eksik aydınlatma veri sahiplerinin haklarını kullanmasını engellediği durumlarda da şikâyet süreçlerine yol açmaktadır. Kurul şikâyetleri re'sen denetim başlatmak için yeterli gerekçe oluşturur.

Sonuç

KVKK aydınlatma yükümlülüğü, bir kez hazırlanan ve rafa kaldırılan bir doküman değildir. Veri toplama süreçleriyle entegre, temas noktası bazında tasarlanmış ve düzenli olarak güncellenen bir uyum pratiğidir. Doğru yapıldığında hem yasal riski azaltır hem de veri sahipleriyle kurulan güveni pekiştirir.

Regulfy, KVKK Kurumu kararlarını ve düzenleyici güncellemeleri izleyerek aydınlatma yükümlülüğünü etkileyen değişikliklerden anında haberdar olmanızı sağlar.

İlgili İçerikler