Aydınlatma Metni ile Gizlilik Politikası Farkı Nedir?

Web sitesinde gizlilik politikası yayımlamak, kişisel verileri işlerken yerine getirilmesi gereken aydınlatma yükümlülüğünün otomatik olarak karşılandığı anlamına gelmez. Bu rehberde iki metnin amacını, zorunluluklarını ve sitenizde hangi noktada sunulmaları gerektiğini ayırıyoruz.

Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.

Aydınlatma metni nedir, hangi maddeden doğar?

Aydınlatma metni, kişisel verileri işleyen veri sorumlusunun verisi işlenen kişiye yaptığı bilgilendirmedir. 6698 sayılı Kanun’un m.10 hükmü, veri sorumlusunun aydınlatma yükümlülüğünü düzenler. Metnin amacı, kişiye verisinin kim tarafından ve hangi amaçlarla işlendiğini, kimlere ve hangi amaçla aktarılabileceğini, nasıl toplandığını ve hangi hukuki sebebe dayandığını açıklamaktır. Ayrıca ilgili kişinin kanundan doğan hakları hakkında bilgi verilmesi gerekir. Bu bilgilerin işleme faaliyetiyle uyumlu olması önemlidir: İşletme gerçekte ne yapıyorsa metin de onu anlatmalıdır.

Bu yükümlülük, yalnızca bir internet sayfasına genel bir metin eklemekten ibaret değildir. İşletme, her kişisel veri işleme faaliyeti için hangi bilgileri kime, ne zaman ve hangi kanaldan sunduğunu düşünmelidir. Örneğin çevrim içi mağazası olan küçük bir işletme; sipariş için teslimat bilgisi, destek başvurusu için iletişim bilgisi ve bülten kaydı için e-posta adresi alabilir. Bu verilerin işlenme amaçları aynı değilse, tek bir genel cümlenin hepsini açıklamasını beklemek yerine ilgili işlemleri açıkça ayırmalıdır. Sık yapılan hata, her formun altına aynı uzun metni koyup işleme amaçlarının açıklanmış olduğunu varsaymaktır.

Aydınlatma, kişisel veri elde edilirken sunulmalıdır. Formun yanında görünür bir bağlantı, üyelik ekranında açıklayıcı bir alan veya mağazada başvuru belgesine eşlik eden metin kullanılabilir. Bağlantının bulunması tek başına yeterli değildir: Kişi metne ulaşamıyor, metin hangi işlemle ilgili olduğunu açıklamıyor ya da işletmenin güncel uygulamasını yansıtmıyorsa bilgilendirmenin niteliği zayıflar. İşletme için pratik adım, veri toplanan her kanalı listelemek ve her kanalın yanında ilgili aydınlatma açıklamasının hangi aşamada gösterildiğini kaydetmektir. Metni hazırlarken örnekleri doğrudan kopyalamak yerine veri akışınızı kontrol edin. Daha kapsamlı açıklama için aydınlatma metni rehberini ve kavramın kısa açıklaması için aydınlatma yükümlülüğü sözlüğünü inceleyebilirsiniz.

Gizlilik politikası nedir, zorunlu mudur?

Gizlilik politikası, bir işletmenin internet sitesinde veya dijital hizmetinde gizlilik ve kişisel veriler konusundaki genel yaklaşımını anlatan metindir. İşletme bu metinde hangi tür bilgileri hangi hizmetlerde kullandığını, kullanıcı tercihlerini nasıl ele aldığını veya gizlilikle ilgili genel süreçlerini açıklayabilir. Ancak “gizlilik politikası” adını taşıması, belgenin kanundaki aydınlatma unsurlarının tamamını kendiliğinden içerdiğini göstermez. Belgenin başlığından çok içeriği, hangi işlem için hazırlandığı ve verinin elde edildiği sırada nasıl sunulduğu önemlidir.

KVKK bakımından her işletmenin mutlaka “Gizlilik Politikası” adında ayrı bir sayfa yayımlaması gerektiği şeklinde genel bir zorunluluk yoktur. Buna karşılık kişisel veri işleniyorsa aydınlatma yükümlülüğü değerlendirilmelidir. Dolayısıyla işletme yalnızca gizlilik politikası yayımlayıp formlarda, üyelik adımında veya sipariş sırasında bilgilendirme sunmuyorsa, sayfanın varlığı tek başına yeterli kabul edilmemelidir. Öte yandan ayrı bir gizlilik politikası yayımlamayan işletme de yaptığı işlemlere uygun aydınlatmayı doğru zamanda ve anlaşılır biçimde sunmalıdır. Sık yapılan hata, belge başlığını yükümlülüğün yerine getirildiğinin kanıtı olarak görmektir.

Küçük bir çevrim içi mağazanın sitesinde “Bilgileriniz güvenli şekilde saklanır ve üçüncü kişilerle paylaşılmaz” yazdığını düşünelim. Sipariş bilgileri taşıyıcıya, ödeme işlemiyle ilişkili hizmet sağlayıcılara veya teknik hizmet sunan işletmelere iletiliyorsa bu ifade gerçek veri akışını yansıtmayabilir. Üstelik genel güvence, verilerin hangi amaçla işlendiğini, kime aktarılabileceğini ve kişinin haklarını açıklamaya yetmez. Bu tür bir metin, gizlilik yaklaşımını anlatmaya çalışsa bile işlem özelindeki bilgilendirmeyi karşılamayabilir.

Gizlilik politikası yine de kullanışlıdır: Genel açıklamaları tek yerde toplar ve ilgili aydınlatma metinlerine bağlantı sağlayabilir. Pratik adım olarak işletme, genel politika ile her formun yanındaki aydınlatma açıklamasını ayrı ayrı gözden geçirmeli; genel sayfanın işlem özelindeki metnin yerine geçmediğinden emin olmalıdır. Sitenizde belge yapısını planlarken şablonları inceleyebilirsiniz. Örnek metinleri olduğu gibi kullanmak yerine kendi hizmetlerinizi, veri alıcılarınızı ve kullanıcıların karşılaştığı ekranları esas alın.

İkisi arasındaki temel farklar nelerdir?

Aydınlatma metniyle gizlilik politikası arasındaki temel fark, işlevlerinin farklı olmasıdır. Aydınlatma metni, belirli bir kişisel veri işleme faaliyeti hakkında kanunun gerektirdiği bilgileri ilgili kişiye sunar. Gizlilik politikası ise işletmenin gizlilik yaklaşımını daha genel bir çerçevede anlatabilir. Bir politika gerekli aydınlatma unsurlarını da kapsayabilir; fakat bunu yalnızca başlığı değiştirerek sağlayamaz. İçerik doğru, ilgili işleme özgü ve veri elde edilirken erişilebilir olmalıdır. Ayrıca açıklama, işletmenin gerçek uygulamasıyla tutarlı kalmalıdır.

Kapsam da farklılık yaratır. Bir web sitesinin genel politikası; üyelik formunun, sipariş akışının, iş başvurusunun ve iletişim formunun tüm veri kullanımını ayrıntılı biçimde açıklamayabilir. Bu alanlarda farklı veriler, amaçlar, alıcılar ve hukuki sebepler söz konusu olabilir. Tek sayfada bütün süreçlere yer verilecekse, kullanıcı hangi açıklamanın hangi işlemle ilgili olduğunu kolayca ayırt edebilmelidir. Küçük bir işletmenin iş başvurularını e-posta ile alıp siparişleri farklı bir sistem üzerinden yönetmesi buna örnektir. Her iki noktada da aynı belirsiz metni göstermek, açıklamanın hangi veriye ilişkin olduğunu anlamayı zorlaştırır. Pratik adım, metni kullanıcı yolculuğundaki ilgili form veya işlemle eşleştirmektir.

Rıza ile ilişki de bu farkın önemli bir parçasıdır. Aydınlatma kişiye bilgi verme yükümlülüğüdür; açık rıza ise bazı işleme faaliyetlerinde ayrıca gündeme gelebilecek bir hukuki konudur. Aydınlatma metnini okuduğunu belirten kutu ile açık rıza beyanını aynı anlama gelecek biçimde kullanmak doğru bir tasarım değildir. Sık yapılan hata, “metni kabul ediyorum” seçeneğiyle farklı amaçlara yönelik bütün veri kullanımına izin alındığını varsaymaktır. Rıza gereken bir işlem varsa, bunun neye ilişkin olduğu ayrıca ve anlaşılır biçimde gösterilmelidir.

Bir başka fark, işletmenin kullandığı ifadelerin gerçek işleyişle ilişkili olmasıdır. “Hiçbir koşulda aktarım yapılmaz” gibi kesin bir ifade, hizmet sağlayıcılarla veri aktarımı varsa çelişki doğurabilir. İşletme, her metnin hangi soruya cevap verdiğini kontrol etmelidir: Bu belge kişinin verisi hakkında bilmesi gereken somut bilgileri mi açıklıyor, yoksa işletmenin genel yaklaşımını mı anlatıyor? Bu kontrol, yanlış belgeyi yanlış yerde kullanma hatasını azaltır.

Tek belge ile ikisi de karşılanabilir mi?

Tek bir belge içinde hem gizlilik politikası hem de aydınlatma içeriği bulunabilir. Gerekli olan, her işletmenin aynı başlığı veya dosya sayısını kullanması değil; gerekli bilginin doğru kişiye ve doğru zamanda verilmesidir. Bu nedenle “Aydınlatma Metni ve Gizlilik Politikası” başlıklı birleşik bir sayfa hazırlanabilir. Ancak başlığın iki kavramı birleştirmesi, sayfadaki açıklamaların her veri toplama noktasına uygun olduğunu göstermez. Kullanıcının aradığı bilgiye ulaşabileceği bir düzen de gerekir.

Birleşik belgeyi anlaşılır kılmak için içeriği işleme faaliyetlerine göre bölmek yararlıdır. Genel gizlilik yaklaşımı bir bölümde; sipariş verileri, iletişim formu, üyelik ve iş başvurusu gibi işlemler ayrı açıklamalarda yer alabilir. Bu bölümlerde hangi verilerin hangi amaçla kullanıldığı, alıcı grupları, toplama yöntemi, hukuki sebep ve ilgili kişi hakları anlaşılır biçimde belirtilmelidir. Örneğin aynı küçük işletme hem çevrim içi satış hem de iş başvurusu alıyorsa, ziyaretçi sipariş açıklamasının iş başvurusu için de geçerli olduğunu varsaymak zorunda kalmamalıdır. Sık yapılan hata, tüm açıklamaları tek bir uzun paragrafta toplayarak kullanıcıyı aradığı bilgiyi bulmaya mecbur bırakmaktır.

Bir e-ticaret sitesi birleşik metnin tamamına üstbilgide bağlantı verebilir; sipariş formunda ise sipariş bilgilerine ilişkin aydınlatma bağlantısını görünür biçimde sunabilir. Böylece aynı belge altyapısı korunurken, kişinin karşılaştığı işlem için ilgili bölüme erişmesi kolaylaşır. Yalnızca altbilgide “Gizlilik Politikası” bağlantısı bulunması ise sipariş formundaki kişiye hangi verinin neden toplandığını açıkladığını tek başına göstermez. Pratik adım, bağlantının formun yakınında olmasını ve bağlantı adının hangi işleme ilişkin olduğunu açıklamasını sağlamaktır.

Birleşik belge, açık rızayı aydınlatmanın içine gizlememelidir. Rıza gereken bir işlem varsa, rıza talebinin amacı ve kapsamı ayrıca anlaşılır olmalı; aydınlatma metnini kabul etme zorunluluğu gibi sunulmamalıdır. Yeni bir araç eklendiğinde, alıcı grupları değiştiğinde veya formdan yeni bir bilgi alınmaya başlandığında belge gözden geçirilmelidir. Belge sihirbazı başlangıç taslağı oluşturmaya yardımcı olabilir; sonrasında taslağın işletmenin gerçek süreçleriyle eşleştiğini kontrol edin.

Aydınlatma metninde bulunması zorunlu unsurlar nelerdir?

6698 sayılı Kanun’un m.10 hükmü, veri sorumlusunun aydınlatma yükümlülüğünün konusunu düzenler. Bu yükümlülüğün yerine getirilmesi için metinde veri sorumlusunun kimliği, işlemenin amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, verilerin hangi yöntemle ve hangi hukuki sebebe dayanarak toplandığı ile ilgili kişinin hakları açıklanmalıdır. Bu başlıkların yalnızca metinde yer alması değil, işletmenin somut uygulamasını anlatması gerekir. Hazır bir metindeki geniş ifadeler gerçek süreci karşılamıyorsa, başlıkların görünmesi tek başına yeterli olmaz.

“Veri sorumlusu” bölümünde şirket veya işletme doğru tanımlanmalıdır. Marka adı ile ticari unvan farklıysa, ziyaretçinin hangi işletmeyle muhatap olduğunu anlayacağı bir açıklama gerekir. “Veri işleme amacı” da yalnızca “hizmet sunmak” gibi geniş bir ifadeyle sınırlı kalmamalıdır. Siparişi almak, teslimatı düzenlemek veya müşteri talebini yanıtlamak gibi amaçlar, gerçekten yapılan işlemlere göre açıklanabilir. Örneğin butik bir mağaza sipariş için adres alırken aynı adresi başka bir amaçla kullanmıyorsa, metninde gerçekte yürütmediği faaliyetleri varmış gibi göstermemelidir. Sık yapılan hata, örnek metindeki amaçları doğrulamadan kopyalamaktır.

Aktarım bölümü, verilerin kimlere ve hangi amaçla iletilebileceğini anlatmalıdır. “İş ortakları” gibi belirsiz kalabilecek bir ifadeyi, ilgili alıcı grupları ve aktarım amaçlarıyla açıklamak daha yararlıdır. Toplama yöntemi ve hukuki sebep de faaliyete göre belirtilmelidir: Veri çevrim içi formdan, telefon görüşmesinden veya başka bir kanaldan elde ediliyor olabilir. İşletme, pratik olarak veri topladığı ekranları ve kullandığı hizmetleri listeleyip metindeki açıklamalarla karşılaştırabilir. Her işleme için aynı gerekçeyi otomatik biçimde kopyalamak yerine, faaliyetin koşullarını ayrıca kontrol etmelidir.

Son olarak, ilgili kişi hakları açıklanmalıdır. 6698 sayılı Kanun’un m.11 hükmü ilgili kişinin haklarını düzenler; aydınlatma metni bu hakların kullanılabilmesine ilişkin bilgilendirmeyi içermelidir. Başvurunun hangi kanaldan yapılacağına dair pratik bilgiler metnin kullanılabilirliğini artırır. Verinin niteliği veya aktarımı bakımından m.5’te kişisel verilerin işlenme şartları, m.6’da özel nitelikli kişisel verilerin işlenme şartları, m.8’de kişisel verilerin aktarılması ve m.9’da yurt dışına aktarım konusu gündeme gelebilir. Bu maddeler anıldığında konu doğru açıklanmalı; metin işletmenin gerçek veri akışına göre hazırlanmalıdır.

Yanlış adlandırmanın sonucu ne olabilir?

Bir belgeye “Aydınlatma Metni” adını vermek, içeriği eksikse yükümlülüğün yerine getirildiğini göstermez. Aynı şekilde “Gizlilik Politikası” başlıklı bir belge, gerekli açıklamaları içeriyor ve uygun zamanda sunuluyorsa aydınlatma işlevi de görebilir. Belge adı tek başına belirleyici değildir; içerik, sunum yeri, zamanlama ve gerçek uygulamayla tutarlılık birlikte değerlendirilmelidir. Metnin adıyla içeriği arasında uyumsuzluk varsa kullanıcı hangi belgenin hangi işlem için geçerli olduğunu anlamakta zorlanabilir.

Sık yapılan hatalardan biri, her işleme faaliyeti için aynı genel metni kullanmaktır. İletişim formu, sipariş, bülten kaydı ve iş başvurusu farklı veri türleri ve amaçlar içerebilir. Bir müşteri destek formunda telefon numarası ve mesaj alınırken, bülten kaydında e-posta adresi kullanılabilir. İki formda da aynı metin gösterildiğinde hangi verinin ne amaçla kullanıldığı belirsizleşebilir. Örneğin küçük bir işletme web sitesindeki iletişim formunu değiştirdiği hâlde aydınlatma metnini gözden geçirmiyorsa, yeni formun veri akışı ile eski açıklama birbirinden kopabilir. Pratik adım, her formu ayrı bir satırda listeleyip veri, amaç, alıcı ve açıklama bilgisini karşılaştırmaktır.

Bir başka hata, “Verileriniz üçüncü kişilerle paylaşılmaz” gibi mutlak ifadeler kullanmaktır. İşletme kargo, barındırma, ödeme veya destek hizmeti alıyorsa bu hizmetlerle ilişkili veri aktarımlarının nasıl yürüdüğünü ayrıca değerlendirmelidir. Metnin gerçek işleyişle çelişmesi, kullanıcıya verilen bilginin doğruluğunu etkiler. “Bu metni kabul ederek her türlü veri işlemeye izin veriyorum” ifadesi ise aydınlatma ile açık rızayı birbirine karıştırabilir. İşletme metindeki her kesin vaadi gerçek süreçlerle karşılaştırmalı, artık geçerli olmayan açıklamaları kaldırmalı ve rıza talebini bilgilendirmeden ayrı ele almalıdır.

Aydınlatma yükümlülüğünün ihlaline ilişkin yaptırımların genel çerçevesi bakımından 6698 sayılı Kanun’un m.18 hükmü kabahatleri ve idari para cezasını düzenler. Bu genel bilgi, belirli bir işletmenin durumuna ilişkin sonuç veya tutar hesabı değildir. Metinleri gözden geçirmek için önce formların, sipariş adımlarının ve kullanılan araçların listesini çıkarın; ardından her açıklamayı bu listeyle karşılaştırın. KVKK kontrol listesinden yararlanabilir, özel bir hukuki değerlendirme gerektiğinde avukatınıza veya hukukçunuza danışabilirsiniz.

Web sitesi, form ve mağaza için hangi metin nereye konur?

Web sitesinde genel gizlilik politikası, kullanıcıların kolayca bulabileceği bir alanda yayımlanabilir. Ancak her kişisel veri toplama noktasında o işleme ilişkin aydınlatmanın da erişilebilir olması gerekir. İletişim formunun yanında kısa bir açıklama ve ilgili metne bağlantı; üyelik ekranında üyelik verilerine ilişkin bağlantı; sipariş adımında ise sipariş sürecine uygun bilgilendirme kullanılabilir. Bağlantı, formun hemen yakınında ve anlaşılır bir adla sunulursa kişi metni veri girmeden önce bulabilir. Altbilgideki genel bağlantıyı tüm formlar için yeterli saymak sık yapılan hatalardandır.

Mağaza veya fiziksel başvuru noktalarında da benzer bir yaklaşım gerekir. Kâğıt form, müşteri kartı ya da çalışanla yapılan görüşme sırasında kişisel veri elde ediliyorsa bilgilendirme o sürece uygun şekilde sunulmalıdır. Örneğin küçük bir mağaza, müşteriden servis talebi alırken telefon numarası kaydediyorsa yalnızca internet sitesinde yer alan bir açıklamaya güvenmemelidir. Yüz yüze veri toplanan kişiye, kullandığı kanaldan erişebileceği bir bilgilendirme yöntemi sunulması gerekir. Pratik adım, işletmede veri alınan fiziksel noktaları belirleyip ilgili form veya ekranın yanına uygun açıklamayı yerleştirmektir.

E-ticaret sitesinde sipariş formu, destek talebi ve pazarlama tercihi farklı noktalardır. Sipariş için alınan iletişim ve teslimat bilgileriyle kampanya iletisi almak için kullanılan tercih aynı amaca hizmet etmeyebilir. Bilgilendirme formun işlevini açıklamalı; pazarlama iletişimi için gereken ayrı tercih veya rıza akışı aydınlatma metninin içine gizlenmemelidir. Sık rastlanan hata, sipariş işlemini tamamlamak isteyen kişiye pazarlama seçeneğini zorunlu gibi göstermektir. E-ticaret sürecinin farklı adımlarını görmek için e-ticaret KVKK rehberini inceleyebilirsiniz.

Çerezler için de kullanıcı arayüzü ile bilgilendirme metninin görevleri ayrılmalıdır. Çerez politikası, kullanılan çerez türleri ve amaçlarına ilişkin ayrıntıları açıklayabilir. Tercih arayüzü ise kullanıcının seçeneklerini yönetmesine yarar; politika sayfası tek başına bir tercih alma aracı değildir. Küçük bir işletme sitesinde yalnızca çerez politikasına bağlantı bulunması, tercih ekranının da doğru çalıştığını göstermez. Çerezlerin niteliği ve ilişkili veri işleme faaliyetleri dikkate alınarak tasarım yapılmalı; çerez politikası rehberi buna göre incelenmelidir. Türkiye’deki kullanıcılara yönelik hizmet sunuluyorsa, bilgilendirmenin kullanıcıların anlayabileceği Türkçe biçimde de sunulması yerinde bir uygulamadır; faaliyet koşulları için avukatınıza veya hukukçunuza danışın.

Örnek hesap: yalnız gizlilik politikası olan e-ticaret sitesi nasıl değerlendirilir?

Bir e-ticaret sitesinin altbilgisinde yalnızca “Gizlilik Politikası” bağlantısı bulunduğunu, sipariş formunda ise kişisel verilerin kim tarafından, hangi amaçlarla işlendiğini ve hangi alıcılara aktarılabileceğini açıklayan işlemle ilişkili bir bilgilendirme gösterilmediğini varsayalım. İşletme, genel sayfasının varlığını yeterli kabul ediyor; fakat sayfada sipariş verilerine ilişkin açıklamaların bulunup bulunmadığını ve müşterinin sipariş sırasında bu bilgilere ulaşabildiğini kontrol etmiyor. Bu durumda mesele metnin adı değil, aydınlatma yükümlülüğünün içeriğinin ve zamanlamasının karşılanıp karşılanmadığıdır. Bir tutar veya işletmeye özel sonuç hesaplamak yerine, gerçek veri akışını, ilgili metni ve sunum biçimini incelemek gerekir.

Senaryo: Bir e-ticaret sitesinde yalnızca genel bir gizlilik politikası var; üyelik ve sipariş formunda aydınlatma yapılmıyor, pazarlama e-postaları için ayrı rıza alınmıyor. Müşteri şikâyeti Kurula gidiyor.

Uygulanabilir kalemler ve kanundaki bantlar:

• Aydınlatma yükümlülüğünün yerine getirilmemesi: 85.437 TL – 1.709.200 TL

Kalemlerin alt sınırları toplandığında 85.437 TL, üst sınırları toplandığında 1.709.200 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.

Kanundaki bantlar?

Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.

İşletme bu tür bir kontrolü yaparken önce siparişte hangi verilerin toplandığını, ardından bunların hangi amaçlarla kullanıldığını ve kimlere aktarılabileceğini listeleyebilir. Sonraki adımda müşterinin bu açıklamalara hangi ekranda ve hangi aşamada eriştiğini kontrol etmelidir. Örneğin küçük bir mağaza sipariş bilgilerini taşıma hizmetiyle paylaşıyorsa, metinde bu akışın açıklanıp açıklanmadığını ve açıklamanın sipariş sırasında bulunabilir olup olmadığını gözden geçirebilir. Sık yapılan hata, altbilgideki bağlantının her kullanıcıya ve her işlem için yeterli bilgilendirme sağladığını varsaymaktır.

Genel politika sayfası sipariş akışından uzakta kalıyorsa veya siparişe özgü bilgileri içermiyorsa, yeni bir başlık eklemek tek başına çözüm olmaz. Pratik adım, sipariş ekranında ilgili açıklamaya doğrudan erişim sağlamak ve metni gerçek veri akışıyla karşılaştırmaktır. Hesaplayıcı veya otomatik belge oluşturucu, işletmenin kendi durumuna ilişkin hukuki değerlendirme yerine geçmez. Sitedeki araçlar ücretsizdir; kayıt ve kart bilgisi istemez. Hazırlanan taslakları gerçek veri akışınızla karşılaştırın; yaptırım ya da sorumluluk ihtimali bulunan özel durumlarda avukatınıza veya hukukçunuza danışın.

Kurul kararlarında aydınlatma yükümlülüğü nasıl ele alınmalı?

Kurul kararları, tek bir başlığın veya belgenin her işletme için yeterli olacağına dair hazır bir kural gibi okunmamalıdır. Kararların konusu ve bağlamı birbirinden farklı olabilir. Bir kararda yer alan bilgi, işletmenin yaptığı başka bir işlem için doğrudan sonuç çıkarmaya yetmeyebilir. Bu nedenle kararları, kendi metninizi otomatik biçimde onaylayan veya geçersiz kılan örnekler gibi kullanmak yerine, konu sınırlarını gözeterek okumak gerekir.

Kaynak: kvkk.gov.tr karar özetleri; sitemizdeki Kurul kararları indeksi 313 kararı konu, yıl ve ceza tutarına göre süzer.

Tabloda verilen karar bilgileri, internet sitesinde bir politika bağlantısı bulunmasının bütün veri işleme faaliyetlerini kendiliğinden hukuka uygun hâle getirdiği sonucunu vermez. Burada verilen bilgilerle sınırlı olarak, 2022/229 sayılı kararın konusu, e-ticaret sektöründe internet sitesi ve mobil uygulamalarda çerezler aracılığıyla hukuka aykırı kişisel veri işlenmesidir. 2020/559 sayılı kararın konusu, 108 sayılı Sözleşme dayanak gösterilerek yurt dışına aktarımdır. 2026/1183 sayılı kararın konusu ise reklam ve pazarlama amaçlı izinsiz SMS ve aramalardır. Bu konu başlıklarından, her işletmenin uygulamasına ilişkin ek bir sonuç çıkarılmamalıdır. Özellikle karar tablosundaki özetleri genişletmek, kararın burada verilen sınırlarını aşan bir yorum oluşturabilir.

Örneğin küçük bir e-ticaret işletmesi çerez politikası hazırlarken çerez kararına bakabilir; ancak yalnızca karar başlığını okuyup kendi çerez uygulamasını değerlendirmiş sayılmaz. İşletmenin hangi araçları kullandığını, bunların hangi amaçlara hizmet ettiğini ve kullanıcıya nasıl açıklandığını ayrıca incelemesi gerekir. Sık yapılan hata, kararları işletmenin teknik ve ticari uygulamasından bağımsız biçimde genel kural gibi aktarmaktır. Pratik adım olarak kararın konusu ile işletmenin faaliyeti arasındaki bağlantıyı belirleyin, elinizdeki bilgiyi aşan çıkarımlardan kaçının ve özel hukuki değerlendirme gerektiğinde avukatınıza veya hukukçunuza danışın.

Sık sorulan sorular

Gizlilik politikası aydınlatma metni yerine geçer mi?

Yalnızca adı “Gizlilik Politikası” olduğu için geçmez. Belge, ilgili işleme ilişkin gerekli bilgileri içeriyor ve kişisel veri elde edilirken erişilebilir biçimde sunuluyorsa aydınlatma işlevi de görebilir. Örneğin sipariş formundaki açıklamalar genel politika içinde yer alsa bile, kişinin sipariş sırasında o bölüme ulaşabilmesi önemlidir. İşletme her veri toplama noktasını ayrıca kontrol etmelidir.

Aydınlatma metni nereye konmalı?

Verinin toplandığı form, üyelik veya sipariş adımında ilgili kişinin kolayca erişebileceği bir açıklama ya da bağlantı sunulmalıdır. Yalnızca sitenin altbilgisinde bir bağlantı bulunması, her toplama noktasında uygun bilgilendirme yapıldığını tek başına göstermez. Fiziksel mağazada form kullanılıyorsa, bilgilendirme yönteminin o kanala uygun olması gerekir. Pratik olarak işletme veri topladığı her alanı listeleyip bağlantının yerini kontrol edebilir.

Çerez politikası ayrı belge mi olmalı?

Çerez açıklamaları ayrı bir sayfada sunulabilir veya daha geniş bir belgede açıkça ayrılmış bölüm olarak yer alabilir. Sayfanın tek başına bulunması, çerez tercihlerini yönetme arayüzünün veya gereken diğer bilgilendirmenin yerine geçtiği anlamına gelmez. Küçük bir işletme kullandığı çerezleri ve tercih ekranını birlikte gözden geçirmelidir. Açıklamaların kullanılan araçlarla uyumlu olup olmadığını düzenli olarak kontrol etmek faydalıdır.

Açık rıza metni aydınlatmadan ayrı mı?

Aydınlatma kişiye bilgi verir; açık rıza ise gerektiği durumlarda belirli bir işlem için irade alınmasıyla ilgilidir. Bu nedenle rıza talebini aydınlatma metnini okuma veya kabul etme işlemiyle aynı şeymiş gibi göstermemek gerekir. Örneğin bülten kaydıyla sipariş bilgilendirmesini tek bir zorunlu kutuda birleştirmek kullanıcı açısından neye izin verildiğini belirsizleştirebilir. İşletme bilgilendirme ile rıza akışını ayrı ve anlaşılır tasarlamalıdır.

İngilizce site için Türkçe metin gerekir mi?

Türkiye’deki kullanıcılara hizmet sunan bir işletmenin bilgilendirmeyi bu kullanıcıların anlayabileceği Türkçe biçimde de sunması yerinde bir yaklaşımdır. Yalnızca sitenin İngilizce olması, kullanıcıların bilgilendirmeyi anlayıp anlamadığını göz ardı etmek için yeterli bir gerekçe değildir. İşletme hedef kitlesini ve kullandığı kanalları değerlendirerek metnin anlaşılır olmasını sağlamalıdır. Faaliyetin koşullarına göre uygulama için avukatınıza veya hukukçunuza danışın.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
• Kişisel Verileri Koruma Kurumu
• Kurul ilke kararları
• VERBİS — Veri Sorumluları Sicil Bilgi Sistemi