KVKK Aydınlatma Yükümlülüğü Nedir? Aydınlatma Metninde Neler Olmalı? | 6698 m.10 2026
Kısa ve net cevap: 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10. maddesine göre kişisel veriler elde edilirken veri sorumlusu veya yetkilendirdiği kişi ilgili kişiyi; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile KVKK m.11’deki hakları konusunda bilgilendirmek zorundadır. Aydınlatma, açık rıza alınmasından ayrı bir yükümlülüktür; veri işlemenin açık rızaya dayanmadığı durumlarda da yerine getirilir.
Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor
Aydınlatma yükümlülüğünün kanuni dayanağı
KVKK m.10, kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişinin ilgili kişiye belirli bilgileri açıklamasını zorunlu kılar. Hüküm, veri işleme faaliyetinin şeffaflığını sağlar. İlgili kişi hangi verisinin kim tarafından, hangi amaçla, hangi hukuki sebebe dayanarak ve kimlere aktarılabilecek şekilde işlendiğini bilmelidir.
Aydınlatma yükümlülüğünün uygulanma usulü ayrıca Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de düzenlenir. Veri sorumlusu aydınlatmayı yaptığına ilişkin ispat yükünü taşır.
Aydınlatma metninde hangi bilgiler zorunlu?
KVKK m.10’a göre aydınlatma kapsamında şu beş ana unsur bulunmalıdır:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
- Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- İlgili kişinin KVKK m.11’de sayılan hakları.
Bu unsurlardan birinin eksik bırakılması aydınlatma yükümlülüğünün eksik yerine getirilmesi sonucunu doğurabilir. “Verileriniz KVKK’ya uygun işlenmektedir” şeklindeki genel bir cümle m.10’daki içerik yükümlülüğünün yerine geçmez.
Veri sorumlusunun kimliği nasıl yazılmalı?
Veri sorumlusu tüzel kişiyse şirket, dernek, vakıf, kurum veya diğer tüzel kişinin tam unvanı açıkça belirtilmelidir. Bir şirket çalışanının adı veya “KVKK departmanı” veri sorumlusunun kimliği yerine geçmez. Tüzel kişilerde veri sorumlusu kural olarak tüzel kişiliğin kendisidir.
Türkiye’de yerleşik olmayan veri sorumlularında varsa veri sorumlusu temsilcisine ilişkin bilgi de aydınlatma kapsamında gösterilir. İlgili kişi kimin veri işleme faaliyeti üzerinde karar verdiğini açıkça anlayabilmelidir.
İşleme amacı nasıl yazılmalı?
İşleme amacı belirli, açık ve meşru olmalıdır. “Faaliyetlerimizi yürütmek”, “hizmet kalitemizi artırmak” veya “gerekli tüm işlemler” gibi sınırsız ve belirsiz ifadeler tek başına yeterli değildir. Amaç, somut veri işleme faaliyetiyle ilişkilendirilmelidir.
Örneğin e-ticaret sitesinde adres verisi “siparişin teslim edilmesi”; telefon numarası “teslimat iletişiminin sağlanması”; fatura bilgileri “vergi ve muhasebe yükümlülüklerinin yerine getirilmesi” amacıyla işleniyorsa bunlar ayrı ve anlaşılır biçimde belirtilmelidir. Pazarlama amacı varsa operasyonel zorunluluklarla aynı başlıkta gizlenmemelidir.
Hukuki sebep ne demektir?
Hukuki sebep, kişisel verinin hangi KVKK işleme şartına dayanılarak toplandığını ifade eder. Kişisel veriler için m.5, özel nitelikli kişisel veriler için m.6’daki şartlardan ilgili olanı açıkça gösterilmelidir. “KVKK kapsamında işlenmektedir” hukuki sebep değildir.
Örneğin fatura verilerinin işlenmesi “veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması”; sipariş teslimat verisinin işlenmesi “bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması”; belirli güvenlik kayıtlarının işlenmesi şartları varsa “meşru menfaat” hukuki sebebine dayanabilir. Açık rıza yalnızca m.5 veya m.6’daki uygun işleme şartı gerçekten açık rıza olduğunda kullanılmalıdır.
Aydınlatma ile açık rıza aynı şey mi?
Hayır. Aydınlatma yükümlülüğü veri sorumlusunun tek taraflı bilgilendirme borcudur. Açık rıza ise belirli bir veri işleme faaliyetine ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza beyanıdır. Veri sorumlusu “aydınlatma metnini kabul ediyorum” kutusunu açık rıza gibi kullanmamalıdır.
Aydınlatma her veri işleme şartında yapılır. Örneğin işveren kanuni bordro yükümlülüğü nedeniyle veriyi açık rıza aramadan işleyebilir; buna rağmen çalışanı m.10 uyarınca aydınlatmak zorundadır. Açık rıza gerekmemesi, aydınlatma yükümlülüğünü ortadan kaldırmaz.
Aydınlatma ve açık rıza aynı metinde olabilir mi?
Kurum uygulamasında aydınlatma ile açık rıza işlemlerinin birbirinden ayrılması esastır. İlgili kişi hangi bilginin zorunlu aydınlatma, hangi beyanın isteğe bağlı açık rıza olduğunu ayırt edebilmelidir. Aydınlatma metninin sonunda “okudum, kabul ediyorum” şeklinde tek kutuyla hem bilgilendirme hem açık rıza yaratılması hukuki işlevleri karıştırır.
Aydınlatma metni bilgi verir; açık rıza metni varsa rıza gereken somut işlem için ayrı irade beyanı alır. Hizmetin açık rızaya şart koşulup koşulamayacağı da rızanın özgür iradeye dayanması bakımından ayrıca değerlendirilir.
Aydınlatma ne zaman yapılmalı?
KVKK m.10 “kişisel verilerin elde edilmesi sırasında” aydınlatmayı öngörür. Tebliğ de verinin elde edilmesinden önce veya en geç elde edilmesi sırasında aydınlatma yapılmasını esas alır. Veri toplandıktan aylar sonra internet sitesine genel politika koymak geçmişte yapılmayan aydınlatmayı kendiliğinden düzeltmez.
Form doldurulurken formun yanında veya bağlantı üzerinden, telefon görüşmesinde görüşmenin başında uygun yöntemle, kamera kaydında alan girişinde katmanlı bildirimle veya mobil uygulamada veri toplanmadan önce aydınlatma yapılmalıdır.
Kamera kaydında aydınlatma nasıl yapılır?
Kamera ile görüntü kaydı kişisel veri işleme faaliyetidir. Veri sorumlusu kameranın bulunduğu alana giriş yapan kişileri kayıt başlamadan önce veya kayıt sırasında aydınlatmalıdır. Uygulamada kısa katmanlı pano ile veri sorumlusu, amaç ve detaylı metne erişim kanalı gösterilebilir.
“Bu alan kamera ile izlenmektedir” ifadesi tek başına m.10’daki bütün unsurları içermez. Detaylı aydınlatmada veri sorumlusunun kimliği, amaç, hukuki sebep, aktarım ve ilgili kişi hakları bulunmalıdır.
Çalışan aydınlatma metninde ne bulunmalı?
İşveren, çalışanların özlük, iletişim, ücret, performans, güvenlik, erişim, sağlık ve gerektiğinde diğer kişisel verilerini işleyebilir. Aydınlatma metninde her veri kategorisinin hangi amaçlarla ve hangi hukuki sebeplerle işlendiği açıklanmalıdır.
“İş sözleşmesi kapsamında her türlü veriniz işlenebilir” şeklindeki sınırsız ifade KVKK m.4’teki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesiyle bağdaşmaz. İşveren yalnızca iş ilişkisi ve kanuni yükümlülüklerle gerekli verileri ilgili işleme şartına dayanarak işlemelidir.
Web sitesi aydınlatma metni nasıl olmalı?
Web sitesi kullanıcılarından iletişim formu, üyelik, çerez, sipariş, bülten veya analitik sistemlerle kişisel veri toplanıyorsa her işlem için uygun aydınlatma yapılmalıdır. Tek bir uzun “gizlilik politikası” içinde bütün veri işleme faaliyetlerini belirsiz şekilde toplamak yerine, veri toplama anına yakın katmanlı aydınlatma kullanılabilir.
İletişim formunun altında veri sorumlusu ve amaç özeti ile detaylı aydınlatma metnine bağlantı verilmesi, kullanıcıyı veri göndermeden önce bilgilendirir. Pazarlama rızası gerekiyorsa ayrı ve zorunlu olmayan seçim sunulmalıdır.
Çerez aydınlatması neden ayrıdır?
Çerezler cihaz tanımlayıcıları, IP, oturum bilgileri ve davranışsal veri işleyebilir. Zorunlu çerezler ile analitik/reklam çerezlerinin hukuki sebebi aynı olmayabilir. Aydınlatma metni çerez türlerini, amaçları, tarafları, saklama sürelerini ve hukuki sebepleri açık biçimde göstermelidir.
“Siteyi kullanmaya devam ederek tüm çerezleri kabul etmiş sayılırsınız” yaklaşımı, açık rıza gereken çerezlerde özgür ve aktif rıza standardını karşılamaz. Aydınlatma ile tercih yönetimi birbirinden ayrılmalıdır.
Veri aktarımı nasıl açıklanmalı?
Aydınlatma metninde kişisel verilerin kimlere ve hangi amaçla aktarılabileceği belirtilmelidir. “Gerekli üçüncü kişilere aktarılabilir” şeklindeki belirsiz ifade yeterli değildir. Alıcı grupları ve aktarım amaçları anlaşılır şekilde gösterilmelidir.
Örneğin kargo şirketine adres aktarımı teslimat; muhasebe sistemine veri aktarımı finansal kayıt; yetkili kamu kurumuna aktarım kanuni yükümlülük amacıyla yapılabilir. Yurt dışına aktarım varsa KVKK m.9’daki güncel yurt dışı aktarım şartları ayrıca uygulanır.
İlgili kişinin hakları nasıl gösterilmeli?
Aydınlatma metni KVKK m.11’deki hakları belirtmelidir. İlgili kişiye veri sorumlusuna nasıl başvuracağı da açık şekilde anlatılmalıdır. Başvuru adresi, KEP veya diğer geçerli kanallar gösterilebilir.
m.11 haklarının tam listesi için KVKK ilgili kişinin hakları rehberi kullanılabilir; başvuru usulü ise KVKK m.13 başvuru rehberinde açıklanmıştır.
Aydınlatmanın yapıldığını kim ispatlar?
Aydınlatma Tebliği uyarınca aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir. Bu nedenle yalnızca internet sitesine metin koymak yetmez; ilgili kişinin veri toplama anında metne erişebildiğini gösterecek sistem kayıtları, form versiyonları ve yayın tarihleri saklanmalıdır.
Kağıt formda imza alınması her durumda zorunlu değildir. Ancak veri sorumlusu hangi metnin hangi tarihte hangi kanalla sunulduğunu ispatlayabilmelidir.
Aydınlatma metninde “GDPR’a uygunuz” yazmak yeterli mi?
Hayır. Kişisel Verileri Koruma Kurumu açıkça GDPR’a uyum ifadesinin 6698 sayılı KVKK kapsamındaki yükümlülükleri ortadan kaldırmadığını belirtmiştir. Türkiye’deki veri işleme faaliyeti bakımından aydınlatma metni öncelikle KVKK m.10 ve ilgili Tebliğ şartlarını karşılamalıdır.
Veri sorumlusu uluslararası faaliyeti nedeniyle GDPR’a da tabi olabilir; bu durumda iki mevzuata yönelik açıklamalar yapılabilir. Ancak yalnızca yabancı mevzuata atıf yapıp KVKK’daki hukuki sebep ve hakları göstermemek yeterli değildir.
Aydınlatma metni ne kadar uzun olmalı?
Kanun belirli kelime sayısı koymaz. Esas, açık, sade, anlaşılır ve doğru bilgi verilmesidir. Çok uzun fakat belirsiz hukuk metni de, çok kısa fakat zorunlu unsurları eksik metin de uygun değildir.
Katmanlı aydınlatma kullanılabilir: veri toplama anında temel bilgiler kısa şekilde sunulur, ayrıntılı metne kolay erişim sağlanır. Ancak zorunlu unsurların kullanıcıdan gizlenmemesi ve bağlantının çalışır olması gerekir.
Aydınlatmada muğlak ifadeler neden risklidir?
KVKK Kurumu, aydınlatma metinlerinde “her türlü amaç”, “gerekli durumlarda”, “ilgili üçüncü kişiler”, “mevzuatın izin verdiği ölçüde” gibi sınırı belirsiz ifadelerden kaçınılması gerektiğini vurgular. İşleme faaliyeti ilgili kişinin anlayabileceği somutlukta açıklanmalıdır.
Muğlak metin yalnızca m.10 bakımından değil, m.4’teki belirli, açık ve meşru amaçlarla işleme ilkesi bakımından da sorun yaratır.
Aydınlatma yapılmazsa ne olur?
KVKK m.18, m.10’daki aydınlatma yükümlülüğünü yerine getirmeyenler hakkında idari para cezası öngörür. Ceza tutarları her yıl yeniden değerleme oranına göre güncellenir. Ayrıca aydınlatma eksikliği, veri işleme faaliyetinin hukuka uygunluk denetiminde Kurul tarafından dikkate alınır.
Aydınlatma yapılmamış olması, açık rıza gereken bir veri işleme faaliyetinde rızanın “bilgilendirmeye dayanma” unsurunu da sakatlayabilir.
Aydınlatma metni kontrol listesi
- Veri sorumlusunun tam unvanını yazın.
- Her veri işleme amacını açık ve somut belirleyin.
- Her işleme amacı için hukuki sebebi gösterin.
- Aktarım yapılan alıcı gruplarını ve amaçları açıklayın.
- Veri toplama yöntemini belirtin.
- KVKK m.11 haklarını yazın.
- m.13 başvuru kanalını gösterin.
- Aydınlatmayı veri elde edilmeden önce veya en geç elde etme sırasında sunun.
- Açık rıza gerekiyorsa ayrı irade beyanı alın.
- Aydınlatmanın yapıldığını ispatlayan kayıtları saklayın.
Sık sorulan sorular
Aydınlatma metni zorunlu mu?
Evet. KVKK m.10 veri sorumlusuna kişisel verilerin elde edilmesi sırasında aydınlatma yükümlülüğü getirir.
Açık rıza varsa aydınlatma gerekmez mi?
Yanlış. Aydınlatma ayrı yükümlülüktür ve açık rızadan bağımsız olarak yerine getirilir.
Aydınlatma metninde hukuki sebep yazılmalı mı?
Evet. Veri toplamanın yöntemi ve hukuki sebebi zorunlu unsurdur.
“KVKK’ya uygun işliyoruz” cümlesi yeterli mi?
Hayır. m.10’daki beş ana bilgi somut olarak açıklanmalıdır.
Aydınlatmayı kim ispatlar?
Veri sorumlusu aydınlatma yükümlülüğünü yerine getirdiğini ispatlamak zorundadır.
Kamera levhası tek başına yeterli mi?
Sadece “kamera ile izlenmektedir” ifadesi m.10’daki bütün zorunlu unsurları içermez; detaylı aydınlatmaya erişim sağlanmalıdır.
GDPR metni KVKK aydınlatması yerine geçer mi?
Hayır. Türkiye’de KVKK m.10 ve ilgili Tebliğ şartları ayrıca karşılanmalıdır.
Aydınlatma yapılmazsa ceza var mı?
Evet. KVKK m.18 aydınlatma yükümlülüğüne aykırılık için idari para cezası öngörür.
Sonuç
KVKK m.10 aydınlatma yükümlülüğü, kişisel veri elde edilirken veri sorumlusunun şeffaf ve somut bilgi vermesini zorunlu kılar. Metinde veri sorumlusunun kimliği, amaçlar, aktarım, toplama yöntemi ve hukuki sebep ile m.11 hakları yer almalıdır. Aydınlatma açık rızadan ayrı yürütülmeli, muğlak ifadeler kullanılmamalı ve veri sorumlusu aydınlatmanın yapıldığını ispatlayacak kayıtları saklamalıdır.
Kanuni dayanak: 6698 sayılı KVKK m.4, 5, 6, 10, 11 ve 18; Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
BAKIRCI & KESKİN HUKUK BÜROSU sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
