Cevap kısa: evet, gerekir. Ama esas mesele bunun neden gerektiğidir. Haber kuruluşları çoğu zaman yayın faaliyeti için geçerli olan 6698 m.28/1-(c) istisnasını tüm kuruma yaydıklarını sanır. Oysa bu istisna okur verisini kapsamaz: üyelik formunda, bülten kutusunda, yorum alanında ve iletişim formunda topladığınız her veri için m.10 aydınlatma yükümlülüğü tam olarak doğar. Bu yazı m.10 ve m.11'i birebir veriyor, başvuru sürelerini tablolaştırıyor ve kopyalanıp doldurulabilecek bir aydınlatma metni şablonu sunuyor.

Neden okur verisi istisna dışında?

6698 m.28/1-(c) istisnası, kişisel verinin “sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi” hâlinde uygulanır. Bir okurun e-posta adresini bülten listenize kaydetmek ifade özgürlüğü kapsamında bir işleme değildir; ticari ve operasyonel bir işlemedir. Aynı şey üyelik, yorum, anket, çekiliş, iletişim formu ve reklam ölçümlemesi için de geçerlidir.

Dolayısıyla bu işlemelerde Kanunun tamamı uygulanır: m.4 ilkeleri, m.5 veya m.6 işleme şartı, m.10 aydınlatma, m.11 haklar, m.12 güvenlik, m.13-15 başvuru ve şikâyet, m.16 VERBİS ve m.18 idari para cezası. İstisnanın iki katmanlı yapısını gazetecilik faaliyeti ve KVKK istisnası yazısında ayrıntılı olarak ele aldık.

m.10 aydınlatma yükümlülüğü — birebir

“Veri sorumlusunun aydınlatma yükümlülüğü — MADDE 10- (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;”

  • a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
  • b) Kişisel verilerin hangi amaçla işleneceği,
  • c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
  • ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,
  • d) 11 inci maddede sayılan diğer hakları,
  • konusunda bilgi vermekle yükümlüdür.

Maddenin iki teknik ayrıntısı çoğu sitede atlanır. Birincisi zamanlama: bilgi verinin elde edilmesi sırasında verilmelidir — kayıt tamamlandıktan sonra gönderilen bir e-posta bu şartı karşılamaz. İkincisi kapsam: beş başlığın hepsi zorunludur; “kişisel verileriniz mevzuata uygun işlenir” gibi genel bir cümle hiçbirini karşılamaz.

m.11 ilgili kişinin hakları — birebir

m.10/1-(d), aydınlatma metnine m.11'deki hakların da yazılmasını zorunlu kılar. Madde şöyledir: “MADDE 11- (1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;”

  • a) Kişisel veri işlenip işlenmediğini öğrenme,
  • b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
  • c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
  • ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
  • d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
  • e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
  • f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
  • g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
  • ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme,
  • haklarına sahiptir.

Bu dokuz bendi metninize kısaltarak değil, tam olarak yazın. (e) bendi sitenize gelen silme taleplerinin kanuni dayanağıdır; (ğ) bendi ise m.28/2 kısmi istisnasından açıkça hariç tutulmuştur, yani hiçbir istisna hâlinde ortadan kalkmaz.

Başvuru ve cevap süreleri (m.13 - m.15)

m.13/1: “İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir.” m.13/2: “Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir.”

m.13/3 cevabın biçimini belirler: “Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir.” Sessiz kalmak bir seçenek değildir; m.14/1 uyarınca süresinde cevap verilmemesi doğrudan Kurula şikâyet yolunu açar.

İşlemSüreDayanak
Veri sorumlusunun başvuruya cevabıEn kısa sürede, en geç 30 gün — kural olarak ücretsizm.13/2
Kurula şikâyet (cevabı öğrenmeden itibaren)30 günm.14/1
Kurula şikâyet (her hâlde başvurudan itibaren)60 günm.14/1
Zorunlu ön başvuru şartıBaşvuru yolu tüketilmeden şikâyete gidilemezm.14/2
Veri sorumlusunun Kurula bilgi-belge göndermesi15 günm.15/3
Kurulun şikâyete cevabı (yoksa zımni ret)60 günm.15/4
Kurul ihlal giderme kararının yerine getirilmesiGecikmeksizin, en geç 30 günm.15/5
Silme talebinin sonuçlandırılması veya gerekçeli reddi30 günSilme Yön. m.12/1-a, m.12/1-c

Aydınlatma yükümlülüğünü ihlalin yaptırımı

6698 m.18/1-(a): “10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar” idari para cezası verilir. 7499 sayılı Kanunla değişik m.18/2 uyarınca bu ceza veri sorumlusu hakkında uygulanır; m.18/3 ile kanun yolu idare mahkemesi olarak belirlenmiştir.

Kopyalanabilir aydınlatma metni şablonu

Aşağıdaki şablon m.10'un saydığı beş başlığı eksiksiz karşılayacak biçimde kurgulanmıştır. Noktalı alanları kendi envanterinizden doldurun; uydurmayın — beyan ettiğiniz her amaç ve alıcı gerçekten var olmalıdır. Envanteri nasıl çıkaracağınızı VERBİS kayıt zorunluluğu yazısındaki kontrol listesinde bulabilirsiniz.

text
[SİTE ADI] KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN
AYDINLATMA METNİ

Son güncelleme: ../../20..

1. VERİ SORUMLUSUNUN KİMLİĞİ  (6698 m.10/1-a)
   Unvan          : ..............................................
   Adres          : ..............................................
   Ticaret sicil  : ..............................................
   MERSİS no      : ..............................................
   KEP adresi     : ..............................................
   E-posta        : kvkk@..........................................
   Temsilci (varsa): .............................................

2. İŞLENEN KİŞİSEL VERİLER VE İŞLEME AMAÇLARI  (m.10/1-b)

   a) Üyelik ve abonelik
      Veriler : ad soyad, e-posta, ...........................
      Amaçlar : hesabın oluşturulması, abonelik hizmetinin
                sunulması, ..................................

   b) E-bülten
      Veriler : e-posta adresi, onay kaydı, onay tarih-saati,
                onay IP adresi
      Amaçlar : bülten gönderimi, onay kaydının ispatı

   c) Okur yorumları
      Veriler : görünen ad, e-posta, IP adresi, tarih-saat
      Amaçlar : yorumun yayımlanması, moderasyon,
                mevzuattan doğan kayıt yükümlülüğü

   ç) İletişim ve ihbar formları
      Veriler : ad soyad, e-posta, telefon, mesaj içeriği
      Amaçlar : talebin cevaplanması, kayıt tutulması

   d) Ölçümleme ve site işleyişi
      Veriler : IP adresi, oturum bilgisi, ..................
      Amaçlar : sitenin çalıştırılması, güvenlik, ...........

3. VERİLERİN AKTARILDIĞI TARAFLAR VE AKTARIM AMACI  (m.10/1-c)
   - Barındırma / sunucu sağlayıcısı  : ...................
     Amaç: verinin saklanması ve sitenin çalıştırılması
   - E-posta gönderim hizmeti         : ...................
     Amaç: bülten ve bilgilendirme iletilerinin gönderimi
   - Ölçümleme hizmeti                : ...................
     Amaç: site kullanım istatistiklerinin üretilmesi
   - Yetkili kamu kurum ve kuruluşları
     Amaç: kanunlarda öngörülen bilgi ve belge taleplerinin
           karşılanması
   Yurt dışına aktarım: [VAR / YOK]  — varsa alıcı ülke: .....

4. TOPLAMA YÖNTEMİ VE HUKUKİ SEBEBİ  (m.10/1-ç)
   Yöntem: Site üzerindeki formlar, üyelik ve abonelik
           ekranları, yorum alanı, çerez ve benzeri
           teknolojiler aracılığıyla elektronik ortamda.

   Hukuki sebep (her faaliyet için ayrı ayrı işaretleyin):
   [ ] 6698 m.5/1  — açık rıza
   [ ] 6698 m.5/2-a — kanunlarda açıkça öngörülmesi
   [ ] 6698 m.5/2-c — sözleşmenin kurulması veya ifası
   [ ] 6698 m.5/2-ç — hukuki yükümlülüğün yerine getirilmesi
   [ ] 6698 m.5/2-d — ilgili kişinin alenileştirmesi
   [ ] 6698 m.5/2-e — bir hakkın tesisi, kullanılması, korunması
   [ ] 6698 m.5/2-f — veri sorumlusunun meşru menfaati
   Özel nitelikli veri işleniyorsa ayrıca: 6698 m.6/3-(..)

5. İLGİLİ KİŞİNİN HAKLARI  (m.10/1-d, m.11)
   Herkes veri sorumlusuna başvurarak kendisiyle ilgili;
   a) Kişisel veri işlenip işlenmediğini öğrenme,
   b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
   c) Kişisel verilerin işlenme amacını ve bunların amacına
      uygun kullanılıp kullanılmadığını öğrenme,
   ç) Yurt içinde veya yurt dışında kişisel verilerin
      aktarıldığı üçüncü kişileri bilme,
   d) Kişisel verilerin eksik veya yanlış işlenmiş olması
      hâlinde bunların düzeltilmesini isteme,
   e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel
      verilerin silinmesini veya yok edilmesini isteme,
   f) (d) ve (e) bentleri uyarınca yapılan işlemlerin,
      kişisel verilerin aktarıldığı üçüncü kişilere
      bildirilmesini isteme,
   g) İşlenen verilerin münhasıran otomatik sistemler
      vasıtasıyla analiz edilmesi suretiyle kişinin kendisi
      aleyhine bir sonucun ortaya çıkmasına itiraz etme,
   ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi
      sebebiyle zarara uğraması hâlinde zararın giderilmesini
      talep etme,
   haklarına sahiptir.

6. BAŞVURU YOLU
   Talepler yazılı olarak yukarıdaki adrese veya KEP adresine
   iletilebilir. Başvurular, talebin niteliğine göre en kısa
   sürede ve en geç OTUZ GÜN içinde ücretsiz olarak
   sonuçlandırılır (6698 m.13/2). İşlemin ayrıca bir maliyeti
   gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret
   alınabilir.

7. SAKLAMA SÜRELERİ
   Üyelik verisi     : üyelik süresince + ....... yıl
   Bülten onay kaydı : onay geçerli olduğu sürece + ..... yıl
   Yorum verisi      : ................................
   İletişim formu    : ................................
   Süre sonunda veriler saklama ve imha politikası
   uyarınca silinir, yok edilir veya anonim hâle getirilir.

Şablonu her forma bağlam duyarlı biçimde yerleştirin: bülten kutusunun yanında yalnızca bülten bölümüne, üyelik formunda üyelik bölümüne bağlantı verin. Tek bir dev metne yönlendiren tek bir link, m.10'un “elde edilmesi sırasında bilgi verme” şartını zayıflatır.

Sık yapılan dört hata

  • Aydınlatma metnini gizlilik politikası ile karıştırmak. Gizlilik politikası ticari bir taahhüt metnidir; aydınlatma metni ise m.10'un beş başlığını karşılamak zorunda olan kanuni bir belgedir. İkisini birleştirebilirsiniz, ama beş başlığın hepsi ayırt edilebilir olmalıdır.
  • Hukuki sebebi yazmamak. m.10/1-ç açıkça “hukuki sebebi” der. Hangi faaliyette m.5'in hangi bendine dayandığınızı yazmadan metin eksiktir.
  • Aktarılan tarafları gizlemek. Barındırma, e-posta ve ölçümleme sağlayıcılarınız m.10/1-c kapsamında alıcıdır; sayılmaları gerekir.
  • Metni bir kez yazıp unutmak. Yeni bir form, yeni bir sağlayıcı veya yeni bir amaç eklendiğinde metin güncellenmelidir; aksi hâlde m.4/2-b doğruluk ilkesi de ihlal edilir.

Aydınlatma metni, sitenizin kanuni belgeler setinin yalnızca bir parçasıdır. Künye zorunluluğu ve iletişim bilgisi bulundurma yükümlülüğüyle birlikte tek bir sayfa mimarisinde planlayın; bülten gönderiyorsanız 6563 sayılı Kanun kapsamındaki önceden onay şartını ayrıca kurgulayın. Bir sızıntı hâlinde izleyeceğiniz akış için kişisel veri ihlali bildirimi yazısına bakın.