11. Şeffaflık ve aydınlatma

Kişinin verilerinin kullanıldığını bilmesiyle, bu kullanımın amacını ve muhatabını anlayabilmesi aynı değildir. Aydınlatmanın değerlendirilmesi bu nedenle yalnız bir metnin sunulup sunulmadığına indirgenemez. Bölümde bilginin içeriği, zamanı, dili ve erişilebilirliği birlikte ele alınmaktadır. Farklı iletişim ortamları ve korunma ihtiyacı bulunan kişiler bakımından açıklamanın nasıl anlaşılır kılınacağı incelendikten sonra, yükümlülüğün ispatı ve diğer metinlerle ilişkisi açıklanmaktadır.

11.1. Aydınlatmanın ilgili kişi bakımından işlevi ve yükümlülüğün kapsamı

Kişinin bir formu doldurması, verilerinin bundan sonra nasıl kullanılacağını bildiğini göstermez. Örneğin iletişim bilgilerini belirli bir hizmet için veren kişi, bunları kimin işleyeceğini, başka kimlere aktaracağını veya hangi hukuki sebeple kullanacağını ayrıca öğrenmeye ihtiyaç duyabilir. Aydınlatma yükümlülüğü bu bilgi ihtiyacına yönelir. Aşıkoğlu, aydınlatmayı kişinin verileri üzerindeki kontrolü ve işlemenin hukuka uygunluğunu denetleyebilmesi bakımından ele alır. Kanun’un 11. maddesindeki hakların kullanılabilmesi de kişinin işleme faaliyetini tanıyabilmesiyle yakından ilişkilidir.¹

Kanun’un 10. maddesi, veri sorumlusunun veya yetkilendirdiği kişinin ilgili kişiye bilgi vermesini öngörür. Bilgilendirme; sorumlu ve varsa temsilcisinin kimliğini, işleme amaçlarını, alıcıları ve aktarım amaçlarını, toplama yöntemiyle hukuki sebebi ve ilgili kişinin haklarını kapsar. Bunlar, veri sorumlusunun dilediğini seçebileceği başlıklar değildir. Aydınlatma Tebliği de bu içeriği asgari olarak düzenler. Hükmün bilgilendirmeyi verilerin elde edilmesine bağlaması, kişiye ancak daha sonra sorarsa açıklama yapılabileceği anlamına gelmez; doğrudan ve başka kaynaktan elde etmede zamanlama ayrıca değerlendirilir.²

Aydınlatma, işlemenin açık rızaya dayanıp dayanmadığından bağımsız bir yükümlülüktür. Bir verinin kanuni yükümlülüğün yerine getirilmesi için işlenebilmesi, kural olarak ilgili kişiye bilgi verilmesini gereksiz kılmaz. Aynı şekilde ilgili kişinin aydınlatmayı kabul etmesi, yükümlülüğün doğmasının şartı değildir. Kurumun 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararına ilişkin açıklaması, aydınlatma için onay veya rıza talep edilmemesiyle bilgi edinildiğine ilişkin geri bildirimi açıkça ayırır. Bilgi verme işlemi ile veri işlemenin hukuki dayanağının birbirinden ayrılması, hem rızaya dayanan hem de diğer şartlarla yürütülen faaliyetlerde korunmalıdır.³

Yükümlünün belirlenmesinde de önce veri sorumlusu saptanır. Bilgilendirmenin bir çalışan, çağrı merkezi veya başka bir yetkilendirilmiş kişi aracılığıyla yapılabilmesi, bilgilendirilen işlem bakımından kimin veri sorumlusu olduğu sorusunu ortadan kaldırmaz. Tebliğ, aydınlatmanın yerine getirildiğini ispat yükünü veri sorumlusuna verir. Dolayısıyla işlemi fiilen yürüten kişiye görev verilmesiyle, veri sorumlusunun bu görevin usulüne uygun yerine getirilmesini sağlaması ayrı konulardır. Hizmet sağlayıcının kendi amaçlarıyla yürüttüğü işlemler varsa onun sıfatı ve yükümlülükleri de ayrıca belirlenmelidir.⁴

Aydınlatma yükümlülüğü, yalnız büyük şirketlerin veya dijital hizmetlerin sorunu değildir. Kanun’un uygulama alanı; tamamen veya kısmen otomatik işlemenin yanında, bir veri kayıt sisteminin parçası olan otomatik olmayan işlemeyi de kapsar. Bu nedenle yapılandırılmış kâğıt kayıtlarının kullanılması, tek başına yükümlülüğün dışında kalma sebebi oluşturmaz. Aşıkoğlu’nun küçük işletmeler bakımından işaret ettiği uygulama güçlüğü, kanuni bir muafiyetle aynı değildir. VERBİS’e kayıt yükümlülüğüyle aydınlatma da ayrı ayrı incelenmelidir; sicile kayıt muafiyeti bulunması tek başına 10. maddenin uygulanmayacağını göstermez.⁵

Bilgilendirmenin değeri, yalnız bir metnin mevcut olmasına değil, yürütülen işlemi doğru açıklamasına bağlıdır. Gerçekte yapılmayan bir aktarımın yapılıyormuş gibi gösterilmesi veya hangi işleme şartına dayanıldığı anlaşılmadan bütün kanun maddelerine topluca gönderme yapılması, kişiye kendi verilerinin kullanımını değerlendirebileceği bilgi sağlamaz. Tebliğ, eksik, yanıltıcı ve yanlış bilgileri dışlar; Kurumun 2026 açıklaması da metinlerin her veri sorumlusunun kendi organizasyonuna ve faaliyetlerine uygun hazırlanmasını ister. Başkasının metnini aynen kullanmak, işlem farklılıklarını ortadan kaldırmaz.⁶

Usulüne uygun bir bilgilendirme ise bulunmayan işleme yetkisinin yerine geçmez. Veri sorumlusunun belirli bir amacı metinde açıkça yazması, o amacı meşru veya o amaçla veri işlemeyi zorunlu kılmaz. Bir işlemin açıklanmasıyla, Kanun’un 5 veya 6. maddesindeki şartlardan birine ve 4. maddedeki ilkelere uygun olması ayrı gerekliliklerdir. Örneğin hizmet için gerekmeyen bir sağlık profilinin oluşturulacağını bildirmek, tek başına bu işlemi haklı kılan bir sebep değildir. Aydınlatma, hukuka uygun işlemenin bilgi verme boyutudur; diğer şartların yerine geçirilerek değerlendirilemez.⁷

Bu genel kapsamın kanuni sınırları da vardır. Kanun’un 28. maddesinin birinci fıkrası, belirli faaliyetleri Kanun’un uygulama alanı dışında bırakırken ikinci fıkrası, saydığı hâllerde 10. maddenin de uygulanmayacağını düzenler. İkinci fıkrada Kanun’un amacına ve temel ilkelerine uygunluk ile orantılılık koşulu korunur. Bu yüzden bir kuruluşun kamu kurumu olması veya yaptığı işi genel olarak “denetim” diye adlandırması, bütün işlemlerinin aydınlatmadan muaf olduğu sonucunu doğurmaz. İstisna, ilgili faaliyet ve bütün koşulları bakımından belirlenmelidir; bunun ayrıntıları 11.7’de ele alınacaktır.⁸

11.2. Kimlik, amaç, alıcılar, toplama yöntemi, hukuki sebep ve haklar

Aydınlatmanın asgari içeriği, birbirinden kopuk başlıkların sıralanmasıyla yerine getirilmiş olmaz. Veriyi kimin, hangi amaçla, hangi yöntemle ve hangi hukuki şarta dayanarak işlediğinin anlaşılması gerekir. Aşıkoğlu, Türk hukukunda kanun ve tebliğin asgari bir çerçeve çizdiğini, bilgilendirmenin somut içeriğinin yürütülen faaliyete göre değerlendirilmesi gerektiğini belirtir. Bu bakımdan bir metnin kapsamı, yalnız başlıklarının kanundaki ifadelerle aynı olmasına göre değil, bu başlıkların ilgili kişi için hangi bilgiyi sağladığına göre incelenmelidir.⁹

Kimlik bilgisi, ilgili kişinin karşısındaki veri sorumlusunu belirleyebilmesini sağlar. Bir işletmenin kullandığı marka veya hizmet adı ile verilerin amaç ve araçlarını belirleyen gerçek yahut tüzel kişinin kimliği her zaman aynı değildir. Kurumun rehberi, tüzel kişinin unvanını, gerçek kişinin adını ve soyadını, varsa temsilci bilgisini ve kolay iletişim kurulabilecek bilgileri bu bağlamda açıklar. Birden fazla kuruluşun yer aldığı bir hizmette ise herkesin adını tek bir listede vermek, hangi kuruluşun hangi işlemin veri sorumlusu olduğunu kendiliğinden açıklamaz.¹⁰

İşleme amacı ile hukuki sebep farklı soruları cevaplar. Amaç, verinin ne için kullanıldığını; hukuki sebep ise bu işlemenin hangi işleme şartına dayandığını gösterir. Örneğin bir satış ilişkisinde teslimatı gerçekleştirmek amaçtır; adresin işlenmesinin sözleşmenin ifası için gerekli olup olmadığı, dayanağa ilişkin ayrı değerlendirmedir. Kanun’un 5 ve 6. maddelerindeki bütün ihtimalleri sıralamak, somut işlemle bu şartlar arasındaki ilişkiyi açıklamaz. Kurul, 2020/766 sayılı karar özetinde, bankanın çeşitli işleme şartlarını listelemesini ve faaliyetlere özgü olmayan genel bir metin sunmasını bu yönden yetersiz bulmuştur.¹¹

Toplama yöntemi ise amaçtan ve hukuki sebepten ayrı olarak, verinin nasıl elde edildiğini açıklar. Form, telefon görüşmesi, internet sitesi veya kamera kaydı farklı toplama kanalları olabilir. Tebliğ, tamamen veya kısmen otomatik yöntemlerle, veri kayıt sisteminin parçası olan otomatik olmayan yöntemlerin hangisinin kullanıldığının açıkça belirtilmesini ister. Bu nedenle yalnız “elektronik ortamda” demek, bir internet formuyla doğrudan alınan bilgiyle başka bir sistemden veri entegrasyonu yoluyla edinilen bilgiyi ayırmaya yetmeyebilir. Açıklama, gerçekten kullanılan kanalı ve yöntemi anlaşılır kılmalıdır.¹²

Alıcılara ilişkin açıklama, aktarımın amacıyla birlikte yapılır. Tebliğ alıcı gruplarının belirtilmesini öngörür; Kurumun rehberi iş ortakları, tedarikçiler veya yetkili kamu kurumları gibi örnekler verir. Bu örnekler, her metne aynen eklenecek bir alıcı listesi değildir. Hangi verilerin hangi gruba ve ne için aktarılabileceği somut faaliyetle ilişkilendirilmelidir. Kurulun 2022/545 sayılı karar özetinde de veri kategorisi, alıcı grubu ve aktarım amacı arasındaki bağın gösterilmesi istenir; gruplardaki üçüncü kişilerin, ilgili kişinin sorularına cevap verilebilmesi için veri sorumlusu nezdinde kayıtlı tutulmasının önemi ayrıca belirtilir.¹³

İlgili kişinin haklarına ilişkin bilgi de bilgilendirmenin zorunlu parçasıdır. Bunun için Kanun’un 11. maddesinin tamamını her metne aktarmak gerekmez. Kurumun 2026/347 sayılı ilke kararına ilişkin açıklaması, metni gereksiz uzatmamak için 11. madde kapsamındaki haklara gönderme yapılmasını örnek gösterir. Ancak hakların varlığını belirtmekle, bunların kullanılabilmesi için veri sorumlusunun kimliğini ve iletişim bilgilerini erişilebilir kılmak birlikte düşünülmelidir. Bu açıklama, başvuru usulünün bütün ayrıntılarını her aydınlatma metninde yeniden yazmak anlamına gelmez.¹⁴

İşlenen verilerle kategorilerinin belirtilmesi, diğer unsurların birbiriyle ilişkilendirilmesini de sağlar. Kurumun 2026 açıklaması, bu bilgilerin işleme amacı ve hukuki sebebiyle birlikte açıkça gösterilmesini ister. Burada kanunun 10. maddesindeki bentlere yeni bir bent eklenmiş değildir; Kurulun aydınlatmanın somutlaştırılmasına ilişkin yaklaşımı söz konusudur. Örneğin “iletişim verileri” başlığının altında hangi bilgilerin yer aldığı ve bunların hangi kullanım için gerekli olduğu anlaşılmıyorsa, yalnız kategori adını yazmak ilgili kişinin bilgi ihtiyacını tam olarak karşılamayabilir.¹⁵

2022/545 sayılı karar özeti, asgari unsurlarla bunlar arasındaki bağlantının ayrı değerlendirilebildiğini gösterir. Kurul, somut banka işleminde aydınlatmayı 10. madde bakımından geçerli bulmuş; buna karşılık hangi veri kategorisinin hangi amaç ve işleme şartıyla kullanıldığının, hangi alıcı grubuna ne için iletildiğinin açıklanmasındaki eksiklikleri tespit etmiştir. Sonuçta metnin Tebliğ’e uygun hâle getirilmesini istemiştir. Bu örnekte hukuki değerlendirme, “aydınlatma var” veya “aydınlatma yok” ikiliğiyle tamamlanmamış; sunulan bilginin içeriği ve tamamlanması gereken ilişkiler ayrıca incelenmiştir.¹⁶

11.3. Doğrudan ve başka kaynaktan elde etmede aydınlatmanın zamanı

Aydınlatmanın zamanı belirlenirken önce verinin kimden elde edildiği saptanmalıdır. Kanun’un 10. maddesi bilgilendirmeyi kişisel verilerin elde edilmesi sırasına bağlar. İlgili kişinin kendi bilgilerini bir form aracılığıyla verdiği işlem ile veri sorumlusunun bu bilgileri başka bir kuruluştan aldığı işlem aynı şekilde gerçekleşmez. Tebliğ’in 6. maddesi, verilerin ilgili kişiden elde edilmediği hâller için ayrıca zamanlama kuralları getirir. Bu ayrım, bilgilendirmenin asgari içeriğini ortadan kaldırmaz; yükümlülüğün hangi aşamada yerine getirileceğini belirler.¹⁷

Doğrudan veri toplanan bir süreçte aydınlatmanın, verinin elde edilmesiyle bağlantısı korunmalıdır. Kurumun 2026/347 sayılı ilke kararına ilişkin açıklaması, kişisel veri işlemeye başlamadan önce aydınlatma yapılmasını vurgular. Örneğin internet formundaki açıklamanın, bilgiler gönderilmeden önce kişiye sunulması bu zamanlamaya hizmet eder. Formun tamamlanmasından sonra gönderilen bir bağlantının yeterliliği ise yalnız bağlantının mevcut olmasına göre değerlendirilemez; verinin hangi aşamada toplandığı ve hangi işlemlerin daha önce gerçekleştiği incelenmelidir. Tebliğ’in başka kaynaktan elde etmeye ilişkin özel düzeni ayrıca dikkate alınır.¹⁸

İlgili kişiden elde edilmeyen veriler bakımından Tebliğ üç zaman ölçütü öngörür. Bunlar, veri sorumlusuna istediğini seçerek aydınlatmayı erteleme serbestisi veren seçenekler olarak ele alınmamalıdır. İletişim kurulması veya aktarım yapılması hâlinde o olaya bağlanan zaman sınırı da gözetilmelidir.¹⁹

Makul süre, sayısı belirlenmiş sabit bir gün veya ay süresi değildir. Somut süreçte gecikmenin nedenini ve bilgilendirmenin ne zaman yapılabileceğini değerlendirmeyi gerektirir. İlk iletişim gerçekleştiği hâlde, başka bir tarihin makul süre sayılabileceği düşüncesiyle bilgilendirmenin o tarihe bırakılması, iletişime bağlanan sınırı etkisiz kılar. Buna karşılık Türk düzenlemesine, yalnız Avrupa Birliği hukukundaki açıklamalardan hareketle her durumda geçerli bir aylık üst sınır eklenmemelidir; Tebliğ’in 6. maddesinde böyle bir sayısal sınır bulunmaz.²⁰

Başka kaynaktan elde etmenin kapsamı konusunda kurum açıklamasıyla öğretideki yorum aynı değildir. Kurumun rehberi ve üçüncü kişilerden edinilen iletişim bilgilerinin pazarlamada kullanılmasına ilişkin duyurusu, fiilî imkânsızlık veya ilgili kişiye ulaşılamaması nedeniyle doğrudan elde edememeden söz eder. Aşıkoğlu ise başka veri sorumlularından, kamu kurumlarından veya açıklanmış kaynaklardan veri alınabileceğini belirterek kapsamın bu iki sebebe indirgenmesine karşı çıkar. Tebliğ’in 6. maddesinin metni, ilgili kişiden elde edilmeme hâlini bu sebepleri ayrıca saymadan düzenler. Dolayısıyla kurumun açıklaması aktarılırken bu ifade normun açık şartıymış gibi sunulmamalı; daraltıcı yorumla hükmün lafzı arasındaki fark gösterilmelidir.²¹

Veriyi başka bir veri sorumlusundan almak, ilk kuruluşun yaptığı bilgilendirmenin ikinci kuruluşun bütün faaliyetlerini de kapsadığını göstermez. Aşıkoğlu bu bağımsızlığı, kariyer sitesinden özgeçmiş edinen veri sorumlusu örneğiyle açıklar. Veriyi alan kuruluşun kendi kimliği, amaçları ve dayanağı bakımından yükümlülüğü ayrıca belirlenir. Bu inceleme, ilgili kişinin herkese açık hâle getirdiği verilere ilişkin kanuni istisnanın var olup olmadığından da ayrıdır; bir bilginin internette bulunması tek başına bu istisnanın bütün şartlarını göstermez.²²

İlk iletişimde aydınlatma yapılması, iletişim bilgisini elde etmenin ve kullanmanın hukuki şartını kendiliğinden sağlamaz. Kurumun üçüncü kişilerden edinilen iletişim bilgileri hakkındaki duyurusu, referans veya tavsiye yoluyla veri edinilmesinin pazarlama için doğrudan hukuki dayanak oluşturmadığını açıklar. Aynı duyuru, görüşmeyi sürdürme veya SMS’e ret cevabı vermeme davranışlarının tek başına geçerli açık rıza sayılamayacağını belirtir. Bu nedenle aramanın başında bilgilendirme yapılması ile o numaranın aranmasının hangi işleme şartına dayandığı iki ayrı sorudur.²³

Zamanlamaya ilişkin kararlar da kendi olayları içinde okunmalıdır. Kurulun 2022/545 sayılı karar özetinde, kişinin başlattığı SMS sürecinde işlem tamamlanmadan önce yapılan bilgilendirme yeterli bulunmuştur. Bu sonuç, her veri toplama işleminden sonra bilgilendirme yapılabileceği şeklinde genelleştirilemez. 2026/347 sayılı ilke kararına ilişkin açıklamanın işlemeye başlamadan önce aydınlatma vurgusu da güncel uygulamada ayrıca gözetilmelidir. Arabuluculuk faaliyetlerine ilişkin Kurum duyurusunda ise doğrudan elde etme ile başka kaynaktan elde etmenin zamanları ayrı ayrı açıklanır. Böylece belirli bir kararın sonucu, verinin kaynağından ve sürecin aşamalarından koparılarak kullanılmamış olur.²⁴

Aydınlatmanın zamanı yalnız ilk elde etmeyle ilgili değildir. Veri işleme amacı değiştiğinde Tebliğ, yeni amaçla işlemeye başlamadan önce o amaç için ayrıca aydınlatma yapılmasını ister. Yeni amacın duyurulması, o amaçla işlemenin diğer hukuki şartlarının da bulunduğunu göstermez. Önceki bilgilendirmenin kapsamı, yeni amacın gerektirdiği açıklama ve yeni işlemenin dayanağı birlikte incelenmelidir; metinlerin güncellenmesi ve bunun ispatı 11.7’de ele alınacaktır.²⁵

11.4. Anlaşılabilir dil, erişilebilirlik ve katmanlı aydınlatma

Aydınlatma metninin hukuki terimler içermesi, yürütülen işlemin anlaşılmasını güçleştirmemelidir. Tebliğ, bildirimin anlaşılır, açık ve sade dille yapılmasını; amaçların belirli olmasını ve yanıltıcı bilgilere yer verilmemesini ister. Örneğin “gerekli görülen bütün amaçlarla işlenebilir” ifadesi, verinin hangi işlem için kullanılacağını açıklamaz. Metin, veri sorumlusuna belirsiz bir hareket alanı tanımak yerine ilgili kişinin karşısındaki faaliyeti anlamasını sağlamalıdır.²⁶

Kısa anlatım ile eksik anlatım da birbirinden ayrılmalıdır. Aşıkoğlu, özlü olmanın yüzeysel bilgi vermek anlamına gelmediğini; dilin ve sunumun muhatap kişi grubuna göre düşünülmesi gerektiğini belirtir. Bir uzman grubunun kullandığı teknik terim, aynı hizmetten yararlanan herkes tarafından bilinmeyebilir. Bu yüzden terimin yanında işlevinin açıklanması veya uzun bir cümlenin ayrı bilgi ilişkilerine bölünmesi yararlı olabilir. Amaç, zorunlu içeriği azaltmak değil, içeriğin ne ifade ettiğini görünür kılmaktır.²⁷

Sunum yöntemi de bilginin anlaşılmasını ve fark edilmesini etkiler. Tebliğ, sözlü veya yazılı anlatımın yanında ses kaydı ve çağrı merkezi gibi fiziksel ve elektronik yöntemlere imkân tanır. Kurumun rehberi, internet sayfası, bilgi panosu ve sesli açıklama gibi farklı örnekler verir. Ancak metnin bir yerde mevcut olmasıyla, ilgili kişinin veri toplanan süreçte ona kolayca erişebilmesi aynı şey değildir. Kurumun kamuoyu duyurusu da bilgilendirmenin fark edilebilir olmasını ve erişimin zorlaştırılmamasını ayrıca vurgular.²⁸

Katmanlı aydınlatma, bilginin kısa bir ilk açıklamayla başlayıp ayrıntılı içeriğe yönlendirmeyle tamamlanmasını sağlar. Kurumun duyurusu, yönlendirmeden önce veri sorumlusunun kimliği ve işleme amacı gibi temel bilgilerin sunulmasını ister. Yönlendirilen içerik de ilgili faaliyete özgü olmalıdır. Örneğin bir başvuru formundaki kısa açıklamadan, o başvurunun verilerine ilişkin ayrıntılı metne ulaşılmasıyla kuruluşun bütün faaliyetlerini kapsayan genel bir politika sayfasına ulaşılması farklıdır. İlk katman, asgari bilginin bütünü yerine geçen bir muafiyet değildir.²⁹

Kurulun 2023/1818 sayılı karar özeti bu farkı somutlaştırır. Alarm ve görüntüleme hizmeti sunan kuruluş, telefon görüşmelerinin kaydedildiğini bildirdiğini ve katmanlı aydınlatma yaptığını savunmuştur. Kurul ise görüşmenin kayda alındığının söylenmesini, zorunlu unsurları içeren veya bu unsurlara erişim sağlayan aydınlatmayla aynı görmemiştir. Sonuçta aydınlatma yönünden idari para cezası ve gerekli bilgilendirme yahut yönlendirmeyi sağlama talimatı verilmiştir. Görüşme kayıtlarının işleme şartlarına ilişkin ayrı değerlendirmede işlem yapılmaması, aydınlatma eksikliğini ortadan kaldırmamıştır.³⁰

Erişilebilirlik, bilginin yalnız okunabilir uzunlukta olmasından daha geniştir. Kurumun rehberi görme engelli kişilerin bilgilendirmeye erişimini de gözetir. Web siteleri ve mobil uygulamalar bakımından 2025/10 sayılı Cumhurbaşkanlığı Genelgesi ayrıca dikkate alınmalıdır. Genelge, saydığı kamu ve özel kuruluşlar ile elektronik ticaret yapan hizmet sağlayıcılar için farklı uyum süreleri öngörerek Bakanlığın kontrol listesine ve WCAG 2.2’ye uygunluğu konu alır. Dolayısıyla dijital aydınlatmanın erişilebilirliği değerlendirilirken hem veri koruma yükümlülüğü hem de hizmete uygulanabilen erişilebilirlik düzeni belirlenmelidir.³¹

Bakanlığın 2026 tarihli kontrol listesi, bu değerlendirmeye somut sorular sağlar. Bilgi sunan bir görsel için yardımcı teknolojilerin algılayabileceği metin alternatifi bulunması ve bağlantının amacının adıyla veya bağlamıyla anlaşılabilmesi bunlar arasındadır. Aydınlatmanın yalnız bir görsel dosyaya yerleştirilmesi ya da ayrıntıya götüren bağlantının neye açıldığının anlaşılamaması bu nedenle incelenmelidir. Teknik kontrolün yapılması, metnin hukuki içeriğinin yeterli olduğunun kendiliğinden kanıtı değildir; içerik ve erişim birlikte değerlendirilir.³²

Anlaşılabilirlik, metnin ilk yazıldığı günle sınırlı bir değerlendirme de değildir. Kurumun rehberi, mümkünse ilgili kişilerden gelen geri bildirimlerle metnin yeniden değerlendirilmesini, değişen koşullara göre hata ve eksiklerin giderilmesini önerir. Aynı ifadenin sürekli yanlış anlaşılması, açıklamanın gözden geçirilmesini gerektiren bir işaret olabilir. Bununla birlikte belirli bir metnin daha kolay anlaşıldığına ilişkin sonuç, yalnız metnin kısa olmasıyla veya kullanıcıların sayfayı açmış bulunmasıyla kanıtlanmış olmaz; böyle bir sonuç için ayrıca uygun inceleme gerekir.³³

11.5. Aydınlatma, gizlilik politikası, sözleşme ve açık rıza ayrımı

Aynı hizmette birden fazla metnin sunulması, bu metinlerin aynı hukuki işlevi gördüğü anlamına gelmez. Aydınlatma, ilgili kişiye veri işleme faaliyeti hakkında bilgi verir. Açık rıza ise belirli bir işlemeye ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade beyanıdır. Sözleşmenin ifası için gerekli olma şartı da bu beyanlardan ayrı olarak değerlendirilir. Bu nedenle bir belgenin okunması, o belgede anlatılan bütün işlemlere izin verildiğini kendiliğinden göstermez.³⁴

Kuruluşun genel gizlilik veya veri işleme politikası, farklı faaliyetleri ve genel ilkeleri açıklayabilir. Ancak bu belge, ilgili kişinin karşısındaki işlem için zorunlu bilgilerin sunulmasının yerine geçirilmemelidir. Kurumun kamuoyu duyurusu da işleme faaliyetiyle sınırlı olmayan genel politika belgelerinin aydınlatma metni olarak kullanılmasına karşı uyarır. Belgenin başlığı kadar kapsamı ve sunuluşu önemlidir: genel bir politika içinde bir konuya değinilmiş olması, somut faaliyetin kimlik, amaç, alıcı, yöntem, dayanak ve hak bilgilerinin uygun biçimde verildiğini tek başına göstermez.³⁵

Sözleşmenin kurulması ile bilgilendirme yükümlülüğü de ayrı incelenmelidir. Hizmet şartlarının kabul edilmesi, sözleşmenin ifası için gerekli olmayan her türlü veri kullanımını sözleşme dayanağına dönüştürmez. Aşıkoğlu, bu tür verilerin açık rıza yerine sözleşmenin ifasına dayandırılarak işleneceğinin bildirilmesini dürüstlük kuralı bakımından eleştirir. Dolayısıyla sözleşmede belirli bir veri işlemenin yazılması ile o işlemenin gerçekten sözleşmenin ifası için gerekli olması farklıdır. Aydınlatma, seçilen hukuki sebebi açıklamalı; sözleşme hükmünün varlığı bu sebebin şartlarını incelemenin yerine geçmemelidir.³⁶

İşleme açık rızaya dayanıyorsa bilgi verme ve rıza alma işlemleri ayrıca düzenlenir. Tebliğ bu ayrımı açıkça öngörür. Kurumun 2026/347 sayılı ilke kararına ilişkin duyurusu, metinlerin farklı başlıklar altında ayrılmasını; aynı sayfada sunulduklarında da iki metin için ayrı beyanların düzenlenmesini ister. Ayrı sayfalara geçilmesi tek başına yeterlilik ölçütü olmadığı gibi, aynı sayfada bulunmak da ayrımın kurulmasını imkânsız hâle getirmez. Kişinin hangi açıklamanın bilgi verdiğini, hangi beyanla belirli işlemeye rıza gösterdiğini ayırt edebilmesi gerekir.³⁷

Aydınlatmanın onaylanması ile bilgi edinildiğine ilişkin geri bildirim farklıdır. Aynı duyuru, metnin okunduğu ve bilgi edinildiği yönünde geri bildirim alınmasını, metindeki ifadelere onay veya rıza istenmesinden ayırır. Örneğin bilginin sunulduğunu kaydetmeye yönelik bir ifade, bütün veri işleme amaçlarını kabul etme beyanıyla birleştirilmemelidir. Yükümlülüğün yerine getirilmesi kişinin onayına bağlı olmadığı için bilgilendirmenin yapılmış sayılması da onun işleme şartlarını kabul etmesine bağlanamaz.³⁸

Başka bir işleme şartına dayanan faaliyet için ayrıca rıza istenmesi de dayanakları belirsizleştirebilir. 2026 duyurusu, bu durumda ilgili işlem için aydınlatma yapılmasını, ayrıca açık rıza metni sunulmamasını belirtir. Bununla birlikte aynı hizmet içinde başka amaçlarla yürütülen işlemler ayrı değerlendirilir. Örneğin sözleşmenin ifası için gerekli bir işlemin varlığı, hizmetle bağlantılı her tanıtım faaliyetinin aynı şarta dayandığını göstermez. Dayanak seçimi faaliyet ve amaç bakımından yapılmalıdır.³⁹

İspat ihtiyacı bu ayrımları ortadan kaldırmaz. Tebliğ, aydınlatmanın yerine getirildiğini ispat yükünü veri sorumlusuna verir. Ancak bir belgeye imza atılmış veya elektronik bir seçim yapılmış olması, sunulan bilginin içeriğinin yeterli ve varsa rızanın geçerli olduğunun tek başına kanıtı değildir. Hangi içeriğin, hangi işlem için ve hangi aşamada sunulduğu ile kişinin neyi beyan ettiği belirlenmelidir. Böylece bilgi verme yükümlülüğünün kaydı, işlemenin hukuki dayanağını oluşturan irade beyanıyla karıştırılmaz.⁴⁰

11.6. Çocuklar, telefon görüşmeleri, kameralar ve dijital arayüzler

Bilgilendirmenin muhatabı çocuk olduğunda, yalnız yetişkinler için hazırlanmış metni aynı şekilde sunmak yeterli olmayabilir. Kurumun ürün ve hizmet geliştirenlere yönelik broşürü, çocukların algı düzeyine uygun açıklamalar hazırlanmasını, gerektiğinde görsellerle desteklenen açık ve sade dil kullanılmasını önerir. Aşıkoğlu da hedef grupta çocuk bulunmasının dil ve yöntem seçiminde dikkate alınması gerektiğini belirtir. Bu yaklaşım, zorunlu bilgileri çocuktan saklamayı değil, onun anlayabileceği biçimde açıklamayı amaçlar. Görseller de bilginin anlamını desteklemeli, metindeki belirsizliği yalnız süsleyerek örtmemelidir.⁴¹

Veliye ilişkin yetkiyle çocuğun bilgilendirilmesi sorusu da birbirine indirgenmemelidir. Kurul, 2020/622 sayılı karar özetinde ayırt etme gücüne sahip küçükle babasının iradelerinin örtüştüğü somut başvuru ve şikâyet sürecinde her ikisini de yetkili kabul etmiştir. Hafızoğlu ve Civan ise bu yaklaşımın çocuğun iradesini geri plana itebilmesi riskini eleştirir. Karardaki sonuç, her aydınlatmada yalnız veliye bilgi verilmesi gerektiğini veya iradeler çatıştığında her zaman velinin üstün olduğunu söyleyen genel bir kural olarak aktarılmamalıdır. Çocuğun anlayacağı bilgilendirme, temsil ve hak kullanma yetkisiyle birlikte fakat ayrı bir soru olarak incelenmelidir.⁴²

Telefon görüşmesinde ilk açıklama, kişinin hangi işlemle karşılaştığını anlamasını sağlamalıdır. Kurumun rastgele numara çevirme yoluyla araştırma yapılmasına ilişkin duyurusu, ilk temasta arayanın kimliğinin, işlenen verilerin, numaranın üretilme yönteminin ve amacın açıklanmasını; görüşme kaydediliyorsa bunun başlangıçta belirtilmesini ister. Diğer zorunlu bilgilere ulaşılabilecek kanal gösterilerek katmanlı aydınlatma yapılabileceğini de açıklar. Bu örnekteki araştırma sürecinin şartları, bütün ticari aramalar için genel izin değildir; farklı işlemlerin hukuki dayanağı ayrıca belirlenir.⁴³

Kamera uyarısında da kaydın varlığını bildirmekle bütün aydınlatmayı tamamlamak farklıdır. Kurulun 2024/1361 sayılı karar özetinde, binanın kameralarla izlendiğine ilişkin levha ile telefon kaydı uyarısı ön bilgilendirme olarak değerlendirilmiş; ancak zorunlu bilgilere uygun yönlendirme bulunmadığı için yükümlülüğün yerine getirilmediği sonucuna varılmıştır. Dolayısıyla kısa uyarının görülebilir olması kadar, işleme faaliyetinin ayrıntılarına hangi yoldan ulaşılabildiği de önemlidir.⁴⁴

Kamera sisteminin görüntüye ek olarak ses kaydedip kaydetmediği ise ayrı bir olgusal sorudur. Aynı kararda kamera yoluyla ses kaydı alındığı iddiası kanıtlanamamış; görüntü kaydı, somut eğitim kurumunun hukuki yükümlülüğü bağlamında değerlendirilmiştir. Bu sonuç, her kamera kaydını veya ses kaydını hukuka uygun saymaz. Bilgilendirmenin kapsamı da sistemin gerçekten hangi verileri işlediğine göre kurulmalıdır.⁴⁵

Dijital arayüzlerde açıklamanın yeri, kişinin veriyi sunduğu aşamayla ilişkilidir. Aşıkoğlu, verinin toplandığı ortamla uyumlu bilgilendirmeyi ve mobil uygulama içinde bilgiye kolay erişimi tartışır. Bir formun amacı değiştiğinde veya uygulamada farklı bir veri kaynağı kullanılmaya başlandığında, önceki ekranda bulunan açıklamanın yeni işlemi kapsayıp kapsamadığı yeniden incelenmelidir. Örneğin teslimat adresine ilişkin bilgi, aynı uygulamanın farklı amaçla konum işlemesini kendiliğinden açıklamaz. Arayüzdeki yerleşim, amaç ve dayanak açıklamasının yerine geçmez.⁴⁶

Çerezler bakımından da politika metniyle gerçek veri akışı karşılaştırılmalıdır. 2024/1361 sayılı karar özetinde genel çerez tanımlarıyla kullanılan çerezlerin bilgisi ayrılmış; somut analitik çerez bakımından geçerli rıza veya başka işleme şartı bulunmaması ayrıca değerlendirilmiştir. Bu nedenle bir çerez politikasının mevcut olması hem bilgilendirmenin hem de işlemenin hukuka uygunluğunun tamamlandığını göstermez. Hangi çerezin ne yaptığı, kişinin karşısına hangi bilgi ve seçimin çıktığı birlikte belirlenmelidir.⁴⁷

11.7. Aydınlatmanın ispatı, değişikliklerin bildirilmesi ve istisnalar

Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır. Bu yükün konusu, yalnız bir metnin hazırlanmış olması değildir. Hangi faaliyete ilişkin hangi içeriğin, ilgili kişiye hangi aşamada ve nasıl sunulduğunun gösterilebilmesi gerekir. Örneğin internet sitesindeki güncel metin, geçmişte kullanılan metnin aynı olduğunu tek başına ortaya koymaz. Metin sürümüyle sunum zamanı ve yönteminin ilişkilendirildiği bir kayıt, bu ayrımı açıklamaya yardımcı olabilir. Bunun hangi yöntemle sağlanacağı ise somut sürece göre belirlenir.⁴⁸

Bir kişinin veri işlendiğini biliyor olmasıyla, zorunlu bilgilerin verildiğinin ispatı da farklıdır. 2023/1818 sayılı karar özetinde, geçmiş aramalarda aydınlatmanın yerine getirildiği veri sorumlusunca kanıtlanamamış; gerçekleştirilen aramalardaki kayıt uyarısının da asgari içeriği veya bu içeriğe ulaşma yolunu sağlamadığı değerlendirilmiştir. Böylece bir yönden bilgilendirmenin gerçekten yapılıp yapılmadığı, diğer yönden sunulan bilginin aydınlatma niteliği incelenmiştir. Yalnız “bilgilendirildi” kaydının bulunması bu iki sorunun her birini kendiliğinden cevaplamaz.⁴⁹

İspat amacıyla tutulan kayıt da kişisel veri içeriyorsa kendi hukuki değerlendirmesine tabidir. Aydınlatmayı ispat etme ihtiyacı, bütün görüşmelerin her koşulda kaydedilmesini veya kayıtların süresiz tutulmasını gerektiren genel bir yetki değildir. Hangi verinin gerekli olduğu, hangi işleme şartına dayanıldığı ve ne kadar süre korunacağı belirlenmelidir. Kanun’un amaçla bağlantılılık, sınırlılık, ölçülülük ve gerekli süre kadar saklama ilkeleri burada da dikkate alınır. İspatı sağlayabilecek daha sınırlı bir kayıtla aynı sonuca ulaşılıp ulaşılamayacağı değerlendirmeye dâhildir.⁵⁰

İşleme amacı değiştiğinde ise daha önce verilmiş bilginin varlığı tek başına yeterli değildir. Tebliğ, yeni amaç için veri işleme faaliyetine başlamadan önce ayrıca aydınlatma yapılmasını ister. Örneğin yalnız bir başvuruyu değerlendirmek için alınan bilgilerin farklı bir tanıtım sürecinde kullanılmasının planlanması, yeni amaç yönünden ayrı açıklamayı gerektirir. Ancak bu açıklama yeni işlemi hukuka uygun hâle getiren şartın yerine geçmez; yeni amaçla işlemenin dayanağı ve genel ilkelere uygunluğu ayrıca belirlenir.⁵¹

Amaç dışındaki önemli değişiklikler de bilginin yararlılığını etkileyebilir. Aşıkoğlu, özellikle veri sorumlusunun kimliği veya hakların kullanılma yollarındaki değişikliklerin, ilgili kişinin sonuçlarını anlayabileceği biçimde bildirilmesini savunur. Burada metindeki her yazım düzeltmesini, işlemenin esasını etkileyen değişiklikle aynı tutmamak gerekir. Örneğin başvuru kanalı değişmişken eski adresin gösterilmesiyle, cümlenin anlamı korunarak sadeleştirilmesi farklı sonuç doğurur. Tebliğ’in amaç değişikliği için açıkça öngördüğü önce bildirim kuralıyla, diğer güncellemelerin nasıl duyurulacağına ilişkin bu değerlendirme de birbirinden ayrılmalıdır.⁵²

Aydınlatma yükümlülüğünün bulunmadığı hâllerde ise önce istisnanın dayanağı ve kapsamı belirlenir. Kanun’un 28. maddesinin birinci fıkrası belirli faaliyetlerde Kanun hükümlerinin uygulanmamasını; ikinci fıkrası ise belirli koşullarla yalnız saydığı hükümlerin uygulanmamasını düzenler. İkinci fıkradaki hükümler arasında aydınlatmaya ilişkin 10. madde de vardır. Bu iki düzenin aynı sonucu bütün veri işleme faaliyetleri bakımından doğurduğu söylenemez. Bir faaliyetin aydınlatmadan istisna olması, kuruluşun diğer işlemlerinin de aynı kapsamda olduğunu göstermez.⁵³

Birinci fıkradaki kişisel ve ailevi faaliyet istisnası, gerçek kişinin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili işlemlerini belirli koşullarla kapsar; üçüncü kişilere vermeme ve veri güvenliğine uyma koşulları korunur. Resmî istatistik ile anonimleştirme yoluyla araştırma gibi faaliyetlere ilişkin istisna da kendi sınırları içinde değerlendirilir. Kurumun rehberi, bu faaliyetleri yürüten kuruluşun insan kaynakları veya muhasebe gibi diğer işlemlerinde aydınlatma yükümlülüğünün devam edebileceğini açıklar. Kuruluşun adı veya ana faaliyet alanı, bütün veri işlemleri için tek başına muafiyet sağlamaz.⁵⁴

İkinci fıkra bakımından Kanun’un amacına ve temel ilkelerine uygunlukla orantılılık koşulu önemlidir. Suçun önlenmesi veya soruşturulması için gereklilik, kanuni yetkiyle yürütülen denetleme, düzenleme veya disiplin işlemleri ve Devletin bütçe, vergi ve mali konulardaki çıkarlarının korunması için gereklilik ayrı ayrı düzenlenmiştir. Bu nedenle bir işlemin yalnız “denetim” veya “mali iş” diye adlandırılması yeterli değildir. İşlemi yapanın yetkisi, faaliyetin niteliği ve istisnanın aradığı gereklilik somut olarak belirlenmelidir.⁵⁵

İlgili kişinin kendisi tarafından alenileştirilmiş verilerin işlenmesi de ikinci fıkrada yer alır. Ancak bir bilginin herhangi bir yerde görülebilmesi, onu mutlaka ilgili kişinin alenileştirdiğini göstermez. Üstelik ikinci fıkranın amaç, temel ilkeler ve orantılılık koşulları burada da geçerlidir. Bu yüzden aydınlatmanın uygulanmamasına ilişkin değerlendirmeyle, verinin farklı amaçla kullanılabilmesi veya başka alıcılara aktarılabilmesi aynı soru değildir. Aktarımın hukuki şartları da ayrıca incelenmelidir.⁵⁶

Bölümün dipnotları