Aydınlatma metni nasıl hazırlanır sorusunun kısa cevabı şudur: Aydınlatma metni, kişisel verisini topladığınız kişiye 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 10. maddesinde sayılan beş bilgiyi veren bir bildirimdir. Metinde veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ile hukuki sebebi ve ilgili kişinin hakları yer almalı; metin veriler elde edilirken, sade bir dille ve açık rıza metninden ayrı olarak sunulmalıdır.
Bu yükümlülük yalnızca büyük şirketler için değildir. Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğünden muaf olan küçük işletmeler de çalışan, müşteri veya ziyaretçi verisi işliyorsa aydınlatma yapmak zorundadır. Bu yazıda aydınlatma metninin zorunlu unsurları, Aydınlatma Yükümlülüğü Tebliği'nin getirdiği kurallar, adım adım hazırlama yöntemi, kişi gruplarına göre farklılaşan metinler, sık yapılan hatalar ve 2026 yılı idari para cezaları anlatılmaktadır.
Aydınlatma Metni Nedir, Kimler Hazırlamak Zorundadır?
Aydınlatma yükümlülüğü, kişisel verileri işlenen gerçek kişinin (ilgili kişi) verilerinin neden ve nasıl işlendiğini öğrenme hakkının karşılığıdır. Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen herkes veri sorumlusu sayılır; şirketler, şahıs işletmeleri, dernekler, klinikler, okullar ve serbest meslek sahipleri bu kapsama girebilir.
Kişisel Verileri Koruma Kurumu'nun Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi'ne göre bu yükümlülük ilgili kişinin talebine bağlı değildir ve verinin açık rızaya mı yoksa kanundaki diğer işleme şartlarına mı dayandığından bağımsız olarak yerine getirilmelidir. Aydınlatmanın yapıldığını ispat yükü de veri sorumlusundadır. Yalnızca KVKK m.28'de sayılan istisnai durumlarda (örneğin yargı makamlarının soruşturma ve kovuşturma kapsamındaki işlemleri) aydınlatma zorunlu değildir. Veri sorumlularının diğer temel yükümlülükleri için KVKK yükümlülükleri nelerdir yazımıza bakabilirsiniz.
Aydınlatma Metninde Bulunması Gereken Zorunlu Bilgiler (KVKK m.10)
KVKK m.10'a göre veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişiye aşağıdaki bilgileri vermek zorundadır:
| Zorunlu bilgi | Metne ne yazılmalı? |
| Veri sorumlusunun ve varsa temsilcisinin kimliği | Ticaret unvanı veya ad soyad, adres, telefon, e-posta gibi kolayca ulaşılabilecek iletişim bilgileri |
| Kişisel verilerin hangi amaçla işleneceği | "Bordro ve maaş ödemelerinin yapılması" gibi belirli ve somut amaçlar |
| Verilerin kimlere ve hangi amaçla aktarılabileceği | Alıcı grupları (muhasebe hizmeti sağlayıcısı, kargo şirketi, yetkili kamu kurumları gibi) ve her aktarımın amacı; yurt dışına aktarım varsa bu da belirtilmeli |
| Kişisel veri toplamanın yöntemi ve hukuki sebebi | Verinin otomatik yollarla mı (web formu, kamera) yoksa otomatik olmayan yollarla mı (kâğıt form) toplandığı ve KVKK m.5 veya m.6'daki hangi işleme şartına dayandığı |
| İlgili kişinin hakları | KVKK m.11'deki haklar ve veri sorumlusuna nasıl başvurulacağı |
KVKK m.11'de sayılan haklar arasında kişisel verilerin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme ve silme isteme, aktarıldığı üçüncü kişileri bilme, münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhe çıkan sonuca itiraz etme ve kanuna aykırı işleme nedeniyle uğranılan zararın giderilmesini talep etme bulunur. Saklama süreleri kanunda zorunlu unsur olarak sayılmasa da metinde belirtilmesi şeffaflığı artırır.
Aydınlatma Yükümlülüğü Tebliği'ne Göre Uyulması Gereken Kurallar
Aydınlatmanın nasıl yapılacağı, 10.03.2018 tarihli Resmî Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile düzenlenmiştir. Tebliğin 5. maddesinden çıkan başlıca kurallar şunlardır:
- Amaç belirli, açık ve meşru olmalı: "Yeni hizmetler geliştirmek" veya "araştırma amaçlı" gibi genel ve muğlak ifadeler ile ileride başka amaçlar için de kullanılabileceği izlenimi veren cümleler kullanılmamalıdır.
- Dil anlaşılır ve sade olmalı: Metin teknik terimlere ve uzun hukuki atıflara boğulmamalı, eksik, yanıltıcı veya yanlış bilgi içermemelidir.
- Hukuki sebep açıkça yazılmalı: Her işleme amacının KVKK m.5 veya m.6'daki hangi şarta dayandığı gösterilmelidir.
- Aktarımlar alıcı grubu ve amaçla birlikte belirtilmeli: Yalnızca "iş ortaklarıyla paylaşılır" demek yetmez; hangi amaçla paylaşıldığı da yazılmalıdır.
- Amaç değişirse yeniden aydınlatma yapılmalı: Veriler yeni bir amaçla işlenecekse bu işlemeden önce ayrıca bilgi verilmelidir.
- Aydınlatma ile açık rıza ayrı tutulmalı: İşleme açık rızaya dayanıyorsa, aydınlatma ve açık rıza alma işlemleri ayrı ayrı yerine getirilmelidir. Kişisel Verileri Koruma Kurulu'nun 26.07.2018 tarihli ve 2018/90 sayılı kararı da bu yöndedir.
Kişisel veriler doğrudan ilgili kişiden alınmıyorsa (örneğin başka bir şirketten aktarılıyorsa) Tebliğin 6. maddesine göre aydınlatma; verilerin elde edilmesinden itibaren makul bir süre içinde, veriler iletişim için kullanılacaksa ilk iletişimde, aktarılacaksa en geç ilk aktarım sırasında yapılmalıdır.
Adım Adım Aydınlatma Metni Hazırlama
- Veri haritasını çıkarın: Hangi kişi gruplarının (çalışan, aday, müşteri, ziyaretçi, tedarikçi yetkilisi) hangi verilerini, hangi süreçte topladığınızı listeleyin. VERBİS'e kayıtlı değilseniz bile bir kişisel veri işleme envanteri hazırlamanız Kurum tarafından önerilmektedir.
- Her süreç için amaç ve hukuki sebep eşleştirin: Örneğin bordro işlemleri için "kanunlarda açıkça öngörülmesi", sipariş teslimi için "sözleşmenin ifası" şartı gibi.
- Aktarımları belirleyin: Muhasebe bürosu, bulut hizmeti, kargo şirketi, bankalar ve kamu kurumları gibi alıcıları ve aktarım amaçlarını yazın; yurt dışında sunucusu bulunan hizmetler için 12.03.2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun'la değişen KVKK m.9 hükümlerini dikkate alın.
- Kişi grubuna göre ayrı metin yazın: Tek bir genel metin yerine çalışan, müşteri ve ziyaretçi için ayrı, kısa ve anlaşılır metinler daha uygundur.
- Sunma yöntemini seçin: Web formu altında bağlantı, işe giriş evrakı, mağaza veya bina girişinde levha, çağrı merkezinde sesli anons gibi. Kurum rehberinde, önce kısa bilgi verilip ayrıntılı metne yönlendirilen "katmanlı aydınlatma" yöntemi de örnek gösterilmektedir.
- İspat için kayıt tutun: Metnin hangi tarihte, hangi kanalla ve hangi sürümüyle sunulduğunu saklayın.
- Düzenli güncelleyin: Yeni bir yazılım, yeni bir tedarikçi veya yeni bir işleme amacı devreye girdiğinde metni gözden geçirin; VERBİS'e kayıtlıysanız sicildeki bilgilerle uyumlu olmasına dikkat edin.
Kişi Gruplarına Göre Aydınlatma Metinleri
| Kişi grubu | Ne zaman sunulmalı? | Uygun yöntem |
| Çalışanlar | İşe giriş sırasında, veri toplanmadan önce | İşe giriş evrakı içinde ayrı belge, şirket içi portal |
| İş adayları | Başvuru alınırken | İlan veya başvuru formu üzerinde bağlantı |
| Müşteriler | Üyelik, sipariş veya sözleşme sırasında | Web sitesi, mobil uygulama, mağaza formu |
| Web sitesi ziyaretçileri | Form doldururken veya çerezler kullanılmadan önce | Form altı bağlantı, çerez paneli |
| Kamera kaydı alınan kişiler | Kayıt alanına girmeden önce | Girişte levha ve ayrıntılı metne yönlendirme |
| Tedarikçi yetkilileri | İlk iletişimde | E-posta imza bağlantısı, sözleşme eki |
Aydınlatma Metninde Sık Yapılan Hatalar
- Aydınlatma ile açık rızayı aynı metinde birleştirmek: "Bu metni okudum, verilerimin işlenmesine onay veriyorum" kutusu tek başına hem aydınlatma hem rıza işlevi görmez.
- Her işlem için açık rıza istemek: Sözleşmenin ifası veya kanuni yükümlülük gibi başka bir şarta dayanan işlemler için açık rıza alınması, kişiyi yanıltabilir ve rızanın geri alınması hâlinde işleyişi aksatabilir.
- Hazır metni kopyalamak: Başka bir işletmenin metni sizin süreçlerinizi, alıcılarınızı ve hukuki sebeplerinizi yansıtmaz.
- "Ve benzeri" ifadelerle listeyi açık bırakmak: Amaç ve alıcı gruplarında belirsiz ifadeler Tebliğe aykırılık oluşturabilir.
- Veri sorumlusunun kimliğini eksik yazmak: Yalnızca marka adı veya e-posta adresi vermek yeterli değildir.
- Yurt dışı aktarımı atlamak: Yurt dışında barındırılan e-posta, depolama veya analiz hizmetleri çoğu zaman gözden kaçar.
Aydınlatma Yükümlülüğüne Aykırılığın Yaptırımı
KVKK m.18/1-a uyarınca aydınlatma yükümlülüğünü yerine getirmeyen veri sorumlularına idari para cezası verilir. Kanundaki tutarlar her yıl yeniden değerleme oranında artırılır; %25,49 oranına göre güncellenen 2026 yılı tutarı 85.437 TL ile 1.709.200 TL arasındadır. Cezanın miktarı ihlalin ağırlığına ve somut olaya göre belirlenir. İlgili kişiler önce veri sorumlusuna başvurabilir, sonuç alamazlarsa Kurul'a şikâyette bulunabilir; bu süreç için KVKK kapsamında şikâyet başvurusu yazımıza bakabilirsiniz. Kurul kararlarına karşı idare mahkemesinde dava açılabilir.
Sık Sorulan Sorular
Aydınlatma metni ile açık rıza metni aynı belgede olabilir mi?
Hayır. Tebliğe göre işleme açık rızaya dayanıyorsa aydınlatma ve açık rıza alma işlemleri ayrı ayrı yapılmalıdır. Uygulamada aydınlatma metni ayrı bir belge veya bölüm olarak sunulur, açık rıza ise belirli bir konuya özgü ayrı bir onay kutusu veya beyanla alınır.
VERBİS kaydı zorunlu olmayan küçük işletme de aydınlatma metni hazırlamak zorunda mı?
Evet. VERBİS'e kayıt istisnası yalnızca sicile kayıt yükümlülüğünü kaldırır; aydınlatma, veri güvenliği ve ilgili kişi başvurularını cevaplama gibi diğer yükümlülükler devam eder. Tek çalışanı olan bir işletme bile çalışanına ve müşterilerine aydınlatma yapmalıdır.
Aydınlatma metninin imzalatılması zorunlu mu?
Kanunda imza şartı yoktur; aydınlatma sözlü, yazılı veya elektronik yollarla yapılabilir. Ancak ispat yükü veri sorumlusunda olduğundan, metnin sunulduğunu gösteren bir kaydın (imza, elektronik onay kaydı, sistem logu) saklanması önerilir.
Aydınlatma metnini yalnızca web sitesinde yayımlamak yeterli mi?
Verinin web sitesi üzerinden toplandığı durumlarda, formun yanında görünür bir bağlantıyla sunulması çoğunlukla yeterlidir. Çalışanlar, kamera kayıtları veya mağazadaki formlar için ise verinin toplandığı yerde ayrıca bilgilendirme yapılmalıdır.
Aydınlatma metni hangi sıklıkla güncellenmeli?
Belirli bir süre öngörülmemiştir. İşleme amacı, aktarım yapılan alıcılar, kullanılan sistemler veya mevzuat değiştiğinde metin güncellenmeli; amaç değişikliğinde yeni işlemeden önce yeniden aydınlatma yapılmalıdır.
Özet
- Aydınlatma metni; kimlik, amaç, aktarım, toplama yöntemi ve hukuki sebep ile ilgili kişinin haklarını içermelidir (KVKK m.10, m.11).
- Amaçlar belirli ve açık yazılmalı, genel ve muğlak ifadeler kullanılmamalıdır (Aydınlatma Tebliği m.5).
- Açık rızaya dayalı işlemede aydınlatma ve açık rıza ayrı ayrı yapılmalıdır (Tebliğ m.5).
- Veriler ilgili kişiden alınmıyorsa aydınlatma makul sürede, ilk iletişimde veya ilk aktarımda yapılmalıdır (Tebliğ m.6).
- VERBİS istisnası aydınlatma yükümlülüğünü kaldırmaz; ispat yükü veri sorumlusundadır.
- Aykırılık hâlinde 2026 yılı için 85.437 TL ile 1.709.200 TL arasında idari para cezası öngörülmektedir (KVKK m.18/1-a).
Her işletmenin veri akışı, alıcıları ve hukuki sebepleri farklı olduğu için hazır şablonlar çoğu zaman eksik kalır ve metnin işletmenin gerçek süreçlerine göre yazılması gerekir. Dural Hukuk, KVKK uyum süreçleri, aydınlatma ve açık rıza metinlerinin hazırlanması ve Kurul nezdindeki şikâyet süreçleri konularında destek verebilir. Bilgi almak için 0535 260 74 54 numaralı telefonu arayabilir veya iletişim sayfası üzerinden Dural Hukuk'a ulaşabilirsiniz.
Bu yazı genel bilgilendirme amaçlıdır; somut durumunuz için bir avukata danışmanız önerilir.
Hazırlayan: Dural Hukuk