Aydınlatma yükümlülüğü nasıl ispatlanır?
İspat yükünün kimde olduğu, aydınlatmanın hangi anda yapılmış sayıldığı ve kanal kanal (form, web, e-posta, çağrı merkezi) hangi kaydın delil değeri taşıdığı.
Uyum denetimlerinde en çok tökezlenen yer, aydınlatma metninin içeriği değildir — metinler çoğu şirkette vardır. Tökezleme, "bu kişiye, şu tarihte aydınlatma yaptığınızı gösterin" dendiğinde başlar. Yükümlülüğü yerine getirmiş olmak yetmez; getirdiğinizi gösterebilmeniz gerekir.
İspat yükü kimde?
Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, tartışmaya yer bırakmaz: aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.
Bunun pratik anlamı şudur: ilgili kişi "bana aydınlatma yapılmadı" dediğinde, aksini göstermesi gereken taraf şirkettir. Kayıt yoksa beyan karşı beyandır ve ispat yükü kimdeyse sonuç onun aleyhine doğar.
Bir ayrımı da baştan netleştirmek gerekir: aydınlatma için onay alınmaz. İlgili kişinin imzası veya işareti aydınlatmanın geçerlilik şartı değildir — gereken şey, bilgilendirmenin kendisine ulaştırıldığının gösterilebilmesidir. Aydınlatma ile açık rızanın neden ayrı ayrı yürütüldüğünü açık rıza yazımızda ele almıştık.
Hangi anda yapılmış olmalı?
Kanun'un 10. maddesi aydınlatmanın kişisel verilerin elde edilmesi sırasında yapılmasını arar. Bu, ispat açısından kritik bir ayrıntıdır: kaydın yalnızca "yapıldığını" değil, ne zaman yapıldığını da göstermesi gerekir.
Veri toplandıktan haftalar sonra gönderilen bir bilgilendirme, iyi niyetli bir düzeltme olabilir; ancak yükümlülüğün zamanında yerine getirildiğini kanıtlamaz. Bu yüzden ispat kaydının taşıması gereken asgari bilgi üçlüsü şudur: kime, hangi metin, hangi tarihte.
Kanal kanal: hangi kayıt delil değeri taşır?
- Matbu form (ıslak imzalı süreçler). Aydınlatma metninin form ekinde yer alması ve tarihli olması gerekir. Zayıf noktası fiziksel arşivdir: yıllar sonra istendiğinde bulunamayan belge, olmayan belgeyle aynı sonucu doğurur.
- Web sitesi formları. Metnin form gönderiminden önce görüntülenebilir olması ve gösterilen metnin sürümüyle birlikte kayda geçmesi gerekir. Metin güncellendiğinde hangi kullanıcıya hangi sürümün gösterildiği izlenebilmelidir.
- E-posta. Gönderim kaydı, metnin ulaştırıldığını gösterir; ancak eke konan bir PDF'in açılıp açılmadığı bilinmez. Kişiye özel bir bağlantı kullanılması ve bağlantının ilk açılma anının zaman damgasıyla kaydedilmesi, ispatı belirgin biçimde güçlendirir.
- Çağrı merkezi. Sözlü aydınlatma yapılan kanallarda ses kaydı ve senaryo metni birlikte saklanmalıdır. Kaydın kendisi de kişisel veridir; saklama süresi belirlenmelidir.
- SMS. Kısa mesajın karakter sınırı nedeniyle katmanlı bilgilendirme kullanılır: mesajda özet ve tam metne götüren bağlantı bulunur.
"Web sitemizde duruyor" neden yeterli değil?
En yaygın savunma budur ve tek başına ayakta durmaz. Aydınlatma metninin sitenin bir köşesinde erişilebilir olması, belirli bir ilgili kişiye, veri elde edilirken bilgilendirme yapıldığını göstermez.
Metnin sitede yayımlanması gerekli ama yeterli değildir: ayrıca her veri toplama noktasında metnin o an sunulduğunun ve kimin gördüğünün kaydı gerekir.
Sık yapılan hatalar
- Kaydın kişiye bağlanmaması. "Tüm çalışanlara duyuru yapıldı" ifadesi, tek tek kimin bilgilendirildiğini göstermez.
- Metin sürümünün saklanmaması. Aydınlatma metni güncellendiğinde eski sürüm silinirse, geçmişte hangi metnin gösterildiği ispatlanamaz.
- İmza toplayarak aydınlatma yaptığını sanmak. Islak imza ispatı güçlendirir; ancak imza aydınlatmayı açık rızaya dönüştürmez, iki yükümlülük ayrıdır.
- Kaydın saklama süresinin belirlenmemesi. İspat kayıtları da kişisel veridir; süresiz saklanamaz, ancak ihtiyaç süresince de korunmalıdır.
- Dağınık kanallar. İK'da klasör, satışta Excel, web'de log — üç ayrı yerde tutulan kayıt, denetim istendiğinde tek bir tabloya dönüşmez.
Bütüncül gözden geçirme
Aydınlatmanın ispatı, tek başına ele alınabilecek bir konu değildir. İspat kaydının anlamlı olabilmesi için altındaki yapının tutarlı olması gerekir: hangi süreçte kime aydınlatma yapılacağı kişisel veri envanterinden çıkar; metnin içeriği dayanılan hukuki sebebe, dolayısıyla açık rıza yapınıza bağlıdır; bildirilen amaç ve alıcı grupları VERBİS kaydınızla tutarlı olmak zorundadır; kayıtların ne kadar saklanacağı ise saklama ve imha politikanızda tanımlıdır.
Bir metni ya da süreci değiştirdiğinizde bunların tamamının birlikte gözden geçirilmesi gerekir. Bu çalışmayı hukuki destek alarak yürütmenizi öneririz; Genç Partners'ın saha deneyimi hangi süreçte hangi kaydın tutulacağını belirlemeyi kolaylaştırır. Aydınlatma gönderimi hizmetimiz ise kişiye özel bağlantı ve görüntülenme zaman damgasıyla bu ispat kaydını kendiliğinden üretir.
Özet
- İspat yükü veri sorumlusundadır; kayıt yoksa sonuç aleyhe doğar.
- Aydınlatma, verinin elde edilmesi sırasında yapılmalıdır; kayıt zamanı da göstermelidir.
- Anlamlı kaydın üç bileşeni vardır: kime, hangi metin, hangi tarihte.
- Metnin web sitesinde durması tek başına ispat değildir.
- Metin sürümleri ve ispat kayıtları saklama politikasına bağlanmalıdır.
Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Şirketinizin aydınlatma süreçlerinin kurulması ve ispat düzeninin tasarlanması için hukuki destek alınız.
KVKK uyumu parça parça yürümez
Bir süreçte yapılan değişiklik tek başına kalmaz: aydınlatma metinleriniz, açık rıza yapınız, veri işleme politikalarınız, kişisel veri envanteriniz ve VERBİS kaydınız birbirine bağlıdır. Birini güncelleyip diğerlerini olduğu yerde bırakmak, denetimde çelişki olarak karşınıza çıkar.
Bu nedenle değişiklikleri bütüncül bir gözden geçirmeyle yürütmenizi ve hukuki destek almanızı öneririz. Genç Partners, 2016'dan bu yana yürüttüğü KVKK uyum projelerindeki deneyimiyle bu süreci kolaylaştırır; kisiselverilerim.com ise eğitim, belge yayını, aydınlatma gönderimi ve açık rıza yönetimini ispatlanabilir kayıtlarla tek panelde toplar.