Gizlilik Sözleşmesi ile Aydınlatma Metni Arasındaki Fark Nedir?
Aydınlatma metni KVKK m. 10 uyarınca kanunen zorunludur ve içeriği Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile belirlenmiştir. Gizlilik politikası ise KVKK'da düzenlenmiş bir belge değildir; şirketin kendi iradesiyle verdiği tek taraflı bir taahhüt metnidir.
İkisi birbirinin yerine geçmez. Sitesinde yalnızca gizlilik politikası bulunduran bir şirket, isteğe bağlı belgeyi sunmuş ancak kanuni yükümlülüğünü yerine getirmemiş olur.
Aydınlatma yükümlülüğünün yerine getirilmemesi, KVKK m. 18/1-a uyarınca idari para cezasına bağlıdır.
Aydınlatma metni neyi içermek zorunda?
KVKK m. 10, veri sorumlusuna kişisel veriyi elde ettiği sırada ilgili kişiyi bilgilendirme yükümlülüğü yükler. Metin şu unsurları içermelidir:
Veri sorumlusunun ve varsa temsilcisinin kimliği
Kişisel verilerin hangi amaçla işleneceği
İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği
Kişisel veri toplamanın yöntemi ve hukuki sebebi
KVKK m. 11'de sayılan haklar
Tebliğ ayrıca metnin açık, sade ve anlaşılır bir dille sunulmasını ve genel nitelikte ifadelerden kaçınılmasını arar. "Mevzuat gereği" veya "ticari faaliyetlerimizin yürütülmesi amacıyla" gibi kalıplar bu koşulu karşılamaz, çünkü ilgili kişiye verisinin ne olacağını söylemez.
Aydınlatma bir bilgilendirmedir. Onay gerektirmez ve ilgili kişinin kabul etmesine bağlı değildir.
Gizlilik politikası ne işe yarar?
Gizlilik politikası, şirketin veri işleme yaklaşımını kendi ifadesiyle anlattığı isteğe bağlı bir metindir. Kanunda içeriği düzenlenmemiştir. Fakat GDPR’da dolaylı olarak bahsedilmiştir. “Bir veri sahibine ait kişisel veriler, söz konusu veri sahibinden toplanıyorsa, veri sorumlusu, kişisel verilerin elde edildiği anda veri sahibine aşağıdakileri sağlamalıdır…” ibaresi ile aslında zaten bir formun gerekliliğinden bahsetmiştir.
Üç durum için önemlidir:
Uluslararası müşteri ilişkilerinde. AB'li veya ABD'li iş ortakları tedarikçi değerlendirmesinde sitede bir gizlilik politikası arar. Bulunmaması, uyum olgunluğu bakımından eksiklik olarak değerlendirilir.
Uygulama mağazalarında. App Store ve Google Play, uygulama yayımlanması için gizlilik politikası bağlantısı zorunlu tutar. Bu bir mevzuat yükümlülüğü değil, platform kuralıdır.
Yatırım süreçlerinde. Hukuki inceleme sırasında veri işleme yaklaşımının belgelenmiş olması beklenir.
Ancak dikkat edilmesi gereken bir nokta vardır: gizlilik politikasında verilen taahhütler şirketi bağlar. "Verilerinizi üçüncü taraflarla paylaşmıyoruz" ifadesi bulunduran bir şirket, analitik araçları üzerinden veri aktarımı yapıyorsa, kendi beyanıyla çelişen bir durum yaratmış olur.
Neden birçok şirkette gizlilik politikası var ama aydınlatma metni yok?
Bu durumun kaynağı çeviridir.
Uluslararası şablonlar "privacy policy" başlığıyla dolaşımdadır ve Türkçeye "gizlilik politikası" olarak çevrilir. GDPR sisteminde bu tek belge hem şeffaflık yükümlülüğünü hem genel bilgilendirmeyi karşılar; GDPR m. 13 ve 14 kapsamındaki bilgilendirme genellikle privacy notice ya da privacy policy başlığı altında sunulur.
Türk hukuku bu iki işlevi ayırır. Kanuni bilgilendirme aydınlatma metnidir ve içeriği Tebliğ ile belirlenmiştir. Gizlilik politikası ise düzenlenmemiş, serbest bir metindir.
Şablonu çeviren şirket, GDPR sisteminde tek belgeyle karşılanan yükümlülüğün Türkiye'de ayrı bir metin gerektirdiğini fark etmez. Bu duruma çeviri boşluğu adını veriyoruz.
Sonuç şudur: teknik olarak özenli hazırlanmış, iyi çevrilmiş bir gizlilik politikası bulunduran şirket, KVKK m. 10 bakımından hâlâ eksik durumdadır.
İkisini tek belgede birleştirebilir miyim?
Birleştirilebilir, ancak metnin KVKK m. 10 ve Tebliğ'in aradığı tüm unsurları taşıması gerekir.
Uygulamada iki ayrı belge tutmak daha güvenlidir. Nedeni işlevlerinin farklı olmasıdır.
Aydınlatma metni, verinin elde edildiği her noktada ve o noktaya özgü biçimde sunulmalıdır. İletişim formundan toplanan veri ile işe alım sürecinde toplanan veri farklı amaçlara, farklı hukuki sebeplere ve farklı saklama sürelerine tabidir. Tek bir genel metin bu farkları taşıyamaz.
Gizlilik politikası ise sitenin genelinde tek bir yerde durur ve şirketin genel yaklaşımını anlatır.
Pratik yapı şöyledir: sitede genel bir gizlilik politikası bulunur, her veri toplama noktasında ise o noktaya özgü aydınlatma metnine erişim sağlanır.
Aydınlatma metnini forma bağlantı vererek sunmak yeterli mi?
Tebliğ, bilgilendirmenin kişisel verinin elde edildiği sırada yapılmasını arar.
Uygulamada kabul edilen yapı, form alanının hemen yanında aydınlatma metnine erişim sağlanmasıdır. Bağlantı verilmesi bu koşulu karşılayabilir; ancak bağlantının görülebilir konumda olması ve doğrudan ilgili metne gitmesi gerekir.
Sayfanın altbilgisinde tek bir genel bağlantı bulundurmak yeterli değildir, çünkü ilgili kişi verisini verdiği anda bilgilendirilmiş olmaz.
Dikkat edilmesi gereken ikinci nokta, aydınlatma ile açık rızanın birleştirilmemesidir. Aydınlatma onay gerektirmez; açık rıza ise KVKK m. 3 uyarınca özgür iradeyle açıklanmalıdır. Formun gönderilmesi için işaretlenmesi zorunlu tek bir kutuda ikisini birleştirmek, rızanın özgür iradeye dayandığı iddiasını zayıflatır.
Şablon aydınlatma metni kullanmanın riski nedir?
Şablon, kendi işleme faaliyetinizi yansıtmadığı sürece yükümlülüğü karşılamaz.
Uygulamada iki tipik sorun görülür.
Fazlalık: Metin, şirketin gerçekte yapmadığı işlemeleri sayar. Yalnızca iletişim formu bulunan bir sitenin aydınlatma metninde konum verisi, çerez tabanlı profilleme ve pazarlama amaçlı işleme sayılıyorsa, metin gerçeği yansıtmaz.
Eksiklik: Metin, şirketin gerçekte yaptığı işlemeleri atlar. Sitede analitik araç, canlı destek widget'ı veya yurt dışı barındırma varsa ancak metin bunlardan söz etmiyorsa, ilgili kişi eksik bilgilendirilmiş olur.
Her iki halde de metnin varlığı yükümlülüğün yerine getirildiği anlamına gelmez. Aydınlatma metninin işleme amaçları, hukuki sebepler, aktarım yapılan taraflar ve saklama süreleri bakımından şirkete özgü olması gerekir.
Sık sorulan sorular
Sitemde gizlilik politikası var, aydınlatma metni de yazmalı mıyım? Evet. Gizlilik politikası kanunda düzenlenmiş bir belge değildir ve KVKK m. 10 kapsamındaki aydınlatma yükümlülüğünü karşılamaz. İki belge farklı hukuki işlev taşır.
Aydınlatma metnini kullanıcının onaylaması gerekir mi? Hayır. Aydınlatma bir bilgilendirmedir, onay gerektirmez. Onay yalnızca açık rızaya dayanılan işlemeler için gerekir ve aydınlatmadan ayrı alınmalıdır.
Metnin başlığı "gizlilik sözleşmesi" olabilir mi? Olmamalıdır. Politika tek taraflı bir beyandır, sözleşme ise karşılıklı borç doğuran bir ilişkidir. "Sözleşme" başlığı, üstlenmek istemediğiniz taahhütlere dayanak gösterilebilir.
İngilizce gizlilik politikamı Türkçeye çevirmek yeterli mi? Çeviri, belgenin işlevini değiştirmez. GDPR sisteminde tek belgeyle karşılanan bilgilendirme, Türk hukukunda KVKK m. 10 ve Tebliğ'in aradığı unsurları taşıyan ayrı bir aydınlatma metni gerektirir.
Her form için ayrı aydınlatma metni mi gerekiyor? İşleme amacı, hukuki sebep veya aktarım yapılan taraflar farklıysa evet. İletişim formu ile işe alım başvurusu farklı işleme faaliyetleridir ve tek metinle karşılanmaları güçtür.
KVK ve GDPR Uyum Serisi
Bu yazı serisi ile Avrupa’da faaliyet göstermek isteyen Türkiye’de kurulu firmalara GDPR ve uyum hakkında bilgi vermek amaçlanmıştır.
1) Veri Sorumlusu mu Veri İşleyen mi?
2) Yurt Dışına Veri Aktarımı Nasıl Yapılır?
3) Veri İşleme Sözleşmesi (DPA) Nedir, Ne Zaman Yapılır?
4) Standart Sözleşme Hükümleri (SCC) Nedir?
5) KVKK İdari Para Cezaları 2026?
6) KVKK'da Açık Rıza ile Yurt Dışına Veri Aktarımı Mümkün mü?
