E-ticaret Sitelerinde Aydınlatma Yükümlülüğü ve Açık Rıza

1. Konunun Genel Çerçevesi

Bir e-ticaret sitesinde kişisel veri işlenmeden tek bir sipariş bile alınamamaktadır. Ad, adres, telefon, e-posta ve ödeme bilgileri siparişin doğal bir parçasıdır. Bu nedenle aydınlatma metni ve açık rıza metni, sitenin en az okunan ama en çok risk taşıyan metinleri arasında yer almaktadır.

Uygulamada pek çok e-ticaret sitesinin, başka sitelerden alınmış ya da hazır şablonlardan uyarlanmış metinlerle faaliyet gösterdiği görülmektedir. Bu metinler çoğu zaman sitenin gerçek veri işleme faaliyetlerini yansıtmamakta; hangi verinin hangi amaçla ve hangi hukuki sebebe dayanılarak işlendiğini açıklamamaktadır. Bu durum, metnin var olmasına rağmen yükümlülüğün yerine getirilmemiş sayılması sonucunu doğurabilmektedir.

Bu yazıda, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde aydınlatma yükümlülüğü ile açık rıza arasındaki fark, e-ticaret sitelerinde sık rastlanan hatalar ve bu hataların sonuçları ele alınmaktadır.

2. Hukuki Dayanak

Konunun temel dayanakları şunlardır:

• KVKK m.3 açık rızanın tanımı
• KVKK m.5 kişisel verilerin işlenme şartları
• KVKK m.10 aydınlatma yükümlülüğü
• KVKK m.11 ilgili kişinin hakları
• KVKK m.18 idari para cezaları
• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ
• 6563 s. Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik

3. Kanundaki Düzenleme

Aydınlatma Yükümlülüğünün Kapsamı

KVKK m.10 uyarınca veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi bilgilendirmekle yükümlüdür. Bu bilgilendirme en az şu unsurları içermektedir:

1. Veri sorumlusunun ve varsa temsilcisinin kimliği,
2. Kişisel verilerin hangi amaçla işleneceği,
3. İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği,
4. Kişisel veri toplamanın yöntemi ve hukuki sebebi,
5. İlgili kişinin KVKK m.11 kapsamında sayılan hakları.

Aydınlatma yükümlülüğü, ilgili kişinin rızasına bağlı değildir. Veri hangi hukuki sebebe dayanılarak işlenirse işlensin, ilgili kişinin bilgilendirilmesi gerekmektedir. Tebliğ, aydınlatmanın açık rızadan ayrı olarak yerine getirilmesini öngörmektedir.

Açık Rızanın Unsurları

KVKK m.3 uyarınca açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Bu üç unsurdan biri eksik olduğunda geçerli bir açık rızadan söz edilememektedir.

Açık Rıza Her Zaman Gerekli Değildir

KVKK m.5 ikinci fıkrasında sayılan durumlarda açık rıza aranmamaktadır. Örneğin bir siparişin teslimi için adres bilgisinin işlenmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olduğundan açık rızaya dayandırılmamaktadır. Fatura bilgilerinin saklanması ise kanuni bir yükümlülükten kaynaklanmaktadır.

Uygulamada sık görülen hata, tüm veri işleme faaliyetlerinin açık rızaya bağlanmasıdır. Bu yaklaşım, ilgili kişi rızasını geri aldığında zorunlu işlemlerin de hukuki dayanaksız kalması gibi bir sonuç doğurabilmektedir.

Rıza Hizmet Şartına Bağlanamaz

Açık rızanın, ürün satışının ya da hizmetin ön şartı hâline getirilmesi, rızanın özgür iradeye dayanma unsurunu zedelemektedir. Kişisel Verileri Koruma Kurumu'nun açık rızaya ilişkin rehberi de bu yöndedir.

Çerezler

Sitenin çalışması için zorunlu olan çerezler dışında kalan analiz, kişiselleştirme ve reklam çerezleri için kullanıcının onayı alınması gerekmektedir. Kurum'un çerez uygulamalarına ilişkin rehberi, onayın sayfaya girildiği anda varsayılan olarak alınmış sayılamayacağını ve kullanıcıya gerçek bir seçim imkânı tanınması gerektiğini vurgulamaktadır.

Ticari Elektronik İleti Onayı

Kampanya e-postaları ve kısa mesajlar, KVKK'dan ayrı olarak 6563 s. Kanun kapsamında da onaya tabidir. Bu onayın İleti Yönetim Sistemi (İYS) üzerinden kaydedilmesi gerekmektedir. Esnaf ve tacirlere gönderilen iletiler bakımından mevzuatta ayrı bir düzenleme bulunmakla birlikte, alıcının ret hakkı her durumda saklıdır.

4. Uygulamada Süreç

Bir e-ticaret sitesinin metinlerinin mevzuata uygun hâle getirilmesi genellikle şu adımlarla yürütülmektedir:

1. Sitede hangi kişisel verilerin, hangi aşamada ve hangi amaçla toplandığı çıkarılmaktadır (üyelik, sipariş, ödeme, kargo, müşteri hizmetleri, pazarlama).
2. Her işleme faaliyeti için KVKK m.5 kapsamındaki hukuki sebep belirlenmekte; açık rıza yalnızca başka bir sebebin bulunmadığı işlemler için ayrılmaktadır.
3. Verilerin aktarıldığı taraflar (kargo, ödeme kuruluşu, pazaryeri, barındırma ve e-posta hizmeti) ve yurt dışına aktarım olup olmadığı tespit edilmektedir.
4. Aydınlatma metni, açık rıza metni, çerez politikası ve ticari ileti onay metni ayrı ayrı hazırlanmaktadır.
5. Onay kutuları ve çerez seçim ekranı, önceden işaretli olmayacak ve ayrı ayrı onaylanabilecek şekilde tasarlanmaktadır.
6. Ticari ileti onaylarının İYS'ye kaydı ve ilgili kişi başvuruları için iletişim kanalı oluşturulmaktadır.

Sık Görülen Hatalar

• Başka bir siteden kopyalanmış, şirket adı bile değiştirilmemiş aydınlatma metni
• Üyelik sözleşmesi, aydınlatma ve açık rızanın tek bir kutucukla onaylatılması
• Önceden işaretlenmiş onay kutuları
• Yurt dışında barındırılan sunucu, e-posta veya analiz hizmetlerinin metinde hiç belirtilmemesi
• Kargo, ödeme ve pazaryeri gibi aktarım yapılan tarafların sayılmaması
• İlgili kişi başvurusu için bir iletişim kanalının gösterilmemesi

5. Görevli ve Yetkili Mahkeme veya Merci

İlgili kişi, haklarına ilişkin taleplerini öncelikle veri sorumlusuna iletmektedir. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde KVKK m.14 uyarınca Kişisel Verileri Koruma Kurulu'na şikâyet yoluna gidilebilmektedir. Kurul, şikâyet üzerine veya re'sen inceleme yapabilmektedir.

Aydınlatma yükümlülüğünün yerine getirilmemesi, KVKK m.18 uyarınca idari para cezası yaptırımına bağlanmıştır. Ceza tutarları her yıl yeniden değerleme oranında güncellenmektedir. 7499 sayılı Kanun'la yapılan değişiklikten sonra Kurul'un idari para cezalarına karşı idari yargı yoluna başvurulabilmektedir; başvuru tarihinde yürürlükteki düzenlemenin kontrol edilmesi gerekmektedir.

Ticari elektronik iletilere ilişkin aykırılıklar için 6563 s. Kanun kapsamında ayrı yaptırımlar öngörülmüş olup bu alandaki denetim Ticaret Bakanlığı tarafından yürütülmektedir. Kişisel verilerin hukuka aykırı işlenmesinden doğan zararlar için ise genel hükümler çerçevesinde tazminat davası açılabilmektedir.

6. Süreler ve Dikkat Edilecek Hususlar

Veri sorumlusu, ilgili kişinin başvurusunu en geç otuz gün içinde sonuçlandırmakla yükümlüdür (KVKK m.13). Kurul'a şikâyet, cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde yapılmaktadır (KVKK m.14).

Uygulama için kontrol listesi:

• Aydınlatma metninin sitenin gerçek veri işleme süreçlerine göre hazırlanması
• Aydınlatma ve açık rızanın ayrı metinlerde ve ayrı onaylarla düzenlenmesi
• Açık rızanın yalnızca gerçekten gereken işlemler için istenmesi
• Onay kutularının önceden işaretli olmaması
• Yurt içi ve yurt dışı aktarım yapılan tarafların belirtilmesi
• Zorunlu olmayan çerezler için seçim imkânı sunulması
• Ticari ileti onaylarının İYS'ye kaydedilmesi
• İlgili kişi başvuruları için iletişim kanalının gösterilmesi

7. Sonuç

Aydınlatma metni ve açık rıza, bir e-ticaret sitesinin hukuki altyapısının temelini oluşturmaktadır. Bu metinlerin şablon olarak değil, sitenin gerçek işleyişine göre hazırlanması; aydınlatma ile açık rızanın birbirinden ayrılması ve açık rızanın yalnızca gerektiği hâllerde istenmesi, hem idari yaptırım riskini azaltmakta hem de kullanıcı güvenini artırmaktadır.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır.

← Kişisel Verilerin Korunması ve Veri Uyumu