Avrupa Birliği Adalet Divanı (ABAD), 18 Aralık 2025 tarihli ve C-422/24 sayılı Integritetsskyddsmyndigheten / AB Storstockholms Lokaltrafik kararıyla veri koruma hukukunda aydınlatma yükümlülüğünün sınırlarını "kaynak" odaklı bir yaklaşımla yeniden belirliyor.
Olayın Arka Planı
Stockholm'deki bir toplu taşıma işletmesi, bilet denetçilerini hem güvenliği sağlamak hem de usulsüzlükleri belgelemek amacıyla vücut kameralarıyla donatmış. Kameralar sürekli kayıt alıyor, ancak görüntüler bir dakika içinde otomatik olarak siliniyor; ancak denetçi manuel bir müdahale ile kaydı kalıcı hale getirebiliyor.
Tartışmanın düğümlendiği nokta ise şu: Kişinin görüntüsünün kamera ile kaydedilmesi, verinin doğrudan ilgili kişiden elde edilmesi (GDPR m. 13) midir, yoksa dolaylı bir veri toplama (m. 14) faaliyeti midir?
Hukuki Değerlendirme
Bu ayrımın hukuki sonucu oldukça önemli: Dolaylı veri toplama hallerinde (m. 14) veri sorumlusunun aydınlatma yükümlülüğünü yerine getirmek için makul bir süresi bulunurken, doğrudan elde etme (m. 13) halinde bilgilendirmenin verinin elde edildiği "o anda" gerçekleşmesi zorunludur. ABAD, yerleşik içtihatları doğrultusunda "elde etme" kavramını geniş yorumlamış; özellikle bir verinin ilgili kişiden elde edilmiş sayılması için o kişinin aktif bir eylemde bulunmasına gerek olmadığını, kişiyi gözlemleme veya kamera ile kaydetmenin, verinin bizzat o kişiden toplandığı anlamına geldiğini belirtmiştir. Aksine bir yorumun, aydınlatma yükümlülüğünü erteleyerek "gizli takip" pratiklerine yasal zemin hazırlayabileceği uyarısı kararın en dikkat çekici yönlerinden biridir.
Kademeli Aydınlatma (Layered Approach)
Buna ek olarak Mahkeme, bu yükümlülüğün operasyonel süreçleri tıkamaması adına EDPB'nin kademeli aydınlatma modeline işaret etmektedir. Dolayısıyla her bir müşteriye teker teker aydınlatma metni imzalatmak yerine, ilk aşamada bir uyarı tabelası ile temel bilgilerin verilmesi, detaylı aydınlatmanın ise başka kanallar üzerinden sunulması yeterli kabul edilebilmektedir.
KVKK Açısından Önemi
Karar, özellikle kamuya açık alanlarda teknoloji kullanan tüm veri sorumluları açısından KVKK m. 10 uygulaması bağlamında önem taşıyor. Karara göre veri bizzat kişiden akıp geliyorsa, doğrudan elde etme söz konusudur ve dolayısıyla ilgili kişiye ilişkin aydınlatma yükümlülüğü de o anda ve doğrudan yerine getirilmelidir. Bununla birlikte bu yükümlülüğün yerine getirilmesinde "ıslak imzaya" gerek olmadığı da aşikardır. Bazen rastladığım müşteriye zorla dayatılan aydınlatma metni imzalatma uygulamasının aksine katmanlı aydınlatma bence hem daha gerçekçi, hem de işlevsel bir çözüm olarak dikkate alınmalı!