Web siteniz iletişim formları, çerezler ya da analiz araçları üzerinden kişisel veri topluyorsa 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındasınız. Ziyaretçilerinizi doğru bilgilendirmek ve gereken yerde açık rızalarını almak hem yasal bir yükümlülük hem de bir güven meselesi.
Bu yazı genel bilgilendirme amaçlıdır; sitenize özel değerlendirme için mutlaka bir hukuk danışmanına başvurun.
Web Sitesinde Hangi Kişisel Veriler İşlenir?
Birçok işletme, sitesinin kişisel veri işlemediğini düşünür. Oysa küçük bir kurumsal sitede bile şu veriler işlenebilir:
- İletişim, teklif ve başvuru formlarına yazılan ad, telefon, e-posta ve mesaj içerikleri
- İş başvurularıyla gönderilen özgeçmişler
- Sunucu kayıtlarındaki IP adresleri
- Çerezler ve analiz araçlarıyla toplanan ziyaret ve davranış verileri
- Site içi sohbet ya da canlı destek yazışmaları
Aydınlatma Metni: Ziyaretçiyi Bilgilendirmek
KVKK'nin 10. maddesi, veri sorumlusuna kişisel verileri elde ederken ilgili kişiyi bilgilendirme yükümlülüğü getirir. Web sitelerinde bu yükümlülük genellikle bir aydınlatma metniyle yerine getirilir. Metin en azından şu sorulara cevap vermelidir:
- Veri sorumlusu kimdir, unvanı ve iletişim bilgileri nelerdir?
- Hangi kişisel veriler, hangi amaçlarla işlenmektedir?
- Veriler kimlere ve hangi amaçla aktarılabilir?
- Veriler hangi yöntemle ve hangi hukuki sebebe dayanılarak toplanmaktadır?
- İlgili kişinin KVKK'nin 11. maddesinden doğan hakları nelerdir ve bu haklar nasıl kullanılır?
Aydınlatma, veri toplandığı anda yapılmalıdır. Bu yüzden her formun hemen yanında aydınlatma metnine bağlantı vermek iyi bir uygulamadır. Bir diğer önemli nokta: Aydınlatma metni ile açık rıza metni ayrı belgelerdir. Bilgilendirmek onay almanın yerine geçmez, onay almak da bilgilendirmenin yerine geçmez.
Açık Rıza Ne Zaman Gerekir?
Her veri işleme faaliyeti için açık rıza gerekmez. Kanun; bir sözleşmenin kurulması veya ifası, hukuki yükümlülük ya da veri sorumlusunun meşru menfaati gibi başka hukuki sebepler de tanır. Örneğin bir teklif talebine cevap verebilmek için iletişim bilgilerinin kullanılması çoğu zaman bu sebeplerden birine dayanabilir. Buna karşılık pazarlama iletisi göndermek ya da ziyaretçiyi reklam amacıyla izlemek genellikle açık rıza gerektirir.
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olmalıdır. Önceden işaretlenmiş kutular ya da bir hizmetin sunulmasını rıza şartına bağlamak bu koşullarla bağdaşmaz. Ticari elektronik ileti (kampanya içerikli SMS ve e-posta) göndermek isteyen işletmeler için ayrıca 6563 sayılı Kanun ve İleti Yönetim Sistemi (İYS) kuralları devreye girer.
Çerez Bildirimi Nasıl Olmalı?
Kişisel Verileri Koruma Kurumu'nun çerez uygulamaları hakkında yayımladığı rehber, sitelerin bu konuda nasıl davranması gerektiğine dair yol gösteriyor. Temel yaklaşım şöyle özetlenebilir:
- Zorunlu çerezler: Sitenin çalışması için gereken çerezler (oturum, güvenlik, sepet gibi) için açık rıza aranmaz, ama bu çerezler de aydınlatma kapsamında anlatılmalıdır.
- Diğer çerezler: Analiz, reklam ve kişiselleştirme çerezleri için açık rıza alınmalı ve bu çerezler rıza verilmeden çalıştırılmamalıdır.
- Eşit seçenek: Kabul etmek ile reddetmek aynı kolaylıkta olmalıdır. Yalnızca "Kabul et" butonu sunup reddetme seçeneğini ayarların derinlerine gizlemek doğru bir uygulama değildir.
- Önceden işaretli kutu yok: İsteğe bağlı çerez kategorileri varsayılan olarak kapalı gelmelidir.
- Geri alınabilirlik: Ziyaretçi verdiği rızayı, verdiği kadar kolay bir yolla geri alabilmelidir.
- Çerez politikası: Sitede kullanılan çerezler, amaçları ve saklama süreleri güncel bir politika metninde listelenmelidir.
Teknik tarafta en sık görülen hata, çerez bandının yalnızca görüntü olarak eklenmesidir: Bant ekranda dururken analiz ve reklam etiketleri arka planda zaten çalışır. Çerez yönetim aracınızın etiket yöneticinizle entegre olduğundan ve ret durumunda ilgili betiklerin gerçekten yüklenmediğinden emin olun.
Yurt Dışındaki Araçlara Dikkat
Analiz araçları, reklam pikselleri ya da yurt dışında barındırılan form ve sohbet hizmetleri, kişisel verilerin yurt dışına aktarılması sonucunu doğurabilir. KVKK'nin yurt dışına aktarımı düzenleyen 9. maddesi 2024'te değişerek yeni bir çerçeve getirdi. Sitenizde kullandığınız üçüncü taraf hizmetlerin listesini çıkarın ve her biri için aktarımın dayanağını danışmanınızla birlikte belirleyin.
Sonuç
KVKK uyumu bir defalık metin ekleme işi değil; siteye eklenen her yeni form, araç ve eklentiyle birlikte gözden geçirilmesi gereken bir süreç. Hukuki metinleri danışmanınızla hazırlamanız, teknik uygulamanın da bu metinlerle birebir örtüşmesi gerekir. Yeni sitelerde çerez yönetimini, form onaylarını ve aydınlatma bağlantılarını teknik altyapının bir parçası olarak kurguluyoruz; mevcut sitenizin bu yönünü incelememizi isterseniz iletişim sayfamızdan bize ulaşabilirsiniz. Güncel mevzuat ve rehberler için Kişisel Verileri Koruma Kurumu'nun sitesini de düzenli olarak takip etmenizi öneririz.
