Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş yerine geçmez. Sitenizdeki metinleri son haline getirmeden önce bir hukukçuya kontrol ettirmenizi öneririz.
Sitenizde bir iletişim formu varsa ziyaretçilerin adını, telefonunu ve e-posta adresini alıyorsunuz. Bu, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından kişisel veri işlemek demektir ve işletmenin büyüklüğünden bağımsız olarak bazı yükümlülükler doğurur. Sitede form olmasa bile ziyaretçi istatistiği tutan bir araç ya da reklam pikseli çalışıyorsa yine bu kapsamdasınız.
İşe, sitenizin hangi verileri neden topladığını çıkararak başlamak gerekiyor. Metinleri ve teknik ayarları ondan sonra buna göre düzenleyebilirsiniz.
Aydınlatma metninde ne olmalı?
Kanunun 10. maddesi, kişisel veriyi toplarken kişiyi bilgilendirmenizi ister. Web sitesindeki karşılığı aydınlatma metnidir ve en az şu bilgileri içermelidir:
- Veri sorumlusunun kim olduğu: şirketin ya da işletmenin unvanı ve ulaşılabileceği iletişim bilgileri
- Verilerin hangi amaçla işlendiği (örneğin teklif talebine dönüş yapmak)
- Verilerin kimlere ve hangi amaçla aktarılabileceği (barındırma firması, e-posta hizmeti, muhasebe gibi)
- Verilerin hangi yöntemle toplandığı ve hukuki sebebi
- Kişinin Kanunun 11. maddesinden doğan hakları ve bu haklar için size nasıl başvurabileceği
İnternetten kopyalanan metinler genellikle bu noktalarda sınıfta kalır. Başka bir firmanın unvanının unutulduğu, siteyle hiç ilgisi olmayan "kamera kayıtları" ya da "personel özlük dosyası" maddeleri taşıyan metinlere sık rastlıyoruz. Aydınlatma metni, sitenizde gerçekte ne yaptığınızı anlatmalı. Ne eksik ne fazla.
Saklama süresi de çoğu zaman atlanır. Kanun belirli bir süre vermez ama verinin amaç için gerekenden uzun tutulmamasını ister. Form mesajlarını ne kadar saklayacağınızı belirleyin ve süre dolunca gerçekten silin. Bu süreyi aydınlatma metnine yazmak zorunlu değil, ama ziyaretçiye daha açık bilgi vermiş olursunuz.
Formlarda en sık yapılan hata
Pek çok sitede formun altında işaretlenmesi zorunlu bir kutu görürsünüz: "KVKK metnini okudum, kişisel verilerimin işlenmesine açık rıza veriyorum." Bu tek cümle iki ayrı kavramı birbirine karıştırıyor.
Aydınlatma bir bilgilendirmedir ve kişinin onayına bağlı değildir. Veri alınırken metne açıkça görünen ve kolayca açılan bir bağlantı vermeniz gerekir.
Açık rıza ise ayrı bir onaydır ve yalnızca Kanundaki diğer işleme şartlarından hiçbiri yoksa gerekir. Teklif isteyen birine dönüş yapmak için çoğu zaman rızaya ihtiyaç yoktur; "sözleşmenin kurulması" ya da "meşru menfaat" gibi başka bir şart bulunabilir. Hangisinin geçerli olduğu, formun amacına ve topladığınız verilere göre değişir.
İkisini tek kutuda birleştirmek ve formu göndermeyi bu kutuya bağlamak iki sorun yaratır. Kurumun aydınlatma yükümlülüğüne ilişkin tebliği, açık rıza ile aydınlatmanın ayrı ayrı yapılmasını ister. Bir hizmetin şartı olarak alınan rıza da "özgür iradeyle verilmiş" sayılmayabilir.
Sade bir form için formun altına "Kişisel verileriniz aydınlatma metnimizde açıklandığı şekilde işlenir" gibi bir cümle ve metne bağlantı koymak yeterli. Pazarlama e-postası göndermek gibi gerçekten rızaya dayanan bir işiniz varsa, onu ayrı ve işaretlenmesi zorunlu olmayan bir kutuyla sorun.
Çerez bandı: "Reddet" de "Kabul et" kadar görünür olmalı
Kurumun 2022'de yayımladığı Çerez Uygulamaları Hakkında Rehber, çerezleri pratikte iki gruba ayırıyor.
Zorunlu çerezler sitenin çalışması için gerekenlerdir: oturum açma, form güvenliği, sepet, ziyaretçinin çerez tercihini hatırlama. Bunlar için rıza gerekmez. Rehbere göre bunlar için onay istemek de doğru bir uygulama değil.
Analitik, reklam ve sosyal medya çerezleri içinse ziyaretçinin önceden ve aktif bir eylemle onay vermesi gerekir.
Uygulamada en çok gözden kaçan kurallar şunlar:
- Rızaya tabi çerezler, ziyaretçi onay verene kadar çalışmamalı. Bant ekranda dururken istatistik kodunun arka planda çoktan çalışmış olması sık gördüğümüz bir durum.
- "Kabul et" ve "Reddet" eşit derecede görünür ve kolay kullanılabilir olmalı; tasarım ziyaretçiyi kabule yönlendirmemeli. Kocaman yeşil bir "Kabul et" düğmesinin yanında soluk gri bir "Ayarlar" bağlantısı, rehberde kötü örnek olarak gösteriliyor.
- Tercihler panelinde rızaya tabi çerezlerin anahtarları baştan kapalı gelmeli.
- "Siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız" ifadesi rıza yerine geçmez.
- Reddeden ziyaretçi siteyi kullanmaya devam edebilmeli. İçeriği onay verilene kadar kilitleyen "çerez duvarı" uygulamaları uygun görülmüyor.
En sağlam yol, gerçekten ihtiyacınız olmayan çerezleri hiç kullanmamak. Ziyaretçi sayısını görmek için çerez kullanmayan ve kişiyi tanımlamayan istatistik araçları var. Sitenizde rızaya tabi hiçbir çerez kalmıyorsa çerez bandına da gerek kalmayabilir. Bu durumda bile hangi verilerin işlendiğini aydınlatma metninde anlatmanız gerekir. Biz de yaptığımız sitelerde bu yolu tercih ediyoruz.
Google Analytics, reklam pikselleri ve yurt dışına aktarım
Google Analytics, Meta pikseli ya da yurt dışında çalışan form ve e-posta servisleri kullanıyorsanız, servisin yapısına ve ayarlarına göre kişisel veriyi yurt dışına aktarıyor olabilirsiniz. Bu konudaki kurallar 1 Haziran 2024'te yürürlüğe giren değişiklikle yeniden düzenlendi. Aktarım için önce aktarılan ülke hakkında Kurulun yeterlilik kararı olup olmadığına bakılıyor. Yoksa, Kurulun ilan ettiği standart sözleşme gibi bir güvence kullanılabiliyor. Standart sözleşme imzalandıysa, imzadan itibaren beş iş günü içinde Kuruma bildirilmesi gerekiyor.
Küçük bir işletme için bu süreci takip etmek kolay değil. Uyumu kolaylaştırmanın en ucuz yolu, sitedeki her dış servis için "buna gerçekten ihtiyacımız var mı?" diye sormak. Kalan servisleri aydınlatma metninde açıkça belirtin.
VERBİS kaydı gerekiyor mu?
En sık sorulan sorulardan biri bu. Kurulun güncel kararlarına göre yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan işletmeler, ana faaliyetleri özel nitelikli kişisel veri (sağlık ya da biyometrik veri gibi) işlemek değilse, VERBİS'e kayıt yükümlülüğünden muaf. Bilanço esasına göre defter tutmayan işletmeler için yalnızca çalışan sayısına bakılıyor. Ana faaliyeti özel nitelikli veri işlemek olan işletmelerde, örneğin bir klinikte, muafiyet için çalışan sayısının 10'dan, bilanço toplamının da 10 milyon TL'den az olması gerekiyor.
Şunu karıştırmamak gerek: VERBİS'ten muaf olmak KVKK'dan muaf olmak anlamına gelmiyor. Aydınlatma, veri güvenliği ve kişilerin başvurularına cevap verme yükümlülükleri her büyüklükteki işletme için geçerli.
Kısa kontrol listesi
- Her sayfanın alt kısmından ulaşılabilen, size ait bilgilerle hazırlanmış bir aydınlatma metni var mı?
- Formlarda aydınlatma metnine bağlantı var mı? Rıza, formu göndermenin şartı olarak mı isteniyor?
- Sitenizde hangi çerezlerin ve dış servislerin çalıştığını biliyor musunuz?
- Rızaya tabi çerezler onay verilmeden önce çalışıyor mu?
- Form mesajlarını ne kadar sakladığınız belli mi ve bu süre dolunca siliniyor mu?
- Siteniz HTTPS ile mi açılıyor?
Son madde teknik görünse de Kanunun 12. maddesindeki veri güvenliği yükümlülüğünün en temel parçası. Şifrelenmemiş bir bağlantı üzerinden form verisi toplamak bu yükümlülükle bağdaşmaz. Sitenizin güvenlik ayarlarına nasıl bakacağınızı güvenlik yazımızda anlattık.