KVKK Uyumlu Web Sitesi: Aydınlatma Metni, Çerez İzni ve Riskler

KVKK uyumu, siteye bir çerez kutusu eklemekle bitmez. Sıradan bir kurumsal site bile iletişim formu, çerezler, e-bülten kaydı ve sunucu kayıtları üzerinden kişisel veri işler. Uyumun temeli üç şeydir: ne topladığınızı bilmek, bunu doğru yerde açıklamak ve rıza gereken yerde gerçekten rıza almak.

Aşağıdaki yazı, küçük ve orta ölçekli işletmelerin kendi sitelerine bakarken kullanabileceği pratik bir çerçeve sunuyor. Kişisel Verileri Koruma Kurumu’nun yayımladığı rehberlere ve kamuoyu duyurularına dayanıyor; ancak sizin işletmeniz için neyin zorunlu olduğu, ne tür veri işlediğinize ve ölçeğinize göre değişir.

Sıradan bir kurumsal site hangi kişisel verileri topluyor?

“Biz veri toplamıyoruz ki, sadece tanıtım sitemiz var” cümlesi çok sık duyulur ve neredeyse her zaman yanlıştır. Aşağıdaki tablo, tek sayfalık bir tanıtım sitesinde bile karşımıza çıkan tipik kalemleri gösteriyor.

Kariyer formu olan siteler ayrıca dikkat ister; özgeçmişlerde sağlık durumu, dernek üyeliği gibi özel nitelikli veriler gelebilir ve bunların işlenme koşulları daha katıdır. Böyle bir formunuz varsa, ne istediğinizi ve ne kadar süre saklayacağınızı baştan düşünün.

Bu verileri ne kadar süre saklamalısınız?

Uyumun en çok atlanan parçası saklama süresidir. Kişisel veri, işlendiği amaç ortadan kalktığında silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Uygulamada bu, birkaç basit karara iner: iletişim formundan gelen mesajlar ne kadar süre e-posta kutunuzda kalacak, kariyer başvuruları ne kadar saklanacak, sunucu erişim kayıtları hangi aralıkta temizlenecek. Bu süreleri yazılı olarak belirlemek, hem ilgili kişilere verdiğiniz bilgiyle tutarlı olmanızı sağlar hem de gereksiz veri biriktirmenizi önler. Formdan gelen mesajların hangi e-posta kutusuna düştüğü ve o kutuya kaç kişinin eriştiği de aynı ölçüde önemlidir; erişimi işi gereği ihtiyacı olanlarla sınırlamak, en temel güvenlik tedbirlerinden biridir.

Aydınlatma metni nedir ve sitenin neresinde durmalı?

Aydınlatma metni, kişisel verileri işleyen tarafın ilgili kişiye kim olduğunu ve ne yaptığını anlattığı bilgilendirmedir. Kurum’un konuya ilişkin tebliğine göre bu metinde en azından şunlar bulunur:

• Veri sorumlusunun ve varsa temsilcisinin kimliği
• Kişisel verilerin hangi amaçla işleneceği
• Kimlere ve hangi amaçla aktarılabileceği
• Toplama yöntemi ve hukuki sebebi
• İlgili kişinin kanundan doğan hakları

Zamanlaması da önemlidir: veriler kişinin kendisinden alınıyorsa, aydınlatma verinin elde edildiği sırada yapılmalıdır. Yani formu gönderdikten sonra açılan teşekkür sayfasında değil, formun yanında.

Uygulamada nasıl yerleştirilir?

Pratik yerleşim şöyledir: sitenin alt bilgisinde “Aydınlatma Metni” başlıklı kalıcı bir sayfa bulunur. Her formun hemen altında ise bu sayfaya bağlantı veren kısa bir cümle yer alır. Formda ayrı bir onay kutusu kullanılacaksa, aydınlatma ile açık rıza karıştırılmamalıdır; Kurum, aydınlatma yükümlülüğünün yerine getirilmesi ile açık rızanın alınmasının ayrı ayrı yapılması gerektiğini belirtir. Tek bir kutuda “aydınlatma metnini okudum ve açık rıza veriyorum” demek doğru bir uygulama değildir.

Her şey için açık rıza almak zorunda mıyım?

Hayır ve bu, en sık yapılan hatalardan biridir. Kanun, kişisel verinin işlenebilmesi için açık rıza dışında da hukuki sebepler sayar. Örneğin bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat gibi sebepler bunlar arasındadır.

Bu neden önemli? Çünkü başka bir hukuki sebep varken açık rıza almak, hem gereksiz hem de riskli olur: kişi rızasını her zaman geri alabilir ve o veriyi işlemeye devam etmeniz gereken durumlarda dayanağınız kalmaz. Bir siparişi teslim edebilmek için adres bilgisini işlemek rızaya değil, sözleşmeye dayanır.

Açık rızanın asıl gerektiği tipik alanlar ise pazarlama iletişimidir. E-bülten ve kampanya mesajları için ayrı, özgür iradeyle verilmiş ve belirli bir konuya ilişkin bir onay alınması gerekir. Ayrıca ticari elektronik ileti göndermenin, KVKK’dan ayrı olarak kendi mevzuatı ve İYS gibi kendi süreçleri vardır; bu iki konuyu tek bir onay kutusuyla çözmeye çalışmayın.

Çerez politikası ve çerez banner’ı nasıl olmalı?

Kurum’un yayımladığı Çerez Uygulamaları Hakkında Rehber, bu konuda oldukça somut. Rehberin özü şu ayrımdır: sitenin çalışması için kesinlikle gerekli olan çerezler için açık rıza aranmazken, analiz, kişiselleştirme ve reklam çerezleri için genellikle rıza gerekir.

Rehberde yer alan uygulama önerilerinden siteniz için doğrudan işinize yarayacak olanlar şunlar:

• Kabul ve ret seçenekleri eşit derecede belirgin olmalı; yani “Kabul et” butonu renkli ve büyük, “Reddet” bağlantısı silik ve küçük olmamalı.
• Kullanıcının çerez tercihlerini ayarlayabileceği bir “Tercihler” seçeneği bulunmalı.
• Verilen rıza kolayca geri alınabilmeli.
• Rıza her ziyarette yeniden sorulmamalı; makul aralıklarla yenilenmeli.
• Zorunlu olmayan çerezler, kullanıcı onay vermeden çalıştırılmamalı.

Son madde teknik olarak en çok atlanandır. Pek çok sitede banner görünürken analiz betiği çoktan çalışmış olur. Bu, kutuyu göstermekle uyumlu olmak arasındaki farktır. Yeni bir site yaptırıyorsanız çerez yönetiminin nasıl kurgulanacağını web tasarım aşamasında konuşun; sonradan eklemek her zaman daha zahmetlidir.

Çerez politikası ayrı bir sayfa mı olmalı?

Uygulamada çerez politikası genellikle ayrı bir sayfada tutulur ve banner’dan bağlantı verilir. İçinde hangi çerezlerin kullanıldığı, ne işe yaradıkları, ne kadar süre saklandıkları ve üçüncü taraflara ait olanların hangileri olduğu listelenir. Bu listeyi gerçek durumla uyumlu tutmak gerekir; siteye yeni bir araç eklendiğinde politika da güncellenmelidir.

VERBİS’e kayıt olmam gerekiyor mu?

Bu sorunun tek bir cevabı yok ve internette dolaşan kesin ifadelere güvenmeyin. VERBİS, veri sorumlularının kayıt olduğu sicildir. Kurul, belirli ölçeğin altındaki veri sorumlularını kayıt yükümlülüğünden istisna tutan kararlar almıştır ve bu istisna kriterleri zaman içinde güncellenmiştir.

Kurul kararlarında istisna, genel olarak iki ölçüte bağlanmıştır: yıllık çalışan sayısı ve yıllık mali bilanço toplamı. Ana faaliyet konusu özel nitelikli kişisel veri işlemek olan veri sorumluları için ise çok daha düşük eşikler uygulanır. Ayrıca muhasebe esasına göre defter tutmayan veri sorumluları bakımından değerlendirmenin nasıl yapılacağına ilişkin ayrı bir Kurul kararı bulunmaktadır.

Pratik yaklaşım şudur: kendinizi bir tabloya bakarak “ben muafım” diye ilan etmeyin. Güncel eşikleri ve istisna kapsamını doğrudan Kurum’un kendi duyurularından teyit edin, tereddüt hâlinde mali müşavirinize ve avukatınıza danışın. Eşiklerin altında kalıp kayıttan istisna olmak, KVKK’nın diğer yükümlülüklerinden — aydınlatma, veri güvenliği, başvurulara cevap verme — muaf olmak anlamına gelmez. Bu ayrım çok sık karıştırılıyor.

Yurt dışındaki araçları kullanmak sorun mu?

Analiz aracı, form servisi, e-posta gönderim platformu, bulut depolama; bunların çoğunun sunucuları yurt dışındadır ve kullanmaları kişisel veri aktarımı anlamına gelebilir. 2024’te yürürlüğe giren değişikliklerle yurt dışına aktarım rejimi yenilendi: yeterlilik kararı, uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, taahhütname gibi) ve sınırlı hâllerde arızi aktarım şeklinde bir yapı kuruldu. Standart sözleşme kullanılması hâlinde, imzalanmasından itibaren beş iş günü içinde Kurum’a bildirim yapılması gerekiyor.

Küçük bir işletme sitesi için bunun anlamı şu: hangi üçüncü parti araçları kullandığınızı bilin, listesini tutun ve bu araçların veri işleme koşullarını bir kez okuyun. Hangi mekanizmanın sizin durumunuza uyduğu hukuki bir değerlendirme gerektirir.

Küçük bir işletme sitesi için pratik kontrol listesi

Tabloda “kim yapar” sütununun neden var olduğunu vurgulamak isteriz: bir web ajansı metinlerin sitede doğru yerde ve doğru davranışla çalışmasını sağlar, hukuki içeriğin doğruluğunu ise veri sorumlusu sıfatıyla siz üstlenirsiniz. Müşteri verisi tutan bir e-ticaret projesinde bu ayrım daha da önemli hâle gelir, çünkü işlenen veri hem daha çok hem daha hassastır.

Uyum, bir kere yapılıp unutulan bir iş değil; siteye yeni bir form, yeni bir araç ya da yeni bir kampanya eklediğinizde tekrar bakılması gereken bir alışkanlıktır. Sitenizin teknik tarafını bu gözle gözden geçirmemizi isterseniz durumunuzu bize kısaca yazın, hangi başlıkların eksik olduğunu net bir listeyle çıkaralım.

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir; kendi durumunuz için bir avukata danışmanızı ve Kişisel Verileri Koruma Kurumu’nun kvkk.gov.tr adresindeki güncel rehber ve duyurularını esas almanızı öneririz.