Web Sitesi İçin KVKK: Aydınlatma Metni ve Çerezler

Web Sitesi İçin KVKK: Aydınlatma Metni ve Çerezler

Bir iletişim formu, bir teklif talebi, bir bülten kaydı. Kurumsal sitelerin neredeyse hepsi ziyaretçiden bir bilgi ister. Ad, telefon, e-posta. Ve bu bilgiyi istediği anda kişisel veri işlemeye başlamış olur.

KVKK, yani 6698 sayılı Kişisel Verilerin Korunması Kanunu, bir kişiyi tanımlamaya yarayan her bilginin nasıl toplanacağını, saklanacağını ve paylaşılacağını düzenler. Kanunun kapsamı geniş; bu yazıda sadece bir web sitesi sahibini doğrudan ilgilendiren kısmına odaklanıyoruz: KVKK aydınlatma metni, açık rıza, çerez politikası, siteye eklenen üçüncü taraf hizmetler ve formdan gelen verilerin saklanması.

Web Sitesi Hangi Kişisel Verileri İşler?

Çoğu site sahibi "biz kişisel veri toplamıyoruz, sadece bir iletişim formumuz var" der. Oysa liste düşünüldüğünden uzundur:

• Formlar: Ad, telefon, e-posta, şirket adı ve mesaj içeriği. Teklif formlarında yüklenen dosyalar da buna dahil.
• Çerezler: Ziyaretçinin tarayıcısına kaydedilen ve onu tanımaya yarayan küçük dosyalar.
• Sunucu kayıtları: Her ziyarette IP adresi, tarayıcı bilgisi ve ziyaret edilen sayfalar sunucu kayıtlarına yazılır. IP adresi de kişisel veri sayılır.
• Üçüncü taraf hizmetler: Analitik araçları, haritalar, gömülü videolar, sohbet balonları ve reklam pikselleri. Bunlar ziyaretçinin verisini doğrudan kendi sunucularına gönderir.

Yani bir kurumsal sitenin KVKK'dan "muaf" olması pratikte mümkün değil. Mesele, yükümlülükleri doğru ve orantılı biçimde yerine getirmek.

KVKK Aydınlatma Metni Nedir?

Kanunun 10. maddesi, kişisel veri toplayan herkese bir aydınlatma yükümlülüğü getirir. Veriyi toplarken kişiye şunları bildirmeniz gerekir:

• Veri sorumlusunun kim olduğu (şirketinizin unvanı ve iletişim bilgisi)
• Verinin hangi amaçla işleneceği
• Kimlere ve hangi amaçla aktarılabileceği
• Verinin hangi yöntemle ve hangi hukuki sebebe dayanarak toplandığı
• Kişinin kanundan doğan hakları (bilgi isteme, düzeltme, silme talep etme gibi)

Bu bilgilerin yer aldığı metne aydınlatma metni denir. Web sitelerinde en sık yapılan hata, tek bir uzun "KVKK" sayfası hazırlayıp sitenin altına bağlantı koymak ve işi orada bırakmaktır.

Aydınlatma, veri toplandığı anda yapılmalıdır. Pratikte bunun anlamı: her formun yanında, gönder düğmesinden önce, o forma özel aydınlatma metnine bir bağlantı. Teklif formunun aydınlatma metni ile iş başvurusu formunun aydınlatma metni aynı olmak zorunda değildir; amaçlar farklıdır.

Aydınlatma metni hazır şablondan kopyalanmamalı. Metin sizin gerçekte ne yaptığınızı anlatmalı: hangi veriyi topluyorsunuz, nerede saklıyorsunuz, kimlerle paylaşıyorsunuz. Formdan gelen talepleri bir CRM programına aktarıyorsanız ya da e-posta servisi üzerinden gönderiyorsanız, bu da metinde yer almalı.

Aydınlatma ile Açık Rıza Arasındaki Fark

Bu iki kavram sık karıştırılır ve sık birleştirilir. Oysa farklı şeylerdir.

Aydınlatma bir bildirimdir. Her durumda yapılır ve kişinin onayını gerektirmez.

Açık rıza ise kişinin belirli bir işleme, bilgilendirilmiş olarak ve özgür iradesiyle onay vermesidir. Her veri işleme için gerekmez. Kanun, açık rıza aranmayan durumlar da sayar: bir sözleşmenin kurulması için gerekli olması, hukuki bir yükümlülük, veri sorumlusunun meşru menfaati gibi. Örneğin teklif isteyen birinin telefonunu, ona teklif vermek için kullanmak çoğu durumda açık rıza gerektirmez.

Açık rıza gereken tipik durumlar ise şunlardır: ziyaretçiye pazarlama e-postası göndermek, analitik ve reklam çerezleri kullanmak, verileri belirli koşullarda yurt dışına aktarmak.

Sık yapılan iki hata:

• Aydınlatma metnini onay kutusuna bağlamak. "Aydınlatma metnini okudum ve kabul ediyorum" ifadesi, bildirimi bir onaya dönüştürür. Aydınlatma okunur, kabul edilmez.
• Açık rızayı hizmetin şartı yapmak. "Bülten almayı kabul etmezseniz formu gönderemezsiniz" gibi bir kurgu, rızanın özgür olması şartını ortadan kaldırır.

Çerez Politikası ve Çerez Onayı

Kişisel Verileri Koruma Kurulu, çerezler için ayrı bir rehber yayımladı. Rehberin özü şu ayrıma dayanıyor:

Zorunlu çerezler, sitenin çalışması için gereken çerezlerdir: oturum açık tutma, güvenlik, sepet içeriği, dil tercihi. Bunlar için açık rıza aranmaz, ama çerez politikasında anlatılmalıdır.

Zorunlu olmayan çerezler, yani analitik, pazarlama, reklam hedefleme ve sosyal medya çerezleri için ziyaretçinin açık rızası alınmalıdır. Bunun pratik karşılıkları:

• Bu çerezler, ziyaretçi onay vermeden önce çalışmamalıdır. Sayfa açılır açılmaz analitik kodu çalıştırıp sonra onay penceresi göstermek bu şartı karşılamaz.
• Onay kutuları önceden işaretlenmiş olmamalıdır.
• Reddetmek, kabul etmek kadar kolay olmalıdır. "Kabul et" düğmesinin yanında aynı görünürlükte bir "Reddet" seçeneği olmalıdır.
• Ziyaretçi verdiği onayı sonradan geri alabilmelidir.

Çerez politikası ise sitede hangi çerezlerin kullanıldığını, ne amaçla kullanıldığını, ne kadar süre saklandığını ve hangi üçüncü taraflara ait olduğunu anlatan metindir. Burada da hazır şablon değil, sitenin gerçek çerez listesi esas alınmalıdır.

Üçüncü Taraf Hizmetler: Görünmeyen Veri Akışı

Bir kurumsal sitede ziyaretçi verisi, siz farkında olmadan birden fazla şirkete gidebilir. Yazı tipleri dış bir sunucudan yükleniyorsa, sayfaya harita ya da video gömülüyse, analitik ve reklam kodları varsa, her biri ziyaretçinin IP adresini ve tarayıcı bilgisini kendi sunucusuna iletir. Üstelik bunu sayfa açılırken, onay penceresi görünmeden önce yapar.

Bu iki açıdan önemli. Birincisi, bu aktarımlar aydınlatma metninde ve çerez politikasında yer almalıdır. İkincisi, bu hizmetlerin çoğunun sunucuları yurt dışındadır. Kişisel verilerin yurt dışına aktarılmasına ilişkin kurallar 2024'te önemli ölçüde değişti; hangi hizmetin hangi şartla kullanılabileceği konusunda güncel düzenlemeyi kontrol edin.

Teknik tarafta yapılabilecek en basit şey, gerçekten gerekmeyen dış bağlantıları azaltmak. Yazı tiplerini kendi sunucunuzdan sunmak, kullanılmayan takip kodlarını kaldırmak, haritayı ancak ziyaretçi tıkladığında yüklemek hem veri akışını hem de sayfa hızını iyileştirir. Sitenin hangi sunucuda ve hangi ülkede barındırıldığı da bu tablonun bir parçası; bunu hosting rehberimizde anlattık.

Formdan Gelen Verinin Saklanması

Aydınlatma metni yazıldı, çerez onayı kuruldu. Ama asıl soru çoğu zaman sorulmaz: formdan gelen veri nereye gidiyor ve ne kadar süre orada kalıyor?

• E-posta kutuları. Form talepleri genelde bir e-posta adresine düşer ve orada yıllarca kalır. E-postaların güvenli biçimde iletilmesi ayrı bir konu; bunu SPF, DKIM ve DMARC rehberimizde ele aldık.
• Veritabanı. Form verisi sitenin veritabanına da kaydediliyorsa, bu veritabanına kimlerin erişebildiği belli olmalıdır.
• Yüklenen dosyalar. Teklif formuna yüklenen teknik çizimler, CV'ler ya da belgeler, en hassas veri türüdür. Bu dosyalar herkese açık bir adreste değil, erişimi kapalı bir alanda tutulmalı; indirme yalnızca yetkili kişilere, süreli bağlantılarla yapılmalıdır.

Kanun, verinin işlendiği amaç için gereken süreden fazla saklanmamasını ister. Bu yüzden her veri türü için bir saklama süresi belirlemek ve süre dolduğunda veriyi silmek gerekir. Belirli koşullardaki veri sorumluları için bunu yazılı bir saklama ve imha politikasıyla belgelemek de bir yükümlülük.

VERBİS Kaydı

VERBİS, veri sorumluları sicil bilgi sistemidir. Kayıt yükümlülüğü; çalışan sayısı, yıllık mali bilanço ve işlenen verinin türü gibi ölçütlere bağlıdır. Kurul, bazı veri sorumlularını bu yükümlülükten muaf tutmuştur ve eşikler zaman içinde güncellenmektedir. İşletmenizin kayıt yükümlülüğü olup olmadığını Kurul'un güncel kararlarına göre kontrol edin.

VERBİS'e kayıtlı olmamak, diğer yükümlülüklerden muaf olmak anlamına gelmez. Aydınlatma, açık rıza ve veri güvenliği yükümlülükleri bütün veri sorumluları için geçerlidir.

Kontrol Listesi

Sitenizi beş dakikada şu sorularla gözden geçirebilirsiniz:

1. Her formun yanında, gönder düğmesinden önce o forma özel bir aydınlatma metni bağlantısı var mı?
2. Aydınlatma metni bir onay kutusuna bağlanmış mı? Bağlanmışsa ayrılmalı.
3. Sayfa açıldığında, çerez onayı vermeden önce analitik ya da reklam kodları çalışıyor mu?
4. Çerez penceresinde "Reddet" seçeneği "Kabul et" kadar görünür mü?
5. Sitenizdeki dış hizmetler (yazı tipi, harita, video, analitik) çerez politikasında listelenmiş mi?
6. Formdan gelen veriler ve yüklenen dosyalar nerede, kimlerin erişiminde ve ne kadar süre saklanıyor?

Sonuç

Web sitesi için KVKK, büyük ölçüde şeffaflık meselesi: ziyaretçiye hangi veriyi neden topladığınızı söylemek, gerekmeyen veriyi toplamamak, onay gereken yerde gerçekten onay almak ve topladığınız veriyi koruyup gereken süre sonunda silmek.

Bunların bir kısmı metin işidir; aydınlatma metni ve çerez politikası bir hukukçuyla birlikte yazılmalıdır. Ama önemli bir kısmı teknik işlerdir: çerezlerin onaydan önce çalışmaması, dış bağlantıların azaltılması, yüklenen dosyaların korunması. Kurumsal web sitelerini kurarken bu teknik altyapıyı baştan hesaba katıyoruz.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. İşletmenize özgü yükümlülükler için bir hukuk danışmanından görüş alın.