KVKK uyumlu web sitesi: aydınlatma metni, çerez bandı ve formlar için pratik rehber
Maybe Digital · 8 dk okuma · Güncelleme:
Kısa cevap
KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) açısından bir web sitesi; ziyaretçiyi aydınlatma metniyle bilgilendirmeli, zorunlu olmayan çerezleri onay almadan çalıştırmamalı, formlarda yalnızca gerçekten gereken veriyi toplamalı ve veri sahiplerinin başvurularını cevaplayabilmelidir. Bu rehber genel bilgi verir, hukuki danışmanlık değildir.
Önce bir not: bu yazı hukuki danışmanlık değildir
Bu rehber, bir web sitesi kurarken ve işletirken KVKK açısından nelere dikkat edilmesi gerektiğini teknik ve pratik açıdan anlatır. Her işletmenin faaliyet alanı, işlediği veri türleri ve yükümlülükleri farklıdır; mevzuat, Kişisel Verileri Koruma Kurulu kararları ve rehberleri de zaman içinde değişir.
Kendi durumunuz için mutlaka bir hukukçuya danışın ve güncel bilgiyi Kişisel Verileri Koruma Kurumu'nun resmî kaynaklarından kontrol edin. Bir web ajansının görevi, hukukçunuzun belirlediği gereklilikleri sitede doğru ve eksiksiz uygulamaktır.
Aydınlatma metni ve açık rıza
Aydınlatma metni, kişisel veri toplandığı anda kişiye kimin veri sorumlusu olduğunu, hangi verinin hangi amaçla ve hangi hukuki sebeple işlendiğini, kimlere aktarılabileceğini ve kişinin haklarını anlatan metindir. Sitede kolayca bulunabilmeli ve veri toplanan her noktada (iletişim formu, bülten kaydı, üyelik) bağlantısı yer almalıdır.
Açık rıza ise ayrı bir konudur ve her işlem için gerekmez. Kanunda sayılan diğer hukuki sebepler (örneğin bir sözleşmenin kurulması veya ifası ya da hukuki yükümlülük) varsa ayrıca rıza istenmez. Pazarlama amaçlı ileti göndermek veya zorunlu olmayan çerezler gibi durumlarda ise rıza gerekebilir. Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olmalıdır. Önceden işaretlenmiş kutular ya da aydınlatma metnine gömülmüş rıza cümleleri bu şartı karşılamaz.
Çerez bandı ve çerez politikası
Kurumun çerezlere ilişkin rehberinde benimsenen genel yaklaşım şudur: sitenin çalışması için zorunlu olan çerezler onay olmadan kullanılabilir; analitik, reklam ve kişiselleştirme gibi zorunlu olmayan çerezler ise ancak ziyaretçi onay verdikten sonra çalışmalıdır. Bu, yalnızca bant göstermenin yetmediği, onay gelene kadar ilgili kodların teknik olarak yüklenmemesi gerektiği anlamına gelir.
- "Kabul et" ve "Reddet" seçenekleri aynı görünürlükte olsun; reddetmek zorlaştırılmasın.
- Ziyaretçi çerezleri kategori bazında seçebilsin ve fikrini sonradan değiştirebilsin.
- Onay verilmeden analitik ve reklam etiketleri yüklenmesin.
- Çerez politikası, kullanılan çerezleri, amaçlarını, sürelerini ve hangi tarafa ait olduklarını listelesin.
- Siteye yeni bir araç eklendiğinde politika ve bant güncellensin.
Formlar: yalnızca gereken veriyi toplayın
KVKK'nın temel ilkelerinden biri, verinin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmasıdır. Bir iletişim formu için genellikle ad, iletişim bilgisi ve mesaj yeterlidir. Kimlik numarası, doğum tarihi ya da adres gibi alanları "ileride lazım olabilir" diye eklemeyin; her ek alan hem risk hem de yükümlülük demektir.
Teknik tarafta form verisi şifreli bağlantı (HTTPS) üzerinden gönderilmeli, sunucuda ve e-posta kutularında gereğinden fazla kopya oluşmamalı, form spam ve kötüye kullanıma karşı korunmalıdır. Sağlık, biyometrik veri gibi özel nitelikli kişisel veriler için kurallar daha sıkıdır; bu tür veri gerekiyorsa mutlaka hukukçunuzla birlikte tasarlayın.
Saklama süresi ve silme talepleri
Kişisel veriler, işlendikleri amaç için gereken süre ve ilgili mevzuatın öngördüğü süre kadar saklanmalı, sonra silinmeli, yok edilmeli ya da anonim hâle getirilmelidir. Pratikte bu; form kayıtlarının, bülten listelerinin ve sunucu kayıtlarının ne kadar tutulacağına baştan karar vermek ve bunu uygulayacak bir düzen kurmak demektir.
Kişiler, kendileri hakkında hangi verinin işlendiğini öğrenme, düzeltilmesini ve silinmesini isteme gibi haklara sahiptir. Sitede bu başvuruların nasıl yapılacağını açıkça yazın ve başvuru geldiğinde veriyi tüm sistemlerde (form veritabanı, e-posta, CRM, bülten aracı) bulup işlem yapabileceğiniz bir süreç oluşturun. Kanun bu başvurular için bir cevap süresi öngörür; güncel süreyi ve usulü hukukçunuzla teyit edin.
Yurt dışındaki hizmetler ve VERBİS
Bir web sitesi çoğu zaman yurt dışında çalışan hizmetlerle işler: hosting ve CDN, analitik araçları, e-posta servisleri, form ve bülten araçları, yapay zekâ servisleri. Bu hizmetlere kişisel veri gitmesi, KVKK'da ayrıca düzenlenen yurt dışına veri aktarımı kapsamına girebilir. Aktarım için kanunda sayılan şartlardan birinin sağlanması gerekir ve bu kurallar son yıllarda güncellenmiştir. Hangi hizmetin hangi ülkede veri işlediğinin listesini çıkarmak, hukukçunuzun değerlendirmesi için iyi bir başlangıçtır.
VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'dir. Kayıt yükümlülüğü herkes için aynı değildir; çalışan sayısı, mali büyüklük ve faaliyet alanı gibi ölçütlere ve Kurul kararlarıyla tanınan istisnalara bağlıdır. İşletmenizin kayıt yükümlülüğü olup olmadığını Kurum'un güncel duyurularından ve hukukçunuzdan teyit edin. Kayıt yükümlülüğünüz olmasa bile aydınlatma ve veri güvenliği gibi diğer yükümlülükler devam eder.
- Sitedeki tüm formları, çerezleri ve üçüncü taraf araçları listeleyin.
- Her biri için hangi verinin, nereye ve ne amaçla gittiğini not edin.
- Gereksiz alanları ve kullanılmayan araçları kaldırın.
- Aydınlatma metni, çerez politikası ve başvuru yöntemini hukukçunuzla hazırlayın.
- Siteye yeni bir araç ya da form eklendiğinde bu listeyi güncelleyin.
Sık sorulan sorular
- Sitemde yalnızca bir iletişim formu var, KVKK beni ilgilendirir mi?
- Büyük olasılıkla evet. Formdan gelen ad, e-posta ve telefon kişisel veridir. En azından bir aydınlatma metni, ölçülü form alanları ve bu verilerin güvenli saklanması gerekir. Kendi durumunuzu bir hukukçuyla değerlendirin.
- Google Analytics kullanmak için onay almam gerekir mi?
- Analitik çerezler genellikle zorunlu çerez sayılmaz; bu nedenle Kurum'un genel yaklaşımına göre ziyaretçinin onayından sonra çalıştırılmaları beklenir. Analitik verinin yurt dışına gitmesi de ayrıca değerlendirilmelidir. Kesin değerlendirme için hukukçunuza danışın.
- Hazır bir aydınlatma metni şablonu kullanabilir miyim?
- Şablon bir başlangıç olabilir ama tek başına yeterli değildir. Aydınlatma metni sizin gerçekte hangi veriyi, hangi amaçla ve hangi hizmetlerle işlediğinizi doğru yansıtmalıdır. Sitenizde olmayan şeyleri yazan ya da olanları atlayan bir metin sorun çözmez.
- Web ajansı KVKK uyumunu garanti edebilir mi?
- Hayır. Uyum; hukuki değerlendirme, iç süreçler ve teknik uygulamanın birlikte yürütülmesiyle sağlanır. Ajans çerez yönetimi, form güvenliği ve veri saklama gibi teknik tarafı doğru kurabilir; hukuki değerlendirme ise bir hukukçunun işidir.