KVKK uyumlu web sitesi: Aydınlatma metni, çerez bildirimi ve form onayları
· PoolByte Technology
KVKK uyumlu web sitesi kurmanın ilk adımı, sitenizin hangi kişisel verileri işlediğini görmektir. Bir web sitesi, sahibi farkında olmasa bile birçok kişisel veri işler. İletişim formundaki ad ve telefon, üyelik bilgileri, sipariş adresleri, sunucu kayıtlarındaki IP adresleri, analitik ve reklam çerezleri bunların başında gelir. 6698 sayılı Kişisel Verilerin Korunması Kanunu, bu verileri işleyen işletmeye bilgilendirme, hukuki dayanak ve güvenlik konusunda yükümlülükler getirir.
Bir KVKK uyumlu web sitesi, sayfanın altına hazır bir metin eklenerek elde edilmez. Metnin sitenizin gerçek veri akışını anlatması, formların ve çerezlerin de bu metne uygun çalışması gerekir. Bu yazı web sitesi tarafındaki adımları genel olarak ele alır; hukuki danışmanlık yerine geçmez. İşletmenize özel değerlendirme için bir hukuk danışmanıyla çalışmanız önerilir.
Sitenizde hangi verilerin işlendiğini çıkarın
İlk adım bir veri envanteridir. Sitenizdeki her veri toplama noktasını listeleyin: iletişim ve teklif formları, üyelik ve giriş, sepet ve ödeme, bülten kaydı, canlı destek, yorumlar ve dosya yükleme alanları. Ardından üçüncü taraf hizmetleri ekleyin: analitik, etiket yöneticisi, reklam pikselleri, harita ve video gömmeleri, e-posta gönderim servisi ve ödeme sağlayıcısı.
Her satır için şu soruları cevaplayın: Hangi veri toplanıyor, hangi amaçla, kimlerle paylaşılıyor, ne kadar süre saklanıyor? Verinin yurt dışındaki bir hizmete aktarılıp aktarılmadığını da not edin. Yurt dışına aktarım kuralları 2024'te yapılan kanun değişikliğiyle yeniden düzenlendi; kullandığınız araçları bu açıdan da değerlendirmeniz gerekir.
Aydınlatma metnini veri toplanan yerde sunun
Aydınlatma yükümlülüğü, kişisel veri elde edilirken yerine getirilmelidir. Metinde veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları yer almalıdır.
Pratikte bu, metni yalnızca alt bilgide bir bağlantı olarak bırakmamak anlamına gelir. İletişim formunun, üyelik ekranının ve ödeme adımının hemen yanında ilgili aydınlatma metnine açık bir bağlantı verin. Farklı amaçlar için tek ve çok genel bir metin yerine, form türüne göre ayrılmış metinler hem anlaşılır hem de daha doğru olur.
Açık rızayı aydınlatmadan ayırın
Her veri işleme faaliyeti açık rıza gerektirmez. Bir siparişi teslim etmek için adres almak sözleşmenin ifası kapsamında olabilir; faturalama ise yasal bir yükümlülüktür. Gerekmediği hâlde rıza istemek, kullanıcıya rızasını geri çektiğinde hizmetin duracağı izlenimini verir ve yanıltıcı olabilir.
Açık rıza gerçekten gerekiyorsa şu ilkelere dikkat edin:
- Rıza metni aydınlatma metninden ayrı olmalı, kullanıcı ikisini karıştırmamalıdır.
- Onay kutusu önceden işaretli olmamalıdır.
- Rıza, hizmetin ön şartı hâline getirilmemelidir.
- Kullanıcı rızasını verdiği kadar kolay geri alabilmelidir.
Pazarlama amaçlı e-posta, SMS ve arama izinleri ayrıca ticari elektronik ileti kurallarına da tabidir. Bu izinlerin nasıl toplanacağını İYS rehberimizde anlattık.
Çerez bildirimini gerçekten çalışır hâle getirin
Çerez bildirimi, KVKK uyumlu web sitesi hazırlığının en görünür parçasıdır. Kişisel Verileri Koruma Kurumu'nun çerez rehberi, sitenin çalışması için zorunlu çerezlerle analitik, kişiselleştirme ve reklam gibi amaçlarla kullanılan çerezleri ayırır. Çerezler için uygun hukuki işleme şartı, amaç ve kullanım biçimine göre değerlendirilmelidir. Açık rıza dışındaki bir işleme şartına dayanamayan analitik, reklam ve takip çerezleri, geçerli rıza alınmadan çalıştırılmamalıdır. Kurum rehberinde belirli koşullardaki birinci taraf analitik çerezler ayrıca ele alınır; bu sınırlı değerlendirme standart üçüncü taraf analitik veya reklam araçlarına kendiliğinden uygulanamaz.
Kullanıcıya sunulan bildirimde kabul etme ve reddetme seçeneklerinin eşit kolaylıkta sunulması, kategorilerin önceden seçili gelmemesi ve tercihin daha sonra değiştirilebilmesi gerekir. Yalnızca "Tamam" düğmesi bulunan bir bilgilendirme şeridi bu ihtiyacı karşılamaz.
Teknik tarafta asıl kontrol noktası, tercih verilmeden önce sayfada hangi etiketlerin çalıştığıdır. Tarayıcının geliştirici araçlarında çerezleri temizleyip siteyi açın ve hiçbir seçim yapmadan oluşan çerezlere bakın. Analitik ve reklam etiketlerini izin durumuna bağlamak için GA4 ve Tag Manager rehberindeki izin modu adımları yardımcı olur.
Formlarda yalnızca gerekeni isteyin
Veri en aza indirme ilkesi, formların tasarımında doğrudan uygulanabilir. Teklif formu için doğum tarihine, bülten kaydı için telefon numarasına ihtiyacınız yoksa bu alanları kaldırın. Zorunlu alan sayısını azaltmak hem riski düşürür hem de form tamamlanma oranını artırabilir.
Form gönderimlerinin nereye gittiğini de kontrol edin. Bildirim e-postaları birden çok kişinin kişisel kutusuna dağılıyorsa veya veriler yıllarca silinmeden duruyorsa, saklama süresi ve erişim yetkisi yeniden düzenlenmelidir.
Güvenlik tedbirlerini ve başvuru kanalını unutmayın
Kanun, verilerin güvenliğini sağlamak için uygun teknik ve idari tedbirleri almayı gerektirir. Web sitesi açısından bunun karşılığı HTTPS, güncel yazılım, kişiye özel yönetici hesapları, iki adımlı doğrulama ve düzenli yedektir. Bu adımlar, KVKK uyumlu web sitesi altyapısının teknik temelini oluşturur. Ekip erişimlerini düzenlemek için iki adımlı doğrulama rehberimize göz atabilirsiniz.
İlgili kişilerin haklarını kullanabileceği bir başvuru yolu da tanımlayın. Kanuna göre başvurular en kısa sürede ve en geç otuz gün içinde sonuçlandırılmalıdır. Başvuruların kaybolmaması için bunları ortak ve takip edilen bir adrese yönlendirin.
Sık sorulan sorular
Hazır bir KVKK metni şablonu kullanabilir miyim?
Şablon bir başlangıç noktası olabilir; ancak KVKK uyumlu web sitesi için metnin sizin gerçek veri akışınızı anlatması gerekir. Kullanmadığınız bir aktarımı yazmak ya da kullandığınız bir analitik aracını hiç anmamak metni yanıltıcı hâle getirir.
Google Analytics kullanıyorum, ne yapmalıyım?
Google Analytics gibi üçüncü taraf analiz araçlarını yalnız istatistik amacıyla kullanıldıkları için zorunlu kabul etmeyin. Yapılandırmanın hukuki dayanağını ve yurt dışı aktarım koşullarını ayrı değerlendirin; açık rıza gerektiren çerezleri tercih verilmeden çalıştırmayın. Aydınlatma metninde gerçek veri akışını açıklayın.