KVKK Uyumlu Web Sitesi: Aydınlatma Metni, Çerez ve Açık Rıza

Sitenizdeki iletişim formu ad ve telefon topluyor, analitik aracınız ziyaretçilerin davranışını kaydediyor, belki bir de reklam pikseli çalışıyor. Bunların her biri kişisel veri işlemek anlamına gelir. KVKK uyumlu web sitesi, bu verilerin hangi amaçla toplandığını ziyaretçiye açıkça anlatan, gerektiğinde onayını alan ve verileri güvenle saklayan sitedir. Bu yazıda web siteleri açısından temel başlıkları genel hatlarıyla anlatıyorum.

Bu yazıdaki bilgiler genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Sitenize ve faaliyetinize özel değerlendirme için bir hukuk uzmanına danışmanızı öneririm.

KVKK web sitelerini neden ilgilendirir?

6698 sayılı Kişisel Verilerin Korunması Kanunu, bir kişiyi doğrudan ya da dolaylı olarak tanımlamaya yarayan her bilgiyi kişisel veri olarak kabul eder. Ad, telefon, e-posta adresi gibi açık bilgilerin yanı sıra bazı durumlarda IP adresi ve çerez kimlikleri de bu kapsamda değerlendirilebilir.

Web siteniz üzerinden bu tür veriler topluyorsanız veri sorumlusu sıfatıyla bazı yükümlülükleriniz doğar. Bu yükümlülükler, ziyaretçiyi bilgilendirmekten verileri güvenle korumaya kadar uzanır.

Sitenizde kişisel veri nerelerde işleniyor?

Uyum sürecine başlamadan önce sitenizde hangi verilerin nerede toplandığını çıkarmak gerekir. Çoğu sitede şu noktalar öne çıkar:

• İletişim, teklif ve randevu formları
• Üyelik ve sipariş süreçleri (e-ticaret siteleri)
• Bülten aboneliği
• Analitik ve ziyaretçi takip araçları
• Reklam ve yeniden pazarlama pikselleri
• Canlı destek ve WhatsApp yönlendirmeleri
• Gömülü harita ve video gibi üçüncü taraf hizmetler

Bu envanteri çıkardığınızda, aydınlatma metninde neyi anlatmanız ve hangi araçlar için onay almanız gerektiği de netleşir.

Aydınlatma metni

Aydınlatma metni, ziyaretçiye verilerinin kim tarafından, hangi amaçla, hangi hukuki sebebe dayanarak işlendiğini, kimlere aktarılabileceğini ve hangi haklara sahip olduğunu anlatan bilgilendirme metnidir.

İyi bir aydınlatma metninin özellikleri

• Sade, anlaşılır bir dille yazılmıştır; hukuki terimler gerektiğinde açıklanır.
• Sitenizin gerçekte yaptığı işlemleri anlatır; başka bir siteden kopyalanmış genel ifadeler içermez.
• Form gibi veri toplanan noktalardan kolayca erişilebilir.
• Kullanılan araçlar değiştikçe güncellenir.

Sık karşılaşılan bir hata, aydınlatma metnini yalnızca sitenin alt kısmına bir bağlantı olarak koyup formların yanında hiç anmamaktır. Ziyaretçi, verisini girdiği anda bu metne ulaşabilmelidir.

Çerez bildirimi ve tercih yönetimi

Çerezler, sitenin çalışması için zorunlu olanlar ve analitik, reklam gibi zorunlu olmayanlar olarak ayrılabilir. Kişisel Verileri Koruma Kurumu’nun çerezlere ilişkin yayımladığı rehber de bu ayrıma dikkat çeker.

Çerez türü	Örnek	Genel yaklaşım
Zorunlu	Oturum, sepet, güvenlik çerezleri	Sitenin çalışması için gerekir; bilgilendirme yapılır
Analitik	Ziyaretçi istatistikleri	Genellikle onay sonrasında çalıştırılır
Pazarlama	Reklam ve yeniden pazarlama pikselleri	Onay alınmadan çalıştırılmamalıdır
İşlevsel	Dil tercihi, gömülü içerikler	Kullanım amacına göre değerlendirilir

Çerez bandında dikkat edilecekler

Yalnızca “Kabul et” düğmesi bulunan, reddetme seçeneği sunmayan bantlar sorunludur. Ziyaretçinin zorunlu olmayan çerezleri reddedebilmesi ve tercihini daha sonra değiştirebilmesi gerekir. Teknik olarak da önemli bir nokta vardır: onay verilmeden önce analitik ve reklam kodlarının yüklenmemesi gerekir. Bant görünüp kodlar arka planda çalışmaya devam ediyorsa, bildirim yalnızca görüntüden ibaret kalır.

Açık rıza: ne zaman gerekir?

Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onaydır. Her veri işleme faaliyeti açık rızaya dayanmak zorunda değildir; kanunda sayılan başka hukuki sebepler de vardır. Ancak zorunlu olmayan çerezler, pazarlama amaçlı iletişim ve bazı takip faaliyetleri genellikle açık rıza gerektiren alanlar arasında değerlendirilir.

• Rıza kutucuğu önceden işaretli olmamalıdır.
• Aydınlatma metni ile açık rıza metni birbirine karıştırılmamalıdır.
• Rıza vermeyen kişinin temel hizmetten yararlanması gereksiz yere engellenmemelidir.
• Rızanın ne zaman ve nasıl alındığı kayıt altında tutulmalıdır.

Sağlık verisi işleyen siteler

Klinik, muayenehane ve tele-sağlık siteleri, formlarda şikâyet ya da tedavi bilgisi topladığında özel nitelikli kişisel veri işleyebilir. Bu veriler için kanun daha sıkı koruma öngörür; bu yüzden sağlık sektöründeki siteler hem form tasarımında hem de veri saklama tarafında ekstra özen göstermelidir. Formda gerçekten gerekmeyen sağlık bilgisini istememek, en basit ve etkili önlemlerden biridir.

Teknik güvenlik önlemleri

Uyum yalnızca metinlerden ibaret değildir; toplanan verinin korunması da yükümlülüklerin parçasıdır.

1. SSL sertifikası: Formlardan gönderilen verinin şifreli iletilmesi için sitenin HTTPS ile çalışması gerekir.
2. Güncel yazılım: WordPress, eklentiler ve sunucu yazılımları düzenli güncellenmelidir.
3. Yetki yönetimi: Yönetim paneline ve form kayıtlarına yalnızca gerekli kişiler erişmelidir.
4. Veri saklama süresi: Form kayıtları gereğinden uzun süre tutulmamalı, belirli aralıklarla temizlenmelidir.
5. Yedekleme ve kayıt: Yedeklerin de aynı özenle korunması unutulmamalıdır.

Ziyaretçi takibi ve KVKK uyumu

Ziyaretçi davranışını ölçmek, pazarlama kararları için değerlidir ama kişisel veri boyutu göz ardı edilmemelidir. Geliştirdiğim ziyaretçi takip CRM’i bu nedenle aydınlatma metni ve açık rıza adımlarıyla, KVKK’ya uygun biçimde kurulur. Ölçümün işletmenize sağladığı faydaları web sitesi ziyaretçi takibi yazısında ayrıca anlattım.

KVKK uyumlu web sitesi için kontrol listesi

• Sitede işlenen verilerin listesi çıkarıldı mı?
• Siteye özel, güncel bir aydınlatma metni var mı?
• Formların yanında aydınlatma metnine bağlantı bulunuyor mu?
• Çerez bandı reddetme ve tercih değiştirme imkânı sunuyor mu?
• Zorunlu olmayan kodlar onay alınmadan yüklenmiyor mu?
• Site HTTPS ile çalışıyor ve yazılımlar güncel mi?
• Form kayıtlarının saklama süresi belirlendi mi?

Sık sorulan sorular

Küçük bir işletme sitesi için de KVKK geçerli mi?

Evet. Sitenizde form, analitik ya da reklam araçları aracılığıyla kişisel veri işliyorsanız işletmenizin büyüklüğünden bağımsız olarak temel yükümlülükler gündeme gelir. VERBİS kaydı gibi bazı yükümlülükler ise belirli kriterlere bağlıdır.

Hazır bir aydınlatma metni kullanabilir miyim?

Hazır metinler fikir verebilir ama sitenizin gerçekte hangi verileri hangi araçlarla işlediğini yansıtmıyorsa yetersiz kalır. Metnin sitenize göre uyarlanması ve bir uzman tarafından gözden geçirilmesi önerilir.

Çerez bandı koymak tek başına yeterli mi?

Hayır. Bandın reddetme seçeneği sunması ve onay verilmeden zorunlu olmayan çerezlerin çalışmaması gerekir. Ayrıca aydınlatma metni ve veri güvenliği gibi diğer başlıklar da ele alınmalıdır.

KVKK uyumlu web sitesi için kime başvurmalıyım?

Metinlerin hukuki içeriği için bir hukuk uzmanından, teknik kurulum için ise web geliştiricinizden destek almanız en sağlıklı yoldur. İki tarafın birlikte çalışması, metin ile sitenin gerçek işleyişinin örtüşmesini sağlar.

Sonuç

KVKK uyumlu web sitesi; doğru bilgilendirme, gerçek bir tercih imkânı ve güvenli bir teknik altyapının birleşimidir ve bir kez yapılıp bırakılan değil, site değiştikçe güncellenen bir süreçtir. Sitenizin teknik tarafını birlikte gözden geçirmek isterseniz benimle iletişime geçebilirsiniz.