KVKK, Kişisel Verilerin Korunması Kanunu’nun kısaltmasıdır. Bir web sitesi ziyaretçisinden ad, e-posta, telefon, IP adresi ya da çerez bilgisi aldığında bu kanunun kapsamına girer. Çoğu işletme için bu konu sitenin yayına alınmasından sonra akla gelir; oysa form ve çerez kurulumu baştan doğru yapıldığında sonradan düzeltmek çok daha kolaydır.
Bu yazı web sitesi tarafında hangi parçaların bulunması gerektiğini, aydınlatma metni, çerez bandı ve form onayının nasıl ayrı ayrı kurulacağını anlatıyor. Hukuki bir danışmanlık değildir. Mevzuatın güncel metni ve Kurul kararları için Kişisel Verileri Koruma Kurumu’nun resmî sitesine bakmak her zaman gereklidir.
KVKK web sitesinde ne anlama gelir
KVKK, kişisel verilerin hangi amaçla ve hangi koşullarda işlenebileceğini düzenler. Web sitesi açısından bu, ziyaretçinin hangi verisinin toplandığını bilmesi, bu verinin neden işlendiğini öğrenmesi ve gerektiğinde izin verip geri alabilmesi anlamına gelir.
Kişisel veri kavramı geniştir. Bir adın yanındaki e-posta adresi de, ziyaretçinin cihazından gelen bir IP adresi de bu kapsama girebilir. Bu yüzden “sitemizde kişisel veri yok” düşüncesi, çoğu sitede kontrol edildiğinde yanlış çıkar.
Bunun için sitede genellikle üç ayrı yapı bulunur: formların yanındaki aydınlatma metni, sitenin ilk girişinde çıkan çerez bildirimi ve gerektiğinde alınan ayrı açık rıza. Bu üçü birbirinin yerine geçmez; her biri farklı bir işi görür.
Önce hangi veriyi topladığınızı listeleyin
Metni yazmadan önce sitenizin tam olarak ne topladığını bir tabloya dökmek, en çok zaman kazandıran adımdır. Aşağıdaki tablo tipik bir kurumsal site için bir örnek sunuyor.
| Veri kaynağı | Toplanan veri | Amaç |
|---|---|---|
| İletişim formu | Ad, e-posta, telefon, mesaj | Talebe cevap vermek |
| Çerezler | Oturum ve tercih bilgisi | Sitenin doğru çalışması |
| Analitik araç | Sayfa ziyareti, cihaz bilgisi | Sitenin performansını ölçmek |
| Sohbet ya da randevu aracı | Ad, telefon, konuşma kaydı | Randevu ve talep yönetimi |
Bu listede olmayan bir veri akışı varsa, metinler eksik kalır. Örneğin formdan gelen veriyi bir CRM’e aktarıyorsanız, bunu aydınlatma metninde de yazmanız gerekir. Bu konuda sürecin nasıl kurulduğuna dair CRM nedir? yazısı ayrıntı verir.
Listeyi çıkarırken sitede gerçekten çalışan her şeyi kontrol edin. Tarayıcının geliştirici araçlarında sayfa yüklenirken hangi çerezlerin yazıldığına bakmak, tasarım ya da yazılım tarafının bildirmediği araçları ortaya çıkarabilir. Sonradan eklenen küçük parçalar, en çok bu listede eksik kalır.
Aydınlatma metni nasıl hazırlanır
Aydınlatma metni, ziyaretçiye verisinin nasıl işlendiğini sade bir dille anlatan metindir. İçinde genellikle şu başlıklar bulunmalıdır:
- Veri sorumlusunun kim olduğu ve iletişim bilgisi
- Hangi kişisel verilerin toplandığı
- Her verinin hangi amaçla işlendiği
- Verinin kime ve neden aktarılabileceği
- Toplama yönteminin ve hukuki sebebin ne olduğu
- Kişinin haklarına nasıl başvurabileceği
Metni hazırlarken gereksiz hukuk diline kaçmayın. Okuyan kişi, formu doldurmadan önce metni anlayabilmelidir. Metnin formun hemen yanında, tıklanabilir bir bağlantıyla ya da formun üstünde görünür biçimde sunulması, bu okunabilirliğin pratik karşılığıdır.
Metin uzun olabilir, ama her başlığın altında bir ya da iki kısa cümle yeterlidir. Bir başlık için hiçbir şey yazılamıyorsa, bu genellikle o verinin gerçekte işlenmediği ya da listenin eksik olduğu anlamına gelir.
Form onayı: aydınlatma ile açık rızayı ayırın
En sık yapılan hata, aydınlatma metnini ve açık rıza onayını tek bir kutuda karıştırmaktır. Bunlar farklı şeylerdir. Aydınlatma, bilgilendirmenin yapıldığını gösterir. Açık rıza ise belirli bir işleme için kişinin özgür iradesiyle verdiği izindir.
Pratik kural şu: talep için verilen iletişim formunda aydınlatma metni yeterli olabilir. Ama ziyaretçiye pazarlama mesajı göndermek ya da bülten kaydı yapmak gibi ek bir işleme başlanacaksa, bunun için ayrı bir onay kutusu gerekir. Bu kutu önceden işaretli gelmemeli ve formun gönderilmesi için zorunlu tutulmamalıdır.
Ticari elektronik ileti gönderimi için ayrı bir izin mantığı da vardır. Bu konuda İleti Yönetim Sistemi ve ilgili mevzuat ayrıca kontrol edilmelidir.
Çerez bandı: tercih gerçekten bir seçim olmalı
Çerez bandı, sitenin ilk açılışında kullanıcıya hangi çerezlerin kullanıldığını ve bunlara nasıl karar verebileceğini gösterir. İyi bir bant, zorunlu çerezleri analitik ve pazarlama çerezlerinden ayırır. Her kategori için kısa bir açıklama ve bir kapatma ya da açma seçeneği bulunur.
Kabul et ve reddet düğmeleri aynı görünürlükte olmalıdır. Reddet seçeneği küçük bir bağlantının arkasına gizlenmişse, verilen onay gerçek bir tercih sayılmaz. Onaydan önce yalnızca zorunlu çerezlerin çalışması, kurulumun en güvenli hâlidir. Bant sayfanın içeriğini tamamen kapatmamalıdır; ziyaretçi bandı kapatmadan da siteyi görebilmeli, yalnızca tercihini belirtmesi istenmelidir. Bandın mobil ekranda düzgün göründüğünü ve kapatma düğmesinin parmakla rahat basılabildiğini ayrıca test edin.
Kullanıcının tercihini sonradan değiştirebilmesi de önemlidir. Sitenin alt kısmında ya da bir ayar menüsünde çerez tercihine dönen bir bağlantı bulunmalıdır. Bu bağlantı gerçekten çalışıyor mu, kurulumdan sonra bir kez kendiniz deneyin.
Analitik ve üçüncü taraf araçları
Ziyaretçi verisi toplayan her üçüncü taraf araç, bildirimde adıyla ve amacıyla yer almalıdır. Sohbet kutusu, harita, video gömme ya da reklam pikseli de bu kapsama girer. Bu araçlar onay alınmadan çalışıyorsa, bant ne kadar iyi yazılmış olursa olsun tutarsızlık oluşur.
Araçların veri işleme koşulları sağlayıcının kendi dokümanında yazılıdır. Bu metinleri bir kez okuyup aydınlatma metninizle çelişmediğinden emin olun. Özellikle verinin yurt dışına aktarılıp aktarılmadığı, aydınlatma metninde açıkça belirtilmelidir.
Bir diğer pratik nokta, araç ayarlarındaki veri saklama süresi ve IP adresinin kısaltılması ya da anonimleştirilmesi gibi seçeneklerdir. Bunlar varsa, nasıl yapılandırıldığını kaydedin ve aydınlatma metnindeki ifadeyle uyumlu olduğundan emin olun.
Sık yapılan hatalar
- Aydınlatma metni hiç yok ya da sadece ana sayfada var, formların yanında yok
- Onay kutusu önceden işaretli geliyor
- Çerez bandında “reddet” seçeneği yok ya da gizlenmiş
- Analitik araç onay beklemeden çalışmaya başlıyor
- Sitede kullanılan araçlar metinde hiç anılmıyor
- Metin yazılmış ama sitenin hangi bölümüne bağlandığı unutulmuş
Kendi yapabileceğiniz ve uzmana bırakmanız gerekenler
Veri listesini çıkarmak, aydınlatma metnini taslak olarak yazmak ve çerez bandının görünüşünü seçmek kendi başınıza yapabileceğiniz işlerdir. Metinleri yayına almadan önce, verinizin gerçekten nereye gittiğini bir kez kontrol etmek yeterli bir başlangıçtır. Metinleri her değiştirdiğinizde eski sürümünü saklayın; bir başvuru ya da şikâyet olduğunda, ziyaretçinin o tarihte hangi metni gördüğünü gösterebilmek işinizi kolaylaştırır.
Metnin hukuki açıdan doğru olup olmadığı, veri aktarımı, saklama süreleri ve başvuru süreci gibi konular ise hukuki bir danışmanın işidir. Teknik kurulumda da çerezlerin onay olmadan çalışmadığını test etmek, bir geliştiricinin yapması gereken iştir. Sitenin bu parçalarıyla birlikte baştan planlanması gerekiyorsa kurumsal web sitesi ve web tasarım sayfalarımıza bakabilirsiniz. Sitenin baştan nasıl planlanacağı için de web sitesi yaptırmadan önce yazısı işinize yarar.
Kontrol listesi
- Sitede toplanan tüm veri kaynakları bir listede yazılı mı?
- Aydınlatma metni formların yanında görünür mü?
- Pazarlama için ayrı bir onay kutusu varsa önceden işaretli değil mi?
- Çerez bandında kabul ve reddet seçenekleri eşit görünürlükte mi?
- Analitik ve üçüncü taraf araçları onaydan önce çalışmıyor mu?
- Kullanıcının çerez tercihini sonradan değiştirebildiği test edildi mi?
- Metinler Kurum’un resmî kaynağındaki güncel mevzuatla karşılaştırıldı mı?
KVKK uyumu bir kez yapılıp kapatılan bir iş değildir. Sitede yeni bir form, yeni bir araç ya da yeni bir veri akışı eklendiğinde metinlerin de güncellenmesi gerekir. Bu alışkanlık, siteyi zaman içinde temiz tutmanın en basit yoludur.
