KVKK Uyumlu Web Sitesi İçin Neler Gerekir, Pratik Kontrol Listesi

Web sitenizde bir iletişim formu, bülten kaydı, üyelik ya da sipariş ekranı varsa kişisel veri topluyorsunuz demektir. Ziyaretçi davranışını ölçen bir analiz aracı kullanıyorsanız bu da kişisel veri işleme sayılabilir. Bu noktada 6698 sayılı Kişisel Verilerin Korunması Kanunu, kısaca KVKK, sizin için de geçerlidir.

Bu yazı hukuki danışmanlık yerine geçmez. Amacı, bir işletme sahibinin web sitesinde KVKK açısından nelere bakması gerektiğini ve teknik tarafta neyin nasıl yapılacağını anlaşılır biçimde göstermek. Metinlerin hukuki içeriği için bir avukatla, teknik uygulama için yazılım ekibinizle çalışmanız en sağlıklısı.

Önce envanter: sitenizde hangi veriler dolaşıyor

KVKK uyumu, metin yazmakla değil, neyi topladığınızı bilmekle başlar. Aşağıdaki soruları sitenizin her sayfası için cevaplayın:

• Hangi formlar var ve her formda hangi alanlar isteniyor?
• Form verileri nereye gidiyor: e-postaya mı, veritabanına mı, bir CRM aracına mı?
• Hangi çerezler ve üçüncü taraf betikler yükleniyor? Analiz, reklam pikseli, canlı destek, harita, video gömme gibi.
• Sunucu kayıtlarında IP adresi tutuluyor mu, ne kadar süre?
• Veriler yurt dışındaki bir sunucuda ya da hizmette saklanıyor mu?
• Bu verilere şirket içinde kimler erişebiliyor?

Bu listeyi çıkarmadan yazılan aydınlatma metni çoğu zaman gerçeği yansıtmaz. Örneğin metinde "verileriniz yurt içinde saklanır" yazarken formun yurt dışında barındırılan bir e-posta servisine gitmesi sık karşılaşılan bir çelişkidir.

Aydınlatma metni

Aydınlatma yükümlülüğü, kişisel veri toplanırken kişiye bilgi vermektir. Bu bir onay değildir, kişiden bir şey istemez, sadece bilgilendirir. Kanun, aydınlatma metninde genel olarak şunların bulunmasını bekler:

• Veri sorumlusunun kimliği, yani işletmenizin unvanı ve iletişim bilgisi.
• Verilerin hangi amaçla işleneceği.
• Verilerin kimlere ve hangi amaçla aktarılabileceği.
• Verilerin toplanma yöntemi ve hukuki sebebi.
• Kişinin kanundan doğan hakları ve bu hakları nasıl kullanacağı.

Teknik tarafta nasıl uygulanır

Her formun hemen altında, gönder düğmesinden önce kısa bir bilgilendirme cümlesi ve aydınlatma metnine bağlantı bulunmalı. Metni sitenin altbilgisine koymak yetmez; veri toplandığı anda kişinin ulaşabileceği yerde olması gerekir. Farklı amaçlar için farklı formlarınız varsa (iletişim, iş başvurusu, sipariş) her biri için ayrı aydınlatma metni hazırlamak daha doğru olur. İş başvurusu formunda toplanan özgeçmiş verisi ile iletişim formundaki mesaj aynı amaçla işlenmez.

Açık rıza: ne zaman gerekir, ne zaman gerekmez

En çok karıştırılan konu budur. Birçok sitede her formun altında "KVKK metnini okudum, onaylıyorum" kutucuğu görülür. Bu yaklaşım iki açıdan sorunludur. Birincisi, aydınlatma metni onaylanacak bir şey değildir. İkincisi, açık rıza gerekmeyen bir işlem için rıza istemek, kişiye sanki reddetme hakkı varmış gibi yanlış bir izlenim verir.

Kanun, kişisel verilerin bazı durumlarda açık rıza aranmaksızın işlenebileceğini sayar. Sözleşmenin kurulması veya ifası için gerekli olması, kanuni yükümlülük, meşru menfaat gibi. Örneğin bir sipariş verildiğinde teslimat adresini işlemek siparişin ifası için gereklidir; bunun için ayrıca açık rıza istemek gerekmez.

Açık rızanın gerektiği tipik durumlar ise:

• Pazarlama amaçlı e-posta, SMS veya arama izni. Bu ayrıca ticari elektronik ileti mevzuatına da tabidir.
• Başka bir hukuki sebebin bulunmadığı durumlarda verinin üçüncü kişilerle paylaşılması.
• Özel nitelikli verilerin işlenmesinin belirli halleri (sağlık verisi gibi).

Açık rıza kutucuğu nasıl olmalı

1. Önceden işaretlenmiş olmamalı. Kullanıcı kendisi işaretlemeli.
2. Formun gönderilmesi rızaya bağlanmamalı. Pazarlama iznini vermeyen kişi de iletişim formunu gönderebilmeli.
3. Her amaç için ayrı kutucuk olmalı. "Pazarlama ve üçüncü kişilere aktarım" tek kutuda birleştirilmemeli.
4. Rızanın ne zaman, hangi metinle verildiği kayıt altına alınmalı. İleride ispat gerekirse bu kayıt işinize yarar.
5. Rızayı geri çekmek, vermek kadar kolay olmalı. E-postalarda abonelikten çıkış bağlantısı gibi.

Çerez bandı

Çerezler kabaca ikiye ayrılır. Sitenin çalışması için kesinlikle gerekli olanlar (oturum, sepet, güvenlik) ve bunların dışında kalanlar (analiz, kişiselleştirme, reklam). Kişisel Verileri Koruma Kurumu'nun çerezlere ilişkin yayımladığı rehber, zorunlu olmayan çerezler için kullanıcının onayının alınması gerektiği yönündedir.

İyi bir çerez bandında olması gerekenler

• Kabul et ve reddet seçenekleri eşit ağırlıkta. "Kabul et" büyük renkli düğme, "reddet" ise küçük gri bir yazı olarak gizlenmemeli.
• Kategori bazında seçim. Kullanıcı analiz çerezine izin verip reklam çerezini reddedebilmeli.
• Onaydan önce yükleme yok. En sık yapılan teknik hata budur. Bant ekranda dururken analiz ve reklam betikleri zaten çalışıyorsa bandın bir anlamı kalmaz.
• Tercihi değiştirme imkanı. Altbilgide "çerez tercihleri" bağlantısıyla kullanıcı kararını sonradan değiştirebilmeli.
• Çerez politikası. Hangi çerezin ne işe yaradığını, kimin çerezi olduğunu ve ne kadar süre kaldığını anlatan bir sayfa.

"Siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız" türü bantlar, açık ve özgür bir onay sayılmaz. Yeni bir sitede bu yaklaşımı kullanmayın, eski sitenizde varsa değiştirin.

Form verilerinin güvenliği

KVKK yalnızca metinlerle ilgili değildir. Veri sorumlusu, verinin hukuka aykırı erişime karşı korunması için gerekli teknik ve idari tedbirleri almakla yükümlüdür. Web sitesi açısından bunun karşılığı şunlardır:

• Sitenin tamamı SSL sertifikasıyla, yani HTTPS üzerinden çalışmalı.
• Form verileri e-postaya düz metin olarak gönderilip yıllarca gelen kutusunda bırakılmamalı.
• Veritabanında tutulan veriler için yönetim paneline erişim kısıtlı ve güçlü parolalı olmalı, mümkünse iki adımlı doğrulama kullanılmalı.
• Gereğinden fazla veri istenmemeli. İletişim formunda T.C. kimlik numarası istemenin bir gerekçesi yoksa o alan olmamalı.
• Verilerin saklama süresi belirlenmeli ve süresi dolan kayıtlar silinmeli veya anonimleştirilmeli.
• Yedekler de aynı özenle korunmalı. Herkesin erişebildiği bir klasörde duran veritabanı yedeği ciddi bir risktir.

Güvenlik tarafını daha ayrıntılı ele aldığımız küçük işletmeler için web sitesi güvenliği yazısı bu bölümün devamı gibi okunabilir.

İlgili kişi başvuruları

Kanun, kişilere verileri hakkında bilgi isteme, düzeltme, silme gibi haklar tanır. Sitenizde bu başvuruların nasıl yapılacağı açıkça yazmalı. Bir başvuru adresi, e-posta veya kayıtlı elektronik posta adresi belirtin ve bu kanala gelen talepleri takip edecek bir kişi atayın. Başvurulara kanunda öngörülen süre içinde cevap verilmesi gerekir; süreyi ve usulü Kurum'un güncel düzenlemelerinden kontrol edin.

Üçüncü taraf araçlar ve yurt dışı

Bulut tabanlı e-posta, form servisi, analiz aracı, canlı destek yazılımı gibi hizmetlerin önemli bir kısmının sunucuları yurt dışındadır. Yurt dışına veri aktarımı KVKK'da ayrıca düzenlenmiş bir konudur ve kurallar zaman içinde değişmiştir. Kullandığınız her araç için verinin nerede tutulduğunu öğrenin, aydınlatma metninde bunu doğru yansıtın ve hukuki dayanağı danışmanınızla birlikte belirleyin.

Kendi sunucunuzda çalışan bir form ve yönetim paneli, bu konuda kontrolü elinizde tutmanın bir yoludur. Hazır bir form servisi yerine sitenizin kendi altyapısında saklanan veriler, nereye gittiğini bildiğiniz verilerdir.

Özet kontrol listesi

Konu	Kontrol
Veri envanteri	Tüm formlar, çerezler ve üçüncü taraf betikler listelendi mi?
Aydınlatma metni	Her formun yanında, o formun amacına uygun metin var mı?
Açık rıza	Yalnızca gereken işlemler için, ayrı ve işaretsiz kutucuklarla mı alınıyor?
Çerez bandı	Onaydan önce zorunlu olmayan çerez yükleniyor mu?
Güvenlik	HTTPS, güçlü parola, erişim kısıtı, yedek koruması var mı?
Saklama süresi	Eski kayıtlar belirli aralıklarla siliniyor mu?
Başvuru kanalı	İlgili kişi başvuruları için açık bir yol ve sorumlu kişi var mı?
VERBİS	Kayıt yükümlülüğünüz güncel kriterlere göre kontrol edildi mi?

Yeni site yaptırırken baştan isteyin

KVKK gerekliliklerini sonradan eklemek, baştan planlamaktan her zaman daha zahmetlidir. Yeni bir site yaptırıyorsanız yazılım ekibine şu soruları sorun: Çerez bandı betikleri onaya göre mi yüklüyor? Form verileri nerede ve ne kadar süre saklanıyor? Açık rıza kayıtları tutuluyor mu? Yönetim panelinde iki adımlı doğrulama var mı? Site yaptırırken sorulacak diğer sorular için web sitesi yaptırırken dikkat edilmesi gerekenler yazımıza da göz atabilirsiniz.

HKASOFT olarak geliştirdiğimiz kurumsal web sitelerinde çerez onayı, form güvenliği ve veri saklama tarafını teknik olarak kuruyoruz; metinlerin hukuki içeriğini ise sizin danışmanınızla birlikte netleştiriyoruz. Mevcut sitenizin bu açıdan gözden geçirilmesini ya da yeni bir proje istiyorsanız Teklif Al sayfasından ihtiyacınızı yazabilirsiniz.

Sık sorulan sorular