Siteniz yayına girdiği an, çoğu işletme sahibinin hiç düşünmediği bir yük de omzunuza biniyor: ziyaretçilerinizin kişisel verilerini korumak. İletişim formuna yazılan ad ve telefon, bültene kayıt için verilen e-posta, üyelik bilgileri, hatta sitenizi açan kişinin IP adresi ve çerezlerin biriktirdiği davranış kayıtları. Bunların tamamı 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) için "kişisel veri" sayılıyor ve bu verileri toplayan herkesi kanun karşısında sorumlu tutuyor.
KVKK'nın yalnızca büyük şirketleri, binlerce müşteri kaydı tutan e-ticaret devlerini ilgilendirdiği sanılıyor. Oysa işin doğrusu bunun tersi: tek bir iletişim formu barındıran küçük bir kurumsal site bile kanun gözünde "veri sorumlusu" sayılıyor. Aydınlatma metninden çerez onayına, veri güvenliğinden VERBİS'e kadar bir site sahibinin taşıdığı yükümlülükler aslında birbirine bağlı; aşağıda bunları tek tek, sonunda da uygulayabileceğiniz bir kontrol listesiyle topluyoruz.
Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye niteliği taşımaz. İşletmenizin özel durumu için bir hukuk danışmanından veya avukatınızdan görüş almanız en sağlıklı yoldur.
KVKK Bir Web Sitesini Neden İlgilendirir?
KVKK, kişisel verilerin işlenmesini düzenleyen temel kanun ve kapsamı sanıldığından geniş. Kanun, bir gerçek kişiyi belirli ya da belirlenebilir kılan her türlü bilgiyi kişisel veri sayıyor. Ad, soyad, telefon, e-posta, T.C. kimlik numarası bunların en bilineni; ama IP adresi, konum, çerez üzerinden toplanan davranış kayıtları ve bir kişinin fotoğrafı da aynı kapsamın içinde.
Veriyi toplayan, kaydeden, saklayan ya da başka bir biçimde işleyen tarafa "veri sorumlusu" deniyor. Web sitesi sahibi olarak siz, ziyaretçilerinizden aldığınız her bilgi için bu sıfatı taşıyorsunuz — sitenizin büyüklüğü bunu değiştirmiyor. Kanunun tam metnine ve güncel kurul kararlarına Kişisel Verileri Koruma Kurumu'nun sitesinden ulaşabilirsiniz.
Hangi Siteler KVKK Kapsamındadır?
Kısa cevap: kişisel veri toplayan her site. Uygulamada şu durumlardan biri bile sizi kapsama alıyor. Bir iletişim formu üzerinden ad, e-posta veya telefon alıyorsanız; bülten listesi için adres topluyorsanız; üyelik ya da müşteri hesabı açıyorsanız; çevrimiçi satış yapıp fatura veya teslimat bilgisi istiyorsanız; analitik ya da reklam çerezleriyle ziyaretçi davranışını izliyorsanız; canlı destek, yorum veya başvuru alanı sunuyorsanız kapsamdasınız.
Yalnızca hiçbir veri toplamayan statik bir tanıtım sayfanız varsa yükümlülükleriniz sınırlı kalıyor. Ama elini vicdanına koyan bilir: bugün neredeyse her ticari site en azından bir iletişim formu taşıyor. Online satış da yapıyorsanız yükümlülükler ETBİS kaydından mesafeli satış sözleşmesine kadar genişliyor; o tarafı e-ticaret sitesi nasıl kurulur yazımızda topladık.
Aydınlatma Metni Nedir ve Neden Zorunludur?
Kanunun getirdiği en temel yükümlülüklerden biri aydınlatma yükümlülüğü. KVKK, kişisel veri toplanırken kişinin bu konuda bilgilendirilmesini şart koşuyor. Yani ziyaretçi, verisini vermeden önce kim olduğunuzu, bu veriyi neden topladığınızı ve ne yapacağınızı bilmeli.
Aydınlatma metni bu bilgilendirmenin yazılı hali. Genellikle veri sorumlusunun kimliğini (firma unvanı ve iletişim bilgileri), kişisel verilerin hangi amaçlarla işlendiğini, kimlere ve hangi amaçla aktarılabileceğini, toplanma yöntemi ile hukuki sebebini ve ilgili kişinin kanundan doğan haklarını içermeli.
Bu metni, sitenizde herkesin kolayca ulaşabileceği bir yerde yayınlamanız gerekiyor; form doldurulan sayfalarda metne bir bağlantı vermek de iyi bir alışkanlık. Geo Yazılım olarak teslim ettiğimiz sitelerde KVKK aydınlatma metni ve yasal sayfa altyapısını baştan dahil ediyoruz. Nedeni basit: uyum, sonradan yamanacak bir parça değil, kuruluşun bir parçası olmalı.
Aydınlatma ile Açık Rıza Aynı Şey midir?
Hayır, ama ikisi sürekli karıştırılıyor. Aydınlatma, kişiyi bilgilendirmek ve neredeyse her veri işleme faaliyetinde gerekiyor. Açık rıza ise kişinin "evet, bu işlemeye onay veriyorum" demesi ve yalnızca belirli durumlarda aranıyor.
Kanun bazı işleme hallerini açık rıza olmadan da mümkün kılıyor; örneğin bir sözleşmenin kurulması için zorunluysa ya da kanunen gerekliyse. Ama pazarlama e-postası göndermek, davranışsal reklam yapmak gibi durumlarda açık rıza şart. Geçerli bir rızanın üç şartı var: belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle verilmeli. Önceden işaretlenmiş onay kutuları ya da "kabul etmezsen siteyi kullanamazsın" tarzı dayatmalar rıza sayılmaz.
Çerez Bildirimi ve Onay Bandı Nasıl Olmalı?
Çerezler, ziyaretçinin tarayıcısına kaydedilen küçük dosyalar ve birçoğu kişisel veri taşıyor. Bu yüzden çerez kullanımı doğrudan KVKK kapsamında. Düzenleyici otorite konuya ilişkin ayrı bir rehber de yayınladı; özü şu: zorunlu olmayan çerezler için ziyaretçiden onay almanız gerekiyor.
Çerezleri birkaç gruba ayırmak uyumu kolaylaştırıyor:
| Çerez Türü | Örnek İşlev | Onay Gerekir mi? |
|---|---|---|
| Zorunlu çerezler | Oturum açma, sepet, güvenlik | Hayır (sitenin çalışması için şart) |
| Tercih/işlevsel çerezler | Dil, bölge, görünüm ayarları | Genellikle evet |
| Analitik çerezler | Ziyaretçi davranışını ölçme | Evet |
| Pazarlama/reklam çerezleri | Davranışsal reklam, izleme | Evet (açık rıza) |
Onay Bandı Hangi Özellikleri Taşımalı?
Doğru kurulmuş bir çerez onay bandı, ziyaretçiye gerçekten seçim şansı verir. Site açılır açılmaz görünen anlaşılır bir bilgilendirme, zorunlu çerezler dışındakilerin varsayılan olarak kapalı gelmesi, "Tümünü kabul et" kadar görünür bir "reddet" ya da "yalnızca zorunlu" seçeneği, kategorileri tek tek açıp kapatabilme, bir çerez politikası sayfasına bağlantı ve verilen onayın sonradan geri alınabilmesi — iyi bir bandın taşıdığı şeyler bunlar.
"Bu site çerez kullanır, devam ederek kabul etmiş olursunuz" yazan ve reddetme imkânı tanımayan bantların devri geçti. Onay, ziyaretçinin aktif bir tercihiyle alınmalı.
Veri Güvenliği İçin Hangi Önlemler Alınmalı?
KVKK, veri sorumlusuna verileri korumak için "her türlü teknik ve idari tedbiri" alma yükümlülüğü getiriyor. Bu bir formalite değil; güvenliğin sağlanmaması, ihlal yaşansa da yaşanmasa da tek başına yaptırım sebebi. Web sitesi tarafında alınabilecek temel önlemler şunlar:
- SSL sertifikası ile sitenin tamamının şifreli (HTTPS) sunulması.
- Yönetim paneline güçlü parola ve mümkünse iki adımlı doğrulama ile erişim.
- Yazılım, eklenti ve sunucu altyapısının güncel tutulması.
- Verilere yalnızca gerekli kişilerin erişebilmesi.
- Düzenli yedekleme ve yedeklerin de korunması.
- Toplanan verinin amaçla sınırlı tutulması, gereksiz veri istenmemesi.
İdari tedbirler ise çalışan farkındalığını, gizlilik taahhütlerini ve veri işleyenlerle — örneğin barındırma hizmeti aldığınız taraflarla — yapılan yazılı sözleşmeleri kapsıyor. Teknik önlemler altyapıyı tutar, idari önlemler insan kaynaklı riski azaltır; biri olmadan diğeri eksik kalıyor.
VERBİS Kaydı Sizin İçin Gerekli mi?
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), belirli veri sorumlularının kaydolmak zorunda olduğu resmî bir sicil. Kayıt yükümlülüğü herkese düşmüyor; çalışan sayısı ve mali büyüklük gibi eşiklerin altında kalan birçok küçük işletme muaf tutulmuş durumda.
Muafiyet kriterleri ve eşikler zaman zaman güncellendiği için, yükümlülüğünüz olup olmadığını net öğrenmek üzere düzenleyici otoritenin güncel duyurularına bakmanız gerekiyor. Kaydı yapacaksanız işlem VERBİS sistemi üzerinden yürüyor. Genel çerçeve şöyle:
- Belirli çalışan sayısı ve yıllık mali bilanço eşiğinin altındaki işletmeler çoğu durumda muaf olabilir.
- Ana faaliyeti özel nitelikli kişisel veri (sağlık, biyometrik veri vb.) işlemek olanlar, eşiğin altında olsa da kayıt yükümlüsü olabilir.
- Eşiklerin üzerindeki işletmelerin kaydolması gerekir.
Muaf olmanız diğer yükümlülüklerinizi silmiyor. VERBİS'e kayıt zorunluluğunuz olmasa bile aydınlatma, açık rıza, çerez onayı ve veri güvenliği sorumluluklarınız yerinde duruyor.
İhlal Durumunda Riskler ve Cezalar Nelerdir?
Veri ihlali, kişisel verilerin yetkisiz kişilerin eline geçmesi, kaybolması ya da hukuka aykırı ifşası demek; sızdırılan bir veri tabanı bunun en bilinen örneği. KVKK böyle bir durumda veri sorumlusundan en kısa sürede ilgili kuruma ve etkilenen kişilere bildirimde bulunmasını istiyor. Uygulamada bu, ihlali öğrendiğiniz andan itibaren 72 saatlik dar bir pencereyi işaret ediyor.
Yükümlülüklerin ihlali idari para cezalarına bağlanmış. Aydınlatmaya aykırılık, güvenlik tedbirlerinin alınmaması, sicile kayıt yükümlülüğünün yerine getirilmemesi ve kurul kararlarına uyulmaması ayrı ayrı ceza sebebi. Tutarlar her yıl yeniden değerleme oranıyla güncelleniyor ve ihlalin niteliğine göre on binlerce liradan milyonlarca liraya kadar çıkabiliyor.
Cezadan daha sessiz ama belki daha kalıcı bir risk de var: itibar. Verilerinin korunmadığını öğrenen bir müşteri çoğu zaman geri gelmez. Bu yüzden KVKK uyumunu ceza kaçınma çabası olarak değil, müşterinize verdiğiniz güveni koruma yatırımı olarak görmekte fayda var.
Pratik KVKK Uyum Kontrol Listesi
Aşağıdaki liste bir web sitesinin temel uyum adımlarını özetliyor. Hepsini tamamlamanız sizi tüm risklerden sıyırmaz ama sağlam bir zemin kurar.
- Sitenizin tamamı SSL ile HTTPS üzerinden sunuluyor.
- Erişilebilir bir aydınlatma metni yayında.
- Açık rıza gereken yerlerde (pazarlama, izleme) ayrı ve özgür onay alınıyor.
- Çerez onay bandı, zorunlu olmayan çerezleri varsayılan kapalı tutuyor ve reddetme imkânı sunuyor.
- Bir çerez politikası sayfası mevcut.
- Formlarda yalnızca gerekli veriler isteniyor (veri minimizasyonu).
- Yönetim erişimi güçlü parola ve mümkünse iki adımlı doğrulama ile korunuyor.
- Yazılım ve altyapı güncel, düzenli yedekleme yapılıyor.
- VERBİS kayıt yükümlülüğünüz olup olmadığı değerlendirildi.
- Bir veri ihlali durumunda izlenecek adımlar belirlendi.
Sıkça Sorulan Sorular
Sadece iletişim formu olan küçük bir sitenin KVKK yükümlülüğü var mı?
Var. İletişim formu üzerinden ad, e-posta veya telefon topluyorsanız kişisel veri işliyorsunuz demektir ve bu sizi veri sorumlusu yapar. O zaman en azından bir aydınlatma metni yayınlamanız, formda gerekli onayları almanız ve verileri güvenli saklamanız gerekir. Sitenin küçük olması yükümlülüğü ortadan kaldırmaz, olsa olsa kapsamını daraltır.
Çerez onay bandı koymazsam ne olur?
Zorunlu olmayan çerezleri — özellikle analitik ve reklam çerezlerini — onay almadan çalıştırmak, çerez ve açık rıza kurallarına aykırılık oluşturabilir. Bu da hem şikâyet hem denetim halinde yaptırım riski demek. Reddetme imkânı sunan, düzgün kurgulanmış bir bant ise hem uyumu sağlar hem ziyaretçiye saygının işareti olur.
Aydınlatma metnini internetten kopyalayabilir miyim?
Önermeyiz. Aydınlatma metni, sizin firmanızın gerçek veri işleme faaliyetlerini yansıtmalı: hangi veriyi, hangi amaçla topladığınızı ve nasıl kullandığınızı. Başka bir firmanın metni çoğu zaman sizin durumunuzla örtüşmez; metni geçersiz, hatta yanıltıcı hale getirebilir. Metin sizin süreçlerinize göre hazırlanmalı.
VERBİS'e kayıt olmak zorunda mıyım?
Çalışan sayınız ve mali büyüklüğünüz belirli eşiklerin altındaysa muaf olabilirsiniz; ancak ana faaliyetiniz özel nitelikli veri işlemekse eşik altında da olsanız kayıt gerekebilir. Eşikler güncellenebildiği için kesin durumunuzu düzenleyici otoritenin güncel açıklamalarına göre değerlendirmeniz gerekir. Muaf olsanız bile diğer KVKK yükümlülükleriniz sürer.
KVKK uyumu için bir defa düzenleme yapmak yeterli mi?
Yeterli değil. Uyum, tek seferlik bir işlem değil, süren bir durum. Yeni bir form eklediğinizde, yeni bir çerez kullanan araç kurduğunuzda ya da veri işleme amaçlarınız değiştiğinde metinlerinizi ve onay yapınızı güncellemeniz gerekir. Uyumu sitenizin yaşayan bir parçası gibi düşünün.
Son söz
KVKK uyumu, çoğu site sahibinin gözden kaçırdığı ama görmezden gelindiğinde faturası hem yasal hem ticari olarak ağırlaşan bir konu. Mantığı aslında yalın: ziyaretçinizden topladığınız veriyi neden ve nasıl kullandığınız konusunda şeffaf olmak, gereksiz veri toplamamak, aldığınız veriyi güvende tutmak ve kişiye seçim hakkı tanımak. Aydınlatma metni, çerez onayı, veri güvenliği ve gerekiyorsa VERBİS kaydı bu mantığın somut adımları.
İlk bakışta karmaşık görünüyor, biliyoruz. Ama doğru kurulmuş bir altyapıyla bunların çoğu sitenizin standart bir parçasına dönüşüyor. Mesele, uyumu sonradan eklenen bir yama değil, kuruluştan itibaren düşünülmüş bir bütün olarak ele almak.
Geo Yazılım olarak teslim ettiğimiz kurumsal web sitelerinde SSL, KVKK aydınlatma metni, çerez onayı ve yasal sayfa altyapısını standart olarak sağlıyor, her projeyi yazılı sözleşmeyle yürütüyoruz. Sitenizin uyum durumundan emin değilseniz mevcut yapıyı birlikte gözden geçirelim. Hizmetlerimizi inceleyebilir veya doğrudan bizimle iletişime geçebilirsiniz.
Etiketler
