Web sitesinde hangi veriler işlenir?
İletişim formu, üyelik, e-bülten, online satış, canlı destek ve çerezler aracılığıyla ad, e-posta, telefon, IP adresi, cihaz ve gezinti bilgileri toplanabilir. Bu veriler 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında kişisel veridir ve site sahibi çoğu durumda veri sorumlusudur.
Aydınlatma metni (KVKK m.10)
Aydınlatma yükümlülüğü, veri toplanırken ilgili kişiye bilgi verilmesidir. Onay veya imza alınması gerekmez; ancak bilginin verildiği ispatlanabilmelidir. Metinde en az şunlar bulunmalıdır:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği,
- Veri toplamanın yöntemi ve hukuki sebebi,
- İlgili kişinin KVKK m.11'de sayılan hakları.
Kurul'un Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'i de dikkate alınmalıdır. Bu Tebliğe göre metin anlaşılır ve sade olmalı, amaçlar genel ifadelerle ("ticari faaliyetler" gibi) geçiştirilmemelidir. Her işleme faaliyeti (form, üyelik, çerez) için ayrı bölümler veya ayrı metinler hazırlanabilir.
Aydınlatma ile açık rıza aynı metinde olmamalı
Kurul kararlarında aydınlatma metni ile açık rıza beyanının birbirinden ayrı tutulması gerektiği vurgulanır. "Okudum, onaylıyorum" şeklindeki tek kutucuk, hem aydınlatma hem rıza işlevi görecek şekilde kurgulanmamalıdır.
Açık rıza ne zaman gerekir?
Açık rıza, KVKK m.5/2'deki diğer hukuki sebepler (sözleşmenin ifası, kanuni yükümlülük, meşru menfaat vb.) bulunmadığında gündeme gelir. Örneğin sipariş teslimatı için adres işlemek sözleşmenin ifasıdır; ayrıca rıza istenmez. Ticari elektronik ileti (kampanya e-postası, SMS) göndermek için ise ayrıca 6563 sayılı Kanun kapsamında onay alınması gerekir.
Çerez politikası
Kişisel Verileri Koruma Kurumu'nun yayımladığı Çerez Uygulamaları Hakkında Rehber, çerezleri işlevlerine göre değerlendirir:
- Zorunlu çerezler: Oturum yönetimi, sepet, güvenlik gibi sitenin temel işlevi için gerekli olan çerezler. Bunlar için kural olarak açık rıza gerekmez; aydınlatma yapılması yeterlidir.
- Analiz/performans çerezleri: Ziyaretçi istatistiği tutan çerezler. Rehberde bunlar için kural olarak açık rıza aranacağı belirtilir.
- Pazarlama/hedefleme çerezleri: Reklam ve kullanıcı profilleme amaçlı çerezlerdir; açık rıza alınmalıdır.
Rehbere göre zorunlu olmayan çerezler, kullanıcı onay vermeden çalıştırılmamalıdır (opt-in). Önceden işaretlenmiş kutucuklar, "siteyi kullanmaya devam ederek kabul etmiş olursunuz" ifadeleri veya yalnızca "Kabul et" düğmesi sunulup reddetme seçeneğinin gizlenmesi uygun görülmez. "Kabul et" ve "Reddet" seçenekleri benzer kolaylıkta sunulmalı ve kullanıcı tercihini sonradan değiştirebilmelidir.
Yurt dışı aktarım
Analiz, reklam veya bulut hizmetlerinin çoğu yurt dışındaki sunuculara veri aktarır. KVKK m.9'da 2024 yılında yapılan değişiklikle yurt dışı aktarım için yeterlilik kararı, uygun güvenceler (ör. Kurul'un ilan ettiği standart sözleşmeler) ve istisnai durumlar düzenlenmiştir. Standart sözleşme kullanılması halinde Kurul'a bildirim yükümlülüğü bulunur. Kullandığınız hizmetlerin bu açıdan değerlendirilmesi gerekir.
Diğer yükümlülükler
- VERBİS: Kayıt yükümlülüğü, çalışan sayısı ve mali bilanço eşiğine ve faaliyet türüne göre değişir. Herkes kayıt yükümlüsü değildir.
- Başvuru kanalı: İlgili kişilerin m.11 haklarını kullanabilmesi için başvuru yöntemi gösterilmelidir; başvurular en geç 30 gün içinde cevaplanır (m.13).
- Veri güvenliği: SSL, erişim yetkileri, form verilerinin saklama süresi gibi teknik ve idari tedbirler alınmalıdır (m.12).
Aydınlatma yükümlülüğüne aykırılık için KVKK m.18'de idari para cezası öngörülmüştür; tutarlar yıllık yeniden değerlemeyle değişir.
Küçük işletmeler için sade yaklaşım
Her web sitesi aynı ölçüde karmaşık değildir. Yalnızca tanıtım amaçlı, iletişim formu bulunan bir esnaf sitesinde temel ihtiyaç; form için kısa bir aydınlatma metni, kullanılan çerezlerin listesi ve zorunlu olmayan çerezleri onaysız çalıştırmayan bir panelden ibaret olabilir. Hazır şablon metinler kullanılacaksa, metnin sitenin gerçek işleyişini yansıtıp yansıtmadığı mutlaka kontrol edilmelidir; başka bir siteden kopyalanmış, gerçekte yapılmayan aktarımları veya amaçları sayan metinler hem yanıltıcıdır hem de Kurul incelemesinde eksiklik olarak görülebilir. Site altyapısı (tema, eklenti, sohbet aracı, harita) değiştiğinde çerez listesi ve aydınlatma metni de güncellenmelidir. Form verilerinin ne kadar süre saklanacağı belirlenmeli, amaç ortadan kalktığında veriler silinmeli veya anonim hale getirilmelidir.
Pratik kontrol listesi
- Sitede hangi verilerin hangi kanaldan toplandığını listeleyin.
- Her işleme için amaç ve hukuki sebebi belirleyin.
- KVKK m.10'daki unsurları içeren sade bir aydınlatma metni yazın.
- Açık rıza gereken işlemler için ayrı ve isteğe bağlı onay alın.
- Sitede kullanılan çerezleri tespit edip sınıflandırın.
- Zorunlu olmayan çerezleri onay alınmadan çalıştırmayan bir çerez paneli kurun.
- Yurt dışına aktarım yapan hizmetleri değerlendirin.
- VERBİS yükümlülüğünü ve başvuru kanalını kontrol edin.
Sık sorulan sorular
Aydınlatma metni için kullanıcıdan onay almak gerekir mi?
Hayır. Aydınlatma tek taraflı bilgilendirmedir; onay gerekmez. Ancak bilgilendirmenin yapıldığını ispat edebilmek önemlidir.
Zorunlu çerezler için rıza gerekir mi?
Kurul rehberine göre sitenin çalışması için zorunlu çerezlerde kural olarak açık rıza gerekmez; aydınlatma yapılmalıdır.
Google Analytics gibi araçlar için ne yapılmalı?
Analiz çerezleri için rehber kural olarak açık rıza arar. Ayrıca bu araçlar yurt dışı aktarım içerdiğinden KVKK m.9 açısından da değerlendirilmelidir.
'Siteyi kullanmaya devam ederek çerezleri kabul edersiniz' yazmak yeterli mi?
Rehber bu tür örtülü kabulleri geçerli açık rıza olarak görmez. Kullanıcının aktif bir tercih yapması beklenir.