Bir iletişim formu, bülten aboneliği ya da analitik aracı kullanan neredeyse her web sitesi kişisel veri işler. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu verilerin hangi amaçla ve hangi hukuki sebebe dayanarak işlendiğinin ziyaretçiye açıkça anlatılmasını ve verilerin güvenli şekilde korunmasını şart koşar. Bu rehber, web sitesi tarafında dikkat edilmesi gereken teknik ve tasarımsal noktaları özetler; hukuki danışmanlığın yerini tutmaz.
Hangi metinler gerekli?
- Aydınlatma metni: Hangi verilerin, hangi amaçla ve hangi hukuki sebeple işlendiğini, kimlere aktarılabileceğini ve ilgili kişinin haklarını anlatır. Veri toplanan her noktadan erişilebilir olmalıdır.
- Açık rıza metni: Yalnızca açık rızaya dayanan işlemeler için gerekir; aydınlatma metninden ayrı tutulmalı ve kullanıcı tarafından özgürce verilebilmelidir.
- Çerez politikası: Sitede kullanılan çerezlerin türlerini, amaçlarını ve sürelerini açıklar.
- Gizlilik politikası: Sitenin genel veri işleme yaklaşımını ve güvenlik tedbirlerini özetler.
Çerez onayı nasıl kurgulanmalı?
Kişisel Verileri Koruma Kurumu'nun çerez uygulamalarına ilişkin rehberi, zorunlu çerezler dışındaki çerezlerin kullanıcının onayı alınmadan çalıştırılmamasını öngörür. Teknik olarak bunun anlamı şudur:
- Analitik ve pazarlama çerezleri, kullanıcı onay verene kadar yüklenmemelidir.
- Onay bannerında "Kabul et" kadar görünür bir "Reddet" seçeneği bulunmalıdır.
- Önceden işaretlenmiş onay kutuları kullanılmamalıdır.
- Kullanıcı tercihini sonradan kolayca değiştirebilmelidir; sitenin alt bilgisinde bir "Çerez tercihleri" bağlantısı bunun için yaygın bir çözümdür.
- Google Analytics, reklam pikselleri ve sosyal medya eklentileri onay yönetimiyle birlikte çalışacak şekilde kurulmalıdır.
Formlarda dikkat edilmesi gerekenler
- Yalnızca gerçekten ihtiyaç duyduğunuz verileri isteyin (veri minimizasyonu).
- Formun yanında aydınlatma metnine açık bir bağlantı verin.
- Pazarlama iletişimi göndermek istiyorsanız bunun için ayrı ve isteğe bağlı bir onay alın; ticari elektronik iletiler ayrıca kendi mevzuatına tabidir.
- Form verilerini şifreli bağlantı (HTTPS) üzerinden iletin ve yetkisiz erişime karşı koruyun.
- Verilerin ne kadar süre saklanacağını belirleyin ve süresi dolan kayıtları silin ya da anonimleştirin.
Sağlık ve özel nitelikli veriler
Sağlık, biyometrik veri, din veya sendika üyeliği gibi bilgiler özel nitelikli kişisel veridir ve daha sıkı kurallara tabidir. Klinikler, sigorta şirketleri ve benzeri kurumların sitelerinde bu verilerin form aracılığıyla toplanması gerekiyorsa erişim yetkileri, şifreleme ve kayıt tutma gibi ek teknik tedbirler planlanmalıdır.
Yurt dışındaki hizmetler
Barındırma, e-posta, analitik veya yapay zekâ hizmetleri yurt dışında bulunan sağlayıcılar üzerinden çalışıyorsa bu durum kişisel verilerin yurt dışına aktarılması anlamına gelebilir. Yurt dışına aktarım kuralları 2024 yılında yapılan değişiklikle yeniden düzenlendi. Hangi sağlayıcıyı hangi amaçla kullandığınızın bir envanterini çıkarmak ve aktarımın dayanağını hukuk danışmanınızla birlikte belirlemek en sağlıklı yoldur.
Teknik güvenlik tedbirleri
- Tüm sitede HTTPS ve güncel güvenlik başlıkları
- Yönetim paneline rol bazlı erişim ve güçlü kimlik doğrulama
- Form ve veritabanı erişimlerinin kayıt altına alınması
- Düzenli, şifreli ve geri yüklenmesi test edilmiş yedekler
- Kullanılmayan eklenti ve hesapların kaldırılması
Sonuç
KVKK uyumu yalnızca bir metin eklemekle sağlanmaz; veri toplanan her noktanın, çerezlerin ve teknik altyapının birlikte ele alınması gerekir. Projelerimizde aydınlatma metinlerinin yerleşimini, çerez onay yönetimini ve teknik güvenlik tedbirlerini baştan planlıyor, metinlerin hukuki kontrolünü ise avukatınızla birlikte yapmanızı öneriyoruz.
