İletişim formu, teklif formu, üyelik, randevu ya da sipariş... Bunlardan biri olan her web sitesi kişisel veri işler. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) da bu verinin nasıl toplandığına, neden işlendiğine, nerede saklandığına ve ne zaman silindiğine dair yükümlülükler getirir.
Bu yazı hukuki danışmanlık değildir. Bir yazılım firması olarak sitelerde en sık gördüğümüz eksikleri ve bunları teknik olarak nasıl çözdüğümüzü anlatıyoruz. Metinlerinizin son hâlini bir hukukçuya kontrol ettirin.
Aydınlatma metni: her sitede gerekli
Kişisel veri toplayan her site, veriyi toplarken kişiyi bilgilendirmek zorundadır. Aydınlatma metninde en az şunlar yer almalıdır:
- Veri sorumlusunun kimliği ve iletişim bilgisi
- Hangi verilerin işlendiği
- İşleme amaçları
- Hukuki sebepler
- Verilerin kimlere, hangi amaçla aktarılabileceği
- Toplama yöntemi
- Kişinin KVKK'nın 11. maddesindeki hakları ve başvuru yolu
Metin, formun hemen yanından bağlantıyla ulaşılabilir olmalıdır. İnternetten kopyalanmış, başka bir şirketin adı geçen ya da sitenizin gerçekte yapmadığı işlemleri anlatan metinler sık görülen bir hatadır.
Aydınlatma ile açık rıza aynı şey değildir
Sık karıştırılan bir nokta: aydınlatma, kişiyi bilgilendirmektir ve her durumda gerekir. Açık rıza ise yalnız işleme başka bir hukuki sebebe dayanmıyorsa gerekir.
Örneğin teklif isteyen birinin telefon numarasını, ona dönüş yapmak için kullanmak sözleşmenin kurulmasıyla doğrudan ilgilidir; açık rızaya gerek yoktur, aydınlatma yeterlidir. Aynı numaraya kampanya mesajı göndermek ise ayrı bir amaçtır ve ayrıca onay gerektirir (ticari elektronik ileti mevzuatı da devreye girer).
Bu yüzden tek bir "her şeyi kabul ediyorum" kutusu yerine, amaçları ayıran kutular kullanılmalıdır. Hiçbiri önceden işaretli olmamalıdır.
Formlarda en çok yapılan hatalar
- Gereğinden fazla veri istemek. Teklif formunda T.C. kimlik numarası ya da doğum tarihi istemek gerekmez. Ne kadar az veri, o kadar az risk.
- Önceden işaretli onay kutuları.
- Verinin nereye gittiğinin bilinmemesi. Form verisi e-postaya mı, bir veritabanına mı, üçüncü taraf bir form servisine mi gidiyor?
- Hiç silinmeyen kayıtlar. Yıllar önce gelen form mesajları hâlâ duruyor mu?
- Şifresiz bağlantı. Sitede SSL yoksa form verisi açık metin olarak gider.
Kendi sitelerimizde iletişim formu verisi, sitenin kendi sunucusundaki veritabanında tutulur; kötüye kullanımı önlemek için ziyaretçinin IP adresinin kendisi değil, geri çevrilemeyen bir özeti saklanır. Aydınlatma metninde saklama süresi belirtilir.
Çerezler
Çerezler genel olarak ikiye ayrılır:
- Zorunlu çerezler: Oturum, sepet, güvenlik gibi sitenin çalışması için gerekenler. Açık rıza gerektirmez.
- Zorunlu olmayan çerezler: Analiz, reklam, ziyaretçi izleme, sosyal medya eklentileri. Kurulmadan önce açık rıza gerekir.
Kişisel Verileri Koruma Kurumu'nun çerez uygulamalarına ilişkin rehberine göre, zorunlu olmayan çerezler kullanıcı onay vermeden yüklenmemelidir; "reddet" seçeneği "kabul et" kadar kolay olmalıdır.
Bunun pratik bir sonucu var: Google Fonts gibi dış kaynaklardan yazı tipi çekmek, ziyaretçinin IP adresini üçüncü bir tarafa iletir. Biz yazı tiplerini ve görselleri sitenin kendi sunucusundan sunuyoruz; ziyaretçi izleyen bir araç kullanılmıyorsa çerez onay penceresine de gerek kalmıyor.
Verinin saklandığı yer
Sunucunun hangi ülkede olduğu, yurt dışına veri aktarımı açısından önemlidir. Kullandığınız barındırma, e-posta ve form servislerinin konumunu bilin ve aydınlatma metninde aktarımları doğru yansıtın.
VERBİS
Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yükümlülüğü, çalışan sayısı ve yıllık mali bilanço eşiklerine ve faaliyet alanına göre belirlenir; bazı veri sorumluları muaftır. Sağlık gibi özel nitelikli veri işleyenler için kurallar farklıdır. Güncel eşikleri Kurum'un duyurularından kontrol edin.
Kontrol listesi
- Aydınlatma metni gerçek işlemlerinizi anlatıyor ve formun yanında
- Onay kutuları amaçlara göre ayrılmış ve boş geliyor
- Formlar yalnız gerekli veriyi istiyor
- Site HTTPS ile çalışıyor
- Zorunlu olmayan çerezler onaydan önce yüklenmiyor
- Verinin nerede saklandığı ve ne zaman silineceği belli
- Başvurular için bir iletişim kanalı var
Sitenizin KVKK açısından teknik durumunu birlikte gözden geçirmek isterseniz bize yazabilirsiniz. Yeni sitelerimizde aydınlatma metni ve çerez politikası teslimin parçasıdır.
Sık sorulan sorular
Her site çerez onay penceresi göstermeli mi?
Zorunlu çerezler dışında ziyaretçiyi izleyen, reklam ya da analiz amaçlı çerez kullanılıyorsa açık rıza alınması gerekir. Yalnız zorunlu çerez kullanan siteler onay penceresi göstermek zorunda değildir; bunu çerez politikasında açıklamaları yeterlidir.
İletişim formunda onay kutusu önceden işaretli olabilir mi?
Hayır. Rıza ya da onay gerektiren kutular varsayılan olarak boş olmalı, kullanıcı kendisi işaretlemelidir.
VERBİS'e kayıt olmam gerekir mi?
Kayıt yükümlülüğü çalışan sayısı ve mali bilanço eşiklerine göre belirlenir; bazı veri sorumluları muaf tutulmuştur. Güncel eşikleri Kişisel Verileri Koruma Kurumu'nun duyurularından kontrol edin.
Bu konuda bir projeniz mi var?
Bize anlatın