KVKK ve web sitesi: aydınlatma metni ve çerez bandı

Bir web sitesi kurduğunuz anda kişisel veri işlemeye başlamış olabilirsiniz. İletişim formuna yazılan bir ad ve telefon numarası, bir bülten aboneliği, sitenin ziyaretçi sayısını ölçen bir analiz aracı ya da tarayıcıda saklanan bir çerez kişisel veri işleme kapsamına girebilir. Türkiye'de bu alanı 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) düzenler.

Bu yazı hukuki danışmanlık değildir; genel bir çerçeve sunar. Kendi sitenizin veri işleme biçimine uygun metinleri hazırlamak ve mevzuattaki güncel değişiklikleri izlemek için bir hukuk uzmanından destek almanız gerekir.

Web sitesinde kişisel veri nerede ortaya çıkar?

• İletişim ve teklif formları: Ad, telefon, e-posta, mesaj içeriği.
• Bülten ve duyuru abonelikleri: E-posta adresi.
• Randevu ve rezervasyon formları: İletişim bilgisi ve tercih bilgileri.
• Çevrimiçi satış: Ad, adres, telefon, e-posta, sipariş bilgisi.
• Çerezler ve analiz araçları: Ziyaretçiyi tanımlayan teknik tanımlayıcılar ve kullanım bilgileri.
• Canlı destek ve sohbet araçları: Konuşma içeriği ve kullanıcı bilgisi.
• Harita, video ve sosyal medya eklentileri: Üçüncü tarafların da veri toplayabildiği gömülü içerikler.

Sitenizde bu unsurlardan hangileri olduğunu listeleyin. Aydınlatma metniniz bu listeye uygun olmalıdır; sitede olmayan bir işlemi yazmak da, olan bir işlemi yazmamak da hatadır.

Aydınlatma metni nedir?

Kanun, kişisel veri işleyen kişi ya da kuruma (veri sorumlusu) veri toplarken ilgili kişiyi bilgilendirme yükümlülüğü getirir. Bu bilgilendirme çoğu zaman bir aydınlatma metniyle yapılır. Metinde genel olarak şunlar bulunur:

• Veri sorumlusunun kimliği ve iletişim bilgisi.
• Kişisel verilerin hangi amaçla işleneceği.
• İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği.
• Kişisel veri toplamanın yöntemi ve hukuki sebebi.
• İlgili kişinin kanundan doğan hakları ve bu hakları nasıl kullanabileceği.

Bu başlıklar kanunda belirtilen çerçeveyi özetler; metnin tam kapsamını kanun ve ilgili düzenlemeler belirler. Metni sade, anlaşılır bir dille yazın; ziyaretçinin okuyup anlayabileceği bir metin, kimsenin okumadığı bir hukuk metninden daha değerlidir.

Aydınlatma metni nerede yer almalı?

Veri topladığınız her yerde ziyaretçinin metne kolayca ulaşabilmesi gerekir. Pratikte:

• İletişim formunun altında, metne giden bir bağlantı bulunsun.
• Sitenin alt bilgi (footer) bölümünde KVKK sayfasına kalıcı bir bağlantı olsun.
• Formda, ziyaretçinin metni okuduğunu belirttiği ayrı bir onay kutusu bulunması iyi bir uygulamadır. Onay kutusu önceden işaretli olmamalıdır.

Çerez bandı ve çerez politikası

Çerezler, ziyaret sırasında tarayıcıya kaydedilen küçük dosyalardır. Her çerez aynı türde değildir:

• Zorunlu çerezler: Sitenin çalışması için gereklidir (oturum, güvenlik, sepet gibi). Bunlar için genellikle ayrı bir onay istenmez, ancak politikada açıklanmalıdır.
• Analiz çerezleri: Sitenin nasıl kullanıldığını ölçer.
• Pazarlama ve izleme çerezleri: Ziyaretçiyi başka sitelerde de tanır, reklam amacıyla kullanılır.
• İşlevsellik çerezleri: Dil ya da tercih gibi seçimleri hatırlar.

Zorunlu olmayan çerezler için ziyaretçiden açık rıza almanız ve ona tercihini yapma imkânı tanımanız beklenir. Kişisel Verileri Koruma Kurumu'nun çerezlere ilişkin yayımladığı rehber, bu konuda uygulama beklentilerini açıklar; güncel rehberi Kurum'un kendi sayfasından okumanızı öneririz.

İyi bir çerez bandı şunları sağlar:

• Zorunlu olmayan çerezler, ziyaretçi onay vermeden çalışmaya başlamaz.
• "Kabul et" ile "Reddet" seçenekleri eşit görünürlüktedir; reddetmek kabul etmek kadar kolaydır.
• Ziyaretçi tercihini sonradan değiştirebilir (örneğin altbilgideki bir bağlantıyla).
• Çerez politikası sayfası hangi çerezin ne için kullanıldığını açıklar.

Sitenizde analiz ya da pazarlama aracı yoksa ve yalnız zorunlu çerezler kullanıyorsanız çerez bandına ihtiyacınız olmayabilir; ancak çerez politikasında kullandığınız çerezleri açıklamalısınız. Hangi durumda ne gerektiği sitenize bağlı olduğundan bunu bir uzmanla netleştirin.

Gizlilik politikası ve KVKK sayfası farkı

İki metin sıkça karıştırılır. Aydınlatma metni, kanunun aradığı yükümlülüğü yerine getiren ve verinin nasıl işlendiğini anlatan metindir. Gizlilik politikası ise verilerin korunması hakkında daha genel bir taahhüt ve bilgilendirme sunar. Çoğu sitede ikisi ayrı sayfalar olarak bulunur; ikisinin de güncel ve tutarlı olması gerekir.

Kişisel veri sahibinin başvuru hakkı

Kanun, ilgili kişilere kendileriyle ilgili veri işlenip işlenmediğini öğrenme, bilgi talep etme ve düzeltme isteme gibi haklar tanır. Bu hakları kullanmak isteyen kişilerin size başvurabileceği bir kanal (örneğin bir e-posta adresi) belirtmeniz ve gelen başvurulara yasal süresi içinde yanıt verebilecek bir düzeniniz olması gerekir. Başvuruların nasıl yanıtlanacağını önceden planlayın.

Veriyi toplarken sade olun

En iyi uygulama, yalnız gerçekten ihtiyaç duyduğunuz bilgiyi istemektir. Bir iletişim formunda doğum tarihi, adres ya da kimlik bilgisi istemenin bir gerekçesi yoksa istemeyin. Ne kadar az veri toplarsanız, korumanız gereken veri ve doğabilecek risk o kadar azalır.

• Formda yalnız amaç için gerekli alanları kullanın.
• Topladığınız verileri gerektiğinden uzun süre saklamayın.
• Form mesajlarına yetkisiz kişilerin erişemeyeceği bir yönetim paneli kullanın.
• Verileri e-postayla başkalarına iletirken özen gösterin.

VERBİS ve diğer yükümlülükler

Bazı veri sorumlularının Veri Sorumluları Sicili'ne (VERBİS) kayıt olma yükümlülüğü vardır. Kimlerin kayıt olması gerektiği ve muafiyetlerin neler olduğu mevzuatta düzenlenir ve zaman içinde değişebilir. Firmanızın kayıt yükümlülüğü olup olmadığını güncel düzenlemelere göre bir uzmandan öğrenin.

Artık Webde'de hazır gelenler ve sizin sorumluluğunuz

Artık Webde şablonları KVKK aydınlatma metni, gizlilik ve çerez politikası sayfalarının taslaklarıyla gelir; formlar aydınlatma metnine bağlantı ve onay kutusu içerir. Bu taslaklar başlangıç içindir ve hukuki danışmanlık yerine geçmez. Sitede yayınlanan metinlerin firmanızın gerçek veri işleme biçimine uygunluğunu kontrol etmek ve gerekirse bir hukuk uzmanına incelettirmek site sahibinin sorumluluğundadır. Şablonları görmek için sektör şablonlarına bakabilirsiniz; sayfalar için ayrıca kurumsal sitede bulunması gereken sayfalar rehberimiz var.

Yayına almadan önce kontrol listesi

1. Sitede hangi formlar, araçlar ve çerezler var; hepsini listeledim mi?
2. Aydınlatma metni, bu listeye uygun ve güncel mi?
3. Her formun altında aydınlatma metnine bağlantı ve onay kutusu var mı?
4. Zorunlu olmayan çerezler, onaydan önce çalışıyor mu? Çalışıyorsa düzeltin.
5. Başvuru kanalı (e-posta) belirtilmiş mi ve gelen mesajları takip ediyor muyum?
6. Metinleri bir uzmana gösterdim mi?

Sık sorulan sorular

Küçük bir işletme olarak KVKK'ya uymam gerekir mi?

Kişisel veri işleyen herkes için kanunun temel yükümlülükleri geçerlidir. Yükümlülüklerin kapsamı işlenen veriye ve işletmenin durumuna göre değişir; kendi durumunuz için bir uzmana danışın.

Hazır bir aydınlatma metnini aynen kullanabilir miyim?

Taslak olarak başlayabilirsiniz; ancak metin sitenizdeki gerçek veri işlemeyi anlatmalıdır. Başka bir sitenin metnini kopyalamak, sizin işlemlerinizi doğru yansıtmayabilir.

Çerez bandı olmadan site yayınlayabilir miyim?

Yalnız zorunlu çerez kullanıyorsanız çoğunlukla gerekmeyebilir; analiz ya da pazarlama aracı kullanıyorsanız onay mekanizması gerekir. Kesin durum için bir uzmandan görüş alın.

Form onay kutusu işaretli gelebilir mi?

Hayır. Onay kutusu ziyaretçi tarafından bilinçli olarak işaretlenmelidir; önceden işaretli bırakmak rızanın geçerliliğini zayıflatır.