KVKK Uyumlu Web Sitesi İçin Neler Gerekir?

KVKK uyumlu bir web sitesi için en az beş unsur gerekir: her veri toplama noktasında erişilebilir bir aydınlatma metni, zorunlu olmayan çerezleri onay alınana kadar çalıştırmayan bir çerez yönetim aracı, gerektiğinde ayrı alınan açık rıza, minimum veri toplayan formlar ve yurt dışına veri aktaran üçüncü taraf araçların 6698 sayılı Kanun'a göre değerlendirilmesi.

Önemli not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz; sitenizin özel durumu için bir KVKK uzmanı veya avukattan destek almanızı öneririz. Yazıda, bir web ajansının sahada en sık karşılaştığı teknik ve pratik konuları hem site sahibi hem de geliştirici gözüyle ele alıyoruz.

KVKK web sitelerini neden ve nasıl kapsar?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kimliği belirli veya belirlenebilir gerçek kişilere ait her bilginin işlenmesini düzenler. Web siteleri iletişim formları, çerezler, IP adresleri, analiz ve reklam etiketleri üzerinden kişisel veri işlediği için, site sahibi işletme bu veriler bakımından çoğu durumda veri sorumlusu sayılır.

Birçok işletme 'sitemde üyelik yok, veri toplamıyorum' diye düşünür. Oysa bir iletişim formu ad, telefon ve e-posta toplar; Google Analytics gibi bir araç çerez tanımlayıcıları ve cihaz bilgileri işler; bir reklam etiketi ziyaretçiyi yeniden hedeflemek için iz bırakır. Bunların her biri KVKK kapsamında değerlendirilmesi gereken bir veri işleme faaliyetidir.

Aydınlatma metni nedir ve sitede nerede olmalı?

Aydınlatma metni, KVKK'nın 10. maddesi gereği veri sorumlusunun kişisel veriyi toplarken ilgili kişiye verdiği bilgilendirmedir. Aydınlatma metni; veri sorumlusunun kimliğini, verilerin hangi amaçla ve hangi hukuki sebeple işlendiğini, kimlere aktarılabileceğini, toplama yöntemini ve ilgili kişinin haklarını açık ve anlaşılır bir dille anlatmalıdır.

• —Veri sorumlusunun unvanı ve iletişim bilgileri.
• —İşlenen veri kategorileri (kimlik, iletişim, işlem güvenliği, pazarlama vb.).
• —İşleme amaçları ve her amaç için hukuki sebep.
• —Verilerin aktarıldığı taraflar (barındırma firması, e-posta servisi, analiz ve reklam sağlayıcıları) ve yurt dışına aktarım olup olmadığı.
• —Toplama yöntemi (form, çerez, e-posta, telefon).
• —Kanun'un 11. maddesindeki haklar ve başvuru yolu.

Aydınlatma metni yalnızca footer'da bir bağlantı olarak durmamalı; veri toplanan her noktada, örneğin iletişim formunun hemen altında, erişilebilir olmalıdır. Aydınlatma, onay kutusu işaretletilerek alınmaz; bilgilendirme ile açık rıza farklı kavramlardır ve aynı metinde birleştirilmemelidir.

Çerez banner'ı KVKK'ya göre nasıl olmalı?

KVKK'ya uygun bir çerez banner'ı, zorunlu olmayan çerezleri ziyaretçi onay vermeden çalıştırmaz ve kabul etmeyi reddetmek kadar kolay hâle getirir. Kişisel Verileri Koruma Kurumu'nun yayımladığı Çerez Uygulamaları Hakkında Rehber'e göre analiz ve pazarlama çerezleri için açık rıza aranırken, sitenin çalışması için kesinlikle gerekli çerezler için rıza gerekmez.

• —Zorunlu çerezler: oturum, güvenlik, yük dengeleme, sepet ve çerez tercihinin kendisini saklayan çerezler. Rıza gerekmez ama aydınlatma yapılmalıdır.
• —İşlevsel çerezler: dil veya bölge tercihi gibi kullanıcı deneyimini iyileştiren çerezler. Kesinlikle gerekli değilse onaya bağlanması daha güvenlidir.
• —Analitik çerezler: Google Analytics gibi ziyaret istatistiği araçları. Açık rıza gerekir.
• —Pazarlama ve reklam çerezleri: Google Ads, Meta Pixel gibi yeniden hedefleme ve dönüşüm etiketleri. Açık rıza gerekir.

• —'Kabul et' ve 'Reddet' seçenekleri aynı ekranda ve eşit görünürlükte sunulmalı.
• —Önceden işaretli kutu kullanılmamalı; 'siteyi kullanmaya devam ederek kabul etmiş sayılırsınız' ifadesi geçerli rıza oluşturmaz.
• —Kategori bazında seçim yapılabilmeli ve verilen onay sonradan kolayca geri alınabilmeli.
• —Teknik olarak etiketler onaydan önce yüklenmemeli; yalnızca banner göstermek yetmez.

Geliştirici açısından en kritik nokta son maddedir. Birçok sitede banner görünür ama Google Analytics ve reklam etiketleri sayfa açılır açılmaz zaten çalışmıştır. Google Consent Mode v2 veya bir çerez yönetim platformu ile etiketlerin onay durumuna göre yüklenmesi ya da kısıtlı modda çalışması sağlanmalıdır.

Açık rıza ne zaman gerekir, ne zaman gerekmez?

Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan onaydır ve KVKK'daki işleme şartlarından yalnızca biridir. Bir iletişim talebine yanıt vermek veya sipariş teslim etmek gibi işlemler çoğu zaman sözleşme, hukuki yükümlülük veya meşru menfaat gibi diğer şartlara dayanır; açık rıza her şey için istenmemelidir.

• —Açık rıza genellikle gereken durumlar: analiz ve pazarlama çerezleri, ticari amaçlı profilleme, özel nitelikli verilerin (sağlık gibi) işlenmesinin bazı halleri.
• —Açık rıza genellikle gerekmeyen durumlar: gelen bir teklif talebine dönüş yapmak, siparişi işlemek, fatura kesmek, site güvenliği için log tutmak.
• —Açık rıza, hizmetin ön şartı yapılmamalı; 'onay vermezseniz formu gönderemezsiniz' yaklaşımı özgür iradeyi zedeler.
• —Ticari elektronik ileti (e-bülten, kampanya SMS'i) için ayrıca 6563 sayılı Kanun kapsamında onay ve İleti Yönetim Sistemi (İYS) süreçleri gündeme gelir.

İletişim formundaki veriler nasıl ele alınmalı?

İletişim formunda KVKK uyumu için temel kural veri minimizasyonudur: form yalnızca talebe yanıt vermek için gerçekten gereken alanları istemeli, veriler şifreli bağlantıyla iletilmeli, yetkisiz kişilerin erişemeyeceği bir yerde saklanmalı ve amaç ortadan kalktığında belirlenen süre sonunda silinmelidir. Formun hemen yanında aydınlatma metnine bağlantı bulunmalıdır.

• —Zorunlu alanları azaltın: ad ve bir iletişim kanalı çoğu zaman yeterlidir; T.C. kimlik numarası gibi veriler gereksiz yere istenmemelidir.
• —Site HTTPS üzerinden çalışmalı; form verisi şifresiz e-postayla veya herkese açık bir tabloda tutulmamalıdır.
• —Form verilerinin gittiği e-posta hesabı ve yönetim paneli iki adımlı doğrulamayla korunmalıdır.
• —Pazarlama iletisi göndermek istiyorsanız, işaretlenmemiş ve isteğe bağlı ayrı bir onay kutusu kullanın.
• —Spam koruması için kullanılan araçların (örneğin reCAPTCHA) da veri işlediğini unutmayın ve aydınlatma metninde belirtin.

Google Analytics, Google Ads ve WhatsApp kullanırken nelere dikkat edilmeli?

Google Analytics, Google Ads ve WhatsApp gibi araçlar, ziyaretçi verisini hizmet sağlayıcının yurt dışındaki sunucularında işleyebildiği için hem çerez onayı hem de yurt dışına aktarım açısından değerlendirilmelidir. 1 Haziran 2024'te yürürlüğe giren değişiklikle KVKK'nın 9. maddesi yeniden düzenlendi ve açık rıza artık yurt dışına aktarımın genel dayanağı olmaktan çıktı.

Yeni düzende yurt dışına aktarım; öncelikle Kurul'un yeterlilik kararı, bu yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle yapılan taahhütname gibi uygun güvencelerle yapılır. Standart sözleşme imzalandığında Kurum'a beş iş günü içinde bildirim yapılması gerekir. Açık rıza ise yalnızca arızi, yani düzenli olmayan aktarımlar için istisnai bir yol olarak kalmıştır.

• —Google Analytics: onay alınmadan çalıştırmayın, veri saklama süresini kısaltın, aydınlatma metninde yurt dışına aktarımı belirtin ve sağlayıcının KVKK'ya uygun aktarım mekanizması sunup sunmadığını kontrol edin.
• —Google Ads dönüşüm ve yeniden pazarlama etiketleri: pazarlama çerezi kategorisinde, yalnızca onay sonrasında çalışmalı.
• —WhatsApp butonu: basit bir wa.me bağlantısı sitenizde çerez bırakmaz; ancak ziyaretçi yazışmaya başladığında veriler Meta altyapısında işlenir. Bu kanal aydınlatma metninde yer almalı. Butona bağlı bir dönüşüm etiketi varsa o etiket de onaya bağlıdır.
• —Canlı destek, harita, video ve sosyal medya gömmeleri: çoğu üçüncü taraf çerez bırakır; onay öncesinde yer tutucu gösterip onay sonrası yüklemek en güvenli yöntemdir.

VERBİS kaydı her site sahibi için zorunlu mu?

VERBİS kaydı her web sitesi sahibi için zorunlu değildir. Veri Sorumluları Sicil Bilgi Sistemi'ne kayıt yükümlülüğü sitenin varlığına değil, işletmenin çalışan sayısına, yıllık mali bilanço büyüklüğüne ve ana faaliyetinin özel nitelikli veri işleme olup olmadığına göre belirlenir. Kurul, belirli eşiklerin altındaki işletmeleri kayıt yükümlülüğünden muaf tutmuştur.

Muafiyet eşikleri Kurul kararlarıyla güncellenebildiği için işletmenizin durumunu Kurum'un güncel duyurularından veya bir uzmandan teyit etmeniz gerekir. VERBİS muafiyeti, aydınlatma yükümlülüğü, veri güvenliği tedbirleri ve ilgili kişi başvurularına en geç otuz gün içinde yanıt verme gibi diğer yükümlülükleri ortadan kaldırmaz.

KVKK uyumu için geliştirici ve işletme sahibi kontrol listesi

KVKK uyumlu bir web sitesi, geliştirici ile işletme sahibinin birlikte yürüttüğü bir süreçtir: geliştirici etiketlerin onaya bağlı çalışmasını, güvenli form altyapısını ve veri minimizasyonunu teknik olarak sağlar; işletme sahibi ise aydınlatma metninin içeriğini, hukuki sebepleri, saklama sürelerini ve tedarikçi sözleşmelerini belirler.

• —Geliştirici — Sitedeki tüm çerez ve üçüncü taraf istekleri tarayıcının ağ sekmesiyle listelendi.
• —Geliştirici — Zorunlu olmayan etiketler onaydan önce yüklenmiyor; Consent Mode veya eşdeğer mekanizma test edildi.
• —Geliştirici — Banner'da 'Reddet' seçeneği 'Kabul et' kadar görünür; tercih sonradan değiştirilebiliyor.
• —Geliştirici — Formlar HTTPS üzerinden, minimum alanla çalışıyor; aydınlatma bağlantısı formun yanında.
• —Geliştirici — Yönetim panelleri ve form bildirim e-postaları güçlü parola ve iki adımlı doğrulamayla korunuyor.

• —İşletme sahibi — Aydınlatma metni ve çerez politikası güncel araç listesine göre hazırlandı.
• —İşletme sahibi — Her veri işleme amacı için hukuki sebep belirlendi; açık rıza yalnızca gerektiği yerde isteniyor.
• —İşletme sahibi — Yurt dışına veri aktaran tedarikçiler için 2024 düzenlemesine uygun aktarım mekanizması değerlendirildi.
• —İşletme sahibi — VERBİS yükümlülüğü güncel eşiklere göre kontrol edildi.
• —İşletme sahibi — İlgili kişi başvurularını ve olası veri ihlali bildirimlerini kimin yöneteceği belirlendi.

Uyum tek seferlik bir iş değildir: siteye yeni bir analiz aracı, sohbet eklentisi veya reklam etiketi eklendiğinde çerez listesi ve aydınlatma metni de güncellenmelidir. En pratik yöntem, sitenin bakım sürecine yılda en az bir kez KVKK kontrolü eklemektir.