KVKK Uyumlu Web Sitesi Nasıl Olmalı?

Bir web sitesi, ziyaretçisi farkında olmasa bile sürekli kişisel veri toplar. İletişim formuna yazılan ad ve telefon, e-bülten kaydındaki e-posta adresi, teklif talebinde paylaşılan firma bilgileri, hatta analiz ve reklam araçlarının kullandığı çerezler bu kapsama girer. Bu verilerin nasıl toplandığı, saklandığı ve kullanıldığı ise 6698 sayılı Kişisel Verilerin Korunması Kanunu, kısaca KVKK çerçevesinde değerlendirilir.

Kocaeli’de faaliyet gösteren bir sanayi firması, bir diş kliniği ya da bir e-ticaret sitesi fark etmez; kişisel veri işleyen her işletmenin web sitesinin bu kurallara uygun kurgulanması gerekir. Bu yazıda KVKK uyumlu bir sitenin sayfa yapısından form tasarımına, çerez yönetiminden teknik güvenliğe kadar hangi unsurları içermesi gerektiğini, uygulamada sık karşılaştığımız hatalarla birlikte ele alıyoruz.

KVKK Web Siteleri için Neden Önemlidir?

KVKK, kişisel verileri işleyen gerçek ve tüzel kişileri “veri sorumlusu” olarak tanımlar ve onlara çeşitli yükümlülükler yükler. Web siteniz üzerinden bir müşterinin adını, telefonunu veya e-posta adresini topladığınız anda, bu veriler için veri sorumlusu siz olursunuz. Siteyi bir ajansın hazırlamış olması ya da sunucunun başka bir firmada bulunması bu sorumluluğu ortadan kaldırmaz.

Uyumlu bir site yalnızca yasal bir gereklilik değil, aynı zamanda bir güven göstergesidir. Ziyaretçi, verilerinin neden istendiğini ve nasıl korunacağını açıkça gördüğünde formu doldurmaya daha istekli olur. Özellikle sağlık, hukuk ve finans gibi hassas bilgilerin paylaşıldığı sektörlerde bu şeffaflık, iletişim talebine dönüşen ziyaretçi sayısını olumlu etkileyebilir.

Aydınlatma Metni ve Açık Rıza Arasındaki Fark

Uygulamada en sık karıştırılan iki kavram aydınlatma yükümlülüğü ile açık rızadır. Bu iki metnin tek bir onay kutusunda birleştirilmesi, web sitelerinde en sık rastlanan uyum hatalarından biridir.

Aydınlatma Metninde Neler Yer Almalı?

KVKK’nın 10. maddesine göre aydınlatma metni; veri sorumlusunun kimliğini, kişisel verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, verilerin toplanma yöntemi ile hukuki sebebini ve ilgili kişinin haklarını içermelidir. Metin anlaşılır, sade bir dille yazılmalı ve sitenin alt bilgi alanından her sayfada ulaşılabilir olmalıdır.

Açık Rıza Ne Zaman Gerekir?

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Sözleşmenin kurulması veya ifası, hukuki yükümlülük ya da meşru menfaat gibi başka bir hukuki sebep varsa açık rıza istenmesine gerek olmayabilir. Örneğin teklif talebine yanıt vermek için gereken iletişim bilgileri ile aynı kişiye ileride kampanya duyurusu göndermek farklı işlemlerdir; ikincisi için ayrı bir onay gerekir. Hizmetin sunulması açık rıza şartına bağlanmamalıdır.

Çerez Politikası ve Çerez Onay Mekanizması

Kişisel Verileri Koruma Kurulu’nun 2022’de yayımladığı Çerez Uygulamaları Hakkında Rehber, web siteleri için önemli bir yol haritası sunar. Rehbere göre sitenin çalışması için zorunlu olan çerezler dışında kalan analiz, pazarlama ve reklam amaçlı çerezler için kullanıcının açık rızası alınmalıdır. Pratikte bu, şu anlama gelir:

• Zorunlu olmayan çerezler, kullanıcı onay vermeden önce çalışmamalıdır.
• Çerez tercih kutuları önceden işaretlenmiş olarak sunulmamalıdır.
• “Kabul et” seçeneği kadar “Reddet” seçeneği de kolay ulaşılabilir olmalıdır.
• Kullanıcı tercihini sonradan değiştirebilmeli, çerez ayarlarına her sayfadan ulaşabilmelidir.
• Ayrı bir çerez politikası sayfasında kullanılan çerez türleri, amaçları ve saklama süreleri açıklanmalıdır.

Google Analytics, Meta Pixel veya Google Ads dönüşüm etiketleri gibi araçları kullanıyorsanız, bu etiketlerin onay mekanizmasına bağlı çalıştığından emin olun. Reklam ve ölçümleme tarafındaki gizlilik dengesini merak ediyorsanız dijital reklamcılıkta veri gizliliği yazımıza da göz atabilirsiniz.

Gözden kaçan bir diğer nokta, siteye gömülen üçüncü taraf içeriklerdir. YouTube videoları, Google Haritalar penceresi, canlı destek ve WhatsApp eklentileri ya da sosyal medya akışları kendi çerezlerini yerleştirebilir. Bu bileşenlerin hangi çerezleri kullandığını tespit edip çerez politikanıza eklemeniz, mümkünse kullanıcı onay verene kadar yüklenmemelerini sağlamanız gerekir. Örneğin harita yerine önce statik bir görsel gösterip, tıklandığında haritayı yüklemek pratik bir çözümdür.

Formlar KVKK’ya Uygun Nasıl Tasarlanır?

İletişim, teklif, randevu, iş başvurusu ve e-bülten formları, sitenizin en yoğun veri topladığı noktalardır. Her form için şu kuralları uygulamanızı öneririz:

1. Veri minimizasyonu: Yalnızca amaca gerçekten gerekli alanları isteyin. Bir iletişim formunda T.C. kimlik numarası ya da doğum tarihi istemek çoğu zaman gereksizdir.
2. Aydınlatma bağlantısı: Gönder düğmesinin yakınında aydınlatma metnine açıkça bağlantı verin.
3. Ayrı açık rıza kutusu: Pazarlama iletisi gibi ek işlemler için zorunlu olmayan, işaretlenmemiş ayrı bir onay kutusu kullanın.
4. Ticari elektronik ileti onayı: Kampanya e-postası veya SMS göndermek istiyorsanız, 6563 sayılı Kanun kapsamındaki onay kurallarını ve İleti Yönetim Sistemi (İYS) kaydını da göz önünde bulundurun.
5. Hassas veriler: Sağlık bilgisi gibi özel nitelikli kişisel verileri web formu üzerinden toplamaktan mümkün olduğunca kaçının; gerekiyorsa ek güvenlik önlemleri alın.
6. Form verilerinin akışı: Form içeriklerinin hangi e-posta kutusuna düştüğünü, kimlerin eriştiğini ve ne kadar süre saklandığını belirleyin.

İş Başvurusu Formları için Ek Önlemler

Kariyer sayfaları, adayların özgeçmiş dosyası yüklediği ve çoğu zaman gereğinden fazla bilgi paylaştığı alanlardır. Başvuru formu için ayrı bir aydınlatma metni hazırlamak, yüklenen dosyaların herkese açık bir klasörde değil erişimi kısıtlı bir alanda saklanmasını sağlamak ve olumsuz sonuçlanan başvuruların ne kadar süre tutulacağını belirlemek gerekir. Formda fotoğraf, medeni durum veya sağlık bilgisi gibi alanları zorunlu tutmaktan kaçının.

Teknik Güvenlik: SSL, Barındırma ve Erişim Yetkileri

KVKK’nın 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı erişimini önlemek için uygun teknik ve idari tedbirleri almasını öngörür. Web sitesi açısından bu tedbirlerin başında, sitenin tamamında HTTPS kullanılması gelir. Sertifika seçimi ve sunucu ile ilişkisi için SSL sertifikası ve hosting ilişkisi yazımız yol gösterici olacaktır.

• Yönetim paneline yalnızca yetkili kişilerin, güçlü şifre ve mümkünse iki adımlı doğrulama ile erişmesi
• İçerik yönetim sistemi, eklenti ve tema güncellemelerinin düzenli yapılması
• Veritabanı ve form kayıtlarının düzenli olarak yedeklenmesi, yedeklerin de korunması
• Artık ihtiyaç duyulmayan form kayıtlarının periyodik olarak silinmesi veya anonim hâle getirilmesi

Genel siber güvenlik önlemlerinin ayrıntıları için web sitesi güvenliği için alınması gereken önlemler rehberimizi inceleyebilirsiniz.

Yurt Dışına Veri Aktarımı

Sunucunuzun yurt dışında bulunması ya da yurt dışı merkezli e-posta, analiz veya CRM hizmetleri kullanmanız, kişisel verilerin yurt dışına aktarımı anlamına gelebilir. 2024’te yapılan kanun değişikliğiyle yurt dışına aktarım kuralları yeniden düzenlenmiş, standart sözleşme gibi yeni araçlar getirilmiştir. Hangi hizmetin hangi aktarım mekanizmasına dayanacağını hukuk danışmanınızla birlikte değerlendirmeniz önemlidir.

VERBİS Kaydı ve İlgili Kişi Başvuruları

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) kaydı her işletme için zorunlu değildir; kayıt yükümlülüğü, Kurul’un belirlediği kriterlere göre çalışan sayısı, mali büyüklük ve faaliyet alanı gibi ölçütlere bağlıdır. İşletmenizin bu kapsamda olup olmadığını güncel Kurul kararları üzerinden kontrol etmelisiniz.

VERBİS kaydı gerekmese bile, web sitenizin hangi kişisel verileri topladığını gösteren basit bir envanter hazırlamak işinizi kolaylaştırır. Her form ve araç için toplanan veri türlerini, amacı, verinin nerede saklandığını, kimlerin erişebildiğini ve ne zaman silineceğini tek bir tabloda tutabilirsiniz. Bu tablo hem aydınlatma metninin doğru yazılmasına hem de site güncellendiğinde metinlerin gözden geçirilmesine temel oluşturur.

KVKK’nın 11. maddesi ilgili kişiye; verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme gibi haklar tanır. Web sitenizde bu haklarını kullanmak isteyenler için başvuru yöntemini açıkça belirtin: başvurunun hangi adrese, hangi kanaldan yapılacağı ve bir başvuru formu. Kanun, başvuruların en geç otuz gün içinde sonuçlandırılmasını öngördüğünden, gelen talepleri takip edecek bir iç süreç de kurmanız gerekir.

Web Sitelerinde Sık Görülen KVKK Hataları

Sitelerin uyum durumunu incelerken aynı hatalarla sıkça karşılaşıyoruz. Kendi sitenizi kontrol ederken aşağıdaki listeyi kullanabilirsiniz:

• Aydınlatma metni ile açık rızanın tek bir “Okudum, onaylıyorum” kutusunda birleştirilmesi
• Çerez bildiriminin görünmesine rağmen analiz ve reklam etiketlerinin onaydan önce çalışması
• Başka bir siteden kopyalanmış, işletmenin gerçek veri akışıyla uyuşmayan metinler
• Form verilerinin şifrelenmemiş bağlantı üzerinden gönderilmesi veya herkesin erişebildiği ortak e-posta kutularında birikmesi
• Sitede ilgili kişi başvurusu için herhangi bir iletişim yöntemi belirtilmemesi
• Site yenilendiğinde eklenen yeni formların ve araçların metinlere yansıtılmaması

KVKK Uyumunu Sitenizin Tasarımına Dahil Edin

KVKK uyumu, site yayına girdikten sonra eklenen birkaç metinden ibaret değildir. Formların hangi alanları içereceği, çerez yönetiminin hangi etiketleri kontrol edeceği ve verilerin nerede saklanacağı, en doğru şekilde tasarım aşamasında planlanır. Bu yazıdaki bilgiler genel bilgilendirme amaçlıdır; işletmenize özel metinlerin hazırlanması ve uyum değerlendirmesi için bir avukattan hukuki destek almanızı öneririz.

Kocaeli Dijital olarak sitenizin teknik altyapısını çerez onay mekanizması, güvenli formlar ve SSL ile KVKK gerekliliklerine uygun şekilde kuruyor, hukuk danışmanınızın hazırladığı metinleri doğru noktalara yerleştiriyoruz. Yeni bir site planlıyor ya da mevcut sitenizi yenilemek istiyorsanız kurumsal web tasarım hizmetimizi inceleyebilirsiniz.