Bir web sitesi açtığınız andan itibaren, çoğu zaman fark etmeseniz bile kişisel veri işlemeye başlarsınız. Ziyaretçinin IP adresi, iletişim formundan gelen ad-soyad ve e-posta bilgisi, sepete eklenen ürünler, hatta sadece sayfada kalma süresini ölçen analiz çerezleri bile birer veri işleme faaliyetidir. İşte tam bu noktada KVKK web sitesi uyumluluğu devreye girer ve bir tercih olmaktan çıkıp yasal bir zorunluluğa dönüşür. 6698 sayılı Kişisel Verilerin Korunması Kanunu, Türkiye'de faaliyet gösteren neredeyse her dijital varlığı kapsar ve uyumsuzluk, ciddi idari para cezalarından itibar kaybına kadar uzanan sonuçlar doğurabilir.
Birçok işletme sahibi, "Ben sadece küçük bir tanıtım sitesi işletiyorum, bende veri yok" diye düşünür. Oysa gerçek tam tersidir. Tek bir iletişim formu, bir bülten kayıt alanı veya Google Analytics gibi bir ölçümleme aracı kullanmanız, sizi veri sorumlusu konumuna getirir. Bu yazıda, web sitenizi KVKK ile uyumlu hale getirmek için ihtiyaç duyacağınız tüm temel kavramları, hazırlamanız gereken metinleri ve uygulamanız gereken teknik önlemleri adım adım ele alacağız.
Amacımız hukuki bir danışmanlık metni sunmak değil; size pratik, uygulanabilir ve anlaşılır bir yol haritası vermek. Bir gizlilik politikası metninin neden tek başına yeterli olmadığını, aydınlatma yükümlülüğünün açık rıza ile farkını ve çerez yönetiminin teknik tarafını öğrenecek, sitenizi denetime hazır hale getirebileceksiniz.
KVKK Neden Web Sitenizi Doğrudan İlgilendirir?
Kişisel Verilerin Korunması Kanunu, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi koruma altına alır. Buradaki kritik kelime "belirlenebilir" olmasıdır. Yani doğrudan adı soyadı olmasa bile, bir kişiye ulaşmayı mümkün kılan her veri kişisel veri sayılır. Web siteleri bağlamında bu tanım oldukça geniştir.
Bir web sitesinde işlenen tipik kişisel veri türleri şunları içerir:
- İletişim formları aracılığıyla toplanan ad, soyad, e-posta ve telefon bilgileri
- Üyelik veya hesap oluşturma sırasında alınan kullanıcı bilgileri
- E-ticaret işlemlerinde toplanan fatura adresi, teslimat adresi ve sipariş geçmişi
- Sunucu kayıtlarında (log) tutulan IP adresleri ve tarayıcı bilgileri
- Çerezler ve benzeri teknolojilerle toplanan davranışsal veriler
- Bülten aboneliği veya kampanya kayıtlarında alınan iletişim izinleri
- Canlı destek hattı üzerinden iletilen mesajlar ve görüşme kayıtları
Bu verilerden herhangi birini işliyorsanız, KVKK kapsamında "veri sorumlusu" sıfatını taşırsınız. Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve yöntemlerini belirleyen taraftır. Sitenizi siz yönetiyor, hangi verinin neden toplandığına siz karar veriyorsanız, sorumluluk doğrudan sizdedir. Bu sorumluluğu bir yazılım ajansına veya hosting firmasına devretmek de mümkün değildir; onlar olsa olsa "veri işleyen" konumunda olabilir.
Veri Sorumlusu ve Veri İşleyen Ayrımı
Bu iki kavram sıkça karıştırılır ancak yükümlülükler açısından aralarında önemli fark vardır. Veri sorumlusu kararları veren ve hukuki yükümlülüğü taşıyan taraftır. Veri işleyen ise sadece veri sorumlusunun talimatları doğrultusunda işlem yapan taraftır; örneğin sitenizi barındıran sunucu firması veya e-posta gönderim servisi. Bu ayrımı doğru kurmanız, üçüncü taraflarla yapacağınız sözleşmelerin de temelini oluşturur.
Veri Sorumlusu Olarak Temel Yükümlülükleriniz
KVKK'nın size yüklediği sorumluluklar yalnızca bir metin yayınlamaktan ibaret değildir. Kanun, hem hukuki hem teknik hem de idari boyutta bir bütünlük bekler. Uyumluluğunuzu sağlam temellere oturtmak için aşağıdaki yükümlülükleri sırayla ele almanız gerekir.
Birincisi, aydınlatma yükümlülüğüdür. Kişisel veriyi toplamadan önce, ilgili kişiyi hangi verinin, hangi amaçla, hangi hukuki sebebe dayanılarak işlendiği konusunda bilgilendirmeniz gerekir. İkincisi, gerektiğinde açık rıza almaktır. Üçüncüsü, topladığınız verinin güvenliğini sağlamak için gerekli teknik ve idari tedbirleri almaktır. Dördüncüsü, belirli koşullarda VERBİS'e (Veri Sorumluları Sicil Bilgi Sistemi) kayıt olmaktır. Beşincisi ise ilgili kişilerin başvuru ve taleplerini cevaplayacak bir mekanizma kurmaktır.
Bu yükümlülükler birbirini tamamlar. Örneğin yalnızca güzel bir gizlilik politikası metni yayınlayıp güvenlik önlemlerini ihmal ederseniz, bir veri ihlali durumunda metnin varlığı sizi korumaz. Uyumluluk, kağıt üzerindeki beyanlarla sahadaki uygulamanın örtüşmesini gerektirir.
Gizlilik Politikası ve Aydınlatma Metni Arasındaki Fark
Web sitesi sahiplerinin en sık yaptığı hatalardan biri, gizlilik politikası ile aydınlatma metnini eş anlamlı sanmaktır. Bu iki belge birbiriyle ilişkili olsa da farklı işlevlere sahiptir ve KVKK açısından özellikle aydınlatma metni daha kritik bir yükümlülüktür.
Aydınlatma metni, kanunun 10. maddesi gereği, kişisel veri toplanırken ilgili kişiyi bilgilendirmek için hazırlanan, içeriği büyük ölçüde kanunla belirlenmiş resmi bir belgedir. Gizlilik politikası ise daha geniş kapsamlı, sitenin veri yaklaşımını anlatan, kullanıcıya güven veren ve uluslararası standartlarla da örtüşen bir metindir. İyi tasarlanmış bir sitede her ikisi de bulunur ve birbirine atıf yapar.
Aşağıdaki tablo iki belge arasındaki temel farkları özetlemektedir:
| Özellik | Aydınlatma Metni | Gizlilik Politikası |
|---|---|---|
| Hukuki dayanak | KVKK madde 10 (zorunlu) | İyi uygulama / şeffaflık |
| Temel amaç | Veri toplanırken bilgilendirme | Genel veri yaklaşımını anlatma |
| İçerik esnekliği | Kanunla sınırlı, standart | Daha serbest ve kapsamlı |
| Sunum zamanı | Veri toplama anında | Site genelinde erişilebilir |
| Rıza ile ilişkisi | Rızadan bağımsız sunulur | Rıza metnine yönlendirebilir |
Pratikte, iletişim formunuzun hemen yanında kısa bir aydınlatma bilgisi ve "Aydınlatma Metnini Okudum" şeklinde bir bağlantı bulundurmanız, sitenizin alt menüsünde ise kapsamlı bir gizlilik politikası yayınlamanız ideal bir yaklaşımdır.
Aydınlatma Metninde Bulunması Gereken Unsurlar
Bir aydınlatma metni rastgele yazılan bir paragraf değildir. KVKK ve ilgili tebliğler, bu metinde yer alması gereken asgari unsurları net biçimde belirlemiştir. Sitenizdeki aydınlatma metninin aşağıdaki tüm başlıkları içerdiğinden emin olun:
- Veri sorumlusunun kimliği: İşletmenizin tam unvanı, varsa ticaret sicil bilgileri ve iletişim adresi.
- Kişisel verilerin işlenme amaçları: Verileri tam olarak hangi amaçla topladığınız (sipariş işleme, iletişim, pazarlama gibi).
- İşlenen veri kategorileri: Hangi tür verileri işlediğiniz (kimlik, iletişim, işlem verisi gibi).
- Verilerin aktarıldığı taraflar: Verileri kimlerle paylaştığınız (kargo firması, ödeme kuruluşu, yurt dışı sunucu gibi).
- Veri toplama yöntemi ve hukuki sebep: Verinin nasıl toplandığı ve hangi hukuki dayanağa dayandığı.
- İlgili kişinin hakları: Kanunun 11. maddesinde sayılan hakların açıkça belirtilmesi.
Bu metni yazarken sade ve anlaşılır bir dil kullanmanız önemlidir. Aşırı hukuki ve karmaşık ifadeler, hem kullanıcının metni anlamasını engeller hem de denetimlerde "bilgilendirmenin etkin olmadığı" gerekçesiyle aleyhinize değerlendirilebilir. Amaç, ortalama bir ziyaretçinin verisinin ne olacağını net biçimde kavramasıdır.
Açık Rıza: Ne Zaman Gerekir, Ne Zaman Gerekmez?
KVKK uyumluluğunda en çok yanlış anlaşılan konulardan biri açık rızadır. Birçok site, her veri işleme faaliyeti için kullanıcıdan onay kutucuğu işaretletmeye çalışır. Oysa bu yaklaşım hem gereksiz hem de bazen hatalıdır. Çünkü kanun, kişisel verinin işlenebileceği belirli durumları açık rıza aramaksızın da meşru kabul eder.
Örneğin bir sözleşmenin kurulması veya ifası için zorunlu olan veri işleme, bir hukuki yükümlülüğün yerine getirilmesi ya da veri sorumlusunun meşru menfaati gibi durumlarda açık rıza gerekmeyebilir. Bir kullanıcı sizden ürün satın aldığında, teslimat adresini işlemeniz sözleşmenin ifası için zorunludur; bunun için ayrıca rıza istemenize gerek yoktur.
Açık rıza ise tipik olarak şu durumlarda gereklidir:
- Ticari elektronik ileti (pazarlama e-postası veya SMS) göndermek
- Zorunlu olmayan analiz ve pazarlama çerezlerini kullanmak
- Kullanıcı profili oluşturarak hedefli reklam sunmak
- Verileri başlangıçtaki amaç dışında ikincil amaçlarla kullanmak
Geçerli Bir Açık Rızanın Şartları
Bir rızanın hukuken geçerli sayılabilmesi için üç temel niteliği taşıması gerekir: belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması. Bu, önceden işaretlenmiş onay kutucuklarının (opt-out) geçerli olmadığı anlamına gelir. Kullanıcı, rıza kutucuğunu kendi iradesiyle işaretlemelidir (opt-in). Ayrıca tek bir kutucukla hem üyeliği hem de pazarlama iznini birleştirmek de geçersizdir; her amaç ayrı ayrı sunulmalıdır. Verdiği rızayı kullanıcının kolayca geri alabilmesi de aynı derecede önemlidir.
Çerez Yönetimi ve Çerez Politikası
Çerezler, KVKK web sitesi uyumluluğunun en teknik ve en çok ihmal edilen ayağıdır. Çoğu site, sadece "Bu site çerez kullanır" yazan bir bant göstererek yükümlülüğünü yerine getirdiğini düşünür. Ancak bu, modern veri koruma anlayışında yetersiz bir yaklaşımdır.
Çerezleri işlevlerine göre kategorize etmek, doğru yönetim için ilk adımdır. Genel olarak dört ana kategori bulunur:
- Zorunlu çerezler: Sitenin temel işlevleri için gereklidir, rıza gerektirmez.
- İşlevsel çerezler: Dil tercihi gibi kullanıcı deneyimini iyileştirir.
- Analitik/performans çerezleri: Ziyaretçi davranışını ölçer, genellikle rıza gerektirir.
- Pazarlama/hedefleme çerezleri: Reklam amaçlıdır, kesinlikle açık rıza gerektirir.
İyi bir çerez yönetim mekanizması, kullanıcı siteye girdiğinde zorunlu olmayan çerezleri varsayılan olarak kapalı tutmalı ve kullanıcının kategori bazında seçim yapmasına olanak tanımalıdır. "Tümünü Kabul Et" butonu kadar görünür bir "Tümünü Reddet" veya "Ayarları Yönet" seçeneği sunmak, geçerli bir rıza yönetiminin gereğidir.
Çerez Politikası Sayfası
Çerez bandının yanı sıra, sitenizde ayrı bir çerez politikası sayfası bulundurmanız önerilir. Bu sayfada kullandığınız her çerezin adını, amacını, türünü (birinci taraf/üçüncü taraf) ve saklama süresini listeleyebilirsiniz. Şeffaflık, hem kullanıcı güveni hem de denetim açısından sizi koruyan en güçlü unsurdur.
Veri Güvenliği için Teknik ve İdari Tedbirler
KVKK, veri sorumlusunun kişisel verileri "uygun güvenlik düzeyini sağlamak" için gerekli her türlü tedbiri almasını zorunlu kılar. Bu tedbirler iki başlıkta değerlendirilir: teknik tedbirler ve idari tedbirler. Bir veri ihlali yaşandığında, Kurul öncelikle bu tedbirlerin alınıp alınmadığına bakar.
Web siteniz için almanız gereken temel teknik tedbirler şunlardır:
- Tüm site genelinde SSL/TLS sertifikası kullanarak HTTPS bağlantısı sağlamak
- Yazılım ve eklentileri güncel tutmak, bilinen güvenlik açıklarını kapatmak
- Veritabanı ve form verilerini şifreleyerek saklamak
- Güçlü parola politikaları ve mümkünse iki faktörlü kimlik doğrulama uygulamak
- Düzenli yedekleme ve felaket kurtarma planı oluşturmak
- Erişim yetkilerini "bilmesi gereken" ilkesine göre sınırlandırmak
- Güvenlik duvarı ve kötü amaçlı yazılım taraması kullanmak
İdari tedbirler ise daha çok süreç ve insan odaklıdır. Veri işleme envanteri çıkarmak, çalışanlara veri koruma eğitimi vermek, üçüncü taraflarla veri işleme sözleşmeleri imzalamak ve bir veri ihlali müdahale prosedürü hazırlamak bu kapsama girer. Unutmayın ki güvenlik tek seferlik bir kurulum değil, sürekli bakım gerektiren bir süreçtir.
Veri İhlali Durumunda Bildirim
Bir veri ihlali yaşandığında, KVKK gereği bu durumu en kısa sürede ve genel uygulamada 72 saat içinde Kurula bildirmeniz beklenir. Ayrıca ihlalden etkilenen ilgili kişilere de bildirim yapmanız gerekebilir. Bu nedenle ihlali tespit edip raporlayabilecek bir izleme ve müdahale mekanizmasının önceden hazır olması büyük önem taşır.
VERBİS Kaydı ve Saklama Süreleri
VERBİS, veri sorumlularının kişisel veri işleme faaliyetlerini kaydettiği resmi bir sistemdir. Belirli kriterleri aşan veri sorumlularının bu sisteme kayıt olması zorunludur. Genellikle yıllık çalışan sayısı, mali bilanço büyüklüğü ve işlenen verinin niteliği bu zorunluluğu belirleyen ölçütlerdir. İşletmenizin VERBİS kapsamına girip girmediğini kontrol etmeniz ve giriyorsa kaydınızı güncel tutmanız gerekir.
VERBİS kaydının ötesinde, her veri sorumlusunun bir kişisel veri saklama ve imha politikası oluşturması beklenir. Topladığınız veriyi süresiz saklayamazsınız; her veri kategorisi için işleme amacının gerektirdiği makul bir saklama süresi belirlemeli ve bu süre dolduğunda veriyi silmeli, yok etmeli veya anonim hale getirmelisiniz. Örneğin bir iletişim formundan gelen veriyi, talep sonuçlandıktan sonra makul bir süre içinde imha etmek doğru bir uygulamadır.
Saklama sürelerini belirlerken yasal yükümlülükleri de göz önünde bulundurun. Örneğin ticari ve mali kayıtların belirli süreler boyunca saklanması başka mevzuatlarca zorunlu kılınabilir. Bu durumda saklama süreniz, ilgili mevzuatın öngördüğü süreyle uyumlu olmalıdır.
Web Sitenizi KVKK Uyumlu Hale Getirme Kontrol Listesi
Şimdiye kadar anlattığımız tüm gereklilikleri pratik bir kontrol listesine dönüştürelim. Sitenizi denetlerken aşağıdaki adımları sırayla geçtiğinizden emin olun:
- Sitenin tamamında HTTPS aktif mi ve sertifika geçerli mi?
- Erişilebilir bir gizlilik politikası sayfası yayınladınız mı?
- Veri toplanan her noktada (form, üyelik) aydınlatma metni sunuluyor mu?
- Pazarlama izni için ayrı ve opt-in bir açık rıza kutucuğu var mı?
- Kategori bazlı seçim sunan bir çerez yönetim aracı kullanıyor musunuz?
- Çerezleri ve saklama sürelerini listeleyen bir çerez politikası mevcut mu?
- İlgili kişilerin başvuru yapabileceği bir iletişim kanalı tanımladınız mı?
- VERBİS kayıt zorunluluğunuzu kontrol edip gerekiyorsa kayıt oldunuz mu?
- Veri saklama ve imha politikanız hazır ve uygulanıyor mu?
- Üçüncü taraf hizmet sağlayıcılarla veri işleme sözleşmeleriniz var mı?
Bu listeyi periyodik olarak gözden geçirmek, mevzuat değişikliklerine ve sitenize eklediğiniz yeni özelliklere ayak uydurmanızı sağlar. Uyumluluk durağan değil, dinamik bir süreçtir.
Sık Yapılan Hatalar ve Bunlardan Kaçınma Yolları
Deneyimler, web sitelerinde tekrar eden belirli uyumluluk hatalarının olduğunu gösterir. Bunların farkında olmak, en sık karşılaşılan yaptırımlardan korunmanızı sağlar.
İlk hata, internetten bulunan hazır bir gizlilik politikası metnini olduğu gibi kopyalamaktır. Bu metinler genellikle sizin gerçek veri işleme faaliyetlerinizi yansıtmaz; başka bir işletmenin sürecini anlatır. Beyan ettiğiniz uygulama ile gerçek uygulamanız arasındaki tutarsızlık, denetimde en hızlı tespit edilen sorundur.
İkinci hata, açık rızayı zorunlu hizmet şartına bağlamaktır. Kullanıcıya "pazarlama iznini kabul etmezsen üye olamazsın" demek, rızanın özgür iradeyle verilmesi ilkesini ihlal eder. Üçüncü hata ise çerez bandını yalnızca bilgilendirme amaçlı kullanıp seçim hakkı tanımamaktır. Dördüncü ve belki de en kritik hata, güvenlik tedbirlerini ihmal ederek yalnızca metinlerle yetinmektir. Sağlam bir uyumluluk, görünür belgelerle görünmez teknik altyapının birlikte çalışmasıyla mümkün olur.
Sıkça Sorulan Sorular
Sadece tanıtım amaçlı, form içermeyen bir sitem var. Yine de gizlilik politikası gerekli mi?
Form içermeyen tamamen statik bir site bile genellikle sunucu kayıtlarında IP adresi tutar ve çoğu durumda en azından bir analiz aracı kullanır. Bu durum dahi kişisel veri işleme sayılabilir. Bu nedenle en azından kısa bir gizlilik ve çerez politikası bulundurmanız, hem yasal güvence hem de ziyaretçi güveni açısından doğru olur. İşleme faaliyetiniz arttıkça metinlerinizi de buna göre genişletmeniz gerekir.
Aydınlatma metni ile gizlilik politikası aynı belge olabilir mi?
Teknik olarak tek bir belgede her ikisinin de unsurlarını birleştirmek mümkündür, ancak önerilmez. Aydınlatma metninin kanunla belirlenmiş zorunlu bir içeriği ve veri toplama anında sunulma niteliği vardır. Bu ikisini ayrı tutmak, hem metinlerin amacına daha iyi hizmet etmesini sağlar hem de denetimde yükümlülüklerinizi net biçimde gösterdiğinizi ortaya koyar. İdeal yaklaşım, ilişkili ancak ayrı iki belge tutmaktır.
Çerez onay bandında sadece "Kabul Et" butonu yeterli mi?
Hayır, yeterli değildir. Yalnızca kabul seçeneği sunmak, kullanıcının özgür iradesiyle seçim yapmasını engeller ve zorunlu olmayan çerezler için geçerli bir rıza oluşturmaz. Kabul etme seçeneği kadar görünür bir reddetme veya ayarları yönetme seçeneği de sunmanız gerekir. Ayrıca zorunlu olmayan çerezler, kullanıcı onay vermeden çalıştırılmamalıdır.
Verileri yurt dışındaki bir sunucuda saklıyorsam ne yapmalıyım?
Verilerin yurt dışına aktarılması KVKK'da özel kurallara tabidir ve ek yükümlülükler doğurabilir. Bu durumu aydınlatma metninizde açıkça belirtmeniz, gerektiğinde uygun hukuki dayanağı sağlamanız ve hizmet aldığınız sağlayıcıyla veri işleme sözleşmesi imzalamanız gerekir. Yurt dışı aktarım söz konusuysa, güncel mevzuata göre koşulları dikkatle değerlendirmeniz önemlidir.
Kullanıcı verilerinin silinmesini talep ederse ne yapmam gerekir?
İlgili kişinin verilerinin silinmesini talep etme hakkı, kanunun tanıdığı temel haklardandır. Böyle bir talep aldığınızda, başvuruyu makul ve kanunun öngördüğü süre içinde değerlendirip cevaplamanız gerekir. Talebi yerine getirmenizi engelleyen yasal bir saklama yükümlülüğü yoksa, ilgili veriyi silmeli, yok etmeli veya anonim hale getirmelisiniz. Bu süreci yönetmek için önceden tanımlı bir başvuru kanalı ve prosedürü bulundurmak işinizi kolaylaştırır.
KVKK uyumsuzluğunun yaptırımı nedir?
KVKK kapsamında uyumsuzluk, aydınlatma yükümlülüğünün ihlalinden veri güvenliği tedbirlerinin alınmamasına kadar farklı kalemlerde idari para cezaları doğurabilir. Bunun yanında bir veri ihlali yaşanması, hem maddi yaptırım hem de marka itibarınıza ciddi zarar verebilir. Bu nedenle uyumluluğu bir maliyet kalemi değil, hem yasal koruma hem de kullanıcı güveni yatırımı olarak görmek en sağlıklı yaklaşımdır.
Sonuç
KVKK web sitesi uyumluluğu, ilk bakışta karmaşık bir bürokrasi yığını gibi görünse de aslında belirli bir mantık üzerine kuruludur: hangi veriyi neden topladığınızı bilmek, bunu kullanıcıya şeffafça anlatmak, gerektiğinde izin almak ve topladığınız veriyi güvende tutmak. Bu dört temel ilkeyi içselleştirdiğinizde, geri kalan tüm gereklilikler bu çatının altına oturur.
İşe veri işleme envanterinizi çıkararak başlayın; sitenizin hangi noktalarda, hangi verileri topladığını net biçimde haritalandırın. Ardından gerçek faaliyetlerinizi yansıtan bir aydınlatma metni ve gizlilik politikası hazırlayın, açık rıza gereken yerleri opt-in mantığıyla kurgulayın ve çerez yönetiminizi kullanıcıya gerçek seçim sunacak biçimde tasarlayın. Son olarak teknik ve idari güvenlik tedbirlerinizi tamamlayın ve bu süreci periyodik olarak gözden geçirin.
Unutmayın ki gizlilik politikası ve kişisel veri koruması, yalnızca cezadan kaçınmak için yapılan bir zorunluluk değildir. Verisini sizinle paylaşan her ziyaretçiye verdiğiniz bir güven taahhüdüdür. Bu taahhüdü ciddiye alan markalar, uzun vadede daha sadık bir kullanıcı kitlesi ve daha sağlam bir itibar kazanır. KVKK uyumlu bir web sitesi, hem yasal açıdan güvende olmanın hem de dijital dünyada güvenilir bir aktör olmanın en somut göstergesidir.