Web Sitesinde KVKK Aydınlatma Metni ve Çerez Politikası: Nelere Dikkat Etmeli?

Sitenize bir iletişim formu, WhatsApp butonu ya da Google Analytics eklediğiniz anda kişisel veri işlemeye başlarsınız ve bu da beraberinde bazı yükümlülükler getirir. Bu yazıda web sitesi KVKK uyumunun temel parçalarını, yani aydınlatma metni, açık rıza ve çerez politikasını işletme sahibinin anlayacağı dille açıklıyoruz. Önemli bir not: Buradaki bilgiler genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez; sitenizdeki metinleri mutlaka bir hukukçuya kontrol ettirmenizi öneririz.

Web siteniz ne zaman KVKK kapsamına girer?

6698 sayılı Kişisel Verilerin Korunması Kanunu, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi kişisel veri olarak kabul eder. Sitenizde bu tür bilgiler toplanıyorsa, işletmeniz bu veriler bakımından genel olarak veri sorumlusu konumundadır.

Küçük bir işletme sitesinde kişisel verinin toplandığı tipik noktalar şunlardır:

• İletişim, teklif veya randevu formları (ad, telefon, e-posta, mesaj)
• E-bülten kayıt kutuları
• Üyelik ve sipariş süreçleri
• WhatsApp, canlı destek ve arama butonları
• Analiz ve reklam araçlarının kullandığı çerezler ve benzeri teknolojiler
• İş başvurusu için CV yükleme alanları

Yani “bizim sitemiz sadece tanıtım sitesi” demek, kapsam dışında olduğunuz anlamına gelmez. Sitede tek bir form bile varsa, konuyu değerlendirmeniz gerekir.

Siteyi ajans yaptıysa sorumluluk kimde?

Sık duyduğumuz bir soru da şu: “Siteyi tasarımcı yaptı, KVKK metinleri onun sorumluluğunda değil mi?” Genel kural olarak veriyi hangi amaçla ve nasıl işleyeceğine karar veren taraf veri sorumlusudur; iletişim formundan gelen talepleri kullanan işletme de sizsiniz. Tasarım ajansı, hosting firması veya e-posta hizmeti sağlayıcısı ise çoğu durumda sizin adınıza veri işleyen konumunda olabilir. Bu yüzden web sitesi KVKK sorumluluğunu tamamen tasarımcıya bırakmak yerine, teknik kurulumu tasarımcıyla, metinlerin içeriğini ise hukukçunuzla birlikte ele almanız daha sağlıklıdır. Hizmet aldığınız firmalarla veri güvenliğine ilişkin yazılı bir mutabakat yapılıp yapılmayacağını da hukukçunuza sorabilirsiniz.

KVKK aydınlatma metni nedir, neleri içermeli?

Aydınlatma yükümlülüğü, kişisel verisi alınan kişinin veri toplanırken bilgilendirilmesini ifade eder. Web sitesinde bu genellikle ayrı bir “KVKK Aydınlatma Metni” sayfası ve formların yanında bu sayfaya verilen bir bağlantıyla karşılanır.

Kanun ve Kurum’un aydınlatma yükümlülüğüne ilişkin düzenlemeleri dikkate alındığında, bir web sitesi aydınlatma metninde genel olarak şu başlıkların yer alması beklenir:

• Veri sorumlusunun kimliği: İşletmenin unvanı ve iletişim bilgileri.
• Hangi kişisel verilerin işlendiği: Ad, telefon, e-posta, IP adresi gibi.
• İşleme amaçları: Talebinize dönüş yapmak, randevu oluşturmak, teklif hazırlamak gibi somut amaçlar.
• Hukuki sebep: Verinin hangi hukuki gerekçeye dayanarak işlendiği.
• Toplama yöntemi: Web sitesi formu, çerezler, WhatsApp gibi.
• Aktarım: Verilerin kimlere ve hangi amaçla aktarılabileceği (örneğin hosting, e-posta veya muhasebe hizmeti aldığınız firmalar).
• İlgili kişinin hakları: Kişinin verileriyle ilgili bilgi talep etme, düzeltme, silme gibi haklarını nasıl kullanabileceği.

Aydınlatma metninin sade, anlaşılır ve sizin gerçek süreçlerinizi yansıtan bir dille yazılması önemlidir. Genel ve her şeyi kapsayan ifadeler yerine, sitenizde gerçekten ne yapıldığını anlatmak gerekir.

İletişim formu KVKK açısından nasıl kurgulanmalı?

İletişim formu, küçük işletme sitelerinde en yaygın veri toplama noktasıdır. Kadıköy’de bir kuaförün randevu formu üzerinden pratik bir kurgu düşünelim:

1. Sadece gerekli bilgiyi isteyin. Randevu için ad, telefon ve tercih edilen tarih yeterliyse; doğum tarihi, adres gibi alanları eklemeyin. Veri minimizasyonu hem uyum hem de form doldurma kolaylığı açısından faydalıdır.
2. Formun hemen altına aydınlatma bağlantısı koyun. “Kişisel verileriniz KVKK Aydınlatma Metni kapsamında işlenmektedir” gibi bir ifade ve metne giden bağlantı yeterli olabilir.
3. Aydınlatmayı onay kutusuna bağlamayın. “Aydınlatma metnini okudum” ifadesi ile “açık rıza veriyorum” ifadesini aynı kutuda birleştirmek, Kurum’un yaklaşımında sorunlu görülen uygulamalardandır.
4. Açık rızayı yalnızca gerçekten gerektiğinde isteyin. Örneğin randevu talebine dönüş yapmak için ayrıca açık rıza istemek gerekmeyebilir; ancak aynı kişiye kampanya mesajı göndermek istiyorsanız ayrı bir onay süreci gerekir.
5. Onay kutularını önceden işaretli bırakmayın. Kişi, onay vermek istiyorsa kutuyu kendisi işaretlemelidir.
6. Formun güvenli bağlantı üzerinden çalıştığından emin olun. Verilerin aktarım sırasında şifrelenmesi için sitenizde geçerli bir SSL sertifikası olmalı. Bu konuyu SSL sertifikası nedir yazımızda anlattık.
7. Form verilerinin nereye gittiğini ve ne kadar saklandığını bilin. Gelen talepler e-posta kutusunda yıllarca birikiyorsa, saklama süresi konusunu da değerlendirin.

Kampanya SMS’i veya e-bülten göndermek istiyorsanız, KVKK’nın yanında ticari elektronik iletilere ilişkin mevzuat ve İleti Yönetim Sistemi (İYS) kuralları da devreye girer. Bu konuda ayrıca uzman görüşü almanız faydalı olur.

Aydınlatma ile açık rıza arasındaki fark

Bu ikisi en sık karıştırılan kavramlardır. Temel farkı şöyle özetleyebiliriz:

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir onaydır. Bu yüzden “siteyi kullanarak her şeyi kabul etmiş sayılırsınız” gibi genel ifadeler açık rıza yerine geçmez. Aydınlatma metni ile açık rıza metninin ayrı ayrı hazırlanıp ayrı şekilde sunulması önerilen yaklaşımdır.

Çerez politikası ve çerez yönetimi

Çerezler, ziyaretçinin tarayıcısına kaydedilen küçük dosyalardır. Bazıları sitenin çalışması için zorunludur, bazıları ise ziyaretçi davranışını analiz etmek veya reklam göstermek için kullanılır.

Kişisel Verileri Koruma Kurumu, çerez uygulamalarına ilişkin bir rehber yayımlamıştır. Rehberin güncel haline Kişisel Verileri Koruma Kurumu’nun resmi sitesinden ulaşabilirsiniz. Rehberdeki genel yaklaşım, çerezleri amaçlarına göre ayırmak ve zorunlu olmayanlar için kullanıcıya gerçek bir seçim hakkı tanımaktır.

Çerez türleri

• Zorunlu çerezler: Oturumun açık kalması, sepetin hatırlanması, güvenlik gibi sitenin temel işlevleri için gereklidir. Genel olarak bunlar için açık rıza aranmaz, ancak çerez politikasında bilgilendirme yapılır.
• Analiz ve performans çerezleri: Ziyaretçi sayısı, hangi sayfaların görüntülendiği gibi bilgileri toplar.
• Pazarlama ve reklam çerezleri: Meta Pixel, Google Ads etiketleri gibi araçların yeniden pazarlama ve dönüşüm ölçümü için kullandığı çerezlerdir.
• İşlevsel çerezler: Dil tercihi, harita veya video gibi gömülü içeriklerle ilgili olabilir.

Rehberdeki yaklaşıma göre zorunlu olmayan çerezler için genel olarak açık rıza alınması gerekir.

Çerez banner’ında dikkat edilecekler

• Zorunlu olmayan çerezler, kullanıcı onay vermeden çalışmaya başlamamalı.
• “Kabul et” seçeneği kadar “Reddet” seçeneği de kolay erişilebilir olmalı; reddetmeyi zorlaştıran tasarımlardan kaçınılmalı.
• Kullanıcı çerez türlerini ayrı ayrı seçebilmeli ve tercihini daha sonra değiştirebilmeli.
• Onay kutuları önceden işaretli olmamalı.
• Banner’da çerez politikasına bağlantı bulunmalı.
• “Siteyi kullanmaya devam ederek çerezleri kabul etmiş olursunuz” gibi ifadeler tek başına geçerli bir onay mekanizması olarak görülmemelidir.

Teknik açıdan bu, analiz ve reklam kodlarının çerez yönetim aracıyla entegre şekilde yüklenmesi anlamına gelir. Banner eklemek ama kodları onaydan bağımsız çalıştırmaya devam etmek sık görülen bir hatadır.

Üçüncü taraf araçlar ve yurt dışına veri aktarımı

Google Analytics, Meta Pixel, e-posta pazarlama araçları, randevu sistemleri ve bazı hosting hizmetleri, verileri yurt dışındaki sunucularda işleyebilir. KVKK’da yurt dışına kişisel veri aktarımına ilişkin kurallar 2024 yılında yapılan kanun değişikliğiyle güncellendi. Kullandığınız araçların bu kurallar açısından nasıl değerlendirilmesi gerektiği teknik ve hukuki bir konudur; bir hukukçuyla birlikte ele alınmalıdır.

Pratik olarak yapabileceğiniz şey, sitenizde kullanılan tüm araçların bir listesini çıkarmaktır: hangi araç, hangi veriyi, hangi amaçla topluyor? Google Analytics 4’ün nasıl çalıştığını ve hangi verileri ölçtüğünü Google Analytics 4 nedir yazımızda anlattık. Bu liste, hem aydınlatma metninizin hem de çerez politikanızın doğru hazırlanmasının temelidir.

Ayrıca işletmenizin durumuna göre Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt yükümlülüğü olup olmadığını da muhasebeciniz veya hukukçunuzla birlikte kontrol etmeniz önerilir.

Sık yapılan hatalar

• Başka bir siteden metin kopyalamak: Farklı bir işletmenin unvanı, amaçları ve araçları sizin sürecinizi yansıtmaz.
• Aydınlatma ve açık rızayı tek kutuda birleştirmek.
• Önceden işaretli onay kutuları kullanmak.
• Çerez banner’ı olup kodların onaydan önce çalışması.
• Metni bir kere yazıp güncellememek: Yeni bir form, reklam pikseli veya canlı destek aracı eklediğinizde metinlerin de güncellenmesi gerekir.
• Gereğinden fazla veri istemek: Formda ihtiyaç duyulmayan her alan, hem uyum riskini hem de formu terk etme ihtimalini artırır.

Sitenizde bugün kontrol edebilecekleriniz

Web sitesi KVKK uyumu tek seferlik bir iş değil, sitenizle birlikte güncellenen bir süreçtir. Başlamak için:

• Sitenizdeki tüm formları, butonları ve üçüncü taraf araçları listeleyin.
• Her formun yanında aydınlatma metnine ulaşılabilir bir bağlantı olup olmadığını kontrol edin.
• Onay kutularının önceden işaretli olmadığından emin olun.
• Çerez banner’ınızda reddetme seçeneği olup olmadığını ve analiz/reklam kodlarının onaydan önce çalışıp çalışmadığını test ettirin.
• Metinlerin işletmenize özel hazırlanması ve kontrolü için bir hukukçudan destek alın.

Yeni bir site yaptırıyorsanız, bu teknik altyapının baştan planlanması işi çok kolaylaştırır; sözleşme aşamasında sorulacak diğer konular için web sitesi yaptırırken dikkat edilmesi gerekenler yazımıza da göz atabilirsiniz. Metinlerin içeriği hukukçunuzun alanıdır; Webmilazım olarak biz sitenin teknik tarafında, örneğin metinlerin doğru sayfalarda yayınlanması ve formların sade, gereğinden fazla veri istemeyen bir yapıda kurgulanması konusunda destek olabiliriz. Detaylar için iletişim sayfamızdan bize ulaşabilirsiniz.