Web sitenizde bir iletişim formu, rezervasyon talebi, ziyaretçi istatistiği ya da reklam ölçümü varsa kişisel veri işliyorsunuz demektir. Çoğu işletme sahibi bunun farkında olsa da “Sitemde hangi metinler olmalı, çerez bandı yeterli mi?” sorusunun yanıtı genellikle bulanık kalıyor. Kimi siteler başka bir firmanın metinlerini olduğu gibi kopyalıyor, kimisi yalnızca “Çerez kullanıyoruz” yazan bir bantla yetiniyor.
Bu yazıda tipik bir işletme sitesinde bulunması gereken metinleri ve çerez onayının teknik olarak nasıl çalışması gerektiğini sade bir dille anlatıyoruz. Buradaki bilgiler genel niteliktedir ve hukuki danışmanlık yerine geçmez; kendi durumunuz için avukatınızdan ya da KVKK danışmanınızdan görüş almanızı öneririz.
Temel kavramlar: Veri sorumlusu, aydınlatma ve açık rıza
Türkiye’de kişisel verilerin korunmasına ilişkin temel düzenleme, 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur (KVKK). Sitenizdeki formlar, çerezler ve ölçüm araçlarıyla toplanan veriler açısından veri sorumlusu, yani verilerin hangi amaçla ve nasıl işleneceğine karar veren taraf, işletmenizin kendisidir. Siteyi bir ajans yapmış ya da sunucu başka bir firmada duruyor olsa bile bu sorumluluk sizde kalır; bu firmalar genellikle sizin adınıza veri işleyen konumundadır.
Kanun iki önemli kavramı birbirinden ayırır:
- Aydınlatma yükümlülüğü: Veri toplanırken kişiyi bilgilendirme yükümlülüğüdür. Veri hangi hukuki sebebe dayanılarak işlenirse işlensin, kural olarak geçerlidir.
- Açık rıza: Kanun bunu “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlar. Her işlem için değil, yalnızca başka bir hukuki sebebin bulunmadığı durumlarda gerekir.
Aydınlatma metni neleri içermeli?
Kanun’un 10. maddesine göre veri toplanırken kişiye en azından şu bilgiler verilmelidir:
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçlarla işleneceği
- Verilerin kimlere ve hangi amaçla aktarılabileceği
- Verilerin toplanma yöntemi ve hukuki sebebi
- Kişinin Kanun’un 11. maddesinde sayılan hakları
Bu haklar arasında kişinin verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, eksik ya da yanlış işlenen verilerin düzeltilmesini ve şartları oluştuğunda silinmesini isteme gibi haklar yer alır. İyi bir aydınlatma metni, ziyaretçinin bu haklarını nasıl ve nereye başvurarak kullanabileceğini de açıkça gösterir.
Önemli bir uyarı: Başka bir firmanın metnini kopyalamayın. Kopya metinler çoğu zaman sizin kullanmadığınız araçları, sizin yapmadığınız veri aktarımlarını, hatta başka bir şirketin adını içerir. Aydınlatma metni, sizin sitenizde gerçekte ne olduğunu anlatmalıdır.
Açık rıza metni: Ne zaman gerekir, ne zaman gerekmez?
Kişisel Verileri Koruma Kurumu, aydınlatma metni ile açık rıza metninin birbirinden ayrı tutulması gerektiğini vurgular. İkisini tek bir metinde birleştirip tek bir onay kutusuyla almak, kişinin neyi onayladığını belirsizleştirir.
Kurum’un bir diğer vurgusu şudur: Başka bir hukuki sebebe dayanan işlemler için açık rıza istenmemelidir. Örneğin ziyaretçinin kendi gönderdiği bir soruyu yanıtlamak için verdiği iletişim bilgisini kullanmak, çoğu durumda açık rızaya ihtiyaç duymaz. Böyle bir durumda “Açık rıza veriyorum” kutusu koymak gereksizdir ve kişiyi, rızasını geri çekerse işlemin duracağı yönünde yanıltabilir.
Açık rıza genellikle zorunlu olmayan çerezler, pazarlama amaçlı veri işleme ya da kanunda sayılan diğer hukuki sebeplere dayanmayan işlemler için gündeme gelir. Açık rızayı hizmetten yararlanmanın ön şartı haline getirmek ise rızanın özgür iradeyle verildiğini tartışmalı hale getirir.
İletişim ve rezervasyon formları
Formlar, sitedeki en somut veri toplama noktasıdır. Burada iki kural öne çıkar: Yalnızca gerçekten gerekli alanları isteyin ve formun hemen yanında aydınlatma metnine bağlantı verin.
Amasra’da rezervasyon talebi alan bir pansiyon düşünün. Talebi yanıtlamak için ad, telefon ya da e-posta, giriş-çıkış tarihleri ve kişi sayısı yeterlidir. Kimlik numarası, açık adres ya da doğum tarihi gibi bilgileri bu aşamada formda istemek gereksizdir; misafir giriş yaptığında yasal olarak alınması gereken kimlik bilgileri ise ayrı bir süreçtir.
Bartın’da randevu formu kullanan bir klinikte ise daha dikkatli olmak gerekir. Sağlık verileri KVKK’da özel nitelikli kişisel veri sayılır ve daha sıkı kurallara tabidir. Randevu formunda ayrıntılı şikâyet ya da tedavi geçmişi sormak yerine ad, telefon ve uygun gün-saat bilgisi almak, gereksiz hassas veri toplanmasının önüne geçer.
Çerezler: Hangileri onay ister?
Kişisel Verileri Koruma Kurumu, 2022 yılında “Çerez Uygulamaları Hakkında Rehber” yayımladı. Rehberdeki yaklaşımı sade bir dille şöyle özetleyebiliriz:
Zorunlu çerezler
Sitenin temel işlevi için gereken çerezler, örneğin oturumun açık kalmasını, güvenliği, alışveriş sepetinin hatırlanmasını ya da ziyaretçinin dil veya çerez tercihinin kaydedilmesini sağlayanlar, açık rıza gerektirmez. Ancak bu çerezler hakkında da çerez politikasında bilgi verilmelidir.
Analitik ve reklam çerezleri
Ziyaretçi istatistiği tutan analitik araçlar ile reklam ve pazarlama amaçlı çerezler, pikseller ve benzeri teknolojiler ise genellikle açık rızaya dayanır. Yani bu araçların çalışabilmesi için ziyaretçinin önce onay vermesi gerekir.
Geçerli bir onay nasıl olmalı?
- Önceden işaretlenmiş kutular geçerli onay sayılmaz.
- “Siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız” gibi ifadeler geçerli onay değildir.
- Ziyaretçiye açık bir reddetme seçeneği sunulmalıdır; reddetmek, kabul etmek kadar kolay olmalıdır.
- Onayın çerez türlerine göre ayrı ayrı verilebilmesi (örneğin analitiğe evet, reklama hayır), rızanın belirli bir konuya ilişkin olması ilkesiyle de uyumludur.
Teknik taraf: Çerez bandı yalnızca yazı göstermemeli
Sık karşılaşılan bir sorun şu: Sitede düzgün görünen bir çerez bandı var, ama analitik ve reklam kodları sayfa açılır açılmaz zaten çalışmaya başlamış. Bu durumda ziyaretçi “Reddet” düğmesine bassa bile veriler çoktan gönderilmiş olur. Doğru bir kurulumda:
- Analitik ve reklam kodları, ziyaretçi onay verene kadar yüklenmez; onay verildiğinde devreye girer.
- Reddeden ziyaretçide bu kodlar hiç çalışmaz, site ise normal şekilde kullanılmaya devam eder.
- Ziyaretçi tercihini sonradan değiştirebilir; bunun için sayfanın alt bilgisinde (footer) “Çerez tercihleri” gibi bir bağlantı bulunur.
- Gömülü videolar ve haritalar gibi üçüncü taraf içerikler, mümkünse ziyaretçi tıkladığında yüklenir.
Hazır çerez yönetim araçları bu işi kolaylaştırır, ama doğru ayarlanmaları şarttır. Yeni bir web tasarım projesinde metinlerin yeri ve onay altyapısı en baştan planlanabilir. Özel yazılımla geliştirilen sitelerde ise onay mantığının kodun içine düzgün kurulması gerekir; bunu web yazılım sürecinin bir parçası olarak ele almak sonradan yama yapmaktan daha sağlıklıdır.
Üçüncü taraf araçlar ve yurt dışına aktarım
Google Analytics, reklam pikselleri, gömülü YouTube videoları, Google Haritalar ya da canlı destek yazılımları gibi araçların çoğu, verileri yurt dışındaki sunuculara gönderebilir. Bu da KVKK’nın yurt dışına aktarımı düzenleyen 9. maddesini gündeme getirir. Bu madde 2024 yılında 7499 sayılı Kanun ile değiştirildi; yeni düzende yeterlilik kararı, standart sözleşme benzeri uygun güvenceler ve belirli şartlarla yapılabilen arızi (ara sıra gerçekleşen) aktarımlar olmak üzere farklı yollar bulunuyor. Hangi aracın hangi yolla kullanılabileceği teknik olduğu kadar hukuki bir değerlendirme de gerektirdiği için bu konuyu hukuk danışmanınızla birlikte ele almanızı öneririz.
VERBİS ve sitenizde bulunması gereken metinler
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), veri sorumlularının kayıt olduğu sicildir. Kayıt yükümlülüğü, Kişisel Verileri Koruma Kurulu’nun belirlediği çalışan sayısı ve yıllık mali bilanço eşiklerine ve işletmenin faaliyet alanına göre belirlenir. Bazı küçük işletmeler bu kayıttan muaf tutulabilir. Ancak şunu unutmamak gerekir: VERBİS’ten muaf olmak, aydınlatma yükümlülüğünü ortadan kaldırmaz. Siteniz veri topluyorsa ziyaretçiyi bilgilendirmeniz gerekir.
Tipik bir işletme sitesinde şu metinlerin bulunması beklenir:
- Aydınlatma metni: Form, rezervasyon ve iletişim süreçleri için.
- Açık rıza metni (gerekiyorsa): Aydınlatma metninden ayrı, yalnızca açık rızaya dayanan işlemler için.
- Çerez politikası ve tercih paneli: Hangi çerezlerin hangi amaçla kullanıldığını anlatan metin ve ziyaretçinin seçim yapabildiği panel.
- Gizlilik politikası: Sitenin veri ve güvenlik yaklaşımını genel olarak özetleyen metin.
- Ticari elektronik ileti onayı: Kampanya ve duyuru gönderecekseniz, 6563 sayılı Kanun kapsamında ayrı bir onay ve İleti Yönetim Sistemi (İYS) süreci.
Online satış yapan sitelerde bunlara ek olarak ön bilgilendirme formu, mesafeli satış sözleşmesi ve iade ile cayma koşulları gibi satışa ilişkin metinler de bulunmalıdır. Bir e-ticaret sitesi planlıyorsanız bu metinleri ödeme ve sipariş akışıyla birlikte, en baştan düşünmek gerekir.
Kısa kontrol listesi
- Formlarda yalnızca gerekli alanlar var mı, yanlarında aydınlatma metni bağlantısı bulunuyor mu?
- Aydınlatma metni ile açık rıza metni ayrı mı; açık rıza yalnızca gerçekten gereken yerde mi isteniyor?
- Analitik ve reklam kodları onay verilmeden önce yükleniyor mu?
- Çerez bandında açık bir “Reddet” seçeneği var mı, önceden işaretli kutu kalmış mı?
- Ziyaretçi çerez tercihini alt bilgideki bağlantıdan değiştirebiliyor mu?
- Metinler sizin işletmenizi ve gerçekten kullandığınız araçları mı anlatıyor?
- Kampanya mesajı gönderiyorsanız onaylarınız ve İYS süreciniz yerinde mi?
Metinlerin içeriği için hukuk danışmanınızla, teknik kurulum için sitenizi yöneten ekiple birlikte çalışmak en sağlıklı yoldur. Sitenizdeki çerez kurulumunu ve formları birlikte gözden geçirmek isterseniz bize yazabilirsiniz.
