KVKK aydınlatma metni ve çerez izni: kimler zorunda

Bu konuyu konuşurken en sık duyduğum cümle şu: “Bizim sitede alışveriş yok, veri de toplamıyoruz.” Neredeyse her seferinde yanlış çıkıyor. Sitede bir iletişim formu varsa, e-bülten kaydı alıyorsanız, iş başvurusu topluyorsanız ya da ziyaretçi ölçümü yapan bir araç kullanıyorsanız kişisel veri işliyorsunuz demektir.

Aşağıdakiler genel bilgilendirmedir, hukuki görüş değildir. İşinizin niteliği, topladığınız verinin türü ve çalışan sayınız tabloyu değiştirir; kendi durumunuz için mali müşavirinize ya da avukatınıza danışın.

Kişisel veri sandığınızdan geniş

Kişisel Verilerin Korunması Kanunu, kimliği belirli ya da belirlenebilir bir kişiye ait her türlü bilgiyi kişisel veri sayıyor. Yani sadece kimlik numarası değil, sitenizde şunlar da bu kapsamda:

• İletişim formundaki ad, telefon, e-posta ve mesajın kendisi
• E-bülten kaydında verilen e-posta adresi
• Sipariş ve teslimat bilgileri, fatura adresi
• İş başvurusuyla gönderilen özgeçmişler
• Ziyaretçi ölçüm araçlarının tuttuğu IP adresi ve cihaz bilgisi
• Canlı destek ya da WhatsApp üzerinden gelen yazışmalar

Sağlık, biyometrik veri, din, sendika üyeliği gibi özel nitelikli veriler ayrı ve daha sıkı bir rejime tabi. Sıradan bir kurumsal sitede bunlar çıkmaz, ama sağlık ya da danışmanlık alanındaysanız formunuzda ne istediğinize iki kere bakın.

Aydınlatma yükümlülüğü kimde

Kişisel veri işleme amacını ve yöntemini belirleyen taraf veri sorumlusudur; sitenizden gelen verilerle ne yapacağına karar veren siz olduğunuz için genelde bu taraf işletmenin kendisidir. Aydınlatma yükümlülüğü bu sıfattan doğuyor ve “küçük işletmeyim” diye bir muafiyeti yok. Veriyi toplarken kişinin bilgilendirilmiş olması gerekiyor.

Aydınlatma metninde bulunması beklenenler kabaca şunlar: veri sorumlusunun kim olduğu, hangi verinin toplandığı, hangi amaçla işlendiği, hangi hukuki sebebe dayandığı, kimlere aktarıldığı ve kişinin hangi haklara sahip olduğu. Metnin formun yanında, veri verilmeden önce görülebilir olması gerekiyor; sadece alt menüde durması yeterli sayılmıyor.

Her şey için rıza almanız gerekmiyor

Yaygın bir yanlış anlama var: “KVKK varsa her şeyde onay kutusu olmalı.” Kanun, açık rızayı hukuki sebeplerden yalnızca biri olarak sayıyor. Sözleşmenin kurulması ya da ifası, kanundan doğan bir yükümlülük ve belirli şartlarda meşru menfaat gibi başka sebepler de var. Siparişi teslim etmek için adres bilgisini işlemenize ayrıca rıza gerekmez; o veri sözleşmenin ifası için zaten zorunludur.

Rıza asıl olarak pazarlama tarafında devreye giriyor. Sipariş verdiği için müşteri olan kişiye kampanya e-postası atmak ayrı bir iştir ve ayrı onay ister. Onay kutusunu önceden işaretli getirmek, “devam ederek kabul etmiş sayılırsınız” demek ya da rızayı hizmet almanın şartı haline getirmek geçerli bir rıza sayılmaz. Ticari elektronik ileti göndermek ayrıca kendi mevzuatına tabidir; onu bu metinle karıştırmayın.

VERBİS kaydı ayrı bir konu

Veri Sorumluları Sicili, yani VERBİS kaydı, aydınlatma yükümlülüğünden farklı bir şey ve herkesi kapsamıyor. Kurul, çalışan sayısı ve mali büyüklük gibi ölçütlere göre bazı işletmeleri kayıt yükümlülüğünden istisna tutuyor; ana faaliyeti özel nitelikli veri işlemek olanlarda tablo değişiyor. Eşikler zaman zaman güncellendiği için buradaki tek doğru yol, güncel kriterleri Kurumun kendi kaynağından ya da müşavirinizden teyit etmek.

Şunu karıştırmayın: VERBİS’e kayıt yükümlülüğünüz olmaması, aydınlatma metni koymanız gerekmediği anlamına gelmiyor. İkisi ayrı yükümlülük.

Çerez izni: reddetmek de en az kabul kadar kolay olmalı

Çerezlerin hepsi aynı kefede değil. Sitenin çalışması için teknik olarak zorunlu olanlar (oturum, sepet, güvenlik) için ayrıca izin aranmıyor. Ölçümleme, reklam ve üçüncü taraf çerezleri ise ziyaretçinin açık rızasına bağlı. Uygulamada en çok görülen hatalar şunlar:

• Kutucuk ekranda dururken çerezlerin çoktan yüklenmiş olması
• Yalnızca “Kabul et” düğmesi olması, reddetmenin görünür bir yolunun bulunmaması
• Reddet seçeneğinin birkaç menü altına gizlenmesi
• Ön işaretli onay kutuları
• Kabul etmeden sitenin hiç kullanılamaması
• Hangi çerezin ne için kullanıldığının hiçbir yerde yazmaması

Doğrusu şu: banner açıldığında zorunlu olmayan hiçbir çerez çalışmaz, kabul ve ret düğmeleri aynı görünürlükte durur, ayrıntılı listede hangi çerezin ne işe yaradığı yazar ve ziyaretçi kararını sonradan değiştirebilir. Bir de verilen kararın kaydını tutun; “rıza aldım” demekle gösterebilmek ayrı şeyler.

Bunun bir de ölçüm tarafı var. Ziyaretçilerin bir kısmı reddedince analiz aracınızdaki sayılar gerçek trafiğin altında kalır. Bu bir hata değil, beklenen sonuç; raporlara bakarken bunu hesaba katın.

Kopyala-yapıştır metin neden işe yaramıyor

Aydınlatma metni, sitenizde gerçekten ne topladığınızı anlatır. Başka bir firmadan alınan metin sizin formlarınızı, kullandığınız araçları ve verinin nereye aktarıldığını anlatmaz. Denetim ya da şikâyet durumunda karşılaştırılan şey metnin varlığı değil, metnin gerçekle uyuşup uyuşmadığıdır.

Pratik yol şöyle: önce sitenizdeki veri toplayan her noktayı listeleyin (formlar, ölçüm araçları, canlı destek, e-bülten), her biri için “neden topluyorum, ne kadar saklıyorum, kimle paylaşıyorum” sorularını yanıtlayın. Bu liste çıktıktan sonra metinlerin yazılması ya da hazır taslakların size uyarlanması kolay iş. Emin olmadığınız yerde profesyonel destek alın; bu konuda tahmin yürütmek en pahalı seçenek.