KVKK Uyumlu Web Sitesi: Çerez Onayı ve Aydınlatma Metni Soruları

Bir web sitesinin KVKK açısından asıl sorun çıkardığı yer altbilgideki metinler değil. Sitenin arka planda, ziyaretçi henüz hiçbir şeye onay vermeden yaptıklarıdır.

Site teslimlerinde en sık duyduğumuz istek "bir KVKK metni koyalım" oluyor. Metin gerekli, ama tek başına yetmiyor. Sayfa açılır açılmaz yüklenen reklam pikseli, formun altındaki tek onay kutusu, panelde yıllardır silinmeden duran başvurular... Uyum dediğimiz şey, yazılı metin ile sitenin gerçek davranışının birbirini tutması.

Aşağıda müşterilerimizin bize en çok sorduğu soruları bir yazılım ekibinin bakış açısıyla cevapladık. Hukuki değerlendirme gereken yerleri de işaretledik; o noktalarda son sözü hukuk danışmanınız söylemeli.

Sık Sorulan Sorular

Aydınlatma metni ile açık rıza aynı şey mi?

Değil ve en sık karışan konu da bu. Aydınlatma, ziyaretçiye verisinin kim tarafından, hangi amaçla ve hangi hukuki sebeple işlendiğini, kime aktarıldığını ve haklarının neler olduğunu anlatmaktır. Bir bilgilendirmedir, kişinin onayına bağlı değildir.

Açık rıza ise belirli bir konuya ilişkin, bilgilendirilmiş ve özgür iradeyle verilen onaydır. Her veri işleme faaliyeti için gerekmez; kanundaki diğer işleme sebeplerinin bulunmadığı durumlarda gündeme gelir. İkisini tek bir "okudum, kabul ediyorum" kutusunda birleştirmek sahada çok sık gördüğümüz bir hata.

Aydınlatma herkese yapılır; açık rıza yalnızca gerçekten gerektiği yerde, ayrıca istenir.

İletişim formunun altına ne yazmalıyız?

Formun hemen altında aydınlatma metnine giden görünür bir bağlantı olmalı. "Paylaştığınız bilgiler, talebinize dönüş yapabilmemiz için aydınlatma metnimizde açıklandığı şekilde işlenir" gibi kısa bir cümle çoğu zaman yeterli. Birinin talebine cevap verebilmek için verisini işlemeniz ayrıca açık rıza gerektirmeyebilir; bu değerlendirmeyi yine de hukuk danışmanınızla yapın.

Formun başka bir amacı da varsa iş değişir. Mesela aynı formdan kampanya e-postası göndermek istiyorsanız, bunun için ayrı ve önceden işaretlenmemiş bir onay kutusu gerekir. Formun gönderilebilmesi o kutunun işaretlenmesine bağlı olmamalı. Ticari elektronik ileti onayının kendine ait kuralları olduğunu da hatırlatalım.

Bir de şu var: formda gerçekten ihtiyacınız olmayan alanları kaldırın. Basit bir teklif formunda T.C. kimlik numarası ya da doğum tarihi istemek, bize sorarsanız ileride başınızı ağrıtacak bir veriyi kendi elinizle toplamak demek.

Çerez bildirimi nasıl olmalı?

KVKK Kurumu'nun çerez uygulamaları üzerine yayımladığı rehber bu konuda en iyi başlangıç noktası. Rehberin genel yaklaşımı şöyle: sitenin çalışması için zorunlu olan çerezlerde açık rıza aranmaz; analitik, kişiselleştirme ve reklam amaçlı çerezler için ise ziyaretçinin açık rızası gerekir. Rehbere Kurumun internet sitesinden ulaşabilirsiniz.

Uygulamada iyi bir çerez bildiriminde şunları arıyoruz:

• "Kabul et" ve "Reddet" seçenekleri aynı ekranda, benzer boyutta ve benzer görünürlükte.
• Önceden işaretlenmiş kutu yok. Zorunlu olmayan her kategori varsayılan olarak kapalı.
• Ziyaretçi verdiği onayı sonradan geri alabiliyor; altbilgide "Çerez tercihleri" gibi bir bağlantı duruyor.
• "Siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız" türünden bir cümle yok. Bu bir onay değil.

Reddetmek, kabul etmek kadar kolay olmalı. Reddet seçeneğini ikinci bir ekrana, küçük ve soluk bir bağlantının arkasına saklamak hâlâ çok yaygın. Rehberin yaklaşımıyla bağdaştırmak ise zor.

Çerez politikası ayrı bir metin mi olmalı?

Uygulamada çerezler için ayrı bir metin hazırlamak hem yaygın hem de okunabilirlik açısından daha iyi. Bu metinde sitede kullanılan çerezler tek tek listelenir: adı, hangi amaçla kullanıldığı, tarayıcıda ne kadar süre kaldığı, sitenin kendisine mi yoksa bir üçüncü tarafa mı ait olduğu. Genel aydınlatma metni ise formlar, üyelik ya da e-posta gibi diğer veri işleme faaliyetlerini anlatır.

Bu listenin güncel kalması önemli. Siteye yeni bir canlı destek aracı ya da reklam pikseli eklendiğinde çerez metni de güncellenmeli; aksi hâlde metin, sitenin bir yıl önceki hâlini anlatmaya devam eder.

Çerez bandı koyduk ama analitik betik ilk açılışta yükleniyor. Sorun olur mu?

Olur. En sık gördüğümüz teknik açık da bu. Birçok sitede çerez bandı yalnızca görsel bir katman: ziyaretçi henüz bir seçim yapmadan Google Analytics, Meta pikseli ya da oturum kaydı yapan araçlar çalışmaya başlamış oluyor. Bant ne derse desin, veri çoktan gitmiş.

Doğru kurulumda zorunlu olmayan betikler onay verilene kadar hiç yüklenmez. Etiket yöneticisi kullanıyorsanız etiketler onay durumuna bağlanır. Koda doğrudan gömülmüş betikler ise onaydan sonra yüklenecek şekilde yeniden düzenlenir. Isı haritası ve oturum kaydı tutan Microsoft Clarity gibi araçlar bu kontrolde özellikle dikkat ister.

Kendiniz de kontrol edebilirsiniz. Sitenizi tarayıcının gizli penceresinde açın, geliştirici araçlarındaki ağ sekmesine bakın ve hiçbir şeye tıklamadan hangi alan adlarına istek gittiğini izleyin. Listede reklam ya da analitik servisleri görüyorsanız yapılacak iş var.

Analitik ve bulut servisleri yüzünden veri yurt dışına çıkıyor mu?

Kullandığınız servislerin çoğunda evet. Analitik araçları, e-posta gönderim servisleri, bulut sunucular, bazı canlı destek ve form eklentileri veriyi yurt dışındaki sunucularda işler. Yurt dışına aktarım KVKK'da ayrı olarak düzenlenmiş bir konu ve bu alandaki kurallar son yıllarda değişti.

Burada size hukuki bir cevap değil, bir yöntem önerebiliriz. Sitenizde çalışan her üçüncü taraf servisin listesini çıkarın, her birinin hangi veriyi aldığını ve nerede işlediğini yanına yazın. Sonra bu listeyi hukuk danışmanınızla değerlendirin. Aktarımın hangi mekanizmaya dayanacağı ve aydınlatma metninde nasıl anlatılacağı hukuki bir karar; listenin eksiksiz olması ise teknik bir iş.

Form verilerini ne kadar süre saklamalıyız?

Size tek bir süre söyleyemeyiz, amaca ve sektöre göre değişir. Ama "süresiz" doğru cevap değil. Sık karşılaştığımız tablo şu: yönetim panelinde yıllar önce gelmiş yüzlerce başvuru duruyor, içlerinde telefon numaraları, adresler, bazen sağlık durumu ya da hukuki bir uyuşmazlıkla ilgili açıklamalar.

Önerimiz basit. Her form türü için bir saklama süresi belirleyin ve bu süreyi aydınlatma metninde de iç politikanızda da aynı şekilde yazın. Sonra süresi dolan kayıtları otomatik olarak silen ya da anonim hâle getiren bir görev kurun. Teknik tarafı birkaç satırlık bir zamanlanmış iş. Zor olan, kararı vermek.

Saklamadığınız veri, sızdıramayacağınız veridir.

Başka bir sitenin metnini uyarlasak olmaz mı?

Olmaz, çünkü metin sizin sitenizin davranışını anlatmalı. Başka bir firmanın metni onun kullandığı servisleri ve onun saklama sürelerini anlatır. Kopyalanmış bir metin, sitenizde hiç olmayan araçlardan bahsedip gerçekten kullandıklarınızı atlayabilir. Nasıl bir yapıda yazıldığını görmek için kendi KVKK ve gizlilik politikamıza göz atabilirsiniz, ama sizinki kendi sitenize göre yazılmalı.

Bu işi kim yapar: web tasarım firması mı, hukukçu mu?

İkisi birlikte. Metnin içeriğine, işleme sebeplerine ve aktarım konularına hukukçu karar verir. Çerez bandının betikleri gerçekten durdurması, formdaki onay kutularının doğru kurgulanması, saklama sürelerinin sistemde uygulanması ise yazılım tarafının işidir.

Yeni bir site yaptırıyorsanız bu başlıkları web tasarım sürecinin en başında konuşun; yayından sonra geri dönüp düzeltmek her zaman daha pahalı. Mevcut sitenizde hangi betiklerin onaysız çalıştığını merak ediyorsanız bize yazın, birlikte bakalım.