KVKK Uyumlu Web Sitesi Nasıl Olur? Formlar, Çerezler ve Veri Güvenliği Rehberi

Bir web sitesi, çoğu işletmenin kişisel veriyle ilk temas ettiği yerdir. İletişim formuna yazılan bir ad ve telefon numarası, bülten kaydında bırakılan e-posta adresi, ziyaretçinin tarayıcısına yerleştirilen bir analiz çerezi ya da sunucu loglarında tutulan IP adresi; hepsi 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında kişisel veri işleme faaliyetidir. Buna rağmen pek çok sitede KVKK uyumu, alt bilgiye eklenmiş tek bir metin bağlantısından ibaret kalır. Bu rehberde KVKK uyumlu bir web sitesinin hangi parçalardan oluştuğunu; hukuki metinleri, form tasarımını, çerez yönetimini, teknik güvenliği ve süreçleri birlikte ele alarak anlatıyoruz.

KVKK uyumlu web sitesi ne demektir?

KVKK uyumlu web sitesi, sitede toplanan her kişisel verinin hangi amaçla, hangi hukuki sebebe dayanarak, ne kadar süreyle ve kimlerle paylaşılarak işlendiğinin belirli olduğu; ziyaretçinin bu konuda doğru biçimde bilgilendirildiği ve verinin teknik olarak korunduğu sitedir. Uyum yalnızca bir metin meselesi değildir. Metinde "yalnızca gerekli verileri topluyoruz" yazıp formda gereksiz alanlar istemek ya da çerez politikası yayımlayıp onay alınmadan pazarlama çerezlerini çalıştırmak, metinle uygulamanın birbirini tutmadığını gösterir.

Pratikte uyumlu bir site dört katmandan oluşur: doğru hazırlanmış hukuki metinler, veri minimizasyonuna göre tasarlanmış formlar, onaya bağlı çalışan çerez ve üçüncü taraf betik yönetimi ve sunucu tarafında güvenlik, saklama ve başvuru süreçleri. Bu katmanlardan biri eksik kaldığında diğerlerinin değeri de azalır.

Aydınlatma metni nasıl hazırlanmalı?

Kanun'un 10. maddesi, veri sorumlusuna kişisel veriler elde edilirken ilgili kişiyi bilgilendirme yükümlülüğü getirir. Web sitesinde bu bilgilendirme genellikle aydınlatma metniyle yapılır. Aydınlatma metninde asgari olarak şu başlıklar yer almalıdır:

• Veri sorumlusunun ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği,
• Veri toplamanın yöntemi ve hukuki sebebi,
• İlgili kişinin Kanun'un 11. maddesinde sayılan hakları.

Sık yapılan hata, internetten bulunan genel bir metnin şirket adı değiştirilerek yayımlanmasıdır. Aydınlatma metni, sitenizde gerçekten yapılan işlemleri anlatmalıdır. İletişim formu, teklif talebi, iş başvurusu, bülten kaydı ve online randevu gibi farklı amaçlarla veri topluyorsanız, her biri için amaç ve hukuki sebebin ayrı ayrı belirtilmesi gerekir. Metnin ilgili formun yanında, veri girilmeden önce ulaşılabilir olması da önemlidir; yalnızca alt bilgideki bir bağlantıda durması yeterli kabul edilmeyebilir.

Açık rıza ne zaman gerekir, ne zaman gerekmez?

KVKK'da açık rıza, kişisel veri işlemenin şartlarından yalnızca biridir. Kanun'un 5. maddesinin ikinci fıkrası; sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi, kullanılması veya korunması ve meşru menfaat gibi açık rıza aranmayan işleme şartlarını sayar. Örneğin bir ziyaretçinin teklif talebine cevap vermek için iletişim bilgilerini kullanmak, çoğu durumda sözleşmenin kurulmasına ilişkin işleme şartına dayanabilir ve açık rıza gerektirmez.

Açık rızayı her durumda istemek ilk bakışta güvenli görünür, ancak sorun yaratır. Başka bir hukuki sebebe dayanan işlem için açık rıza alınırsa, kişi rızasını geri çektiğinde işlemin dayanağı belirsizleşir ve ilgili kişi yanıltılmış olur. Açık rıza gerçekten gereken durumlar ise genellikle şunlardır:

• Pazarlama ve kampanya amaçlı ticari elektronik ileti gönderimi (bu konuda ayrıca ticari elektronik ileti mevzuatı ve İleti Yönetim Sistemi yükümlülükleri de değerlendirilmelidir),
• Analitik ve pazarlama çerezleri,
• Başka bir işleme şartına dayanmayan yurt dışı aktarımlar,
• Özel nitelikli kişisel verilerin, Kanun'da sayılan diğer şartlardan birine dayanmadığı durumlarda işlenmesi.

Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalıdır. Bu nedenle rıza, hizmet şartına bağlanmamalı ve başka metinlerle paketlenmemelidir. "Aydınlatma metnini okudum, açık rıza veriyorum" gibi tek bir kutucukta iki farklı işlemi birleştirmek sık görülen bir hatadır. Aydınlatma bir bilgilendirmedir ve onay gerektirmez; açık rıza ise ayrı ve isteğe bağlı bir beyandır.

İletişim ve teklif formları KVKK'ya göre nasıl tasarlanmalı?

Formlar, web sitesindeki veri toplamanın merkezidir. Bir formun KVKK açısından sağlıklı olup olmadığını anlamak için şu üç soruyu sorun: Bu alan, formun amacı için gerçekten gerekli mi? Kullanıcı bu verinin neden istendiğini biliyor mu? Bu veri ne kadar süre saklanacak?

Veri minimizasyonu

Bir teklif formu için ad, iletişim bilgisi ve talep açıklaması çoğu zaman yeterlidir. T.C. kimlik numarası, doğum tarihi veya açık adres gibi alanlar amaç gerektirmiyorsa istenmemelidir. İsteğe bağlı alanların açıkça "isteğe bağlı" olarak işaretlenmesi de iyi bir uygulamadır.

Onay kutularının ifadesi

Formun altında iki ayrı unsur olması önerilir. Birincisi, aydınlatma metnine verilen bağlantı ve kısa bir bilgilendirme cümlesidir; bu bir onay kutusu olmak zorunda değildir. İkincisi, yalnızca pazarlama iletisi gibi açık rıza gerektiren bir işlem varsa, varsayılan olarak işaretsiz ve formun gönderilmesi için zorunlu olmayan ayrı bir kutucuktur. Örneğin: "Kampanya ve duyurulardan e-posta ile haberdar olmak istiyorum." Bu kutu işaretlenmeden de form gönderilebilmelidir.

Sektöre göre değişen hassasiyet

Bir klinik web sitesindeki randevu formunda hastanın şikâyetini yazdığı alan, sağlık verisi içerebilir. Sağlık verileri Kanun'un 6. maddesi kapsamında özel nitelikli kişisel veridir ve daha sıkı kurallara tabidir. Bu tür formlarda serbest metin alanlarını sınırlamak, verinin şifreli iletilmesini ve yalnızca yetkili kişilerce görülmesini sağlamak gerekir. Bir otelin rezervasyon talep formu, bir e-ticaret sitesinin üyelik formu ya da bir site yönetiminin sakin başvuru formu da kendi amaçlarına göre ayrı ayrı değerlendirilmelidir.

Çerez politikası ve çerez onay bandı neden gerekli?

Çerezler ve benzeri teknolojiler (yerel depolama, pikseller, parmak izi teknikleri) ziyaretçinin cihazında bilgi saklar veya cihazdan bilgi okur. Kişisel Verileri Koruma Kurulu'nun yayımladığı Çerez Uygulamaları Hakkında Rehber'e göre sitenin çalışması için zorunlu çerezler açık rıza olmadan kullanılabilirken, analitik ve pazarlama çerezleri için kural olarak açık rıza gerekir. Bu da onay alınmadan bu çerezlerin ve onları yerleştiren betiklerin çalışmaması anlamına gelir.

İyi bir çerez onay bandı; "Kabul et" ve "Reddet" seçeneklerini eşit ağırlıkta sunar, önceden işaretlenmiş kutucuk içermez ve kullanıcıya tercihini sonradan değiştirme imkânı verir. Konuyu teknik uygulamasıyla birlikte çerez politikası ve çerez onay bandı rehberimizde ayrıntılı olarak ele aldık.

Web sitesinde veri güvenliği için hangi önlemler alınmalı?

Kanun'un 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almasını zorunlu kılar. Web sitesi açısından bu tedbirlerin başlıcaları şunlardır:

• HTTPS: Tüm sayfalar ve form gönderimleri güncel TLS yapılandırmasıyla şifreli bağlantı üzerinden çalışmalı, HTTP istekleri HTTPS'e yönlendirilmelidir.
• Yönetim paneli erişimi: Güçlü parola politikası, iki adımlı doğrulama, mümkünse IP kısıtlaması ve her kullanıcıya yalnızca işi için gereken yetkinin verilmesi.
• Form verilerinin saklanması: Form içerikleri herkese açık bir klasörde veya şifresiz e-posta kutularında birikmemeli; erişim kontrollü bir veritabanında veya CRM'de tutulmalıdır.
• Güncellemeler: İçerik yönetim sistemi, eklentiler ve sunucu yazılımları düzenli güncellenmelidir. Kullanılmayan eklentiler kaldırılmalıdır.
• Loglama: Yönetim paneline girişler, başarısız denemeler ve kayıtlara erişim izlenebilir olmalıdır. Loglar da kişisel veri içerebileceği için saklama süresi belirlenmelidir.
• Yapılandırma dosyaları: Veritabanı parolası ve API anahtarları içeren dosyaların web üzerinden erişilemediği doğrulanmalıdır.

Bu başlıkları teknik ayrıntılarıyla web sitesi güvenlik kontrol listesi ve .env dosyası sızıntısı ve bot taramaları yazılarımızda inceledik.

Kişisel veriler ne kadar süre saklanmalı?

KVKK'nın temel ilkelerinden biri, verinin işlendiği amaç için gerekli olan süre kadar muhafaza edilmesidir. İşleme sebebi ortadan kalktığında veri silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Web sitesi için bu şu anlama gelir: sonuçlanmış bir iletişim talebi, yasal saklama gerektiren bir sözleşme ilişkisine dönüşmediyse, belirlediğiniz süre sonunda silinmelidir.

Saklama sürelerini veri kategorisi bazında belirleyip bunu yazılıma yansıtmak, manuel temizliğe güvenmekten çok daha sağlıklıdır. Örneğin form kayıtlarının belirli bir süre sonunda otomatik olarak anonimleştirilmesi, eski iş başvurularının periyodik olarak silinmesi ve yedeklerin de aynı saklama mantığına uyması planlanabilir. VERBİS'e kayıt yükümlülüğü bulunan veri sorumluları için ayrıca kişisel veri saklama ve imha politikası hazırlanması gerekir; bu konuyu VERBİS kaydı kimler yapmalı yazımızda anlattık.

İlgili kişi başvuruları nasıl karşılanmalı?

Kanun'un 11. maddesi ilgili kişiye; verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme, aktarıldığı üçüncü kişileri öğrenme ve itiraz gibi haklar tanır. 13. madde uyarınca veri sorumlusu bu başvuruları talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır.

Web sitesinde başvuru yöntemlerinin (yazılı başvuru, kayıtlı elektronik posta, güvenli elektronik imza veya sistemde kayıtlı e-posta adresi gibi Kurul'un belirlediği usuller) aydınlatma metninde açıkça gösterilmesi gerekir. Başvuru geldikten sonra ise asıl sınav başlar: Talepte bulunan kişinin verileri iletişim formu kayıtlarında, CRM'de, e-posta kutularında ve yedeklerde nerede duruyor? Bu soruya hızlı cevap verebilmek, verinin baştan düzenli bir yapıda tutulmasına bağlıdır. Başvuru talebinin, tarihinin ve verilen cevabın kayıt altına alınması da olası bir incelemede süreci belgelemenizi sağlar.

Yurt dışında barındırma, analiz ve CDN hizmetleri KVKK açısından ne anlama gelir?

Sunucunuz yurt dışındaysa, Google Analytics gibi bir analiz aracı, yurt dışı merkezli bir CDN, e-posta gönderim servisi veya canlı destek aracı kullanıyorsanız, kişisel veriler büyük olasılıkla yurt dışına aktarılıyordur. Kanun'un 9. maddesi, 7499 sayılı Kanun ile yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklikle yeniden düzenlenmiştir.

Değişiklikten sonra yurt dışı aktarım, temel olarak üç yoldan biriyle yapılabilir:

1. Yeterlilik kararı: Kurul'un aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı vermiş olması ve Kanun'daki işleme şartlarından birinin bulunması.
2. Uygun güvenceler: Yeterlilik kararı yoksa, Kanun'da sayılan uygun güvencelerden birinin sağlanması. Bunların başında Kurul'un ilan ettiği standart sözleşmeler gelir; bağlayıcı şirket kuralları ve Kurul izniyle yapılan yazılı taahhütler de güvenceler arasındadır. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesi gerekir.
3. Arızi aktarım: Yeterlilik kararı ve uygun güvence bulunmadığında, yalnızca arızi nitelikte olmak kaydıyla Kanun'da sayılan sınırlı hâllerde (ilgili kişinin olası riskler hakkında bilgilendirilerek açık rıza vermesi gibi) aktarım yapılabilir.

Bu nedenle web sitesi projesinde kullanılacak her üçüncü taraf hizmetin listesini çıkarmak, verinin nerede barındırıldığını sağlayıcının sözleşmelerinden tespit etmek ve hangi aktarım mekanizmasına dayanılacağını belirlemek gerekir. Bazı durumlarda yurt içi barındırma veya kendi sunucunuzda çalışan bir analiz aracı tercih etmek, uyum yükünü belirgin biçimde azaltır. Uygulama ayrıntıları ikincil düzenlemelerle belirlendiği için güncel mevzuatı ve Kurul kararlarını kontrol edin.

KVKK uyumlu web sitesi kontrol listesi

Alan	Kontrol edilecek nokta
Aydınlatma metni	Sitedeki gerçek işlemleri, amaçları, hukuki sebepleri, aktarımları ve hakları anlatıyor; formların yanında erişilebilir.
Açık rıza	Yalnızca gerektiği yerde, ayrı, işaretsiz ve hizmet şartına bağlanmamış biçimde alınıyor.
Formlar	Yalnızca amaç için gerekli alanlar var; isteğe bağlı alanlar belirtilmiş.
Çerezler	Zorunlu olmayan çerezler onaydan önce çalışmıyor; Kabul ve Reddet eşit ağırlıkta.
Üçüncü taraf betikler	Analiz, reklam ve canlı destek araçlarının listesi ve veri konumları biliniyor.
HTTPS ve sunucu	Tüm trafik şifreli; yapılandırma dosyaları erişime kapalı; yazılımlar güncel.
Yönetim paneli	İki adımlı doğrulama, rol bazlı yetki ve giriş logları mevcut.
Saklama ve imha	Veri kategorisi bazında saklama süresi belirlenmiş ve yazılıma yansıtılmış.
İlgili kişi başvurusu	Başvuru yöntemi açık; talepler kayıt altına alınıyor ve otuz gün içinde cevaplanıyor.
Yurt dışı aktarım	Her aktarım için dayanılan mekanizma belli; standart sözleşmeler süresinde bildirilmiş.
İhlal hazırlığı	Olası bir veri ihlalinde kimin ne yapacağı ve bildirimin nasıl yapılacağı tanımlı.

Sık yapılan hatalar

• Hazır metin kopyalamak: Başka bir şirketin aydınlatma metnini uyarlamak, sitenizde olmayan işlemleri anlatıp olanları atlamanıza yol açar.
• Tek kutuda her şeyi onaylatmak: Aydınlatma, açık rıza ve kullanım koşullarını tek kutucukta birleştirmek, rızanın özgür iradeye dayandığı konusunda soru işareti yaratır.
• Onaysız çalışan etiketler: Bant görünür olsa da analiz ve reklam etiketlerinin sayfa açılır açılmaz yüklenmesi.
• Form verilerini e-postada biriktirmek: Yıllarca silinmeyen, çok sayıda kişinin eriştiği bir posta kutusu hem güvenlik hem saklama ilkesi açısından risklidir.
• Ajans ve sağlayıcı ilişkisini belirsiz bırakmak: Siteyi barındıran veya yöneten firma veri işleyen konumundadır; bu ilişkinin sözleşmeyle tanımlanması ve güvenlik yükümlülüklerinin yazılı olması gerekir.
• İhlal planı olmaması: Bir sızıntı fark edildiğinde bildirim süreleri işlemeye başlar. Süreç önceden düşünülmediyse zaman kaybedilir; bu konuyu kişisel veri ihlali durumunda ne yapılmalı yazımızda anlattık.

Sonuç

KVKK uyumlu bir web sitesi, hukuki metinlerle yazılımın aynı dili konuştuğu sitedir. Formda istenen her alanın bir amacı, her çerezin bir dayanağı, her kaydın bir saklama süresi ve her yönetici hesabının sınırlı bir yetkisi olmalıdır. Bu yapıyı sonradan eklemek yerine tasarım ve geliştirme aşamasında kurmak hem daha az maliyetli hem de daha güvenilirdir. Formlarınızı, çerez yönetimini ve yönetim panelinizi bu ilkelere göre kurgulamak için kurumsal web tasarım hizmetimizi, veri akışı daha karmaşık projeler için ise özel yazılım geliştirme sayfamızı inceleyebilirsiniz. Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez; metinlerinizi hazırlarken bir hukuk danışmanından destek almanızı öneririz. Projenizi bize anlatın, teknik tarafı birlikte planlayalım.