KVKK Uyumlu Web Sitesi ve Çerez Yönetimi
Aydınlatma metni, çerez bildirimi, açık rıza ve iletişim formu izinleriyle KVKK uyumlu bir web sitesinin genel çerçevesini anlatıyor; hukuki inceleme öneriyoruz.
Aurora YazılımEditör ekibi
6 dk okuma
KVKK uyumlu web sitesi, topladığı kişisel veriyi ziyaretçiye açıkça bildirir: erişilebilir bir aydınlatma metni, zorunlu olmayan çerezler için önceden onay alan bir çerez bildirimi, gerektiğinde ayrı bir açık rıza metni ve yalnız gereken alanları soran formlar içerir. Veriler güvenli bağlantıyla taşınır, saklama süreleri belirlenir ve başvurular yanıtlanır.
KVKK Web Sitelerini Neden İlgilendirir?
6698 sayılı Kişisel Verilerin Korunması Kanunu, bir gerçek kişiyi tanımlayan ya da tanımlanabilir kılan her bilgiyi kişisel veri sayar. Ad, telefon, e-posta adresi, IP adresi ve çerezlerle eşleşen tarayıcı kimlikleri bu tanımın içine girer.
Bir web sitesi iletişim formu, teklif formu, bülten kaydı, canlı destek, analiz aracı ya da reklam pikseli kullanıyorsa kişisel veri işliyor demektir. Bu durumda site sahibi veri sorumlusu konumundadır ve ziyaretçiyi bilgilendirme yükümlülüğü doğar.
Bu yazı genel bilgilendirme amaçlıdır. Sektörünüze, işlediğiniz veri türüne ve iş ortaklarınıza göre yükümlülükler değişebilir; güncel mevzuatı ve hukuk danışmanınızı kontrol edin. Kişisel Verileri Koruma Kurumu'nun yayımladığı rehberler de sağlam bir başlangıç noktasıdır. Yeni bir kurumsal web sitesi planlıyorsanız bu çalışmayı tasarım başlamadan yapmak en az maliyetli yoldur.
Sitede Hangi Kişisel Veriler Toplanır?
Uyumun ilk adımı envanter çıkarmaktır. Sitenizde hangi verinin, hangi noktadan, hangi amaçla toplandığını yazıya dökmeden doğru bir metin hazırlanamaz. Çoğu işletme yalnız formu düşünür; oysa arka planda çalışan üçüncü taraf araçlar da veri toplar.
| Toplama noktası | Tipik veri | Dikkat edilecek nokta |
|---|---|---|
| İletişim / teklif formu | Ad, telefon, e-posta, mesaj | Yalnız gereken alanlar sorulmalı |
| Bülten kaydı | E-posta adresi | Ticari ileti onayı ayrıca alınmalı |
| Analiz aracı | Çerez kimliği, IP, davranış verisi | Zorunlu olmayan çerez; onay gerekir |
| Reklam pikseli | Çerez kimliği, dönüşüm verisi | Onaydan önce çalışmamalı |
| Canlı destek / WhatsApp | Ad, telefon, yazışma içeriği | Aydınlatma metninde anılmalı |
| Sunucu kayıtları | IP adresi, erişim zamanı | Saklama süresi belirlenmeli |
Aydınlatma Metni Neleri İçermeli?
Aydınlatma metni, veri toplanırken ziyaretçiye verilen bilgilendirmedir ve onay gerektirmez; yalnız okunabilir ve erişilebilir olması yeterlidir. Genellikle sitenin alt bölümünde ve her formun yanında link olarak yer alır.
Metnin hukukçu diliyle uzayıp gitmesi gerekmez. Ziyaretçinin anlayacağı sade cümleler, hem güven verir hem de kanunun aradığı açıklık ilkesine uygundur.
Yerleşim de en az içerik kadar önemlidir. Formun hemen altında “Kişisel verilerinizin işlenmesine ilişkin aydınlatma metni” gibi açık bir bağlantı bulunmalı, bu bağlantı yeni sekmede açılmalı ve ziyaretçinin doldurduğu bilgileri kaybetmesine yol açmamalıdır. Metnin mobil ekranda da rahat okunması, küçük puntolu ve sıkışık bir sayfadan çok daha ikna edicidir.
İlgili kişinin başvuru hakkı da somut bir kanala bağlanmalıdır. Ziyaretçi verisinin silinmesini ya da düzeltilmesini istediğinde nereye yazacağını bilmeli; işletme de bu başvuruları takip edip kanunda öngörülen süre içinde yanıtlayabilmelidir.
- Veri sorumlusunun kimliği ve iletişim bilgileri
- Verilerin hangi amaçla işlendiği
- Verilerin kimlere ve hangi amaçla aktarılabileceği
- Toplama yöntemi ve hukuki sebep
- İlgili kişinin kanundan doğan hakları ve başvuru yolu
Çerez Bildirimi Nasıl Kurulur?
Çerezler; sitenin çalışması için gerekenler ve analiz, kişiselleştirme ya da reklam için kullanılanlar olarak ikiye ayrılır. Kurumun çerez rehberine göre zorunlu çerezler için onay aranmazken, diğer çerezler ziyaretçinin onayından önce çalıştırılmamalıdır.
Burada en sık yapılan hata, bildirimi göstermek ama analiz ve reklam kodlarını sayfa açılır açılmaz yüklemektir. Doğru kurulumda bu kodlar onaydan sonra devreye girer; ziyaretçi reddederse hiç yüklenmez.
İyi Bir Çerez Penceresinin Özellikleri
- Kabul et ve reddet seçenekleri aynı görünürlükte olmalı
- Kategori bazında seçim (analiz, pazarlama) yapılabilmeli
- Önceden işaretlenmiş onay kutusu kullanılmamalı
- Ziyaretçi tercihini sonradan kolayca değiştirebilmeli
- Pencere sayfa içeriğini kullanılamaz hale getirmemeli
Çerez Politikası Sayfası
Çerez penceresinin yanında ayrıntılı bir çerez politikası sayfası bulunur. Bu sayfada kullanılan çerezlerin türü, amacı, saklama süresi ve hangi üçüncü tarafa ait olduğu listelenir; yeni bir araç eklendikçe liste güncellenir.
Açık Rıza Ne Zaman Gerekir?
Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onaydır. Kanunda sayılan başka bir hukuki sebep (sözleşmenin kurulması, hukuki yükümlülük, meşru menfaat gibi) yoksa veri işlemek için açık rıza gerekir.
Önemli bir kural: açık rıza bir hizmetin ön şartı yapılmamalıdır. Formu göndermek için ziyaretçiyi pazarlama iznine zorlamak, rızanın özgür iradeyle verilmesi ilkesine aykırı düşer. Aydınlatma metni ile açık rıza metni de aynı kutuda birleştirilmemelidir.
Bülten ve kampanya mesajları için ayrıca ticari elektronik ileti mevzuatı devreye girer. Bu onayların nasıl alınacağını ve kaydedileceğini de hukuk danışmanınızla birlikte netleştirin.
Formlar ve Veri Güvenliği
Uyum yalnız metinlerden ibaret değildir; kanun, veri sorumlusundan verilerin güvenliğini sağlamak için teknik ve idari tedbirler almasını bekler. Web sitesi tarafında bu tedbirlerin çoğu web tasarımı ve yazılım aşamasında kurulur; sonradan eklemek hem zor hem maliyetlidir.
Panel şifrelerinin zayıf olması, en iyi hazırlanmış metni bile anlamsız kılar. Yönetici hesapları için güçlü şifre oluşturma alışkanlığı ve çalışanları sahte e-postalara karşı bilinçlendirmek için phishing saldırılarını tanıma eğitimi temel önlemler arasındadır.
- Tüm sayfalarda HTTPS ve geçerli SSL sertifikası
- Formlarda veri minimizasyonu: amaca yetmeyen alan sorulmaz
- Form verisinin şifreli bağlantıyla iletilmesi ve yetkisiz erişime kapalı saklanması
- Yönetim paneline erişimin kişi bazında ve iki adımlı doğrulamayla sınırlanması
- Eski başvuruların belirlenen süre sonunda silinmesi
Üçüncü Taraf Araçlar ve Aktarım
Analiz, harita, video, sohbet ve reklam araçlarının çoğu yurt dışındaki sunuculara veri gönderir. KVKK'da yurt dışına veri aktarımına ilişkin hükümler 2024'te değiştirildi; hangi aktarım mekanizmasının sizin için uygun olduğunu bir uzmanla değerlendirmek gerekir.
Pratik bir yaklaşım, gerçekten kullanılmayan her aracı siteden kaldırmaktır. Bu adım hem uyum yükünü azaltır hem de sayfanın daha hızlı açılmasını sağlar; daha az üçüncü taraf kodu, daha az veri akışı demektir. Hafif ve temiz kod yapısı, SEO uyumlu web tasarımı açısından da avantaj sağlar. Reklam ve ölçüm kurgusunu dijital pazarlama planınızla birlikte ele almak iki tarafı da dengeler.
Uyum Kontrol Listesi
Mevcut sitenizi gözden geçirirken aşağıdaki sırayı izleyebilirsiniz. Her adım, bir sonrakinin dayanağını oluşturur. Daha geniş güvenlik çerçevesi için siber güvenlik önlemleri yazımıza da göz atabilirsiniz.
- Sitedeki tüm veri toplama noktalarını ve üçüncü taraf kodları listeleyin
- Her biri için amaç, hukuki sebep ve saklama süresini belirleyin
- Aydınlatma metnini ve çerez politikasını sade dille hazırlatın
- Çerez penceresini, onaydan önce kod yüklemeyecek şekilde kurun
- Formlardaki gereksiz alanları kaldırın, onay kutularını ayırın
- HTTPS, panel erişimi ve yedekleme gibi teknik tedbirleri doğrulayın
- İlgili kişi başvuruları için bir e-posta ya da form kanalı açın
- Metinleri ve çerez listesini düzenli aralıklarla güncelleyin
Sık Sorulan Sorular
01Küçük bir işletmenin sitesi için de KVKK geçerli mi?
Evet. Kanun işletmenin büyüklüğüne değil, kişisel veri işlenip işlenmediğine bakar. Bir iletişim formu ya da analiz aracı bile aydınlatma yükümlülüğünü doğurur; VERBİS kaydı gibi bazı yükümlülükler ise ayrıca belirli koşullara bağlıdır.
02Hazır bir çerez metnini kopyalamak yeterli mi?
Yeterli değildir. Metin, sizin sitenizde gerçekten kullanılan çerezleri ve araçları anlatmalıdır. Başka bir siteden alınan metin hem eksik hem de yanlış bilgi içerebilir.
03Çerez onayı vermeyen ziyaretçiyi siteden engelleyebilir miyim?
Zorunlu olmayan çerezleri reddeden ziyaretçinin siteyi kullanabilmesi beklenir. Onayı siteye giriş şartı yapmak, rızanın özgür iradeyle verilmesi ilkesiyle çelişebilir; kendi durumunuz için hukuk danışmanınıza sorun.
04Aydınlatma metnini kim hazırlamalı?
Metnin içeriği hukuki bir değerlendirmedir ve bir avukat ya da KVKK danışmanı tarafından hazırlanması önerilir. Yazılım ekibi ise hangi verilerin nerede toplandığını ve hangi araçların çalıştığını eksiksiz raporlayarak bu çalışmaya veri sağlar.
KVKK uyumu; doğru envanter, sade metinler, onaydan sonra çalışan çerezler ve sağlam teknik tedbirlerle kurulur. Aurora Yazılım olarak kurumsal web sitesi projelerinde çerez onayını, form izinlerini ve metinlerin yerleşimini baştan planlıyor, hukuki metinlerin uzman tarafından incelenmesini öneriyoruz. Sitenizi birlikte gözden geçirmek için iletişim sayfamızdan bize ulaşabilirsiniz.
