KVKK-yhteensopiva verkkosivusto ja evästeiden hallinta
Käymme läpi KVKK-yhteensopivan (Turkin tietosuojalaki, vertailukelpoinen GDPR:n kanssa) verkkosivuston yleiset puitteet: tietosuojaseloste, evästeilmoitus, suostumus ja lomakeluvat; suosittelemme oikeudellista tarkastusta.
Aurora YazılımToimitustiimi
6 min lukuaika
KVKK-yhteensopiva verkkosivusto kertoo kävijälle selvästi, mitä henkilötietoja se kerää: se sisältää saavutettavan tietosuojaselosteen, evästeilmoituksen, joka pyytää ennakkosuostumuksen muille kuin välttämättömille evästeille, tarvittaessa erillisen suostumusasiakirjan ja lomakkeet, jotka kysyvät vain tarvittavia kenttiä. Tiedot siirretään suojatulla yhteydellä, säilytysajat määritetään ja pyyntöihin vastataan.
Miksi KVKK koskee verkkosivustoja?
Turkin tietosuojalaki nro 6698 (Kişisel Verilerin Korunması Kanunu, KVKK, vertailukelpoinen GDPR:n kanssa) pitää henkilötietona kaikkea tietoa, joka yksilöi luonnollisen henkilön tai tekee hänet yksilöitäväksi. Nimi, puhelinnumero, sähköpostiosoite, IP-osoite ja evästeisiin yhdistyvät selaintunnisteet kuuluvat tähän määritelmään.
Jos verkkosivusto käyttää yhteydenottolomaketta, tarjouslomaketta, uutiskirjeen tilausta, live-tukea, analytiikkatyökalua tai mainospikseliä, se käsittelee henkilötietoja. Tällöin sivuston omistaja on rekisterinpitäjä, ja hänelle syntyy velvollisuus tiedottaa kävijälle.
Tämä artikkeli on tarkoitettu yleiseksi tiedoksi. Velvoitteet voivat vaihdella alasi, käsittelemiesi tietotyyppien ja yhteistyökumppaniesi mukaan; tarkista ajantasainen lainsäädäntö ja lakineuvojasi näkemys. Henkilötietojen suojelun viranomaisen julkaisemat oppaat ovat myös vankka lähtökohta. Jos suunnittelet uusia yrityksen kotisivuja, tämän työn tekeminen ennen suunnittelun alkua on edullisin tapa.
Mitä henkilötietoja sivustolla kerätään?
Vaatimustenmukaisuuden ensimmäinen vaihe on inventaarion laatiminen. Oikeaa tekstiä ei voi laatia, ellei kirjata, mitä tietoa sivustollasi kerätään, mistä kohdasta ja mihin tarkoitukseen. Useimmat yritykset ajattelevat vain lomaketta, mutta myös taustalla toimivat kolmannen osapuolen työkalut keräävät tietoa.
| Keräyspiste | Tyypillinen tieto | Huomioitavaa |
|---|---|---|
| Yhteydenotto- / tarjouslomake | Nimi, puhelin, sähköposti, viesti | Kysyttävä vain tarvittavat kentät |
| Uutiskirjeen tilaus | Sähköpostiosoite | Kaupallisen viestinnän suostumus on pyydettävä erikseen |
| Analytiikkatyökalu | Evästetunniste, IP, käyttäytymisdata | Ei-välttämätön eväste; suostumus tarvitaan |
| Mainospikseli | Evästetunniste, konversiodata | Ei saa toimia ennen suostumusta |
| Live-tuki / WhatsApp | Nimi, puhelin, viestinnän sisältö | Mainittava tietosuojaselosteessa |
| Palvelinlokit | IP-osoite, käyttöaika | Säilytysaika on määritettävä |
Mitä tietosuojaselosteen pitää sisältää?
Tietosuojaseloste on tiedote, joka annetaan kävijälle tietoja kerättäessä, eikä se vaadi suostumusta; riittää, että se on luettavissa ja saavutettavissa. Se on yleensä sivuston alaosassa ja jokaisen lomakkeen vieressä linkkinä.
Tekstin ei tarvitse venyä juristikielellä. Kävijän ymmärtämät selkeät lauseet sekä herättävät luottamusta että noudattavat lain edellyttämää selkeyden periaatetta.
Sijoittelu on yhtä tärkeä kuin sisältö. Lomakkeen alapuolella tulee olla selkeä linkki, kuten “Henkilötietojen käsittelyä koskeva tietosuojaseloste”; linkin tulee aueta uudessa välilehdessä eikä aiheuttaa sitä, että kävijä menettää täyttämänsä tiedot. Se, että teksti on luettavissa myös mobiilinäytöllä, vakuuttaa paljon enemmän kuin pienellä fontilla kirjoitettu ja ahdas sivu.
Myös rekisteröidyn hakemusoikeus on sidottava konkreettiseen kanavaan. Kävijän on tiedettävä, mihin kirjoittaa, kun hän haluaa tietojensa poistamista tai oikaisemista; yrityksen on myös voitava seurata nämä pyynnöt ja vastata niihin laissa säädetyssä ajassa.
- Rekisterinpitäjän henkilöllisyys ja yhteystiedot
- Mihin tarkoitukseen tietoja käsitellään
- Keille ja mihin tarkoitukseen tietoja voidaan siirtää
- Keräystapa ja oikeusperuste
- Rekisteröidyn laista johtuvat oikeudet ja hakemustie
Miten evästeilmoitus otetaan käyttöön?
Evästeet jaetaan sivuston toiminnan kannalta tarvittaviin sekä analytiikkaan, personointiin tai mainontaan käytettäviin. Viranomaisen evästeoppaan mukaan välttämättömille evästeille ei vaadita suostumusta, mutta muita evästeitä ei saa ottaa käyttöön ennen kävijän suostumusta.
Yleisin virhe on näyttää ilmoitus mutta ladata analytiikka- ja mainoskoodit heti sivun avautuessa. Oikeassa asennuksessa nämä koodit aktivoituvat suostumuksen jälkeen; jos kävijä kieltäytyy, niitä ei ladata lainkaan.
Hyvän evästeikkunan ominaisuudet
- Hyväksy- ja hylkää-vaihtoehtojen tulee olla yhtä näkyviä
- Valinta on voitava tehdä luokittain (analytiikka, markkinointi)
- Ennalta valittua ruutua ei saa käyttää
- Kävijän on voitava muuttaa valintansa myöhemmin helposti
- Ikkuna ei saa tehdä sivun sisältöä käyttökelvottomaksi
Evästekäytännön sivu
Evästeikkunan rinnalla on yksityiskohtainen evästekäytäntö-sivu. Tällä sivulla luetellaan käytettyjen evästeiden tyyppi, tarkoitus, säilytysaika ja se, minkä kolmannen osapuolen ne ovat; luetteloa päivitetään aina, kun lisätään uusi työkalu.
Milloin nimenomainen suostumus tarvitaan?
Nimenomainen suostumus on tiettyyn asiaan liittyvä, tietoon perustuva ja vapaasta tahdosta annettu hyväksyntä. Jos laissa mainittua muuta oikeusperustetta (kuten sopimuksen tekeminen, lakisääteinen velvoite, oikeutettu etu) ei ole, tietojen käsittelyyn tarvitaan nimenomainen suostumus.
Tärkeä sääntö: nimenomaista suostumusta ei saa tehdä palvelun ennakkoehdoksi. Kävijän pakottaminen markkinointilupaan lomakkeen lähettämiseksi on vastoin periaatetta, jonka mukaan suostumus annetaan vapaasta tahdosta. Tietosuojaselostetta ja suostumusasiakirjaa ei myöskään pidä yhdistää samaan ruutuun.
Uutiskirjeisiin ja kampanjaviesteihin sovelletaan lisäksi sähköistä kaupallista viestintää koskevaa lainsäädäntöä. Selvitä myös lakineuvojasi kanssa, miten nämä suostumukset pyydetään ja tallennetaan.
Lomakkeet ja tietoturva
Vaatimustenmukaisuus ei koostu pelkistä teksteistä; laki edellyttää rekisterinpitäjän ottavan tietojen turvaamiseksi tekniset ja hallinnolliset toimenpiteet. Verkkosivuston puolella suurin osa näistä toimenpiteistä rakennetaan verkkosivusuunnittelun ja ohjelmistokehityksen vaiheessa; jälkikäteen lisääminen on sekä vaikeaa että kallista.
Heikot paneelisalasanat tekevät merkityksettömäksi parhaankin tekstin. Hallintatileille vahvan salasanan luomisen tapa ja työntekijöiden tietoisuuden lisääminen väärennettyjä sähköposteja vastaan phishing-hyökkäysten tunnistamisen koulutuksella kuuluvat perustoimenpiteisiin.
- HTTPS ja voimassa oleva SSL-varmenne kaikilla sivuilla
- Tietojen minimointi lomakkeissa: ei kysytä kenttiä, jotka eivät ole tarpeen tarkoitukseen
- Lomaketietojen välittäminen salatulla yhteydellä ja säilyttäminen luvattomalta pääsyltä suljettuna
- Hallintapaneelin käytön rajaaminen henkilökohtaisesti ja kaksivaiheisella tunnistautumisella
- Vanhojen hakemusten poistaminen määritetyn ajan kuluttua
Kolmannen osapuolen työkalut ja siirrot
Useimmat analytiikka-, kartta-, video-, chat- ja mainostyökalut lähettävät dataa ulkomailla oleville palvelimille. KVKK:n ulkomaille tapahtuvaa tietojensiirtoa koskevia säännöksiä muutettiin 2024; on arvioitava asiantuntijan kanssa, mikä siirtomekanismi sopii sinulle.
Käytännöllinen lähestymistapa on poistaa sivustolta jokainen työkalu, jota ei oikeasti käytetä. Tämä vaihe sekä vähentää vaatimustenmukaisuuden taakkaa että tekee sivusta nopeamman; vähemmän kolmannen osapuolen koodia tarkoittaa vähemmän tietovirtoja. Kevyt ja siisti koodirakenne on etu myös hakukoneystävällisen verkkosivusuunnittelun kannalta. Kun mainonnan ja mittauksen rakenne käsitellään yhdessä digimarkkinoinnin suunnitelman kanssa, molemmat puolet tasapainottuvat.
Vaatimustenmukaisuuden tarkistuslista
Voit käydä nykyisen sivustosi läpi alla olevassa järjestyksessä. Jokainen vaihe muodostaa perustan seuraavalle. Laajemmasta tietoturvakehyksestä voit lukea myös artikkelistamme tietoturvatoimenpiteet.
- Listaa kaikki sivuston tiedonkeräyspisteet ja kolmannen osapuolen koodit
- Määritä jokaiselle tarkoitus, oikeusperuste ja säilytysaika
- Teetä tietosuojaseloste ja evästekäytäntö selkeällä kielellä
- Ota evästeikkuna käyttöön niin, ettei koodeja ladata ennen suostumusta
- Poista lomakkeiden tarpeettomat kentät ja erota valintaruudut
- Varmista tekniset toimenpiteet, kuten HTTPS, paneelin käyttö ja varmuuskopiointi
- Avaa sähköposti- tai lomakekanava rekisteröityjen pyyntöjä varten
- Päivitä tekstit ja evästeluettelo säännöllisin väliajoin
Usein kysytyt kysymykset
01Koskeeko KVKK myös pienen yrityksen sivustoa?
Kyllä. Laki ei katso yrityksen kokoa vaan sitä, käsitelläänkö henkilötietoja. Jo yhteydenottolomake tai analytiikkatyökalu synnyttää tiedottamisvelvoitteen; jotkin velvoitteet, kuten VERBİS-rekisteröinti, riippuvat lisäksi erikseen tietyistä ehdoista.
02Riittääkö valmiin evästetekstin kopioiminen?
Ei riitä. Tekstin on kuvattava evästeet ja työkalut, joita sivustollasi todella käytetään. Toiselta sivustolta otettu teksti voi sisältää sekä puutteellista että virheellistä tietoa.
03Voinko estää evästesuostumusta antamattoman kävijän pääsyn sivustolle?
Ei-välttämättömät evästeet hylkäävän kävijän odotetaan voivan käyttää sivustoa. Suostumuksen tekeminen sivustolle pääsyn ehdoksi voi olla ristiriidassa periaatteen kanssa, jonka mukaan suostumus annetaan vapaasta tahdosta; kysy omasta tilanteestasi lakineuvojaltasi.
04Kenen pitäisi laatia tietosuojaseloste?
Tekstin sisältö on oikeudellinen arvio, ja sen laatimista suositellaan asianajajan tai KVKK-konsultin tehtäväksi. Ohjelmistotiimi puolestaan antaa tälle työlle aineistoa raportoimalla täydellisesti, mitä tietoja kerätään mihinkin ja mitkä työkalut toimivat.
KVKK-vaatimustenmukaisuus rakentuu oikealla inventaariolla, selkeillä teksteillä, suostumuksen jälkeen toimivilla evästeillä ja vankoilla teknisillä toimenpiteillä. Aurora Yazılım suunnittelee yrityksen kotisivut -projekteissa evästesuostumuksen, lomakeluvat ja tekstien sijoittelun alusta asti ja suosittelee, että asiantuntija tarkistaa oikeudelliset tekstit. Voit ottaa meihin yhteyttä yhteydenottosivultamme, kun haluat käydä sivustosi läpi yhdessä.
