KVKK-tilpasset nettside og cookiehåndtering
Vi forklarer det generelle rammeverket for en nettside i tråd med KVKK (det tyrkiske personvernregelverket, sammenlignbart med GDPR): personvernerklæring, cookie-varsel, samtykke og skjematillatelser. Vi anbefaler juridisk gjennomgang.
Aurora YazılımRedaksjonen
6 min lesetid
En KVKK-tilpasset nettside forteller besøkende tydelig hvilke personopplysninger den samler inn: den har en tilgjengelig personvernerklæring, et cookie-varsel som innhenter forhåndssamtykke til ikke-nødvendige cookies, en egen samtykketekst når det trengs, og skjemaer som bare spør etter feltene som trengs. Dataene overføres over sikker forbindelse, lagringstider fastsettes og henvendelser besvares.
Hvorfor angår KVKK nettsider?
Den tyrkiske loven om vern av personopplysninger nr. 6698 (KVKK), som tilsvarer GDPR, regner all informasjon som identifiserer eller kan identifisere en fysisk person som personopplysninger. Navn, telefon, e-postadresse, IP-adresse og nettleser-ID-er som kobles til cookies faller inn under denne definisjonen.
Bruker en nettside kontaktskjema, tilbudsskjema, nyhetsbrevpåmelding, live chat, analyseverktøy eller annonsepiksel, behandler den personopplysninger. Da er nettstedets eier i posisjon som behandlingsansvarlig, og det oppstår en plikt til å informere de besøkende.
Denne artikkelen er ment som generell informasjon. Forpliktelsene varierer etter bransje, typen data du behandler og samarbeidspartnere; kontroller gjeldende regelverk og juridisk rådgiver. Veiledningene som er utgitt av den tyrkiske personvernmyndigheten (Kişisel Verileri Koruma Kurumu) er også et godt utgangspunkt. Planlegger du en ny bedriftsnettside, er det billigst å gjøre dette arbeidet før designet starter.
Hvilke personopplysninger samles inn på nettsiden?
Første steg i etterlevelsen er å lage en oversikt. Uten å skrive ned hvilke data som samles inn hvor på nettsiden og til hvilket formål, kan du ikke lage en riktig tekst. De fleste bedrifter tenker bare på skjemaet, men tredjepartsverktøy som kjører i bakgrunnen samler også inn data.
| Innsamlingspunkt | Typiske data | Dette må du være oppmerksom på |
|---|---|---|
| Kontakt- / tilbudsskjema | Navn, telefon, e-post, melding | Spør bare etter feltene som trengs |
| Påmelding til nyhetsbrev | E-postadresse | Samtykke til kommersielle meldinger må innhentes separat |
| Analyseverktøy | Cookie-ID, IP, atferdsdata | Ikke-nødvendig cookie; samtykke kreves |
| Annonsepiksel | Cookie-ID, konverteringsdata | Skal ikke kjøre før samtykke |
| Live chat / WhatsApp | Navn, telefon, innholdet i samtalen | Skal nevnes i personvernerklæringen |
| Serverlogger | IP-adresse, tidspunkt for tilgang | Lagringstid må fastsettes |
Hva må personvernerklæringen inneholde?
Personvernerklæringen (i KVKK-sammenheng en egen informasjonstekst) er informasjonen som gis til den besøkende når data samles inn, og den krever ikke samtykke; det holder at den er lesbar og tilgjengelig. Vanligvis ligger den nederst på nettsiden og som lenke ved siden av hvert skjema.
Teksten trenger ikke dra ut i juristspråk. Enkle setninger som den besøkende forstår skaper tillit og er i tråd med prinsippet om åpenhet som loven krever.
Plasseringen er minst like viktig som innholdet. Rett under skjemaet bør det være en tydelig lenke som «Personvernerklæring om behandling av personopplysningene dine»; lenken bør åpne i en ny fane og ikke føre til at den besøkende mister informasjonen vedkommende har fylt ut. At teksten er lett å lese også på mobilskjerm er langt mer overbevisende enn en side med liten og trang skrift.
Den registrertes rett til å sende en henvendelse bør også knyttes til en konkret kanal. Den besøkende må vite hvor vedkommende skal skrive når dataene skal slettes eller rettes; virksomheten må kunne følge opp disse henvendelsene og svare innen fristen loven fastsetter.
- Identiteten og kontaktinformasjonen til den behandlingsansvarlige
- Formålet med behandlingen av dataene
- Hvem dataene kan overføres til og til hvilket formål
- Innsamlingsmetode og rettslig grunnlag
- Den registrertes rettigheter etter loven og fremgangsmåten for å henvende seg
Hvordan setter du opp cookie-varsel?
Cookies deles i to: de som trengs for at nettsiden skal fungere, og de som brukes til analyse, personalisering eller annonsering. Ifølge myndighetens cookie-veiledning kreves det ikke samtykke for nødvendige cookies, mens andre cookies ikke skal kjøres før den besøkende har samtykket.
Den vanligste feilen her er å vise varselet, men laste analyse- og annonsekodene med en gang siden åpnes. I et riktig oppsett trer disse kodene i kraft etter samtykke; avslår den besøkende, lastes de aldri.
Egenskaper ved et godt cookie-vindu
- Alternativene godta og avslå skal ha lik synlighet
- Man skal kunne velge per kategori (analyse, markedsføring)
- Det skal ikke brukes forhåndsmerkede avkrysningsbokser
- Den besøkende skal enkelt kunne endre valget sitt senere
- Vinduet skal ikke gjøre sideinnholdet ubrukelig
Side for cookiepolicy
Ved siden av cookie-vinduet finnes en detaljert side for cookiepolicy. På denne siden listes typen, formålet og lagringstiden for cookiene som brukes, og hvilken tredjepart de tilhører; listen oppdateres hver gang et nytt verktøy legges til.
Når trengs eksplisitt samtykke?
Eksplisitt samtykke er en tillatelse som gis om et bestemt forhold, basert på informasjon og av fri vilje. Finnes det ikke et annet rettslig grunnlag som loven nevner (som inngåelse av avtale, rettslig forpliktelse eller berettiget interesse), kreves det eksplisitt samtykke for å behandle data.
En viktig regel: eksplisitt samtykke skal ikke gjøres til en forutsetning for en tjeneste. Å tvinge den besøkende til å godta markedsføring for å sende skjemaet strider mot prinsippet om at samtykket skal gis av fri vilje. Personvernerklæringen og samtykketeksten bør heller ikke slås sammen i samme avkrysningsboks.
For nyhetsbrev og kampanjemeldinger kommer dessuten regelverket om kommersielle elektroniske meldinger inn. Avklar også sammen med juridisk rådgiver hvordan disse samtykkene innhentes og registreres.
Skjemaer og datasikkerhet
Etterlevelse består ikke bare av tekster; loven forventer at den behandlingsansvarlige tar tekniske og organisatoriske tiltak for å sikre dataene. På nettsiden settes de fleste av disse tiltakene opp i fasen for webdesign og programvare; å legge dem til i etterkant er både vanskelig og kostbart.
Svake passord i panelet gjør selv den best utformede teksten meningsløs. Vanen med å lage sterke passord for administratorkontoer og opplæring i å gjenkjenne phishing-angrep for å gjøre de ansatte bevisste på falske e-poster hører til de grunnleggende tiltakene.
- HTTPS og gyldig SSL-sertifikat på alle sider
- Dataminimering i skjemaer: det spørres ikke etter felt som ikke trengs for formålet
- Skjemadata overføres over kryptert forbindelse og lagres lukket for uautorisert tilgang
- Tilgang til administrasjonspanelet begrenses per person og med tofaktorautentisering
- Gamle henvendelser slettes etter den fastsatte tiden
Tredjepartsverktøy og overføring
De fleste verktøy for analyse, kart, video, chat og annonser sender data til servere i utlandet. Bestemmelsene i KVKK om overføring av data til utlandet ble endret i 2024; hvilken overføringsmekanisme som passer for deg, bør vurderes sammen med en ekspert.
En praktisk tilnærming er å fjerne alle verktøy som egentlig ikke brukes fra nettsiden. Det reduserer både byrden med etterlevelse og gjør at siden åpner raskere; mindre tredjepartskode betyr mindre datastrøm. En lett og ren kodestruktur er også en fordel for SEO-vennlig webdesign. Å se oppsettet for annonser og måling sammen med planen din for digital markedsføring gir balanse for begge sider.
Sjekkliste for etterlevelse
Når du går gjennom den eksisterende nettsiden din, kan du følge rekkefølgen under. Hvert steg danner grunnlaget for det neste. For et bredere sikkerhetsrammeverk kan du også se på artikkelen vår om tiltak for cybersikkerhet.
- List opp alle innsamlingspunkter for data og tredjepartskoder på nettsiden
- Fastsett formål, rettslig grunnlag og lagringstid for hver av dem
- La personvernerklæringen og cookiepolicyen utarbeides i et enkelt språk
- Sett opp cookie-vinduet slik at ingen kode lastes før samtykke
- Fjern unødvendige felt i skjemaene og skill avkrysningsboksene
- Bekreft tekniske tiltak som HTTPS, tilgang til panelet og sikkerhetskopiering
- Åpne en e-post- eller skjemakanal for henvendelser fra registrerte
- Oppdater tekstene og cookielisten med jevne mellomrom
Vanlige spørsmål
01Gjelder KVKK også for nettsiden til en liten bedrift?
Ja. Loven ser ikke på bedriftens størrelse, men på om det behandles personopplysninger. Selv et kontaktskjema eller et analyseverktøy skaper informasjonsplikt; enkelte forpliktelser, som registrering i VERBİS (det tyrkiske registeret over behandlingsansvarlige), er derimot knyttet til bestemte vilkår.
02Er det nok å kopiere en ferdig cookie-tekst?
Nei. Teksten må beskrive cookiene og verktøyene som faktisk brukes på din nettside. En tekst hentet fra en annen nettside kan inneholde både mangelfull og feil informasjon.
03Kan jeg blokkere besøkende som ikke gir cookie-samtykke?
Det forventes at en besøkende som avslår ikke-nødvendige cookies fortsatt kan bruke nettsiden. Å gjøre samtykket til et vilkår for å komme inn på nettsiden kan stride mot prinsippet om at samtykket skal gis av fri vilje; spør juridisk rådgiver om din egen situasjon.
04Hvem bør lage personvernerklæringen?
Innholdet i teksten er en juridisk vurdering, og det anbefales at den utarbeides av en advokat eller KVKK-rådgiver. Programvareteamet bidrar med data til dette arbeidet ved å rapportere fullstendig hvilke data som samles inn hvor og hvilke verktøy som kjører.
Etterlevelse av KVKK bygges med riktig oversikt, enkle tekster, cookies som kjører etter samtykke og solide tekniske tiltak. Som Aurora Yazılım planlegger vi cookie-samtykke, skjematillatelser og plassering av tekstene fra begynnelsen i prosjekter for bedriftsnettside, og vi anbefaler at de juridiske tekstene gjennomgås av en ekspert. Vil du gå gjennom nettsiden din sammen med oss, kan du ta kontakt via kontaktsiden.
