KVKK-anpassad webbplats och cookiehantering
Vi går igenom ramen för en KVKK-anpassad webbplats (den turkiska dataskyddslagen, jämförbar med GDPR) med informationstext, cookiemeddelande, samtycke och formulärtillstånd, och rekommenderar juridisk granskning.
Aurora YazılımRedaktionen
6 min läsning
En KVKK-anpassad webbplats informerar tydligt besökaren om vilka personuppgifter som samlas in: en tillgänglig informationstext, ett cookiemeddelande som inhämtar samtycke i förväg för icke nödvändiga cookies, vid behov en separat text om uttryckligt samtycke samt formulär som bara frågar efter de fält som behövs. Uppgifterna överförs över en säker anslutning, lagringstider fastställs och ansökningar besvaras.
Varför berör KVKK webbplatser?
Lag nr 6698 om skydd av personuppgifter (KVKK, den turkiska dataskyddslagen, jämförbar med GDPR) räknar som personuppgift all information som identifierar eller gör en fysisk person identifierbar. Namn, telefon, e-postadress, IP-adress och webbläsar-ID som kopplas till cookies omfattas av definitionen.
Om en webbplats använder kontaktformulär, offertformulär, nyhetsbrevsregistrering, livechatt, analysverktyg eller annonspixlar behandlar den personuppgifter. Då är webbplatsens ägare personuppgiftsansvarig och har en skyldighet att informera besökaren.
Det här inlägget är av allmänt informativ karaktär. Skyldigheterna varierar med bransch, vilken typ av data du behandlar och dina samarbetspartner; kontrollera gällande lagstiftning och rådgör med din juridiska rådgivare. De vägledningar som den turkiska tillsynsmyndigheten för personuppgifter har publicerat är också en bra utgångspunkt. Planerar du en ny företagswebbplats är det billigast att göra det här arbetet innan designen startar.
Vilka personuppgifter samlas in på webbplatsen?
Första steget mot efterlevnad är att ta fram en inventering. Utan att skriva ner vilka uppgifter som samlas in, var, och i vilket syfte, går det inte att ta fram en korrekt text. De flesta företag tänker bara på formuläret, men tredjepartsverktyg som arbetar i bakgrunden samlar också in data.
| Insamlingspunkt | Typiska uppgifter | Att tänka på |
|---|---|---|
| Kontakt-/offertformulär | Namn, telefon, e-post, meddelande | Fråga bara efter de fält som behövs |
| Nyhetsbrevsregistrering | E-postadress | Samtycke till kommersiella meddelanden ska inhämtas separat |
| Analysverktyg | Cookie-ID, IP, beteendedata | Icke nödvändig cookie; kräver samtycke |
| Annonspixel | Cookie-ID, konverteringsdata | Får inte köras före samtycke |
| Livechatt / WhatsApp | Namn, telefon, konversationens innehåll | Ska nämnas i informationstexten |
| Serverloggar | IP-adress, åtkomsttid | Lagringstid ska fastställas |
Vad ska informationstexten innehålla?
Informationstexten är det meddelande som besökaren får när uppgifter samlas in. Den kräver inget samtycke, det räcker att den är läsbar och tillgänglig. Den finns oftast längst ned på webbplatsen och som länk vid varje formulär.
Texten behöver inte dra ut på tiden med juristspråk. Enkla meningar som besökaren förstår skapar förtroende och uppfyller lagens krav på tydlighet.
Placeringen är minst lika viktig som innehållet. Direkt under formuläret bör det finnas en tydlig länk som »Information om behandling av dina personuppgifter«, länken bör öppnas i en ny flik och får inte göra att besökaren förlorar det hen har fyllt i. Att texten är bekväm att läsa även på mobilskärmen är mycket mer övertygande än en trång sida med liten stil.
Den registrerades rätt att ansöka bör också knytas till en konkret kanal. Besökaren ska veta vart hen ska skriva för att begära radering eller rättelse av sina uppgifter, och verksamheten ska kunna följa upp ansökningarna och besvara dem inom den tid som lagen föreskriver.
- Den personuppgiftsansvariges identitet och kontaktuppgifter
- För vilket syfte uppgifterna behandlas
- Till vilka och i vilket syfte uppgifterna kan överföras
- Insamlingsmetod och rättslig grund
- Den registrerades rättigheter enligt lag och hur man ansöker
Hur sätter man upp ett cookiemeddelande?
Cookies delas in i sådana som behövs för att webbplatsen ska fungera och sådana som används för analys, personalisering eller annonsering. Enligt myndighetens cookievägledning krävs inget samtycke för nödvändiga cookies, medan övriga cookies inte får köras innan besökaren har samtyckt.
Det vanligaste felet här är att visa meddelandet men ladda analys- och annonskoderna så fort sidan öppnas. Vid en korrekt installation aktiveras de här koderna efter samtycket; om besökaren avböjer laddas de aldrig.
Egenskaper hos en bra cookiedialog
- Alternativen godkänn och avvisa ska vara lika synliga
- Det ska gå att välja per kategori (analys, marknadsföring)
- Ingen förifylld kryssruta får användas
- Besökaren ska enkelt kunna ändra sitt val i efterhand
- Dialogen får inte göra sidans innehåll oanvändbart
Sida för cookiepolicy
Vid sidan av cookiedialogen finns en detaljerad sida med cookiepolicy. Där listas vilka typer av cookies som används, deras syfte, lagringstid och vilken tredje part de tillhör; listan uppdateras varje gång ett nytt verktyg läggs till.
När krävs uttryckligt samtycke?
Uttryckligt samtycke är ett medgivande som avser en viss fråga, bygger på information och lämnas av fri vilja. Om det inte finns någon annan rättslig grund som anges i lagen (till exempel ingående av avtal, rättslig förpliktelse eller berättigat intresse) krävs uttryckligt samtycke för att behandla uppgifter.
En viktig regel: uttryckligt samtycke får inte göras till ett villkor för en tjänst. Att tvinga besökaren att godkänna marknadsföring för att kunna skicka formuläret strider mot principen att samtycke ska lämnas av fri vilja. Informationstexten och samtyckestexten bör inte heller slås ihop i samma ruta.
För nyhetsbrev och kampanjmeddelanden tillkommer dessutom reglerna om kommersiella elektroniska meddelanden. Klargör också tillsammans med din juridiska rådgivare hur de här samtyckena ska inhämtas och sparas.
Formulär och datasäkerhet
Efterlevnad handlar inte bara om texter; lagen förväntar sig att den personuppgiftsansvarige vidtar tekniska och organisatoriska åtgärder för att skydda uppgifterna. På webbplatsen byggs de flesta av de här åtgärderna in under webbdesign- och utvecklingsfasen; att lägga till dem i efterhand är både svårt och dyrt.
Svaga lösenord till panelen gör även den bäst utformade text meningslös. Vanan att skapa starka lösenord för administratörskonton och utbildning i att känna igen nätfiskeattacker för att göra medarbetarna medvetna om falska mejl hör till de grundläggande åtgärderna.
- HTTPS och giltigt SSL-certifikat på alla sidor
- Dataminimering i formulär: fråga inte efter fält som inte behövs för syftet
- Formulärdata skickas över krypterad anslutning och lagras utan åtkomst för obehöriga
- Åtkomsten till adminpanelen begränsas per person och med tvåstegsverifiering
- Gamla ansökningar raderas efter den fastställda tiden
Tredjepartsverktyg och överföring
De flesta verktyg för analys, kartor, video, chatt och annonsering skickar data till servrar utomlands. Bestämmelserna i KVKK om överföring av data utomlands ändrades 2024; vilken överföringsmekanism som passar dig bör bedömas tillsammans med en expert.
Ett praktiskt angreppssätt är att ta bort alla verktyg som inte används på riktigt från webbplatsen. Det minskar både efterlevnadsbördan och gör att sidan laddar snabbare; mindre tredjepartskod innebär färre dataflöden. En lätt och ren kodstruktur ger också fördelar för SEO-anpassad webbdesign. Genom att hantera annonsering och mätning tillsammans med din plan för digital marknadsföring blir båda sidor i balans.
Checklista för efterlevnad
När du går igenom din befintliga webbplats kan du följa ordningen nedan. Varje steg utgör grunden för nästa. För ett bredare säkerhetsperspektiv kan du också titta på vårt inlägg om cybersäkerhetsåtgärder.
- Lista alla insamlingspunkter för data och all tredjepartskod på webbplatsen
- Fastställ syfte, rättslig grund och lagringstid för var och en
- Låt ta fram informationstexten och cookiepolicyn på enkelt språk
- Ställ in cookiedialogen så att ingen kod laddas före samtycke
- Ta bort onödiga fält i formulären och separera kryssrutorna för samtycke
- Kontrollera tekniska åtgärder som HTTPS, panelåtkomst och säkerhetskopiering
- Öppna en e-post- eller formulärkanal för ansökningar från registrerade
- Uppdatera texterna och cookielistan med jämna mellanrum
Vanliga frågor
01Gäller KVKK även för ett litet företags webbplats?
Ja. Lagen ser inte på företagets storlek utan på om personuppgifter behandlas. Redan ett kontaktformulär eller ett analysverktyg ger upphov till informationsskyldighet; vissa skyldigheter, som registrering i VERBİS (det turkiska registret över personuppgiftsansvariga), är dessutom knutna till särskilda villkor.
02Räcker det att kopiera en färdig cookietext?
Nej. Texten måste beskriva de cookies och verktyg som faktiskt används på din webbplats. En text som är hämtad från en annan webbplats kan innehålla både ofullständig och felaktig information.
03Kan jag blockera besökare som inte godkänner cookies?
Besökare som avböjer icke nödvändiga cookies förväntas ändå kunna använda webbplatsen. Att göra samtycke till ett villkor för åtkomst kan strida mot principen att samtycke ska lämnas av fri vilja; fråga din juridiska rådgivare om din egen situation.
04Vem ska ta fram informationstexten?
Textens innehåll är en juridisk bedömning och bör tas fram av en advokat eller en KVKK-rådgivare. Utvecklingsteamet bidrar med underlag genom att fullständigt rapportera vilka uppgifter som samlas in var och vilka verktyg som körs.
KVKK-efterlevnad bygger på en korrekt inventering, enkla texter, cookies som körs efter samtycke och solida tekniska åtgärder. Hos Aurora Yazılım planerar vi cookiesamtycke, formulärtillstånd och textplacering från början i projekt för företagswebbplatser, och vi rekommenderar att de juridiska texterna granskas av en expert. Kontakta oss om du vill gå igenom din webbplats tillsammans med oss.
