Web sitesi için KVKK yükümlülükleri: aydınlatma metni, çerezler ve formlar

Kısa cevap: iletişim formu, bülten aboneliği, üyelik ya da analiz aracı olan her web sitesi 6698 sayılı KVKK kapsamında kişisel veri işler. En azından bir aydınlatma metni, gerektiği yerde açık rıza ve zorunlu olmayan çerezler için onay mekanizması gerekir. Bu yazı genel bir rehberdir; işletmenize özel değerlendirme için bir hukukçuya danışmanızı öneririz.

Aydınlatma metni

Kişisel veri toplanan her noktada (formlar, üyelik, sipariş) kişiye; veri sorumlusunun kim olduğu, verinin hangi amaçla ve hangi hukuki sebeple işlendiği, kimlere aktarıldığı, ne kadar saklandığı ve kişinin KVKK 11. maddedeki hakları anlatılmalıdır. Metin sitede kolay erişilebilir olmalı ve formların yanında bağlantısı bulunmalıdır.

Açık rıza ne zaman gerekir?

Her veri işleme için açık rıza gerekmez. Bir talebe yanıt vermek veya sözleşme kurmak gibi işlemler kanundaki diğer hukuki sebeplere dayanabilir. Ancak pazarlama amaçlı iletişim gibi durumlarda açık rıza gerekir ve bu rıza hizmetin ön şartı yapılmamalıdır: örneğin bir dosyayı indirmek için bülten onayını zorunlu tutmak doğru değildir. Onay kutuları önceden işaretli olmamalıdır.

Çerezler

Sitenin çalışması için zorunlu çerezler için onay gerekmez; analiz, reklam ve kişiselleştirme çerezleri için ise kullanıcıdan önceden onay alınması beklenir. Çerez bandında "kabul et" kadar kolay bir "reddet" seçeneği olmalı, kullanıcı hangi çerezlere izin verdiğini görebilmelidir. Hiç analiz veya reklam çerezi kullanmıyorsanız çerez bandına da ihtiyacınız olmayabilir.

Yurt dışına veri aktarımı

Form servisleri, e-posta pazarlama araçları ve barındırma hizmetlerinin önemli bir kısmı yurt dışındadır. Bu servisleri kullanmak kişisel verinin yurt dışına aktarılması anlamına gelir ve KVKK 9. maddedeki şartlara tabidir. 2024'te yapılan değişikliklerle aktarım için standart sözleşme gibi yeni seçenekler getirildi; hangi yolun size uygun olduğunu bir uzmanla netleştirin ve aydınlatma metninde bu aktarımı açıkça belirtin.

Ticari elektronik ileti ve İYS

Müşterilerinize kampanya, bülten gibi ticari e-posta veya SMS gönderecekseniz 6563 sayılı Kanun kapsamında önceden onay almanız ve bu onayları İleti Yönetim Sistemi'ne (İYS) kaydetmeniz gerekir. Her iletide kolay bir abonelikten çıkma yolu bulunmalıdır.

VERBİS

Veri sorumluları siciline (VERBİS) kayıt zorunluluğu, çalışan sayısı ve yıllık mali bilanço eşiklerine ve faaliyetin niteliğine göre belirlenir; küçük işletmelerin önemli bir kısmı muaftır. Ana faaliyeti özel nitelikli kişisel veri işlemek olan işletmeler (ör. sağlık alanı) için kurallar farklıdır, bu yüzden klinikler durumlarını özellikle kontrol etmelidir.

Teknik tarafta yapılabilecekler

Formlara aydınlatma metni bağlantısı eklemek, pazarlama onayını ayrı ve isteğe bağlı bir kutuya almak, yazı tiplerini ve dosyaları mümkünse kendi sunucunuzdan sunmak, sitede gereksiz üçüncü taraf script bırakmamak ve tüm sitede HTTPS kullanmak. Kendi sitemizde uyguladığımız yapıyı gizlilik sayfamızda görebilirsiniz.

Ekursoft olarak kurduğumuz sitelerde bu altyapıyı baştan hazırlıyoruz. Projenizi konuşalım →