Web sitenizde KVKK için bulunması gerekenler

Bu yazı hukuki görüş değildir; sık karşılaştığımız uygulama hatalarını anlatır. Şüpheye düştüğünüz noktada avukatınıza danışın.

İletişim formu varsa aydınlatma metni zorunludur

Ziyaretçiden ad, e-posta veya telefon topluyorsanız kişisel veri işliyorsunuz demektir. Formun yanında, veriyi kimin hangi amaçla işlediğini anlatan bir aydınlatma metnine bağlantı bulunmalıdır. En sık yapılan hata, metni sitenin bir köşesine koyup forma bağlamamaktır — aydınlatma, verinin toplandığı anda yapılmalıdır.

Açık rıza her zaman gerekmez

Yaygın yanlış anlama şudur: "Her veri işleme için onay kutusu koymalıyım." Hayır. Sözleşmenin kurulması veya meşru menfaat gibi başka hukuki sebepler varsa açık rıza aranmaz. Açık rıza asıl olarak **ticari elektronik ileti** için gerekir: form doldurana sonradan kampanya e-postası atacaksanız, bunun için ayrı ve işaretsiz gelen bir onay kutusu gerekir.

Bir de İYS (İleti Yönetim Sistemi) kaydı vardır: ticari ileti gönderiyorsanız izinlerinizi oraya yüklemeniz gerekir.

Çerez bildirimi

Sadece sitenin çalışması için gereken çerezleri (oturum, sepet, güvenlik) kullanıyorsanız onay almanız gerekmez; bilgilendirme yeterlidir. Analitik veya reklam çerezi kullanıyorsanız, bunlar **çalışmadan önce** onay almanız gerekir. "Siteyi kullanmaya devam ederek çerezleri kabul etmiş olursunuz" cümlesi geçerli bir onay değildir.

VERBİS herkes için değil

VERBİS kaydı, çalışan sayısı 50'den fazla veya yıllık mali bilanço toplamı belirli eşiği aşan veri sorumluları içindir. Küçük bir işletmeyseniz büyük ihtimalle kapsam dışındasınız — ama ana faaliyeti özel nitelikli veri işlemek olanlar (örneğin sağlık kuruluşları) çalışan sayısından bağımsız olarak kayıt olmak zorundadır. Klinik siteleri için bu ayrım önemlidir.

Pratik kontrol listesi

• Aydınlatma metni var ve form yanından bağlantılı
• Ticari ileti için ayrı, önceden işaretlenmemiş onay kutusu
• Çerez politikası ve gerekiyorsa onay bandı
• Formdan gelen veriler ne kadar süre saklanacak, yazılı mı?
• Sitenizi barındıran firma yurt dışındaysa, veri aktarımı değerlendirildi mi?

Kurduğumuz sitelerde aydınlatma metni, gizlilik ve çerez politikası taslak olarak hazır gelir; şirket bilgileriniz otomatik yerleşir. Taslak olduğunun altını çiziyoruz: son hâlini kendi faaliyetinize göre gözden geçirmelisiniz.