KVKK uyumlu bir web sitesi kurmak, yalnızca bir aydınlatma metni eklemekten çok daha fazlasını kapsar. Kişisel verinin toplandığı her temas noktası, veri sorumlusu olarak sizin sorumluluğunuzda kalır. Bu rehber, kurumsal karar vericilerin uyum sürecini planlarken hangi adımları hangi sırayla ele alması gerektiğini anlatır.
KVKK uyumunun kapsamını doğru çizmek
Kişisel Verilerin Korunması Kanunu, web sitesi üzerinden işlenen tüm kişisel verileri kapsar. Form verileri, çerez kayıtları, sunucu logları ve analitik çıktıları bu kapsama girer. Uyum çalışmasına başlamadan önce hangi verinin hangi amaçla toplandığını yazılı hale getirmek gerekir.
Bu envanter, sonraki adımların temelini oluşturur. Envanter olmadan hazırlanan metinler genellikle eksik kalır ve denetimde tutarsızlık yaratır. Karar verici düzeyinde verilecek ilk onay, veri envanterinin kapsamına ilişkin olmalıdır.
- Veri kategorileri: kimlik, iletişim, işlem güvenliği, pazarlama
- Toplama kanalları: form, çerez, çağrı kaydı, entegrasyon
- Saklama süreleri: her kategori için ayrı belirlenmeli
Aydınlatma ve açık rıza metinlerini ayırmak
Aydınlatma yükümlülüğü ile açık rıza birbirinden farklı iki işlemdir. Aydınlatma metni, veri işlemenin hukuki dayanağı ne olursa olsun sunulmak zorundadır. Açık rıza ise yalnızca hukuki dayanağın rıza olduğu hallerde devreye girer.
Pratikte en sık görülen hata, bu iki metnin tek bir onay kutusuna sıkıştırılmasıdır. Aydınlatma metnini okunabilir bir bağlantı olarak sunmak, rızayı ise ayrı ve isteğe bağlı bir onay olarak almak gerekir. Pazarlama iletileri için verilen rıza, hizmetin sunulmasına şart koşulmamalıdır.
- Aydınlatma metni her formda erişilebilir olmalı
- Rıza kutuları önceden işaretli gelmemeli
- Rızanın geri alınması kolay bir yolla sunulmalı
Çerez yönetimini teknik katmanda kurmak
Çerezler, web sitesinde en yoğun kişisel veri akışının yaşandığı alandır. Zorunlu çerezler dışındaki tüm çerezler için kullanıcıdan izin alınması gerekir. Bu izin, sayfa yüklenmeden önce devreye giren bir tercih paneliyle toplanmalıdır.
Panelin yalnızca görsel değil işlevsel olması gerekir. Kullanıcı reddettiğinde ilgili izleme kodları gerçekten çalışmamalıdır. Bunu doğrulamak için tarayıcı geliştirici araçlarıyla ağ isteklerini kontrol etmek yeterlidir.
| Çerez türü | İzin durumu | Örnek kullanım |
|---|---|---|
| Zorunlu | İzin gerekmez | Oturum, sepet |
| Analitik | İzin gerekir | Trafik ölçümü |
| Pazarlama | İzin gerekir | Yeniden hedefleme |
Üç yüz ürünlü bir e-ticaret sitesinde uygulama
Orta ölçekli bir e-ticaret sitesi, KVKK uyumunun katmanlı yapısını görmek için iyi bir örnektir. Üyelik formu, sipariş akışı, kargo entegrasyonu ve pazarlama araçları aynı anda kişisel veri işler. Her katman için ayrı bir sorumluluk tanımı yapılmalıdır.
Sipariş sürecinde toplanan verilerin bir kısmı sözleşmenin ifası için zorunludur. Bu veriler için rıza değil, sözleşme dayanağı kullanılır. Pazarlama amaçlı segmentasyon ise ayrı bir rıza gerektirir. Bu ayrımı veri akış şeması üzerinde göstermek, ekibin uygulama sırasında hata yapma riskini azaltır.
Tedarikçi entegrasyonları da kapsam içindedir. Kargo, ödeme ve e-posta servis sağlayıcılarıyla yapılan sözleşmelerde veri işleyen hükümleri bulunmalıdır.
Sık yapılan hatalar ve bunlardan kaçınma yolları
Uyum çalışmalarında tekrar eden hatalar genellikle süreç tasarımından kaynaklanır. Metinler hazırlanır ama teknik altyapı aynı kalır. Böylece kâğıt üzerinde uyumlu görünen bir site, gerçekte veriyi izinsiz işlemeye devam eder.
Bir diğer yaygın sorun, veri saklama sürelerinin hiç tanımlanmamasıdır. Süre belirlenmediğinde veriler yıllarca sistemde kalır. Bu durum hem uyum riskini hem de altyapı maliyetini artırır. Silme ve imha prosedürünün yazılı olması ve periyodik olarak uygulanması gerekir.
- Aydınlatma metnini tek seferlik bir iş olarak görmek
- Çerez panelini yalnızca görsel olarak eklemek
- Veri işleyen sözleşmelerini atlamak
- Erişim yetkilerini rol bazında sınırlamamak
- İhlal bildirim planını hiç hazırlamamak
Uyumu ölçmek için takip edilecek göstergeler
Uyumun sürdürülebilir olması için ölçülmesi gerekir. Ölçüm, metinlerin varlığını değil süreçlerin işleyişini takip etmelidir. Bu nedenle göstergeler hem teknik hem idari katmanı kapsamalıdır.
Çerez panelinin reddetme oranı, formlarda rıza verilme eğilimi ve veri sahibi başvurularının yanıt süresi anlamlı sinyaller verir. Başvuru yanıt süresi, mevzuatta öngörülen süreye uyumu doğrudan gösterir. Teknik tarafta ise izinsiz çalışan izleme kodlarının sayısı takip edilebilir.
- Veri sahibi başvurularının ortalama yanıt süresi
- İzinsiz çalışan üçüncü taraf kod sayısı
- Saklama süresi dolmuş kayıtların oranı
- Çalışan farkındalık eğitimlerinin tamamlanma düzeyi
Uyumun sınırları ve taşıdığı riskler
KVKK uyumu, tek seferde tamamlanan bir proje değildir. Siteye eklenen her yeni form, entegrasyon veya pazarlama aracı yeni bir veri işleme faaliyeti doğurur. Bu nedenle uyum, yayın öncesi kontrol adımına bağlanmalıdır.
Küçük ekipler için bu yük ağır gelebilir. Ancak sorumluluk, ekibin büyüklüğüne göre azalmaz. Dışarıdan destek almak mümkündür; yine de veri sorumlusu olarak nihai sorumluluk işletmede kalır. Uyum çalışmasını yalnızca hukuk birimine bırakmak da risklidir. Teknik ekibin sürece dahil olması gerekir.
Denetim ve olası yaptırımlar, kayıt altına alınmamış süreçlerde savunma yapmayı zorlaştırır. Bu yüzden alınan kararların tarih ve gerekçeyle belgelenmesi önemlidir.
Yayına almadan önce gözden geçirilecekler
Site yayına alınmadan önce kısa bir kontrol turu yapmak, sonradan düzeltme maliyetini düşürür. Kontrol, hem içerik hem teknik doğrulamayı içermelidir. Her maddeyi sorumlu bir kişiye atamak süreci hızlandırır.
- Tüm formlarda aydınlatma metni bağlantısı var mı?
- Çerez paneli reddetme sonrası izlemeyi gerçekten durduruyor mu?
- Saklama süreleri tanımlı ve otomatik silme çalışıyor mu?
- Tedarikçi sözleşmelerinde veri işleyen hükümleri var mı?
- Veri sahibi başvuru kanalı açık ve duyurulmuş mu?
- İhlal durumunda izlenecek adımlar yazılı mı?
Bu turu her büyük sürüm öncesinde tekrarlamak, uyumun canlı kalmasını sağlar. Pixenon olarak bu kontrol adımlarını içerik ve teknik görünürlük çalışmalarıyla birlikte ele almanızı öneririz.
KVKK uyumunu içerik ve teknik görünürlükle birlikte planlamak için Pixenon ekibiyle iletişime geçebilirsiniz.
Kaynaklar
Sık sorulan sorular
KVKK uyumlu web sitesi nasıl kurulur?
KVKK uyumlu web sitesi, kişisel verilerin hangi amaçla toplandığını açıkça bildiren, hukuki dayanağı belgeleyen ve toplama öncesi onay alan sitedir. Kurulum için veri envanteri çıkarılır; form, çerez ve sunucu kayıtları sınıflandırılır. Ardından aydınlatma metni, açık rıza akışı ve saklama süreleri teknik olarak uygulanır; her adım test edilip kayıt altına alınır.
KVKK uyumlu web sitesi için hangi belgeler gerekli?
KVKK uyumlu web sitesi için gerekli belgeler, aydınlatma metni ile açık rıza beyanı başta olmak üzere veri işleme envanterini ve saklama politikasını kapsar. Çerez politikası, gizlilik bildirimi ve veri sahibi başvuru formu da bu setin parçasıdır. İçerikler sitenin gerçek veri akışıyla uyumlu olmalı; şablon metin tek başına yeterli sayılmaz. Kişisel Verileri Koruma Kurumu'nun rehberleri dayanak alınabilir.
Çerez onay banner'ı nasıl olmalı?
Çerez onay banner'ı, zorunlu olmayan çerezler yüklenmeden önce kullanıcıdan özgür ve bilgilendirilmiş onay alan katmandır. Reddet seçeneği kabul kadar görünür olmalı, onay öncesi pazarlama çerezleri çalışmamalıdır. Tercihler kategorilere ayrılır ve sonradan değiştirilebilir; sessiz onay veya önceden işaretli kutu kullanılmaz.
KVKK uyumlu web sitesi ne kadar sürede kurulur?
KVKK uyumlu web sitesi kurulumu, sitenin büyüklüğüne ve veri işleme hacmine göre değişen bir süreçtir; tek bir sabit süre yoktur. Küçük bir tanıtım sitesinde belge ve teknik düzenlemeler kısa sürede tamamlanabilir. Çok formlu, üyelikli veya e-ticaret yapısında envanter, entegrasyon ve test aşamaları daha uzun zaman alır. Süreyi belirleyen etken, veri akışının karmaşıklığıdır.
KVKK uyumlu web sitesi için nelere dikkat edilmeli?
KVKK uyumlu web sitesinde dikkat edilmesi gereken temel nokta, toplanan her verinin belirli ve meşru bir amaca bağlanmasıdır. Formlarda gereksiz alan bırakılmamalı, veriler şifreli iletişimle taşınmalı ve saklama süresi tanımlanmalıdır. Üçüncü taraf araçların veri aktarımı kontrol edilmeli; yurt dışına aktarım varsa şartlar belgelenmelidir. Erişim yetkileri sınırlandırılmalı ve düzenli olarak gözden geçirilmelidir.
