KVKK uyumlu web sitesi kontrol listesi

Bu yazı hukuki danışmanlık değil; bir web sitesinin teknik olarak neleri yerine getirmesi gerektiğini anlatan pratik bir kontrol listesi. Sektörünüze özel yükümlülükler için hukukçuya danışın.

1. Aydınlatma metni

Kişisel veri işliyorsanız bir aydınlatma metniniz olmalı. Sitenizde form dolduruluyorsa kişisel veri işliyorsunuz demektir. İçinde şunlar bulunmalı:

• Veri sorumlusunun kim olduğu (ticari unvan ve iletişim).
• Hangi verilerin işlendiği.
• Hangi amaçla işlendiği.
• Hukuki sebebi.
• Kimlere aktarıldığı (barındırma, e-posta servisi, analitik dâhil).
• Ne kadar süre saklandığı.
• İlgili kişinin hakları ve başvuru yolu.

En sık atlanan madde aktarım: sitenizi yurt dışında bir sunucuda barındırıyorsanız bunu belirtmeniz gerekiyor.

2. Formda açık rıza

İletişim formunda onay kutusu olmalı ve önceden işaretli gelmemeli. Metin de "kabul ediyorum" demekle yetinmemeli; neye onay verildiğini açıkça yazmalı.

Kötü örnek: "Şartları kabul ediyorum."

İyi örnek: "Talebimi değerlendirmek ve bana dönüş yapmak amacıyla iletişim bilgilerimin işlenmesine onay veriyorum."

3. Çerez onayı: asıl kritik nokta

En sık yapılan hata şu: çerez banner'ı gösteriliyor ama analitik betiği zaten sayfa açılırken yüklenmiş oluyor. Bu durumda banner dekoratif kalıyor.

Doğru davranış: onay verilmeden analitik betiği hiç yüklenmemeli. Engellenmesi değil, hiç istenmemesi gerekiyor.

Ayrıca:

• Reddetmek kabul etmek kadar kolay olmalı; "Reddet" düğmesi aynı ekranda ve aynı belirginlikte olmalı.
• Zorunlu çerezler (dil tercihi, onay kaydı) onay gerektirmez ama listelenmeli.
• Kullanıcı kararını sonradan değiştirebilmeli.

4. Üçüncü taraf gömüler

Google Haritalar, YouTube videosu ve sohbet aracı sayfa açılır açılmaz yüklendiğinde, kullanıcı onay vermeden üçüncü tarafa istek gitmiş ve çerez yerleşmiş oluyor.

Çözüm basit: gömüyü bir kapak görseliyle temsil edin, kullanıcı tıklayınca yükleyin. Hem uyum sorunu ortadan kalkıyor hem de sayfa hızlanıyor.

5. Veri saklama süresi

"Süresiz saklıyoruz" kabul edilebilir bir cevap değil. İletişim formu kayıtları için makul bir süre belirleyin ve aydınlatma metnine yazın.

Teknik tarafta bunun karşılığı: eski kayıtların gerçekten silinmesi. Yazılı politikayla uygulamanın uyuşması gerekiyor.

6. Güvenlik önlemleri

KVKK, verinin korunması için "uygun güvenlik düzeyi" istiyor. Bir web sitesi için asgari beklenti:

• Site yalnızca HTTPS üzerinden sunulmalı.
• Form verileri sunucu tarafında yeniden doğrulanmalı.
• Tarayıcı güvenlik başlıkları uygulanmalı.
• Yönetim paneline erişim sınırlı ve kayıtlı olmalı.

7. Veri işleyenlerinizi listeleyin

Sitenizin verisine dokunan her servis bir veri işleyendir. Çoğu işletme bu listeyi hiç çıkarmıyor ve aydınlatma metni eksik kalıyor.

Tipik bir kurumsal sitede liste şöyle çıkıyor:

• Barındırma sağlayıcısı. Sunucu nerede, hangi ülkede?
• E-posta servisi. Form gönderimlerini kim taşıyor?
• Analitik. Ziyaretçi davranışını kim topluyor?
• Sohbet aracı. Yazışmalar nerede saklanıyor?
• Yedekleme. Yedekler nerede duruyor ve ne kadar süre kalıyor?

Her biri için sağlayıcının veri işleme koşullarını okuyun ve aydınlatma metnindeki aktarım bölümüne yazın.

8. İlgili kişi başvurusuna cevap verebiliyor musunuz?

Bir kişi "hakkımdaki verileri silin" derse ne oluyor? Bu başvuruya yasal bir süre içinde cevap vermeniz gerekiyor.

Teknik olarak yapmanız gereken şudur: o kişinin verisinin hangi sistemlerde durduğunu bilmek. Form kayıtları veri tabanında, e-posta kutusunda ve muhtemelen yedeklerde duruyor. Üçünü de kapsamayan bir silme işlemi eksik kalıyor.

Başvuru için sitede açık bir kanal bulunmalı. Genellikle aydınlatma metninde belirtilen bir e-posta adresi yeterli oluyor.

9. Uyum bir kerelik iş değil

Site değiştikçe uyum durumu da değişiyor. Yeni bir form eklendiğinde, yeni bir analitik aracı kurulduğunda veya bir gömü eklendiğinde liste yeniden gözden geçirilmelidir.

Pratik bir alışkanlık: her yayından sonra "bu değişiklik yeni bir veri topluyor mu?" diye sormak. Cevap evetse aydınlatma metni ve çerez listesi güncellenmeli.

Hızlı kontrol

• [ ] Aydınlatma metni var ve güncel.
• [ ] Formda önceden işaretlenmemiş onay kutusu var.
• [ ] Onay verilmeden analitik yüklenmiyor.
• [ ] Reddetmek kabul etmek kadar kolay.
• [ ] Üçüncü taraf gömüler tıklanana kadar yüklenmiyor.
• [ ] Saklama süresi yazılı ve uygulanıyor.
• [ ] Site HTTPS üzerinden sunuluyor.
• [ ] Veri işleyen servislerin listesi çıkarıldı ve metne yazıldı.
• [ ] Silme başvurusu için açık bir kanal var.

---

Sitenizin bu maddeler açısından durumunu çıkarabiliriz. Bize yazın.