Web Sitesinde KVKK Uyumu: 10 Maddelik Kontrol Listesi

Web sitenizin KVKK uyumu, çerezlerden formlara, üçüncü taraf araçlardan veri güvenliğine uzanan on kontrolle gözden geçirilebilir. Kişisel veri işleyen her web sitesi aydınlatma yükümlülüğü altındadır; zorunlu olmayan çerezler için ise genel çerçevede açık rıza beklenir. Bu liste hukuki görüş değil, hukuk müşavirinizle birlikte kullanacağınız bir kontrol listesidir.

Web sitesi ve KVKK dendiğinde akla çoğunlukla çerez banner'ı gelir. Oysa bir kurumsal sitede kişisel veri; iletişim formundan kariyer başvurusuna, analitik araçlardan gömülü videolara kadar birçok noktada işlenir. Çerez politikası bu tablonun yalnızca bir parçasıdır.

Aşağıdaki liste pazarlama, BT ve hukuk ekiplerinin birlikte çalışabileceği şekilde kurgulandı. Her kontrolün altında kimin sorumlu olabileceğini de belirttik.

Web sitesinde KVKK uyumu için 10 kontrol

Web sitesinde KVKK zorunlu mu?

Web siteniz iletişim formu, kariyer başvurusu, bülten kaydı, çerez ya da analitik aracı yoluyla kişisel veri işliyorsa 6698 sayılı KVKK kapsamındasınız. Bu durumda ziyaretçileri hangi verinin, hangi amaçla, hangi hukuki sebeple işlendiği konusunda aydınlatmanız gerekir. Hangi metin ve onayların gerektiği, sitenizin gerçekte işlediği verilere bağlıdır; bu yüzden ilk adım envanterdir

Çerez politikası nasıl hazırlanır, çerez onayı nasıl alınır?

KVK Kurumu'nun Çerez Uygulamaları Hakkında Rehberi bu konunun ana referansıdır. Genel çerçeve şöyle özetlenebilir: sitenin çalışması için kesinlikle gerekli olan çerezlerde açık rıza aranmaz, ancak aydınlatma beklenir; diğer çerezler (analitik, reklam, kişiselleştirme gibi) için ise açık rıza gerekir.

Bu çerçevenin teknik karşılığı üç kuraldır:

• Önce rıza, sonra yükleme: Zorunlu olmayan çerezler kullanıcı tercih yapmadan yüklenmemelidir

• Kolay reddetme: Reddetme ve rızayı geri alma, kabul etmek kadar kolay olmalıdır

• Ayrı metinler: Açık rıza ile aydınlatma metni birbirinden ayrı sunulmalıdır; bu konuda Kurul'un bir ilke kararı olduğu bildirilmiştir

Çerez politikasında çerez türleri, amaçlar, saklama süreleri, üçüncü taraf çerezleri ve ilgili kişi hakları yer almalıdır. Metni hukuk müşaviriniz onaylamalıdır.

Cookie banner kurmak KVKK uyumu için yeterli mi?

Hayır. Banner yalnızca arayüzdür. Asıl soru, banner'ın arkasında ne olduğudur: reddedilen çerezler gerçekten yüklenmiyor mu, etiket yönetim aracı rıza durumuna bağlı çalışıyor mu, tercih kaydediliyor mu? Bunu tarayıcı geliştirici araçlarıyla ya da BT ekibinizin testleriyle doğrulayın. Hazır bir banner eklentisi kurmak, bu doğrulamayı gereksiz kılmaz.

Veri güvenliği web sitesi tarafında neleri kapsar?

KVKK, veri sorumlusuna kişisel verileri korumak için uygun teknik ve idari tedbirleri alma yükümlülüğü getirir. Bir web sitesi için bu; güncel yazılım ve altyapı, şifreli bağlantı, yetki bazlı erişim, yedekleme ve izleme gibi başlıklara karşılık gelir (kontrol 8). Sitenin kişisel veri toplayan formları varsa bu verilerin nerede saklandığını ve kimin eriştiğini de bilmelisiniz.

Ajansla ya da hosting sağlayıcıyla çalışırken nelere dikkat edilmeli?

Sitenizi yöneten ajans ya da hosting sağlayıcısı kişisel veriye erişebiliyorsa sözleşmede rollerin, erişim sınırlarının ve gizliliğin açık yazılması gerekir. Ajans seçimi için genel sorular Web Tasarım Ajansı Nasıl Seçilir? yazımızda.

GDPR de gerekli mi?

Siteniz Avrupa Birliği'ndeki ziyaretçilere de hitap ediyorsa GDPR de gündeme gelir. KVKK ile GDPR'ın bazı kavramları benzer ama aynı değildir; hangisinin sizin için geçerli olduğunu hukuk müşavirinizle belirleyin.

Sık sorulan sorular

Web sitesinde KVKK zorunlu mu?

Web siteniz form, çerez, analitik ya da başka yollarla kişisel veri işliyorsa KVKK kapsamındasınız ve ziyaretçileri aydınlatmanız gerekir. Hangi metinlerin ve onayların gerektiği, işlediğiniz verilere bağlıdır; hukuk müşavirinize danışın.

Çerez politikası nasıl hazırlanır?

Önce sitenizdeki çerezlerin envanterini çıkarın: ad, amaç, süre ve kim tarafından yerleştirildiği. Politika bu bilgileri anlaşılır bir dille sunmalı, zorunlu olmayan çerezler için ayrıca açık rıza mekanizması kurulmalıdır. Metni hukuk müşaviriniz onaylamalıdır.

Zorunlu çerezler için onay gerekir mi?

KVK Kurumu'nun çerez rehberinin genel çerçevesine göre sitenin çalışması için kesinlikle gerekli çerezlerde açık rıza aranmaz, ancak aydınlatma beklenir. Hangi çerezlerin bu kapsama girdiği somut kullanıma bağlıdır.

Cookie banner kurmak KVKK uyumu için yeterli mi?

Hayır. Banner yalnızca arayüzdür. Rıza verilmeden zorunlu olmayan çerezlerin yüklenmediğinden, tercihlerin kaydedildiğinden ve rızanın geri alınabildiğinden emin olun; bunu teknik olarak test edin.

Clockwork web sitesi projelerinde KVKK konusunda nasıl çalışır?

Clockwork, İstanbul merkezli, 25 yıllık bağımsız bir dijital ve kreatif ajanstır; ISO 27001 ve ISO 12207 sertifikalıdır. Web sitesi tasarımı ve geliştirmesi yapıyoruz.

Sonuç

KVKK uyumu bir banner kurmakla bitmez: envanter, metinler, teknik doğrulama, veri güvenliği ve tedarikçi sözleşmeleri birlikte ele alınmalıdır. Bu on kontrolü pazarlama, BT ve hukuk ekibinizle bir toplantıda gözden geçirmek, eksikleri görmek için iyi bir başlangıçtır.

Clockwork, İstanbul merkezli 25 yıllık bağımsız bir dijital ve kreatif ajanstır. Hukuki metinleri hukuk müşaviriniz hazırlar; sitenizin teknik tarafını birlikte değerlendirmek ya da yeni bir web sitesi planlamak isterseniz hizmetlerimizi inceleyin ya da bizimle iletişime geçin.