Bir iletişim formu, bülten aboneliği, üyelik sistemi ya da analitik aracı... Web siteniz veya uygulamanız bunlardan en az birini içeriyorsa, kişisel veri işliyorsunuz demektir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu verileri işleyen tüm gerçek ve tüzel kişilere yükümlülükler getirir.
KVKK uyumu çoğu zaman yalnızca hukuki bir konu olarak görülür ve projenin sonunda sayfanın altına bir metin eklenerek "tamamlanır". Oysa uyumun büyük bölümü teknik tasarım kararlarıyla sağlanır. Bu yazıda tasarım ve geliştirme ekiplerinin dikkate alması gereken pratik bir kontrol listesi paylaşıyoruz.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. İşletmenize özel yükümlülükler için bir hukuk danışmanıyla çalışmanızı öneririz.
1. Veri envanteri: Neyi, neden topluyorsunuz?
Uyumun ilk adımı, sitenizde ve uygulamanızda hangi kişisel verileri topladığınızı bilmektir. Her form alanı, her çerez ve her üçüncü parti entegrasyonu için şu soruları yanıtlayın:
- Hangi veri toplanıyor? (ad, e-posta, telefon, IP adresi, konum...)
- Hangi amaçla ve hangi hukuki sebebe dayanarak işleniyor?
- Nerede saklanıyor ve kimlerle paylaşılıyor?
- Ne kadar süre tutulacak?
Bu envanter; aydınlatma metninin, çerez politikasının ve saklama sürelerinin temelini oluşturur.
2. Veri minimizasyonu: Az topla, az risk al
KVKK'nın temel ilkelerinden biri, verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasıdır. Tasarım aşamasında her form alanını sorgulayın: Bir teklif formu için gerçekten doğum tarihine ihtiyacınız var mı? Bülten aboneliği için telefon numarası gerekli mi?
Daha az alan, hem uyum riskini azaltır hem de formun doldurulma oranını artırır. Yani veri minimizasyonu aynı zamanda iyi bir UX pratiğidir.
3. Aydınlatma metni
Veri toplanan her noktada, kullanıcıya verilerinin kim tarafından, hangi amaçla, hangi hukuki sebeple işlendiği, kimlere aktarılabileceği ve hangi haklara sahip olduğu anlatılmalıdır. Teknik açıdan dikkat edilmesi gerekenler:
- Aydınlatma metnine formun hemen yanından, kolayca erişilebilen bir bağlantı verin.
- Aydınlatma ile açık rızayı birbirine karıştırmayın; aydınlatma bir bilgilendirmedir, onay kutusu gerektirmez.
- Metnin sürümlerini saklayın; kullanıcının hangi sürümü gördüğünü gerektiğinde gösterebilmelisiniz.
4. Açık rıza: Ne zaman ve nasıl?
Kanunda sayılan diğer hukuki sebeplerden birine dayanmayan işlemler için açık rıza gerekir. Açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan bir onaydır. Teknik gereklilikler:
- Onay kutuları varsayılan olarak işaretsiz olmalıdır.
- Farklı amaçlar için ayrı onaylar alınmalıdır (örneğin pazarlama iletisi ile profil analizi ayrı tutulmalıdır).
- Hizmetin sunulması, zorunlu olmayan bir işleme rıza verilmesi şartına bağlanmamalıdır.
- Rızanın ne zaman, hangi metinle ve hangi kanaldan alındığı kayıt altına alınmalıdır.
- Kullanıcı rızasını verdiği kadar kolay geri alabilmelidir.
Ticari elektronik ileti (SMS, e-posta ile kampanya gönderimi) söz konusuysa, 6563 sayılı Kanun kapsamındaki izin ve İleti Yönetim Sistemi (İYS) yükümlülüklerini de ayrıca değerlendirmeniz gerekir.
5. Çerez yönetimi
Kişisel Verileri Koruma Kurumu'nun çerez uygulamalarına ilişkin rehberi, zorunlu olmayan çerezler (analitik, pazarlama, kişiselleştirme) için genel olarak kullanıcının onayını gerektirir. Pratikte:
- Zorunlu çerezler dışındaki çerezleri kullanıcı onay verene kadar çalıştırmayın.
- "Kabul et" ve "Reddet" seçeneklerini eşit görünürlükte sunun; reddetmeyi zorlaştıran tasarımlardan kaçının.
- Kullanıcının tercihlerini kategori bazında yönetebileceği ve sonradan değiştirebileceği bir panel sağlayın.
- Etiket yöneticisi (tag manager) yapılandırmanızı, onay durumuna göre betikleri tetikleyecek şekilde kurgulayın.
6. Güvenlik önlemleri
Kanun, veri sorumlusuna verilerin hukuka aykırı erişimini önlemek için uygun teknik ve idari tedbirleri alma yükümlülüğü getirir. Web ve mobil projelerde temel teknik tedbirler:
- Tüm trafikte HTTPS/TLS ve güvenlik başlıkları (HSTS, CSP vb.)
- Parolaların güçlü, tuzlanmış algoritmalarla saklanması
- Hassas verilerin veritabanında şifrelenmesi
- Yönetim panellerinde çok faktörlü kimlik doğrulama ve rol bazlı yetkilendirme
- Erişim ve işlem loglarının tutulması
- Bağımlılıkların ve sunucuların düzenli güncellenmesi, güvenlik testleri
- Düzenli ve şifreli yedekleme
7. Saklama süreleri ve imha
Kişisel veriler, işlenme amacı ortadan kalktığında silinmeli, yok edilmeli veya anonim hale getirilmelidir. Bunu manuel süreçlere bırakmak yerine sisteme yerleştirin: Eski form kayıtlarını belirli süre sonunda otomatik silen veya anonimleştiren görevler, uyumu sürdürülebilir kılar.
8. İlgili kişi başvuruları
Kullanıcılar verilerine erişme, düzeltme, silme ve işlemeye itiraz etme haklarına sahiptir. Bu talepleri alabileceğiniz bir kanal oluşturun ve sisteminizi, bir kullanıcının verilerini bulup dışa aktarabilecek ya da silebilecek şekilde tasarlayın. Veriler onlarca tabloya ve servise dağılmışsa bu talepleri karşılamak zorlaşır.
9. Üçüncü taraflar ve yurt dışına aktarım
Kullandığınız analitik, e-posta, barındırma ve bulut servisleri de veri işler. Hangi verinin hangi hizmet sağlayıcıya ve hangi ülkeye aktarıldığını envanterinize ekleyin. Yurt dışına aktarım kuralları 2024 yılında yapılan değişiklikle güncellendi; standart sözleşmeler gibi mekanizmaların kullanımını hukuk danışmanınızla birlikte planlayın. Altyapı tarafındaki kararlar için bulut geçiş rehberimize göz atabilirsiniz.
10. Veri ihlali planı
En iyi önlemlere rağmen bir ihlal yaşanabilir. Böyle bir durumda kimin ne yapacağını, ihlalin nasıl tespit edilip sınırlandırılacağını ve Kurul ile ilgili kişilere bildirimin nasıl yapılacağını önceden belirleyin. Kurul kararları uyarınca bildirimin gecikmeksizin ve en geç 72 saat içinde yapılması beklenir; bu nedenle log ve izleme altyapısı hızlı tespit için kritik önemdedir.
Gizliliği geliştirme sürecine yerleştirmek
Uyumu kalıcı kılmanın en etkili yolu, gizliliği bir kerelik denetim yerine geliştirme sürecinin doğal bir parçası yapmaktır. Pratikte bu şu anlama gelir:
- Her yeni özellik için kısa bir "hangi veriyi neden topluyoruz?" değerlendirmesi yapmak
- Test ortamlarında gerçek müşteri verisi yerine anonimleştirilmiş veya sentetik veri kullanmak
- Kod incelemelerinde loglara kişisel veri yazılıp yazılmadığını kontrol etmek
- Yeni bir üçüncü parti servis eklenmeden önce veri envanterini güncellemek
Bu alışkanlıklar, yasal yükümlülüklerin ötesinde, sistemlerinizi daha güvenli ve bakımı daha kolay hale getirir.
Sonuç
KVKK uyumu, projenin sonuna eklenen bir metin değil; veri envanterinden form tasarımına, çerez yönetiminden güvenlik mimarisine kadar geliştirme sürecinin her aşamasına yayılan bir yaklaşımdır. Baştan planlandığında hem yasal riskleri azaltır hem de kullanıcılarınızın güvenini kazanmanızı sağlar.
Geçgel Soft olarak web siteleri ve mobil uygulamalarda gizlilik ve güvenlik gerekliliklerini tasarımın parçası olarak ele alıyoruz. Proje bütçenizi planlıyorsanız kurumsal web sitesi maliyeti yazımıza göz atın, hizmetlerimizi inceleyin veya bizimle iletişime geçin.