KVKK ve web siteniz: form, çerez, veri

Web sitenizde bir iletişim formu varsa, kişisel veri işliyorsunuz. Google Analytics kuruluysa, kişisel veri işliyorsunuz. Bülten aboneliği topluyorsanız, yine öyle. KVKK web sitesi sahipleri için "büyük şirketlerin sorunu" değil; formu olan herkesin konusu. Kötü haber bu. İyi haber ise şu: bir web sitesinin KVKK yükümlülükleri, danışmanlık sektörünün gösterdiği kadar karmaşık değil. Çoğu site için mesele üç başlıkta toplanır: formlar, çerezler ve verinin nerede durduğu.

Baştan söyleyelim: biz hukuk bürosu değiliz, bu yazı hukuki danışmanlık değildir. Ama yıllardır web sitesi geliştiren bir stüdyo olarak, teknik tarafta neyin gerekli olduğunu ve neyin gösterişten ibaret kaldığını yakından görüyoruz.

KVKK web siteniz için ne zaman devreye girer?

6698 sayılı Kişisel Verilerin Korunması Kanunu 2016'dan beri yürürlükte. Kapsamı basit bir soruyla özetlenebilir: sitenizden geçen herhangi bir bilgi, belirli bir kişiyi tanımlıyor veya tanımlanabilir kılıyor mu? Ad, e-posta, telefon numarası — bunlar bariz. IP adresi ve çerez kimlikleri de kişisel veri sayılıyor; çoğu site sahibinin gözden kaçırdığı nokta bu.

Yani "biz sadece kurumsal tanıtım sitesiyiz, veri toplamıyoruz" cümlesi genellikle yanlış. Analytics kodu bile tek başına sizi kapsama sokar.

Bir de kayıt boyutu var: veri işleyen her kuruluş VERBİS'e (Veri Sorumluları Sicili) kaydolmak zorunda değil; çalışan sayısı ve bilanço eşiklerine göre muafiyetler var. Kendi durumunuzu Kişisel Verileri Koruma Kurumu'nun güncel duyurularından veya bir hukukçudan teyit edin — eşikler zaman içinde değişti ve değişebiliyor.

Formlar: aydınlatma metni bir link değil, bir yükümlülük

İletişim formunun altına "KVKK metnini okudum" kutusu koymak yaygın bir refleks. Ama kanunun istediği şey kutu değil, aydınlatma: veriyi kimin, hangi amaçla, hangi hukuki sebebe dayanarak işlediğini ve kimlere aktarabileceğini, veri toplanırken kişiye açıkça söylemek.

Pratikte bir formda şunlar olmalı:

Aydınlatma metnine görünür bir bağlantı — form gönderilmeden önce erişilebilir olmalı, sitenin dibine gömülmüş bir sayfada değil.
Amaçla sınırlı veri. Fiyat teklifi formu için doğum tarihi istemeyin. Kanunun "veri minimizasyonu" ilkesi tam olarak bunu söyler: gerekmeyen veriyi hiç toplamayın. Bu aynı zamanda iyi form tasarımıdır; kısa formlar daha çok doldurulur.
Açık rıza yalnızca gereken yerde. Burada yaygın bir kafa karışıklığı var: iletişim formunuza yazan kişiye cevap vermek için genellikle açık rıza gerekmez; talebiyle bağlantılı meşru bir işleme sebebiniz zaten vardır. Açık rıza, örneğin o kişiye pazarlama e-postası atmak istediğinizde gerekir — ve o zaman da önceden işaretlenmemiş, ayrı bir onay kutusuyla alınır. Her şeye rıza kutusu koymak sizi daha uyumlu yapmaz; çoğu zaman yanlış hukuki zemine oturtur.

Ticari elektronik ileti tarafında ayrıca İYS (İleti Yönetim Sistemi) kaydı gündeme gelir; bülten ve kampanya e-postası gönderiyorsanız bu ayrı bir mevzuat başlığıdır ve KVKK ile karıştırılmamalıdır.

Çerezler: banner koymak ile uyumlu olmak aynı şey değil

Sitelerin çoğunda çerez banner'ı var. Çalışan çerez banner'ı ise çok az sitede var. Kurumun 2022'de yayımladığı çerez rehberinin özü şu: zorunlu olmayan çerezler için, çerez yerleşmeden önce rıza alınmalı.

"Zorunlu" ne demek? Oturum çerezi, sepet çerezi, dil tercihi — site bunlar olmadan çalışmaz, rıza gerekmez. Analytics, reklam pikselleri, ısı haritası araçları — bunlar zorunlu değildir, rıza gerekir.

Yaygın hatalar tanıdık gelecektir:

Banner var ama analytics kodu sayfa açılır açılmaz, kullanıcı daha hiçbir şeye tıklamadan çalışıyor. Banner bu durumda dekordan ibaret.
"Kabul et" düğmesi kocaman, "Reddet" seçeneği yok ya da üç tıklama derinde. Reddetmek, kabul etmek kadar kolay olmalı.
Banner'ı kapatmak "kabul" sayılıyor. Sayılmamalı.

Teknik çözüm aslında basit: rıza gelmeden üçüncü taraf script'leri hiç yüklemeyin. Modern sitelerde bu bir consent-mode kurgusuyla veya script'leri şarta bağlayan birkaç satırla çözülür. İşin zor kısmı kod değil, envanter: sitenizde gerçekte hangi çerezlerin çalıştığını çoğu site sahibi bilmiyor, çünkü yıllar içinde eklenen her pazarlama aracı yanında üç çerez getiriyor.

Bir de mimari gerçek var: statik üretilmiş, üçüncü taraf script'i az olan bir sitenin çerez envanteri bir elin parmaklarını geçmez. Otuz eklentili bir WordPress kurulumunda ise hangi eklentinin hangi çerezi bastığını bulmak başlı başına iş. Az bağımlılık, az çerez, az risk — sade mimarinin görünmeyen faydalarından biri.

Veri nerede duruyor? Formdan sonrası

KVKK uyumu banner'da bitmiyor; asıl sorular formun arkasında başlıyor:

Form gönderileri nereye gidiyor? Kendi veritabanınıza mı, bir SaaS form aracının ABD'deki sunucusuna mı? Yurt dışına veri aktarımı KVKK'da ayrıca düzenlenen, kendi şartları olan bir konu. Kullandığınız her üçüncü taraf araç bir aktarım sorusu doğurur.
Kim erişebiliyor? "Form mailleri info@ adresine düşüyor, o kutuya da beş kişi bakıyor" cümlesi bir veri güvenliği planı değildir.
Ne kadar saklanıyor? Amaç ortadan kalkınca verinin silinmesi gerekir. 2019'dan kalma teklif taleplerini süresiz tutmanın bir amacı yoksa, hukuki dayanağı da yok demektir.
HTTPS var mı? 2026'da bunu yazmak garip ama hâlâ form verisini şifresiz taşıyan siteler görüyoruz. Bu artık asgari şart.

Kişilerin verisine erişme, düzeltme ve silme talep etme hakkı da var; birisi "hakkımdaki veriyi silin" dediğinde bunu makul sürede yapabilecek durumda olmalısınız. Verinin beş ayrı araca dağıldığı bir kurulumda bu talep bir öğleden sonranızı alır; tek panelden yönetilen bir sitede birkaç dakikadır.

Uyumsuzluğun maliyeti neden tahmin ettiğinizden farklı?

Kurul idari para cezası kesebiliyor ve üst sınırlar her yıl yeniden değerleniyor; büyük şirketlere kesilen kayda değer cezalar kamuya açık. Küçük bir işletmenin cezayla karşılaşma ihtimali elbette daha düşük — bunu abartmayacağız. Ama iki şeyi hatırlatalım: şikâyet üzerine inceleme herkes için mümkün ve süreç, ceza çıkmasa bile yazışma ve savunma yüküyle yorucu. İkincisi, kurumsal müşterileriniz tedarikçi denetimlerinde artık KVKK uyumu soruyor; B2B çalışan bir şirket için "çerez banner'ınız neden çalışmıyor" sorusu bir satış toplantısında gelmek için kötü bir sorudur.

Nereden başlamalı: gerçekçi bir sıra

Her şeyi aynı anda yapmaya çalışmayın; şu sıra çoğu site için işler:

Envanter çıkarın. Hangi formlar var, hangi veriler toplanıyor, hangi üçüncü taraf script'ler yüklü? Tarayıcının geliştirici araçlarından çerezlere bakmak yarım saatlik iştir.
Gereksizleri silin. Kullanılmayan pikseller, unutulmuş form alanları, süresi geçmiş kayıtlar. En ucuz uyum, veriyi hiç toplamamaktır.
Aydınlatma metnini gerçek duruma göre yazdırın. İnternetten kopyalanan şablon, sizin sitenizde olmayan işlemleri anlatır; bu metin sizi korumaz. Bu adımda bir hukukçuyla çalışmak yerinde olur.
Çerez rızasını teknik olarak bağlayın. Banner'ı değil, script yükleme sırasını düzeltin.
Saklama ve silme kuralını belirleyin. Basit olsun ama yazılı olsun.

Bunların hiçbiri tek seferlik değil; siteye her yeni araç eklendiğinde envanter değişir. Bu yüzden en sürdürülebilir strateji, en az araçla çalışan sade bir mimari kurmaktır — uyum yükü, sitenin karmaşıklığıyla doğru orantılı büyür.

Vucod'da geliştirdiğimiz sitelerde form verisinin nerede durduğu, hangi script'in ne zaman yüklendiği ve rıza kurgusunun nasıl işlediği baştan tasarlanır; sonradan banner yapıştırılmaz. Sitenizin bu tarafını elden geçirmeyi düşünüyorsanız vucod.com üzerinden yazın — her başvuruya 48 saat içinde dönüyoruz.