KVKK Uyumlu Web Sitesi: Küçük İşletmelerin Yapması Gereken 7 Şey

KVKK uyumlu bir web sitesi, ziyaretçinin kişisel verisini neden aldığını, nasıl kullandığını ve nasıl koruduğunu açıkça söyleyen bir sitedir. İletişim formu, randevu sistemi, bülten aboneliği, analitik araçları ya da reklam pikselleri kullanıyorsanız, siteniz kişisel veri işliyor demektir. Bu da 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kapsamına girer.

Bu yazı hukuki danışmanlığın yerine geçmez; sitenizde olması gereken temel parçaları sade bir dille anlatır. İşletmenize özel durumlar için bir hukukçuya danışmanızı öneririz.

1. Aydınlatma metni

Aydınlatma metni, hangi verileri, hangi amaçla, hangi hukuki sebeple topladığınızı, kimlerle paylaştığınızı ve kişinin haklarını anlatır. Formlarınızın yanında bu metne bağlantı olmalı ve ziyaretçi formu göndermeden önce metni görebilmeli.

2. Gerekiyorsa açık rıza

Her veri işleme için açık rıza gerekmez; bir hizmeti sunmak için zorunlu olan veriler için çoğu zaman gerekmez. Ama pazarlama mesajı göndermek ya da veriyi yurt dışındaki bir hizmete aktarmak gibi durumlarda açık rıza gerekebilir. Rıza, önceden işaretlenmemiş bir kutucukla ve neye onay verildiği açıkça yazılarak alınmalı.

3. Çerez bildirimi ve tercih ayarları

Sitenizdeki çerezleri iki gruba ayırın: sitenin çalışması için zorunlu olanlar ve analitik, reklam gibi zorunlu olmayanlar. Zorunlu olmayan çerezler, ziyaretçi onay vermeden çalışmamalı. Çerez bandında “Kabul et” kadar görünür bir “Reddet” ya da “Yalnızca zorunlu” seçeneği olmalı. Kişisel Verileri Koruma Kurumu'nun çerezlerle ilgili rehberi bu konuda yol gösterir.

4. Formlarda yalnızca gerekli veriyi isteyin

Bir iletişim formu için TC kimlik numarası ya da doğum tarihi istemek gereksizdir. Az veri istemek hem kanuna uygundur hem de formu dolduran kişi sayısını artırır. Sağlık bilgisi gibi özel nitelikli veriler topluyorsanız ayrıca dikkatli olun; bunlar daha sıkı kurallara tabidir.

5. Veriyi güvenli tutun

• Sitenizde SSL olmalı; adres çubuğunda kilit simgesi görünmeli.
• Form verileri herkese açık bir klasörde ya da şifresiz bir e-postada birikmemeli.
• Yönetim paneline erişen kişi sayısı az ve şifreler güçlü olmalı.
• Ayrılan çalışanların erişimi hemen kapatılmalı.

Temel güvenlik adımlarını KOBİ'ler için siber güvenlik yazımızda anlattık.

6. Yurt dışındaki hizmetlere dikkat

Analitik araçları, e-posta servisleri, bulut sunucular ve reklam pikselleri çoğu zaman veriyi yurt dışına aktarır. Bu aktarımların KVKK'ya uygun yapılması gerekir. Hangi araçları kullandığınızı listeleyin ve aydınlatma metninizde belirtin.

7. Başvuru yolu ve VERBİS

Kişiler, verileri hakkında bilgi isteme, düzeltme ve silme talebinde bulunma hakkına sahiptir. Sitenizde bu taleplerin nasıl iletileceği (örneğin bir e-posta adresi) yazmalı. Ayrıca işletmenizin Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülüğü olup olmadığını kontrol edin; yükümlülük çalışan sayısı ve ciro gibi eşiklere bağlıdır ve eşikler güncellenebilir.

Hızlı kontrol listesi

• Formların yanında aydınlatma metni bağlantısı var mı?
• Pazarlama izni ayrı ve işaretlenmemiş bir kutucukla mı alınıyor?
• Analitik ve reklam çerezleri onaydan önce çalışmıyor mu?
• Çerez bandında reddetme seçeneği açıkça görünüyor mu?
• Site SSL ile mi açılıyor?
• Başvuru için bir iletişim yolu yazıyor mu?

Biz nasıl yapıyoruz?

Yaptığımız her sitede çerez tercih ayarlarını, form yanındaki bilgilendirme bağlantılarını ve SSL'i kurulumun bir parçası olarak yapıyoruz. Kendi sitemizdeki çerez politikası ve aydınlatma metni bir örnek olarak incelenebilir. Mevcut sitenizin bu açıdan elden geçirilmesini isterseniz kurumsal web sitesi ya da siber güvenlik hizmetlerimize göz atın.