KVKK ve web siteniz: Yayından önce konuşulması gereken pratik noktalar

Neredeyse her işletme web sitesi, en basiti bile, kişisel veri işler. İletişim formu ad ve e-posta toplar; sunucu kayıtları IP adreslerini tutar; gömülü haritalar, videolar ve analiz araçları ziyaretçi verilerini üçüncü taraflara gönderebilir. Bu kararların çoğu geliştirme sırasında, çoğu zaman kimse fark etmeden verilir. Onları bilinçli olarak vermek, yayından sonra düzeltmekten çok daha kolaydır.

Bir envanterle başlayın

Herhangi bir gizlilik metni yazmadan önce sitenin gerçekte ne topladığını listeleyin. Her form için alanları ve her birinin neden gerekli olduğunu not edin. Ardından sitenin yüklediği her harici servisi listeleyin: yazı tipleri, haritalar, videolar, sohbet araçları, analiz, reklam pikselleri. Her kalem iki soru doğurur: Hangi verileri alıyor ve gerçekten gerekli mi?

Daha az toplayın

Veri minimizasyonu hem hukuki bir ilke hem de iyi mühendisliktir. Toplamadığınız bir alan sızamaz, korunması ve açıklanması gerekmez. E-posta yeterliyken telefon numarasının gerekli olup olmadığını, serbest metin alanının insanları gerekenden fazlasını paylaşmaya yöneltip yöneltmediğini ve isteğe bağlı alanların açıkça belirtilip belirtilmediğini sorun.

Aydınlatma ve açık rıza aynı şey değildir

KVKK kapsamında, kişileri verilerinin nasıl işlendiği konusunda bilgilendirmek (aydınlatma yükümlülüğü) ile açık rıza almak farklı kavramlardır. Sık yapılan teknik bir hata, ikisini karıştıran tek bir onay kutusu ya da hukuki dayanağın aslında rıza olmadığı yerde rıza kutusu kullanmaktır. Her işleme faaliyeti için hangi dayanağın geçerli olduğu hukuki bir sorudur; web sitesi, metinlerin ve onay kutularının hukuk danışmanınızın vereceği karara uyarlanabileceği şekilde geliştirilmelidir.

Çerezler ve analiz

Sitenin çalışması için zorunlu olan çerezler, analiz veya pazarlama çerezlerinden farklı değerlendirilir. Zorunlu olmayan çerezler veya izleme kullanıyorsanız, sitenin ziyaretçinin tercihini sorması ve hatırlaması, araçların da izin verilene kadar gerçekten kapalı kalması gerekir. IP adresi saklamayan, çerezsiz ve birinci taraf ölçüm, işlenen kişisel veri miktarını azaltmanın bir yoludur; ancak sizin durumunuzda rıza gerektirip gerektirmediği yine hukuk danışmanınıza sorulması gereken bir sorudur.

Veriler nerede duruyor?

Barındırma, veritabanı ve e-posta servisleri verileri Türkiye dışında saklayabilir. Kişisel verilerin yurt dışına aktarılmasının KVKK kapsamında kendine özgü kuralları vardır. Her servisin verileri nerede sakladığını bilin, bunu yazılı hâle getirin ve yayından sonra değil, önce hukuk danışmanınızla konuşun.

Ne kadar süre saklıyorsunuz?

İletişim talepleri, kayıtlar ve analiz verileri sonsuza kadar saklanmamalıdır. Saklama sürelerine karar verin ve mümkün olduğunda bunları otomatik silmeyle teknik olarak uygulayın. Yalnızca bir belgede yazan saklama kuralı unutulmaya meyillidir.

Temel güvenlik önlemleri

• Her yerde HTTPS ve modern güvenlik başlıkları
• Her formun yalnızca tarayıcıda değil, sunucu tarafında da doğrulanması
• Herkese açık uç noktalarda istek sınırlama ve spam koruması
• Güçlü kimlik doğrulamayla korunan yönetim alanları
• Gizli anahtarların kodda değil, ortam ayarlarında tutulması
• Ham değere ihtiyaç olmadığında IP adresi gibi tanımlayıcıların özetlenmesi (hash) veya hiç tutulmaması

Hukuk danışmanınıza götürmeniz gereken sorular

• Veri sorumlusu kim ve metinlerde hangi iletişim bilgileri yer almalı?
• Sitedeki her form ve araç için hukuki dayanak nedir?
• Analiz araçlarımız ve çerezlerimiz rıza gerektiriyor mu?
• Barındırma yapımız yurt dışına aktarım sayılır mı, bu ne gerektirir?
• Hangi saklama sürelerini uygulamalıyız?
• İşimize özgü kayıt veya başka yükümlülüklerimiz var mı?

Kendi sitemizde hukuki metinler, bu inceleme tamamlanana kadar açıkça taslak olarak işaretlidir. Önerdiğimiz basit bir uygulamadır: Teknik önlemleri erkenden hayata geçirin, nihai hukuki metinleri ise ancak bir profesyonel inceledikten sonra yayınlayın.