1. 6698 Sayılı KVKK ve Kurumsal İnternet Sitelerine Yasal Yükümlülükleri
6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye Cumhuriyeti sınırları içinde faaliyet gösteren veya Türkiye'deki kullanıcılara hizmet sunan tüm şirketlerin dijital kanallarda topladığı kişisel verileri sıkı kurallara bağlamıştır. Bir web sitesindeki iletişim formu aracılığıyla gönderilen ad-soyad, telefon numarası veya e-posta adresi doğrudan "kişisel veri" tanımına girdiği gibi; kullanıcının IP adresi, coğrafi konumu ve tarayıcı çerezleriyle toplanan veriler de bir kişiyle ilişkilendirilebildiği ölçüde kanun kapsamında korunması gereken dijital ayak izleridir.
Pek çok işletme web sitesini sadece görsel bir tanıtım broşürü olarak görmekte ve hukuki veri güvenliği altyapısını ihmal etmektedir. Oysa yasal denetimlerde ve Kurul incelemelerinde cezai yaptırımlarla karşılaşmamak için, projenin en başında hukuk danışmanınızla birlikte, mevzuatın teknik gereklerini bilen profesyonel web tasarım ajansı ile çalışmak ve sitenin teknik mimarisine KVKK protokollerini entegre etmek hayati önem taşır.
Neden Önemli? Kişisel Verileri Koruma Kurulu; internet sitelerinde aydınlatma yükümlülüğünün eksik bırakılması veya kullanıcıdan habersiz üçüncü taraf analitik/pazarlama çerezi kullanılması gibi ihlallerde idari para cezası uygulayabilmekte ve karar özetlerini Kişisel Verileri Koruma Kurumu'nun internet sitesinde yayımlamaktadır.
2. Web Sitelerinde Bulunması Gereken 4 Temel Hukuki Metin ve Uygulama
Kurumsal bir web sitesinin footer (alt bilgi) alanında ve ilgili form ekranlarında aşağıdaki metin ve uygulamaların erişilebilir, açık ve güncel olarak yer alması gerekir. Bunlardan Kanun'un 10. maddesi gereği doğrudan zorunlu olan aydınlatma metnidir; diğerleri, kullandığınız çerezlere ve veri işleme faaliyetlerinize göre gereken ya da önerilen uygulamalardır:
Genel KVKK Aydınlatma Metni (Zorunlu)
Veri sorumlusu unvanını, kişisel verilerin hangi hukuki sebeplerle işlendiğini ve Kanun'un 11. maddesindeki hakları sade bir dille izah eden ana hukuki belgedir.
Çerez (Cookie) Politikası ve Tercih Paneli (Önerilen Uygulama)
Sitede kullanılan çerezlerin isimlerini, saklama sürelerini ve amaçlarını listeleyen politika ile kullanıcının zorunlu olmayan çerezleri dilediği an açıp kapatmasını sağlayan tercih panelidir.
Form Açık Rıza Onay Kutuları (Gerektiğinde)
Açık rızaya dayanan işlemeler (örneğin pazarlama amaçlı kullanım) için aydınlatma metninden ayrı sunulan, önceden işaretlenmemiş onay kutucuğudur. Talebinize yanıt vermek gibi başka bir hukuki sebebe dayanan işlemelerde açık rıza istenmez; aydınlatma metnine bağlantı verilmesi yeterlidir. Ticari elektronik ileti onayı (6563 sayılı Kanun) ayrı bir kutuda alınmalıdır.
İlgili Kişi Başvuru Formu (Önerilen Uygulama)
Kullanıcıların şirketinizde kayıtlı kişisel verilerini öğrenme, silinmesini veya düzeltilmesini talep etme haklarını kullanabilmeleri için başvuruyu kolaylaştıran şablondur.
3. Web Sitesi Çerez Türleri ve Yasal İzin Gereksinimleri Matrisi
Tüm çerezler aynı yasal statüye sahip değildir. Sitenin çalışması için teknik zorunluluk arz eden çerezler açık rıza aranmaksızın kullanılabilirken; takip, reklam ve analitik çerezleri için kullanıcının aktif izni (Opt-in) şarttır:
| Çerez Kategorisi | Örnek Çerezler | Açık Rıza Şartı | Teknik & Hukuki Kural |
|---|---|---|---|
| Zorunlu / Teknik Çerezler | Oturum çerezleri, Sepet verisi, CSRF güvenlik tokeni | Gerekmez | Sitenin çalışması için kaçınılmazdır. Yalnızca aydınlatma metninde bildirilmesi yeterlidir. |
| İşlevsel Çerezler | Dil seçimi (TR/EN), Tema tercihi (Açık/Koyu), Bölge seçimi | Gerekmez | Kullanıcının açıkça talep ettiği bir tercihi hatırlamaya yönelikse genellikle açık rıza gerekmez; bu amacı aşan veya üçüncü taraflarla paylaşılan işlevsel çerezlerde açık rıza gerekebilir. |
| Analitik & İstatistik Çerezleri | Google Analytics 4, Microsoft Clarity, Yandex Metrica | Açık Rıza ŞART | Kullanıcı çerez panelinden onay verene kadar takip JavaScript kodları tetiklenmemelidir. |
| Hedefleme & Pazarlama Çerezleri | Meta Pixel, Google Ads Remarketing, TikTok Pixel | Açık Rıza ŞART | Davranışsal reklamcılık ve yeniden hedefleme amacıyla tutulur; açık rıza yoksa engellenmelidir. |
4. Şirketler İçin VERBİS Yükümlülüğü ve Yasal Koruma Standartları
Yıllık çalışan sayısı 50'den çok veya yıllık mali bilanço toplamı 100 milyon TL'den fazla olan şirketler ile ana faaliyeti özel nitelikli kişisel veri işleme olan işletmeler için Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yaptırmak yasal zorunluluktur. Web siteniz aracılığıyla toplanan form verileri de şirketin veri envanterine doğrudan dahil edilmektedir.
Web sitenizdeki formlarda toplanan verilerin nereye kaydedildiği, kimlerin erişebildiği ve sunucuda şifreli saklanıp saklanmadığı Kurul incelemelerinde önem taşıyan başlıklardır. Kurumsal itibarınızı korumak ve hukuki riskleri azaltmak için, form mimarisinden veri saklama protokollerine kadar yasal standartlara uygun şirket web sitesi çözümlerini hayata geçirmelisiniz.
5. KVKK Kapsamında Teknik Tedbirler: SSL, Veritabanı ve Sunucu Güvenliği
KVKK sadece hukuki metinlerin siteye yapıştırılmasından ibaret değildir; Kanun'un 12. maddesi veri sorumlusuna, kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin eden gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir.
Bir kullanıcının sitenizdeki iletişim formunu doldururken girdiği veriler sunucuya şifresiz aktarılırsa veya sitenizde SQL Injection açıklarına karşı önlem alınmamışsa, bu durum md. 12 kapsamındaki güvenlik tedbirlerinin eksikliği anlamına gelir. Bu açıklardan yararlanılarak veriler yetkisiz kişilerce ele geçirilirse veri ihlali (Data Breach) gerçekleşmiş olur; ihlal ilgili kişilere en kısa sürede, Kurul'a ise Kurul kararı gereği öğrenilmesinden itibaren en geç 72 saat içinde bildirilmelidir (md. 12/5). Kurum'un Kişisel Veri Güvenliği Rehberi doğrultusunda sitenizde TLS 1.2/1.3 ile HTTPS, veritabanı saldırılarına karşı koruma ve web sitesi güvenliği ve SSL sertifikası rehberimizde ayrıntılarıyla anlattığımız önlemlerin eksiksiz biçimde uygulanması gerekir.
Alaska Medya KVKK Teknik Altyapısı: Geliştirdiğimiz kurumsal projelerde; kategori bazlı çerez tercih paneli, onay verilene kadar analitik/pazarlama kodlarını bekleten script engelleme mimarisi, aydınlatma metninden ayrıştırılmış opt-in onay kutuları ve güvenli form veri saklama altyapısı teslim edilmektedir.
Önemli not: Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir; metinlerinizi hukuk danışmanınıza onaylatın. Alaska Medya teknik altyapıyı sağlar.