Türkiye'de faaliyet gösteren bir web sitesi iletişim formu, e-bülten veya analitik kullanıyorsa kişisel veri işliyor demektir. 6698 sayılı Kişisel Verilerin Korunması Kanunu bu işlemeyi belirli yükümlülüklere bağlar. Aşağıdaki liste hukuki danışmanlık yerine geçmez; teknik uygulama tarafında en sık atlanan başlıkları toplar.
Veri toplayan her noktayı listeleyin
- İletişim ve teklif formları (ad, e-posta, telefon, mesaj içeriği).
- E-bülten kayıtları ve buna bağlı ticari elektronik ileti onayı.
- Analitik ve reklam çerezleri ile kaydedilen kullanım verisi.
- Sunucu günlükleri ve hata izleme araçlarına düşen IP kayıtları.
Aydınlatma yükümlülüğü
Veri toplanan noktada; veri sorumlusunun kimliği, hangi verinin hangi amaçla işlendiği, hukuki sebebi, aktarım yapılıp yapılmadığı ve ilgili kişinin hakları açık biçimde belirtilmelidir. Formun hemen yanında erişilebilir bir aydınlatma metni bağlantısı bulunmalıdır.
Çerezlerde onay sırası
| Çerez türü | Örnek | Onay gerekir mi |
|---|---|---|
| Zorunlu | Oturum, güvenlik | Hayır (bilgilendirme yeterli) |
| Analitik | Ziyaret istatistikleri | Evet, kullanımdan önce |
| Pazarlama | Yeniden hedefleme | Evet, kullanımdan önce |
Kritik nokta sıralamadır: zorunlu olmayan çerezler, kullanıcı onay vermeden yüklenmemelidir. Onay bannerı gösterip script'i yine de baştan çalıştırmak yaygın bir hatadır.
Teknik önlemler ve saklama
- Tüm site HTTPS üzerinden yayınlanmalı; form gönderimleri şifreli kanaldan geçmeli.
- Form verisine erişimi olan hesap sayısı sınırlı tutulmalı.
- Verinin ne kadar süre saklanacağı belirlenmeli ve süre dolduğunda silinmelidir.
- Yurt dışında barındırılan hizmetler kullanılıyorsa aktarım koşulları değerlendirilmelidir.
Güncel metinler ve ayrıntılı rehberler için Kişisel Verileri Koruma Kurumu'nun resmî sitesi (kvkk.gov.tr) esas alınmalıdır.