Web sitenizde hangi KVKK belgeleri bulunmalı?

"Sitemize KVKK metinlerini koyduk" cümlesi, uyum çalışmalarının en sık duyulan bitiş cümlesidir. Oysa web sitesi, uyumun bittiği yer değil; şirketin uyum düzeyinin dışarıdan görülebilen tek yüzüdür. Bir ilgili kişi de, bir denetçi de ilk oraya bakar.

Web sitesi neden bu kadar önemli?

Aydınlatma yükümlülüğü, bilginin ilgili kişiye ulaşabilir olmasını gerektirir. Bir şirketin müşterisi, çalışan adayı veya ziyaretçisi; kendisiyle ilgili metinlere ulaşmak istediğinde bakacağı yer web sitesidir.

Buna karşılık önemli bir uyarıyı baştan yapalım: metnin sitede yayımlanmış olması, belirli bir kişiye aydınlatma yapıldığını ispatlamaz. Bu ayrımı aydınlatmanın ispatı yazımızda ayrıntılı ele aldık. Site, erişilebilirliği sağlar; ispatı değil.

Bulunması gerekenler

1. Web sitesi ziyaretçileri aydınlatma metni. Site üzerinden hangi verilerin (form verileri, log kayıtları, çerez verileri) hangi amaçla işlendiğini anlatır. Kanun'un 10. maddesindeki beş unsuru taşımalıdır — metnin nasıl kurulacağını ayrı bir yazıda anlattık.

2. Çerez politikası ve çerez aydınlatma metni. Kullanılan çerezlerin listesi; her biri için amaç, süre ve tarafın (birinci taraf / üçüncü taraf) belirtilmesi beklenir. Rıza gerektiren çerezler için ayrıca bir rıza yönetim arayüzü gerekir; ayrıntısı çerez uyumu yazımızda.

3. İlgili kişi başvuru formu ve başvuru yolu. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'in aradığı bilgileri içeren bir form ile başvurunun hangi kanallardan (yazılı adres, KEP, kayıtlı e-posta) yapılacağı açıkça gösterilmelidir. Başvuru yolu belirsizse talepler rastgele kanallardan gelir ve 30 günlük süre farkında olunmadan tüketilir.

4. Sürece özgü aydınlatma metinleri. Tek bir metin her süreci karşılamaz. Sitede üyelik varsa üye aydınlatma metni, kariyer sayfası varsa çalışan adayı aydınlatma metni, iletişim formu varsa forma özgü metin bulunmalıdır.

5. Açık rıza metinleri (gerekiyorsa). Ticari elektronik ileti, profilleme veya benzeri işlemeler için rıza alınıyorsa, rıza metni aydınlatmadan ayrı sunulmalıdır. Ticari elektronik iletiler bakımından ayrıca 6563 sayılı Kanun ve İYS yükümlülükleri gündeme gelir.

Zorunlu olmayan ama beklenen belgeler

Kişisel veri saklama ve imha politikası, VERBİS'e kayıt yükümlülüğü olan veri sorumluları bakımından hazırlanması zorunlu bir belgedir; ancak kamuya açık yayımlanması ayrıca aranmaz. Buna rağmen yayımlamak yaygın ve olumlu bir uygulamadır: şirketin verileri süresiz saklamadığını gösterir.

Kişisel verilerin korunması ve işlenmesi politikası da benzer şekilde zorunlu tutulmamakla birlikte, kurumsal ciddiyeti göstermesi ve iç düzeni belgelemesi bakımından yaygındır.

Asıl sorun: belgelerin güncel kalması

Uygulamada gördüğümüz tablo şudur: metinler bir kez hazırlanır, web ajansına gönderilir, sayfaya gömülür ve orada kalır. Süreç değişir, alıcı grubu değişir, metin değişmez. Aradan iki yıl geçtiğinde sitedeki metin şirketin gerçek faaliyetiyle örtüşmez hâle gelir — bu, denetimde metnin hiç olmamasından daha kötü bir sonuç doğurabilir; çünkü ortada yazılı ve yanlış bir beyan vardır.

Bu nedenle belgelerin, siteye gömülü sabit sayfalar yerine tek bir adresten yönetilmesi ve güncellendiğinde yayının kendiliğinden tazelenmesi tercih edilir. KVKK belge merkezi hizmetimiz tam olarak bunu yapar: sitenizdeki "KVKK" bağlantısını bir kez verirsiniz, belge değiştiğinde web ajansınızı aramanız gerekmez.

Sık yapılan hatalar

1. Tek metinle her süreci karşılamaya çalışmak. Ziyaretçi, üye, aday ve müşteri farklı gruplardır.
2. Başka bir şirketin metnini kopyalamak. Metin, sizin envanterinizi anlatmadığı sürece işe yaramaz.
3. Çerez politikasında çerez listesi vermemek. "Sitemizde çerez kullanılmaktadır" cümlesi bilgilendirme sayılmaz.
4. Başvuru formunu koyup adresi yazmamak. Formun nereye gönderileceği belirtilmezse başvuru yolu gösterilmiş olmaz.
5. Metinlerde tarih ve sürüm bulunmaması. Hangi metnin ne zamandan beri yürürlükte olduğu gösterilemezse geçmişe dönük ispat imkânsızlaşır.

Bütüncül gözden geçirme

Web sitesindeki belgeler, uyum yapısının çıktısıdır — kaynağı değil. Sitedeki bir metni güncellemeniz gerekiyorsa, bunun sebebi neredeyse her zaman arkadaki yapıda bir değişiklik olmasıdır ve o değişiklik tek bir sayfada kalmaz: kişisel veri envanteriniz yeni amacı ve veri kategorisini içermeli, VERBİS kaydınız envanterle tutarlı olmalı, açık rıza yapınız değişen hukuki sebebe uyarlanmalı, saklama ve imha politikanız yeni verinin süresini tanımlamalı, aktarım varsa veri işleyen sözleşmeleriniz güncellenmelidir.

Sitedeki metni değiştirip bu zinciri olduğu yerde bırakmak, denetimde en kolay fark edilen çelişkiyi üretir. Bu nedenle değişiklikleri bütüncül bir gözden geçirmeyle yürütmenizi ve hukuki destek almanızı öneririz. Genç Partners, 2016'dan bu yana yürüttüğü uyum projelerindeki deneyimiyle bu haritayı çıkarmayı kolaylaştırır; kisiselverilerim.com ise ortaya çıkan belgelerin yayımlanmasını ve güncel kalmasını üstlenir.

Özet

• Sitede asgari olarak ziyaretçi aydınlatma metni, çerez belgeleri, başvuru formu ve başvuru yolu, sürece özgü aydınlatma metinleri bulunmalıdır.
• Saklama ve imha politikası VERBİS yükümlüsü için hazırlanması zorunludur; yayımlanması zorunlu değil ama olumlu bir uygulamadır.
• Metnin sitede olması erişilebilirliği sağlar, ispatı sağlamaz.
• En büyük risk, belgelerin zamanla gerçek süreçlerden kopmasıdır.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Sitenizde bulunması gereken metinlerin şirketinize göre belirlenmesi için hukuki destek alınız.