KVKK ve web siteniz: form toplayan her şirketin sorumlulukları

Bu içerik bilgilendirme amaçlıdır, hukuki danışmanlık değildir. KVKK mevzuatı somut olaya göre değişen yorumlar içerebilir; kendi durumunuz için bir hukuk danışmanına veya KVKK Kurumu’nun resmi kaynaklarına başvurmanızı öneririz.

Bir web sitesindeki iletişim veya teklif formu, ziyaretçi “Gönder”e bastığı anda kişisel veri işlemeye başlar — ad, e-posta, telefon, hatta bazen firma bilgisi. Bu, formun küçük veya basit olmasından bağımsız olarak KVKK’nın (6698 sayılı Kişisel Verilerin Korunması Kanunu) kapsamına girer.

Bu yazı, o formun arkasında hangi temel sorumlulukların durduğunu — süslemeden, yalnız resmi kaynaklara dayanarak — özetliyor.

Aydınlatma metni ne içermeli?

KVKK Kurumu’nun kendi açıklamasına göre bir aydınlatma metni şunları içermelidir:

• Veri sorumlusunun (ve varsa temsilcisinin) kimliği
• Kişisel verilerin hangi amaçla işlendiği
• Verilerin kimlere ve hangi amaçla aktarılabileceği
• Verinin toplanma yöntemi ve hukuki sebebi
• İlgili kişinin (Kanun’un 11. maddesinde sayılan) diğer hakları

Bu, açık rızaya dayansın ya da dayanmasın, HER durumda geçerli bir yükümlülüktür — aydınlatma, rızadan bağımsız bir bilgilendirme görevidir. Pratikte bu, formun hemen yanında veya gönderim öncesinde, kısa ama bu beş maddeyi karşılayan bir metne bağlantı anlamına gelir — “gizlilik politikamızı kabul ediyorum” yazan tek bir onay kutusu, arkasında bu içerik yoksa yeterli değildir.

Açık rıza her zaman mı gerekir?

Kanun, kişisel verinin bazı durumlarda açık rıza olmadan da işlenebileceği hukuki sebepler tanımlıyor (ör. bir sözleşmenin kurulması için gerekli olması). Ama bir teklif formunda toplanan veri genelde açık rızaya dayandırılıyor çünkü bu, en açık ve tartışmaya en kapalı yoldur. Hangi hukuki sebebin sizin durumunuza uyduğu, formun ne topladığına ve ne amaçla kullanıldığına göre değişir — bu ayrımı somut olayınızda netleştirmek için hukuki görüş almanızı öneririz.

Çerez bildirimi

Site, ziyaretçi davranışını izleyen bir analitik veya reklam çerezi kullanıyorsa, bu da bir veri işleme faaliyetidir ve ziyaretçiye bildirilmesi gerekir. Basit bir bildirim (banner) ile “hangi çerezler, ne amaçla” sorusuna cevap vermek, bu yükümlülüğün başlangıç noktasıdır.

Saklama süreleri

Kanunun genel ilkesi, verinin işlenme amacı ortadan kalktığında saklanmaması yönünde. “Süresiz sakla, belki lazım olur” refleksi, bu ilkeyle çelişir. Her veri türü için ne kadar süre saklanacağının, hangi amaçla toplandığına bağlı olarak baştan tanımlanması gerekir. Örneğin bir teklif talebi verisi, teklif süreci sona erdikten belirli bir süre sonra silinmeli veya anonimleştirilmeli — bu sürenin ne kadar olacağı yine somut duruma bağlı, ama “hiç silmemek” bir seçenek değil.

VERBİS kimleri kapsıyor?

VERBİS’ten istisna olmak, aydınlatma yükümlülüğü veya veri güvenliği gibi diğer sorumlulukları ORTADAN KALDIRMAZ — bunlar ayrı, birbirinden bağımsız yükümlülükler.

Uymamanın bir sonucu var mı?

Kanun, ihlal türüne göre idari para cezaları öngörüyor. Bu cezaların güncel tutarlarını burada vermiyoruz çünkü Kanun’da öngörülen tutarlar her yıl güncelleniyor ve güncel olmayan bir rakam yanıltıcı olur — kesin ve güncel tutarlar için KVKK Kurumu’nun resmi sayfasına bakmanızı öneririz.

Kendi sitemizde bu yapıyı nasıl kurduğumuzu KVKK aydınlatma metnimizde görebilirsiniz — kendi belirttiğimiz gibi bu sayfa hâlâ taslak aşamasında, tüzel kişilik bilgileri tamamlanıp hukuki onaydan geçene kadar nihai değil. Bunu gizlemiyoruz çünkü bu sürecin kendisi de bu yazının anlattığı disiplinin bir parçası: eksikse “eksik” demek, “tamammış gibi” göstermekten daha güvenilir.

Formunuzun topladığı veriyi ve aydınlatma metninizin bu maddeleri karşılayıp karşılamadığını birlikte gözden geçirmek isterseniz, kapsamınızı anlatmanız yeterli.

---

Hatırlatma: Bu içerik bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Güncel mevzuat, resmi ceza tutarları ve somut olayınıza özgü değerlendirme için KVKK Kurumu’nun resmi kaynaklarına (kvkk.gov.tr) veya bir hukuk danışmanına başvurun.