Bir web sitesi kurarken KVKK genelde en son düşünülen konu olur: tasarım biter, içerik yerleşir, yayına bir gün kala biri “Çerez bandı koyduk mu?” diye sorar. Sonra internetten bulunan bir metin kopyalanır, bir bant eklenir ve iş bitmiş sayılır. Oysa en sık yapılan hatalar tam da bu aceleyle yapılan işlerde saklı.
Bu yazı bir hukuki görüş değil; bir yazılım ekibi olarak sitelerde en sık gördüğümüz sorunları ve Kişisel Verileri Koruma Kurumu’nun kendi rehberlerinde yazan doğruları bir araya getirdik.
1. Aydınlatma metni ayrı ve kolay bulunur olmalı
6698 sayılı Kanun’un 10. maddesi, kişisel veriyi toplarken kişiyi bilgilendirmenizi istiyor: verileri kimin, hangi amaçla, hangi hukuki sebebe dayanarak işlediğini, kime aktardığını ve kişinin haklarını. Bu metin her formun yanında bir bağlantıyla ulaşılabilir olmalı.
Sık hata: “Aydınlatma metnini okudum ve kabul ediyorum” kutusu. Aydınlatma bir bilgilendirmedir, kabul edilmez; okunur. Aydınlatma tebliğinin 5. maddesi, işlem açık rızaya dayanıyorsa aydınlatma ile açık rızanın ayrı ayrı yapılmasını istiyor. Kurul’un 2018/90 sayılı kararı da “okudum” onayını rıza gibi saymanın Kanun’a aykırı olduğunu açıkça söylüyor.
2. Açık rıza, gerçekten gerektiği yerde ve ayrı alınmalı
Bir sözleşmeyi yerine getirmek ya da yasal bir yükümlülük için veri işliyorsanız açık rızaya gerek yoktur. Ama örneğin tanıtım e-postası göndermek istiyorsanız ayrı ve özgür iradeyle verilmiş bir onay gerekir. Bu onay, hizmetin şartı haline getirilmemeli: “Bülten almazsanız teklif gönderemeyiz” demek olmaz.
