Web Sitenizin Hukuki Metinleri: KVKK Aydınlatma, Çerez Politikası ve Form Onayları

Web sitesi teslim ederken en sık duyduğumuz cümlelerden biri: "Bizim sitede veri toplamıyoruz ki." Oysa sitede bir iletişim formu, bir randevu alanı, bir analitik kodu veya bir reklam pikseli varsa kişisel veri işleniyor demektir — üstelik ziyaretçi henüz hiçbir şeye tıklamadan, sayfa açıldığı anda. Bu yazı bir hukuki görüş değil; teslim ettiğimiz sitelerde uyguladığımız pratik kontrol listesi. Hangi metinlerin bulunması gerektiğini, aydınlatma ile açık rızanın nerede ayrıldığını, çerez bandının nasıl kurulduğunu ve sağlık gibi hassas alanlarda nelere dikkat edildiğini anlatıyoruz.

Bir web sitesi hangi anda kişisel veri işlemeye başlar?

Kısa cevap: ziyaretçi sayfayı açtığı anda. Form doldurmasına gerek yoktur; sunucu kayıtları, analitik çerezleri ve reklam pikselleri ilk saniyeden itibaren veri üretir.

Sitede bulunması gereken metinler

Dört temel metin, yerleşik olarak her sitede bulunur. Bunlar birbirinin yerine geçmez; her biri farklı bir soruyu cevaplar.

Kurumsal sitelerde buna başvuru (ilgili kişi) formu da eklenir: kişinin verisine erişme, düzeltme ve silme talebini iletebileceği bir kanal bulunması gerekir. Footer'da bir e-posta adresi bile olsa, bu kanalın tanımlı olması önemlidir.

Pratikte en sık gördüğümüz eksik: metinler var ama başka bir siteden kopyalanmış. İçinde başka bir şirketin unvanı geçen aydınlatma metni, hiç olmamasından daha kötü bir izlenim bırakıyor.

Formlar: aydınlatma ile açık rıza aynı şey değil

Kısa cevap: aydınlatma bilgilendirmedir, her durumda zorunludur; açık rıza ise izindir, yalnızca belirli durumlarda gerekir. İkisini tek bir onay kutusunda birleştirmek, uygulamadaki en yaygın hatadır.

• Randevu talebi için açık rıza gerekmeyebilir: kişinin kendi talebiyle kurulan iletişim, sözleşmenin kurulması kapsamında değerlendirilebilir. Buradaki yükümlülük aydınlatmadır.
• Pazarlama için açık rıza gerekir: "Kampanyalardan haberdar olmak istiyorum" onayı ayrı bir kutuda, işaretsiz olarak sunulur.
• Ön işaretli kutu geçersizdir: rızanın özgür iradeyle verilmiş olması gerekir; varsayılan olarak işaretli gelen onay, verilmiş sayılmaz.
• Rıza alınırken kayıt tutulur: hangi metnin hangi tarihte onaylandığı sistemde saklanmalıdır; aksi halde rızanın varlığı ispatlanamaz.
• Gereksiz alan istenmez: veri minimizasyonu ilkesi gereği, amaç için gerekmeyen bilgi toplanmaz. Randevu formunda doğum tarihi veya T.C. kimlik numarası istemek, çoğu durumda savunulamaz.

Çerez bandı nasıl doğru kurulur?

Çerez bandı bir tasarım öğesi değil, işleyen bir mekanizmadır: kullanıcı onay vermeden ilgili kodların çalışmaması gerekir. Yalnızca görsel olarak eklenen bir band, hiçbir yükümlülüğü karşılamaz.

1. Çerezleri kategorilere ayır: zorunlu, işlevsel, analitik, pazarlama. Zorunlu çerezler onaysız çalışabilir; diğerleri çalışamaz.
2. Onaydan önce hiçbir izleme kodu tetiklenmesin. Bu, etiket yöneticisinde onay durumuna bağlı kural kurulmasıyla sağlanır.
3. "Reddet" butonu, "Kabul et" ile aynı görünürlükte olsun. Reddi zorlaştıran tasarımlar (koyu desen) denetimlerde sorun yaratır.
4. Ayar değiştirme yolu bırak: kullanıcı sonradan tercihini değiştirebilmelidir; footer'da kalıcı bir bağlantı yeterlidir.
5. Onay kaydını sakla: tercih, tarih ve sürüm bilgisi tutulur.
6. Çerez listesini güncel tut: yeni bir araç eklendiğinde politika da güncellenir; gerçekte çalışan çerezlerle listedekiler birbirini tutmalıdır.

Bandın site hızına etkisi de gözden kaçmamalı: ağır kurulan rıza yönetimi araçları ilk yükleme süresini uzatıyor. Teknik tarafı Core Web Vitals rehberimizde anlattık.

Sağlık, hukuk ve finans: özel nitelikli veri alanları

Kısa cevap: sağlık verisi özel nitelikli kişisel veridir ve daha katı korunur. Bir kliniğin sitesindeki randevu formu, sıradan bir iletişim formu değildir.

• Şikâyet alanı açık uçlu bırakılmaz: "Şikâyetinizi yazın" kutusu, kişinin sağlık verisini serbest metin olarak toplamak anlamına gelir. Bunun yerine genel konu seçimi sunulur.
• Dosya yükleme alanı ayrı değerlendirilir: tahlil veya görüntü yüklenen formlar için güvenli aktarım, sınırlı erişim ve saklama süresi tanımlanmalıdır.
• Form verisi e-postaya düşüyorsa bu da bir işleme faaliyetidir: gelen kutusunda süresiz duran hasta talepleri, saklama politikasının dışında kalır.
• Hasta yorumu ve deneyim paylaşımı: sağlık alanında bu içerikler tanıtım yasağı kapsamına girebilir; kişinin rızası tek başına yeterli olmayabilir.
• Yurt dışı aktarımına dikkat: form verisini yurt dışındaki bir hizmet sağlayıcıda tutan çözümler, aktarım kurallarına tabidir.

Bu yazı bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Metinlerin işletmenizin gerçek veri işleme süreçlerine göre bir hukukçu tarafından hazırlanması gerekir; bizim işimiz bu metinlerin sitede doğru yerde, doğru mekanizmayla çalışmasını sağlamaktır.

Hekim sitelerinin genel kurgusunu doktor web sitesi rehberinde, randevu akışını ise hasta yolculuğu yazımızda ele aldık.