- Katılım
- 21 May 2023
- Mesajlar
- 556
- Tepki
- 17
- Puan
- 18
Sitesine iletişim formu koyan, bülten aboneliği açan ya da üyelik sistemi kuran herkes kişisel veri işlemeye başlamış oluyor. Çoğu sitede bunun karşılığı, başka bir siteden kopyalanmış ve altındaki firma adı bile değiştirilmemiş bir aydınlatma metni.
Oysa bu metnin içeriği serbest bırakılmış değil; Kişisel Verileri Koruma Kurumu hangi bilgilerin bulunması gerektiğini tek tek saymış durumda. Bu yazı o listeyi ve metnin ne zaman gösterilmesi gerektiğini Kurumun kendi sayfasına dayanarak aktarıyor.
Aydınlatma yükümlülüğü nereden doğuyor?
Kişisel Verileri Koruma Kurumu'nun aydınlatma yükümlülüğü sayfasına göre Kanun, kişisel verileri işlenen kişilere bu verilerin kim tarafından, hangi amaçla ve hangi hukuki sebeple işlenebileceği ve kimlere aktarılabileceği konusunda bilgi edinme hakkı tanıyor. Veri sorumlusu bu bilgileri sağlamakla yükümlü tutuluyor.
Buradaki kritik ayrıntı zamanlama: yükümlülük, verinin elde edilmesi sırasında yerine getiriliyor. Yani form gönderildikten sonra e-postayla bilgilendirme yapmak değil, formu dolduran kişinin o anda metne erişebilmesi gerekiyor.
Metinde bulunması gereken beş başlık
Aynı sayfa, veri sorumlusunun ilgili kişiye sağlamakla yükümlü olduğu bilgileri sıralıyor:
- Kimlik: Veri sorumlusunun ve varsa temsilcisinin kimliği.
- Amaç: Kişisel verilerin hangi amaçla işleneceği.
- Aktarım: Verilerin kimlere ve hangi amaçla aktarılabileceği.
- Yöntem ve hukuki sebep: Veri toplamanın yöntemi ve dayandığı hukuki sebep.
- Haklar: Kanunun 11. maddesinde sayılan diğer haklar.
Beşi de zorunlu. Bir tanesini atlayan metin, ne kadar uzun olursa olsun eksik sayılıyor.
Açık rıza aldıysanız yükümlülük bitmiyor
Sık yapılan bir varsayım, kullanıcıdan onay kutusuyla rıza alındığında ayrıca bilgilendirmeye gerek kalmadığı yönünde. Kurumun sayfası bunu doğrudan reddediyor: veri işleme faaliyeti açık rızaya bağlı olsun ya da Kanundaki başka bir şart kapsamında yürütülsün, bilgilendirme yükümlülüğü devam ediyor.
Sayfadaki ifade net: ilgili kişi, kişisel verisinin işlendiği her durumda aydınlatılmalı. Rıza ile aydınlatma iki ayrı yükümlülük; biri diğerinin yerine geçmiyor.
Sık karıştırılan nokta' Alıntı:
Kopyala yapıştır metin neden işe yaramıyor?
Listedeki maddelerin üçü doğrudan sizin kurulumunuza bağlı: hangi amaçla topladığınız, kime aktardığınız ve hangi yöntemle topladığınız. Başka bir siteden alınan metin bu üçünü kaçınılmaz olarak yanlış anlatıyor.
Somutlaştırmak kolay. Formunuz e-posta pazarlama servisine bağlıysa orası bir aktarımdır ve metinde görünmesi gerekir. Ödeme alıyorsanız ödeme kuruluşu ayrı bir aktarımdır. Yorum sisteminiz üçüncü taraf bir servisse o da öyle.
Ekran görüntüsü paylaşırken nelerin gizleneceğini ayrı bir yazıda ele almıştık; oradaki mantık burada da geçerli, hangi verinin nereye gittiğini önce kendinizin bilmesi gerekiyor.
Kendi sitenizde çıkarılacak envanter
Metni yazmadan önce şu soruların cevabı elinizde olmalı:
- Sitede kişisel veri toplayan kaç nokta var? Form, üyelik, yorum, sipariş, bülten.
- Her noktada hangi alanlar toplanıyor? Ad, e-posta, telefon, adres, IP.
- Bu veriler nereye gidiyor? Kendi sunucunuz, e-posta servisi, ödeme kuruluşu, analiz aracı.
- Her toplama noktasında metne erişim var mı, yoksa yalnız bir sayfada mı duruyor?
Dördüncü madde çoğu sitede aksıyor: metin var ama yalnız altbilgideki bir bağlantının arkasında duruyor, formun yanında görünmüyor.
Site güvenliği ile karıştırmayın
Aydınlatma metni bir bilgilendirme belgesidir; verinin korunmasını sağlayan teknik önlemler ayrı bir başlıktır. İkisini aynı sayfada anlatmak yaygın ama yükümlülükleri farklıdır.
Teknik tarafı web güvenliği hataları listemizde toplamıştık. Verinin taşınırken şifrelenmesi konusunda ise sertifika tarafına bakmak gerekiyor; platformların "ücretsiz SSL dahil" sözünün ne anlama geldiğini ayrı bir yazıda incelemiştik.
Metni güncel tutmak da yükümlülüğün parçası
Aydınlatma metni bir kez yazılıp unutulacak bir belge değil. Sitenize yeni bir analiz aracı eklediğinizde, ödeme sağlayıcınızı değiştirdiğinizde ya da bülten servisinizi taşıdığınızda aktarım listesi değişmiş oluyor; metin eskisi gibi kaldığında artık gerçeği anlatmıyor.
Pratik bir alışkanlık, üçüncü taraf bir servis eklerken metni de aynı işin parçası saymak. Servis eklendiği gün metne bir satır yazmak, aylar sonra hangi servisin ne zaman girdiğini hatırlamaya çalışmaktan çok daha kolay.
Sık Sorulan Sorular
KVKK aydınlatma metni nasıl yazılır?
Kurumun saydığı beş başlık (kimlik, amaç, aktarım, yöntem ve hukuki sebep, haklar) kendi kurulumunuza göre doldurulur. Hazır metin kopyalamak, amaç ve aktarım maddelerini kaçınılmaz olarak yanlış gösterir.
Aydınlatma metni nerede gösterilmeli?
Yükümlülük verinin elde edilmesi sırasında doğduğu için metnin, veriyi toplayan noktada erişilebilir olması gerekir. Yalnız altbilgide bir bağlantı bırakmak bu şartı zayıflatır.
Açık rıza aldıysam aydınlatma metni gerekli mi?
Gerekli. Kurumun sayfası, faaliyet açık rızaya dayansa da bilgilendirme yükümlülüğünün devam ettiğini belirtiyor.
Aydınlatma metni ile gizlilik politikası aynı şey mi?
Aynı değil. Aydınlatma metni Kanunun saydığı bilgileri vermek zorundadır; gizlilik politikası daha geniş ve serbest bir belgedir. İkisi tek dosyada birleştirilebilir ama zorunlu maddeler yine de eksiksiz bulunmalıdır.
Özetle
Aydınlatma metni serbest formatlı bir sayfa değil; Kurumun saydığı beş bilgi başlığını taşımak zorunda ve verinin toplandığı anda erişilebilir olmalı. Açık rıza alınmış olması bu yükümlülüğü kaldırmıyor. Metni yazmadan önce sitenizdeki toplama noktalarını, toplanan alanları ve verinin gittiği üçüncü tarafları çıkarmak, kopyalanmış bir metnin yaratacağı yanlışlığı baştan önlüyor.
Sitenizdeki aydınlatma metnini son ne zaman kendi kurulumunuza göre gözden geçirdiniz?
Güncelleme: 25 Ağustos 2026.
Dijital Dünyanıza Yön Veren Pusula
