Bir kurumsal sitede en çok emek harcanan yer genelde anasayfadır. Oysa o sitenin kişisel veriyle en yoğun temas ettiği nokta, çoğu zaman en alta iliştirilmiş üç satırlık iletişim formudur. Ad, e-posta, telefon, bazen şirket adı, bazen de kullanıcının kendi ağzıyla anlattığı bir sorun. Bunların hepsi 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veridir ve o formu sitesinde barındıran işletme, kanun dilinde "veri sorumlusu" konumundadır.
Uygulamada gördüğümüz tablo şu: form var, altında "KVKK metnini okudum" yazan bir kutucuk var, kutucuğun bağlandığı sayfa ya boş ya da başka bir siteden kopyalanmış. Bu yapı hem hukuken zayıf hem de kullanıcı tarafında güven vermiyor. Bu yazıda, teknik ve içerik tarafını birlikte düşünerek iletişim formunun nasıl kurulması gerektiğini adım adım anlatmaya çalışacağım.
Önce şu ayrımı netleştirelim: aydınlatma mı, açık rıza mı?
Sahada en sık karıştırılan konu bu. İkisi farklı şeyler ve ikisi aynı kutucuğa sıkıştırılamaz.
Aydınlatma yükümlülüğü koşulsuzdur. Kanunun 10. maddesi gereği, siz kişisel veriyi hangi hukuki sebeple işlerseniz işleyin, veriyi topladığınız anda kişiyi bilgilendirmek zorundasınız. Kim olduğunuzu, veriyi neden aldığınızı, kime aktaracağınızı, hangi haklara sahip olduğunu anlatmanız gerekir. Burada kullanıcının onayı aranmaz; bilgilendirme sizin ödeviniz.
Açık rıza ise ancak başka bir hukuki sebep yoksa devreye girer. İşin ilginç tarafı, sıradan bir iletişim formu için çoğu zaman açık rızaya ihtiyaç duyulmaz. Kişi size teklif almak veya soru sormak için kendi iradesiyle yazıyorsa, bu genellikle "bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olma" ya da "veri sorumlusunun meşru menfaati" kapsamında değerlendirilebilir. Yani mesajı yanıtlamak için ayrıca rıza istemenize gerek yoktur.
Açık rıza asıl şurada gerekir: gelen e-postayı bülten listesine eklemek, sonradan kampanya SMS'i atmak, veriyi pazarlama amacıyla saklamak. Bunlar ayrı amaçlardır ve ayrı, işaretlenmemiş kutucuklarla sorulmalıdır.
Pratik kural: tek bir kutucukta "aydınlatma metnini okudum ve ticari ileti almayı kabul ediyorum" demek, KVKK'nın aradığı "belirli bir konuya ilişkin, özgür iradeyle açıklanan rıza" tanımına aykırıdır. Rızayı hizmetin şartı haline getirdiğiniz anda geçerliliğini kaybeder.
Veri minimizasyonu: sormadığınız veri, korumak zorunda olmadığınız veridir
Kanunun 4. maddesi, verinin "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü" olmasını istiyor. Buna rağmen birçok iletişim formunda doğum tarihi, T.C. kimlik numarası, adres, cinsiyet gibi alanlar duruyor. Bir teklif talebini yanıtlamak için bunların hiçbirine ihtiyaç yok.
Formu tasarlarken her alan için tek soruyu sorun: "Bu bilgi olmadan bu kişiye dönüş yapabilir miyim?" Cevap evetse alan gereksizdir. Tipik bir iletişim formu için makul set şudur:
- Ad (soyad çoğu senaryoda zorunlu olmak zorunda değil)
- E-posta veya telefon — ikisini birden zorunlu tutmak yerine tercih ettirin
- Mesaj alanı
- İsteğe bağlı: firma adı, konu başlığı
Bir de şunu forma yazılı olarak ekleyin: "Lütfen mesajınızda kimlik numarası, sağlık bilgisi gibi özel nitelikli verileri paylaşmayın." Çünkü serbest metin alanı, kullanıcıların size istemeden özel nitelikli veri gönderdiği en büyük kapıdır ve o veri sisteminize düştüğü anda sorumluluğu size geçer.
Aydınlatma metni nasıl sunulmalı?
Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, bilgilendirmenin verinin elde edildiği anda ve anlaşılır bir dille yapılmasını istiyor. Uygulamada bunun anlamı şu:
- Aydınlatma metni ayrı bir sayfada yayımlanmalı ve form alanının hemen yanından bağlantı verilmeli.
- Bağlantı yeni sekmede açılmalı; kullanıcı doldurduğu formu kaybetmemeli.
- Metin gerçekten sizin şirketinize ait olmalı: unvan, adres, iletişim kanalı, işleme amaçları, saklama süresi, aktarım yapılan taraflar.
- Puntoyu okunmaz derecede küçültmek, gri üstüne açık gri yazmak ters teper. Denetimde de kullanıcı gözünde de değer kaybettirir.
Aydınlatma için kutucuk zorunlu değildir; ancak birçok kurum ispat kolaylığı açısından "aydınlatma metnini okudum" onayı alıyor. Bunu yapacaksanız, önemli olan bu onayın kaydını tutmak: onay zamanı, IP, form sürümü. Aksi halde onayın alındığını gösteremezsiniz.
Ticari elektronik ileti ve İYS ayrı bir dünya
Bülten aboneliği veya kampanya bildirimi düşünüyorsanız, KVKK tek başına yeterli değil. 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun gereği alıcıdan ayrıca onay almanız ve bu onayı İleti Yönetim Sistemi'ne (İYS) yüklemeniz gerekiyor. İletişim formundan gelen bir mesajı otomatik olarak pazarlama listesine eklemek, hem KVKK hem de İYS tarafında sorun üretir.
Çözümü basit: iletişim formu ile bülten formunu ayırın. Aynı formda tutacaksanız da bülten onayını işaretsiz, bağımsız bir kutucuk olarak koyun ve o kutucuk işaretlenmeden de form gönderilebilsin.
Teknik taraf: form verisi nereye gidiyor?
KVKK'nın 12. maddesi "uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almak" diyor. İletişim formu özelinde bunun karşılığı şunlar:
SSL ve iletim güvenliği
Form gönderiminin HTTPS üzerinden yapılması artık tartışma konusu bile değil. Sertifikanın süresi dolduğunda tarayıcı uyarısı çıkması, hem güven kaybı hem de teknik tedbir eksikliğidir. Bizim paketlerimizde barındırma ve alan adı yenilemesi dahil olduğu için sertifikanın süresi dolup formun açıkta kalması gibi bir senaryo müşterinin gündemine hiç girmiyor; bunu bir avantaj olarak değil, olması gereken temel olarak görüyoruz.
Verinin saklandığı yer
Form kaydının nereye düştüğünü bilmek zorundasınız. Sadece e-posta olarak mı gidiyor, aynı zamanda veritabanına da yazılıyor mu, üçüncü parti bir form servisi mi kullanılıyor? Eğer form eklentisi kayıtları sunucuda tutuyorsa, yıllar içinde binlerce kişisel veri kaydı orada birikir ve kimse haberdar olmaz.
Saklama süresi ve imha
"Sonsuza kadar saklarız" diye bir seçenek yok. Aydınlatma metninizde belirttiğiniz süre dolduğunda kayıtların silinmesi gerekiyor. Uygulanabilir bir yaklaşım: talep sonuçlandıktan sonra makul bir süre (örneğin ilgili mali/ticari mevzuatın gerektirdiği süre veya kurumsal politikanızda belirlediğiniz süre) saklamak, sonra periyodik olarak imha etmek. Bunu yönetim panelinden yapabilmek şart. Teslim ettiğimiz sitelerde panel eğitimi verirken form kayıtlarını görüntüleme, dışa aktarma ve toplu silme adımlarını mutlaka gösteriyoruz; çünkü uyumun sürdürülebilir olması, işi devralan kişinin bunu tek başına yapabilmesine bağlı.
Yetkilendirme
Form kayıtlarına siteye giriş yapan herkesin erişmesi doğru değil. Rol bazlı yetki tanımlayın; içerik editörünün müşteri telefon numaralarını görmesi için bir sebep yok.
Üçüncü taraf araçlar ve yurt dışına aktarım
Spam engellemek için kullanılan doğrulama servisleri, analitik araçlar, canlı destek widget'ları, bulut tabanlı form servisleri… Bunların birçoğu veriyi yurt dışındaki sunuculara taşıyor. KVKK'nın 9. maddesi yurt dışına aktarımı belirli koşullara bağlıyor ve 2024'teki değişiklikle standart sözleşme, bağlayıcı şirket kuralları gibi mekanizmalar tanımlandı.
Pratik öneri: hangi araçların hangi veriyi nereye gönderdiğini listeleyin. Gerekmeyeni kaldırın. Spam sorunu için sunucu tarafında honeypot alanı, zaman tabanlı kontrol veya basit matematik doğrulaması gibi veri dışarı çıkarmayan yöntemler çoğu kurumsal site için fazlasıyla yeterlidir. Aydınlatma metninizde de kullandığınız araçları ve aktarımı açıkça belirtin.
Bir not daha: çerez aydınlatması ile form aydınlatması aynı şey değil. Çerez banner'ınızın olması, form için ayrı bilgilendirme yapmanız gereğini ortadan kaldırmaz. İkisini de kurgulamak gerekiyor.
İlgili kişinin başvuru hakkını unutmayın
Kanunun 11. maddesi kişiye; verisinin işlenip işlenmediğini öğrenme, düzeltme, silme, aktarıldığı üçüncü kişileri bilme gibi haklar tanıyor. Bu başvuruların size ulaşabileceği bir kanal olmalı ve aydınlatma metninde açıkça yazmalı. Çoğu sitede bu kısım eksik; oysa başvuruların yanıtsız kalması, şikâyetlerin Kurum'a taşınmasının en yaygın sebeplerinden biri.
Ayrıca VERBİS kayıt yükümlülüğünüz olup olmadığını kontrol edin. Çalışan sayısı ve yıllık mali bilanço eşiklerine göre belirlenen bu yükümlülük, bazı işletmeler için geçerli, bazıları için değil. Mali müşavirinizle ya da hukuk danışmanınızla teyit etmek en sağlıklısı.
Kısa kontrol listesi
- Form yalnızca gerekli alanları soruyor mu?
- Kendi şirketinize ait, güncel bir aydınlatma metni var mı ve forma bağlantısı çalışıyor mu?
- Aydınlatma ile pazarlama onayı ayrı kutucuklarda mı?
- Onay kayıtları (zaman, IP) tutuluyor mu?
- Site tamamen HTTPS mi, sertifika otomatik yenileniyor mu?
- Form kayıtları nereye yazılıyor, kim erişebiliyor?
- Saklama süresi belirlendi mi, imha kim tarafından nasıl yapılacak?
- Kullanılan üçüncü taraf araçlar ve yurt dışı aktarım metinde belirtildi mi?
- İlgili kişi başvuru kanalı tanımlı mı?
Son olarak
KVKK uyumu, siteye bir kutucuk eklemekten ibaret bir işlem değil; verinin girdiği andan silindiği ana kadar izlenen bir süreç. İyi tarafı şu ki, doğru kurgulanmış bir form aynı zamanda daha az alan, daha net dil ve daha yüksek dönüşüm demek. Yani hukuki zorunluluk ile iyi kullanıcı deneyimi burada aynı yöne bakıyor.
Mevcut formunuzun bu maddelere göre nerede durduğunu birlikte gözden geçirmemizi isterseniz bize yazabilirsiniz; aynı iş günü içinde dönüş yapıyoruz.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. Kurumunuzun özel durumu için bir hukuk danışmanıyla çalışmanızı öneririz.