İçindekiler
Kişisel veri toplanan en büyük dijital alan olan internet sitesi kişisel verileri korumakla yükümlü tutulmuştur.
İnternet Sitesinin Kişisel Verileri Koruma Yükümlülüğü Nedir?
6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca internet sitesinin kişisel verileri koruma yükümlülüğü bulunmaktadır. E-ticaret, blog, kurumsal nitelikli internet siteleri vb. senaryolarda kişisel veri toplayan internet siteleri kişisel verilerin korunması mevzuatına uyumlu adımlar atarak kişisel veri ihlallerinden korunmayı sağlamalıdır.
İnternet Sitesinde Bulunması Gereken KVKK Metinleri
İnternet sitesinde bulunması gereken KVKK metinleri aydınlatma ve açık rıza metinleri, gizlilik ve çerez politikaları, KVKK ilgili kişi başvuru formu olarak sıralanmaktadır. Bu metinler 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat uyarınca kişisel verisi işlenen ilgili kişinin aydınlatılmasını ve kanuna uygun bir biçimde açık rıza alınmasını, ilgili kişiyi bilgilendirecek gizlilik politikasının hazırlanmasını, internet sitesinin çerezler kullanarak kişisel veri toplaması halinde toplanan kişisel veriler hakkında çerez politikasının hazırlanmasını ve çerezler hakkında açık rıza alınmasını kapsamaktadır.
Yukarıda sayılan politikalar ve metinlere ek olarak veri sorumlusunun ayrıca internet sitesi üzerinde teknik ve idari tedbirleri alarak olası bir kişisel veri ihlalinin önüne geçmesi de gerekmektedir.
İnternet Sitesi Aydınlatma Metni
İnternet sitesi aydınlatma metni dayanağını 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuattan almaktadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10. maddesinde aydınlatma yükümlülüğü ve kapsamının ne olduğuna yer verilmiştir. İlgili hüküm uyarınca kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi tarafından ilgili kişilere aydınlatma yapılması gerekmektedir. Aydınlatma metninin şu bilgilere yer verilmelidir:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
- Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- İlgili kişinin 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında sayılan diğer hakları.
Veri sorumlusu gerçek veya tüzel kişi aydınlatma metnini elektronik ortam olan internet sitesi üzerinde kullanıcılarına sunabilecektir. İnternet sitesi aydınlatma metni gösterilmesi ilgili kişinin talebine bağlı olmayacaktır. Bu metnin sunulduğuna ilişkin ispat da veri sorumlusuna ait sayılacaktır. İlgili kişinin kişisel verilerinin işlenmesi açık rıza şartına bağlı olarak gerçekleştiriliyorsa aydınlatma ve açık rıza alınmasına dair yükümlülüklerin de ayrı ayrı gerçekleştirilmesi gerekecektir.
İnternet sitesi için oluşturulacak aydınlatma metninin kişisel veri işleme amacının belirli, açık ve meşru olması gerekmektedir, başka amaçlar için kişisel verilerin işlenebileceği kanaatini uyandıracak ifadelere yer verilmemelidir. Aydınlatma yükümlülüğü yerine getirilirken genel ve muğlak ifadelerden kaçınılmalıdır.
İnternet sitesi aydınlatma metni içerisinde ayrıca hukuki sebep açıkça belirtilmelidir. Hukuki sebep kişisel verilerin işlenmesi hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında 5 ve 6. maddelerde yer alan kişisel veri işleme şartlarından birinin bulunup bulunmamasıdır. Kişisel verileri işleme şartlarının var olmadığı durumlarda açık rıza alınması yükümlülüğü vardır.
Aydınlatma metninde yer alması gereken bir diğer husus kişisel verilerin aktarılma amacı ve aktarılacak alıcı gruplarıdır. İnternet sitesi aracılığıyla toplanan kişisel verilerin aktarıldığı üçüncü taraflar varsa bu taraflar belirtilmeli ve bu taraflara hangi amaçlarla aktarıldığı açıklanmalıdır.
İnternet Sitesi Açık Rıza Metni
İnternet sitelerinin kişisel veri topladığı hallerde kural olarak ilgili kişilere açık rıza metni de sunması gerekmektedir. Açık rıza 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 3. maddesinde tanımlanmıştır. Kanuni tanım uyarınca açık rızanın belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması gerekmektedir. Örneğin bir e-ticaret sitesinin elektronik ticari ileti yollamak istemesi halinde internet sitesi üzerinden ilgili kişi kullanıcıdan açık rızasını alması gerekecektir.
Açık rızanın olumlu irade beyanını ve aktif bir eylemi içermesi gerekmektedir. İnternet sitesi açık rıza metni bu husus dikkate alınarak hazırlanmalıdır. Açık rıza metninin ilk olarak belirli bir konuya ilişkin olması gerekmektedir. İlgili kişi açık rızanın hangi konuya dayanılarak istendiği hakkında bilgilendirilmesi gerekmektedir. Belirli bir konuya ilişkin olmayan muğlak ifadeler içeren açık rıza metni geçersiz sayılacaktır.
İkinci olarak açık rızanın bilgilendirmeye dayanması gerekmektedir. Buradaki bilgilendirme aydınlatma yükümlülüğü kavramı ile de ilişkilidir. Kişi verdiği rızanın yanısıra rızanın sonuçları hakkında da bilgilendirilmelidir.
Rızanın üçüncü olarak özgür iradeyle açıklanması gerekmektedir. Kişi, ilgili kişisel veri işleme faaliyetine dayanarak verdiği rızanın bilincinde ve bu karar kendi bilincinin eseri olmalıdır.
İnternet Sitesi KVKK Gizlilik ve Çerez Politikası
Faaliyeti ne olursa olsun internet sitesi KVKK gizlilik ve çerez politikası sunmalıdır. Gizlilik politikası ve çerez politikası dayanağını 6698 sayılı Kişisel Verilerin Korunması Kanunu’ndan almaktadır.
Gizlilik politikası uygulamada aydınlatma metni ile çokça karıştırılmaktadır. Aydınlatma metni süreç bazlı olup ilgili süreç kapsamında ilgili kişiye sunulmaktadır. Ancak gizlilik politikası daha kapsamlı ve genel bir metindir. Gizlilik politikası internet sitesi üzerinde kolayca görülebilecek bir yere konumlandırılmalıdır. Bu politika içerisinde ilgili kişi internet sitesi kullanıcısında toplanan kişisel verilerin neler olduğu, bu kişisel verilerin hangi amaç ve hukuki sebepler kapsamında işlendiği, kişisel verilerin saklama süresi ve imhasının ne şekilde yapılacağı, kişisel veriler aktarılıyorsa aktarılma amacı ve aktarılan üçüncü tarafların kim/kimler olduğu, ilgili kişinin 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında haklarının ne olacağı ve veri sorumlusuna hangi yollar kullanılarak başvurulabileceği açıklanmalıdır.
Çerez politikası internet sitesi içerisinde yer alması gereken kişisel verilerin korunmasına ilişkin hukuki metinlerdendir. İnternet sitelerinin çerezler kullanarak kişisel veri toplaması halinde ilgili kişilere çerezler ve diğer hususlar hakkında bilgilendirme yapılması gerekmektedir. Çerez politikaları içerisinde hangi çerezlerin kullanıldığı, kullanılan çerezlerin ilgili kişilerden hangi kişisel verileri topladığı, çerezlerin kişisel verileri saklama süresi, çerezler aracılığıyla kişisel veri aktarılıyorsa bu kişisel verilerin aktarıldığı taraflar ve aktarılma amacı ile kullanılan çerezlerin ayarlarının nasıl değiştirilebileceği ve çerezlerin nasıl silinebileceğine ilişkin bilgilerin yer alması gerekmektedir. Çerez politikası ve politika kapsamında kullanılan çerezler için açık rıza alınacağı senaryolarda ilgili kişiye tümünü kabul et/seçilenleri kabul et/reddet butonlarının eşit büyüklükte ve aynı renkte sunulması gerekmektedir. Çerez politikası ayrıca ilgili kişi kullanıcının internet sitelerini ilk ziyaretinden itibaren görebileceği ve onay/ret işlemini gerçekleştirebileceği bir kısımda yer almalıdır. Pop-uplar ve bannerlar iyi uygulamalara örnek gösterilebilecektir.
İnternet Sitesi İlgili Kişi Başvuru Formu
İnternet sitesi ilgili kişi başvuru formu internet sitelerinin kişisel verileri koruma yükümlülüğü kapsamında site içerisinde yer verilmesi gereken bir başka metindir.
İlgili kişilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca veri sorumlularına başvuru hakkı bulunmaktadır. KVKK’nın 11. maddesi uyarınca ilgili kişi kendisiyle ilgili kişisel verilerin işlenip işlenmediğini öğrenmek, işlenmişse bu bilgiler hakkında bilgi talep etmek, kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenmek, yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilmek, kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme, kişisel verilerinin imhasını talep etme vb. haklara sahiptir. İlgili kişiler internet sitesinin görülebilecek bir kısmında yer alan başvuru formu ile veri sorumlusuna başvuruda bulunabilecektir.
İnternet sitelerinin ayrıca ilgili kişilerin veri sorumlusuna erişebileceği ilgili kişi başvuru formlarına kesinlikle yer vermesi gerekmektedir.
Yukarıda hukuki açıdan önem ihtiva eden internet sitelerinin kişisel verileri koruma yükümlülüğü konusu genel bir çerçeveyle açıklanmıştır. İnternet sitelerinin kişisel verileri koruma yükümlülüğü konusu oldukça önemli ve hukuki danışmanlık alınması gereken başlıca konulardan biridir. Daha fazla bilgi ve danışmanlık için hukuk büromuzla iletişime geçebilirsiniz.
