İkisi aynı şey değil: aydınlatma metni, kişisel verisi işlenen kişiye "hangi verinizi neden işliyorum, ne kadar süre tutuyorum, kimlere aktarıyorum, haklarınız neler" diye anlatan ve KVKK'daki aydınlatma yükümlülüğünü karşılayan metindir. Gizlilik politikası ise sitenin tümünü kapsayan, daha geniş ve daha tanıtım dilinde yazılmış bir sayfadır. Pratikte en sık yapılan hata, internetten bulunmuş tek bir "gizlilik politikası" sayfasını her formun altına bağlayıp ondan aydınlatma görevi beklemektir.
Hangi sayfa neyi anlatır?
Bir kurumsal sitede genellikle üç ayrı metin bulunur ve üçünün işi farklıdır. Ayırmak hem okuru rahatlatır hem de bir soru geldiğinde hangi metne bakılacağını belirler.
| Metin | Kime hitap eder | İçinde ne olur | Nerede durur |
|---|---|---|---|
| Aydınlatma metni | Verisi işlenen kişi: başvuran, müşteri, aday | Hangi veri, hangi amaç, hangi hukuki sebep, saklama süresi, aktarım, ilgili kişinin hakları | İlgili formun yanında ve kendi kalıcı sayfasında |
| Gizlilik politikası | Siteyi gezen herkes | Sitenin veri yaklaşımı, hangi işlemler için ayrıca aydınlatma yapıldığı, başvuru yolu | Alt menüde sabit bağlantı |
| Çerez politikası | Siteyi gezen herkes | Hangi çerez ne için kullanılır, hangileri zorunlu, tercih nasıl değiştirilir | Çerez kutusundan bağlantı ve alt menü |
Çerez tarafının teknik kurulumu ayrı bir iş; onu çerez izni kutusu yazısında anlattık. Burada önemli olan, çerez metninin aydınlatma metninin yerine geçmemesi.
Üç metnin ortak bir zorunluluğu var: her birinde verinin kimin elinde olduğu açıkça yazılı olmalı. Yani şirketin ticari unvanı, hangi işletmeye ait olduğu ve başvuruların hangi yoldan iletileceği. Bu bilgi eksikse metin kime karşı sorumluluk doğurduğunu söylemediği için işlevsiz kalır. Sitede birden fazla marka varsa, her markanın hangi tüzel kişiye bağlı olduğunun da belirtilmesi gerekir; ziyaretçi formu doldururken verisinin hangi şirkete gittiğini bilmelidir.
Aydınlatma ile açık rıza aynı şey değil
Bu ayrımı karıştırmak, sitede en pahalıya mal olan hatadır. Aydınlatma bilgilendirmedir; onay istemez, yapılması beklenir. Açık rıza ise izindir ve yalnızca gerekli olduğu yerde istenir.
- Teklif formundan gelen talebi karşılamak için ad ve iletişim bilgisini işlemek, hizmetin kendisi için gereklidir. Burada aydınlatma yapılır; ayrıca "veri işlenmesine izin veriyorum" kutusu kurmak hem gereksizdir hem de rızayı anlamsızlaştırır.
- Aynı formdan toplanan e-posta adresine sonradan tanıtım ya da bülten göndermek, talebin karşılanmasının ötesinde bir iştir. Bunun için ayrı, işaretlenmemiş ve kendi başına anlaşılır bir kutu gerekir.
- İki kutuyu tek kutuda birleştirmek, yani "aydınlatma metnini okudum ve ticari elektronik ileti almayı kabul ediyorum" biçiminde yazmak, rızayı kullanılamaz hâle getirir. Ayrı kutular kurun.
Metin yazılırken hangi sorular cevaplanır?
Hazır şablon doldurmak yerine şirketin gerçek işleyişini yazmak gerekir. Aşağıdaki soruların cevabını bilmiyorsanız metin de doğru olmaz:
- Hangi veriyi topluyorsunuz? Formdaki her alan tek tek sayılır. İstemediğiniz alanı formdan kaldırmak, metinde açıklamaktan kolaydır.
- Neden topluyorsunuz? Her alanın bir amacı olmalı. "Belki ileride gerekir" bir amaç değildir.
- Ne kadar süre tutuyorsunuz? Belirsiz süre yazılamaz. Süreyi bilmiyorsanız önce şirkette bir saklama kararı verilmesi gerekir.
- Kimlere aktarılıyor? Siteyi barındıran firma, e-posta sağlayıcı, form eklentisi, analitik aracı, canlı destek yazılımı ve muhasebeci de bu listeye girer. Sitenizde hangi üçüncü tarafların veri gördüğünü önce envanter olarak çıkarmak gerekir.
- İlgili kişi size nasıl başvurur? Başvuru geldiğinde işleyecek bir iç sıra olmalı; bunu veri silme talebi yazısında anlattık.
Sitede nereye konur, nasıl bağlanır?
Metinlerin varlığı yetmez, doğru yerde olmaları gerekir. Uygulamada işleyen düzen şudur:
- Her metin kendi kalıcı adresinde bir sayfa olur. Açılır pencere içine gömülen, adresi olmayan metne sonradan referans verilemez.
- Formun gönder düğmesinin yanına, o forma ait aydınlatma metninin bağlantısı konur. Tek bir genel sayfaya değil, ilgili metne.
- Alt menüde gizlilik politikası, çerez politikası ve KVKK başvuru yolu sabit durur.
- Metinde güncelleme tarihi görünür olur. Metin değiştiğinde tarih de değişir.
- Bu sayfalar aramada öne çıkması gereken sayfalar değildir; ama gizlenmeleri de gerekmez. Kapatmak isterseniz hangi sayfanın nasıl kapatıldığını robots.txt mi noindex mi yazısı anlatıyor.
Sık yapılan altı hata
- Başka bir sitenin metnini kopyalamak: içindeki şirket bilgisi, saklama süreleri ve aktarım listesi size ait olmadığı için metin baştan yanlış olur.
- Formda istenen alanlarla metinde sayılan alanların tutmaması.
- Aydınlatma metnini zorunlu bir onay kutusuna bağlamak.
- Analitik, canlı destek ve harita gibi gömülü servisleri aktarım listesine hiç yazmamak.
- Şirket unvanı ve başvuru yolu boşken metni yayına almak.
- Metni bir kez yazıp yıllarca dokunmamak: yeni bir form ya da yeni bir araç eklediğiniz an metin eskimiş olur.
Kısa kontrol listesi
- Aydınlatma metni, gizlilik politikası ve çerez politikası ayrı sayfalar mı?
- Her formun yanında o forma ait aydınlatma bağlantısı var mı?
- Tanıtım izni, hizmet için gereken işlemeden ayrı bir kutuda mı?
- Metinde sayılan veri alanları formdaki alanlarla aynı mı?
- Aktarım listesinde barındırma, e-posta, form, analitik ve destek araçları yazılı mı?
- Güncelleme tarihi görünüyor mu ve son değişiklikle uyumlu mu?
Bu metinlerin hukuki son hâlini kendi hukuk danışmanınıza doğrulattırın; burada anlatılan, sitenin hangi sayfayı nereye bağlayacağı ve bilginin nasıl toplanacağıdır. DigiWSS, işletmelerin site ve form düzenini bu metinlerle tutarlı çalışacak biçimde kurar.