KVKK ve İYS, hukuk jargonu olmadan anlatıldı

KVKK'yı erteleyen markaların çoğu tembel değil. Konuyu ilk kez okuduklarında karşılarına 12 maddelik bir kanun metni, üç ayrı yönetmelik ve birbirine benzeyen dört farklı belge çıkıyor. Nereden başlanacağı belli olmayınca da iş "sonra hallederiz" rafına kalkıyor.

Oysa bir web sitesi ve e-ticaret operasyonu için yapılması gerekenler sanıldığından kısa. Aşağıda bunları yapılması gereken sırayla anlattık — hukuk metni olarak değil, yapılacaklar listesi olarak.

1. KVKK ve İYS aynı şey değil

İkisi sürekli birbirine karıştırılıyor, çünkü ikisi de "izin" kelimesiyle anılıyor. Ama farklı kanunlara dayanıyorlar ve farklı şeyleri düzenliyorlar.

Kısaca: müşterinin telefon numarasını kaydetmek KVKK'nın konusu. O numaraya kampanya SMS'i atmak İYS'nin konusu. Birini yapmak diğerini karşılamaz.

2. Adım 1 — Neyi topladığınızı yazın

Her şey buradan başlar ve çoğu marka bu adımı atlayıp doğrudan metin yazmaya çalıştığı için tıkanır. Metni yazabilmek için önce neyi işlediğinizi bilmeniz gerekir.

Bir tablo açın, şu sütunları koyun: hangi veri, nereden geliyor, ne için işliyoruz, kimlerle paylaşıyoruz, ne kadar saklıyoruz. Sonra tüm temas noktalarını tek tek gezin:

• Web sitesindeki iletişim formu
• Bülten kayıt formu
• E-ticaret sitesindeki üyelik ve sipariş adımları
• Pazaryeri siparişlerinden gelen alıcı bilgileri
• Çağrı merkezi ya da WhatsApp yazışmaları
• Kargo firmasına aktardığınız adres bilgileri
• Sunucu kayıtları (IP adresleri) ve analitik araçları

Bu tabloyu bir kez doğru kurduğunuzda, geri kalan bütün belgeler bu tablodan türer. Kurmadan yazılan metinler ise gerçek işleyişi anlatmadığı için ilk denetimde çöker.

3. Adım 2 — Aydınlatma metni

Kanunun 10. maddesi, kişisel veri toplarken kişiyi bilgilendirmenizi zorunlu tutar. Bu bilgilendirme metninde altı şeyin bulunması gerekir:

1. Veri sorumlusunun kim olduğu (ticaret unvanı, adres, iletişim)
2. Verilerin hangi amaçla işlendiği
3. Kimlere, hangi amaçla aktarılabileceği
4. Toplama yöntemi ve hukuki sebebi
5. Kanunun 11. maddesindeki haklar
6. Bu haklar için nasıl başvurulacağı

Metin, verinin toplandığı anda ve yerde erişilebilir olmalı. Yani formun hemen yanında bir link olmalı; sitenin bir köşesine gömülmüş olması yeterli sayılmaz.

4. Adım 3 — Açık rıza ile aydınlatmayı ayırın

En sık yapılan yapısal hata bu. Tek bir onay kutusuna hem "aydınlatma metnini okudum" hem "ticari ileti almayı kabul ediyorum" ifadelerini koymak, rızayı geçersiz kılar.

Sebebi şu: aydınlatma bir bilgilendirmedir, onay gerektirmez. Açık rıza ise özgür iradeyle, belirli bir konu için ve ayrı olarak verilmelidir. İkisini birleştirdiğinizde, kişi hizmeti alabilmek için pazarlama iznini de vermek zorunda kalır — bu da rızayı "özgür irade" olmaktan çıkarır.

5. Adım 4 — Çerezler ve onay bandı

Çerezler ikiye ayrılır ve muamele farklıdır.

Zorunlu çerezler sitenin çalışması için gerekir — oturum yönetimi, sepet, güvenlik. Bunlar için onay almanız gerekmez, ama çerez politikanızda listelemeniz gerekir.

Analitik ve reklam çerezleri zorunlu değildir. Google Analytics, Meta Pixel, Google Ads dönüşüm etiketi bu gruba girer. Bunların çalışmaya başlamadan önce onay alınması beklenir. Yani banttaki "Kabul et" tıklanana kadar analitik kodu yüklenmemelidir — bandı gösterip arkada ölçümü zaten başlatmak, yaygın ama hatalı bir uygulamadır.

Bandın "Reddet" seçeneği de "Kabul et" kadar kolay ulaşılabilir olmalı. Yalnızca "Kabul et" düğmesi olan, kapatılamayan bantlar geçerli bir onay üretmez.

6. Adım 5 — VERBİS gerekiyor mu?

VERBİS, veri sorumlularının kaydolduğu sicildir ve herkes için zorunlu değildir. Kurul, belirli eşiklerin altındaki işletmeleri kayıt yükümlülüğünden istisna tutmuştur.

Genel çerçeve şöyle: yıllık çalışan sayısı ve mali bilanço büyüklüğü belirli eşiklerin altında olan, ve ana faaliyet konusu özel nitelikli kişisel veri işlemek olmayan işletmeler istisna kapsamına girebilir. Eşikler zaman zaman güncellendiği için, karar vermeden önce kvkk.gov.tr üzerindeki güncel kurul kararına bakmak gerekir.

Dikkat edilecek nokta: VERBİS'ten istisna olmak, KVKK'dan istisna olmak anlamına gelmez. Aydınlatma metni, açık rıza, veri güvenliği ve saklama-imha yükümlülükleri kayıt zorunluluğunuz olmasa da devam eder.

7. Adım 6 — İYS: ticari ileti göndereceksek

Müşterilerinize kampanya e-postası, SMS veya WhatsApp mesajı gönderecekseniz İYS'ye kaydolmanız ve izinlerinizi sisteme yüklemeniz gerekir. Sıra şöyle:

1. İYS'ye kaydolun. Hizmet sağlayıcı olarak firma kaydınızı oluşturun.
2. Mevcut izinlerinizi yükleyin. Elinizde daha önce alınmış izinler varsa, bunları belgeleyebiliyor olmanız şartıyla sisteme aktarabilirsiniz. Belgeleyemediğiniz izinleri yüklemeyin.
3. Yeni izinleri anlık iletin. Formdan yeni bir izin geldiğinde bunu İYS'ye kaydedin. Entegrasyonla otomatik yapılabilir.
4. Ret taleplerini takip edin. Alıcı İYS üzerinden izni geri çektiğinde, gönderim listenizden çıkarılması sizin sorumluluğunuzdadır. Bu adım en çok aksatılan adımdır ve şikâyetlerin büyük kısmı buradan çıkar.
5. Her iletiye çıkış yolu koyun. Her ticari iletide, alıcının kolayca reddedebileceği bir bağlantı ya da numara bulunmak zorundadır.

8. Adım 7 — Saklama ve imha

Veriyi süresiz saklamak, KVKK'nın açıkça karşı olduğu bir durumdur. Her veri kategorisi için bir saklama süresi belirlemeniz, süre dolduğunda silmeniz ve bunu bir politikaya bağlamanız gerekir.

Süreleri belirlerken üç şeye bakılır: mevzuatın öngördüğü asgari süreler (vergi ve ticaret hukuku genelde 10 yıl der), olası uyuşmazlıklar için zamanaşımı süreleri, ve işleme amacının ne zaman ortadan kalktığı. Amaç ortadan kalktığında ve yasal bir saklama zorunluluğu kalmadığında veri silinir.

9. En sık yapılan beş hata

1. Tek onay kutusu. Aydınlatma ve ticari ileti izni aynı kutuda toplanır. Rızayı geçersiz kılar.
2. Başka siteden alınmış metin. Başka bir şirketin süreçlerini anlatan bir metin, sizin operasyonunuzu korumaz.
3. Onaydan önce çalışan analitik. Çerez bandı gösterilir ama ölçüm kodu zaten yüklenmiştir.
4. Ret taleplerinin listeye işlenmemesi. İYS'de izni geri çekilmiş kişiye gönderim yapmak, en sık şikâyet konusudur.
5. Başvuruya cevap verilmemesi. Kişi verilerini sorduğunda 30 gün içinde yanıt verme yükümlülüğü vardır. Yanıtsız bırakmak, asıl ihlalden daha kolay tespit edilir.