Bir e-ticaret sitesi, ilk siparişten itibaren kişisel veri işlemeye başlar. Ad, adres, telefon, e-posta, sipariş geçmişi, çerezler. Kişisel Verilerin Korunması Kanunu (KVKK), bu verileri işleyenlere bazı yükümlülükler getiriyor. Bir web ajansı olarak sık gördüğümüz sorun, kanunun bilinmemesi değil; aydınlatma ile açık rızanın birbirine karıştırılması.
Bu yazı genel bilgilendirme amaçlı. Metinlerinizi ve süreçlerinizi bir KVKK uzmanı ya da avukatla kontrol etmenizi öneriyoruz; Kişisel Verileri Koruma Kurumu'nun internet sitesindeki rehberler de ücretsiz bir kaynak.
E-ticarette hangi kişisel veriler işlenir?
Sipariş için gerekenler: ad soyad, teslimat ve fatura adresi, telefon, e-posta. Fatura türüne göre T.C. kimlik ya da vergi numarası gerekebilir.
Üyelik varsa: şifre (sitede şifrelenmiş olarak saklanmalı), sipariş geçmişi, favoriler, kayıtlı adresler.
Ödeme bilgileri: Kart bilgileri genellikle sizin sitenizde değil, ödeme kuruluşunun ya da bankanın sisteminde işlenir. Bu, sizin için önemli bir yükü azaltır. Sitenizde kart numarası saklanmadığından emin olun.
Teknik veriler: IP adresi, çerezler, tarayıcı bilgisi. Analitik ve reklam araçları bu verilerin önemli bir kısmını toplar.
Pazarlama verileri: e-posta bülteni ve SMS izinleri, alışveriş alışkanlıklarına dayalı segmentler.
Bu listeyi kendi siteniz için çıkarmak ilk adım. Neyi topladığınızı bilmeden neyi açıklayacağınızı da bilemezsiniz.
Aydınlatma metni ile açık rıza farkı
Bu iki kavram sık karıştırılıyor ve hataların önemli bir kısmı buradan çıkıyor.
Aydınlatma bir bilgilendirmedir. Hangi verileri, hangi amaçla, hangi hukuki sebebe dayanarak işlediğinizi, kimlere aktardığınızı ve kişinin haklarını anlatırsınız. Aydınlatma için genel kural olarak onay gerekmez. Kişinin metne ulaşabilmesi önemlidir: veri toplanan her formun yanında bir bağlantı, sitenin alt bilgisinde kalıcı bir sayfa.
Açık rıza ise kanunda sayılan diğer hukuki sebeplerden hiçbiri yoksa başvurulan bir izindir. Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle verilmiş olması gerekir.
E-ticarette bunun pratik anlamı genellikle şu: siparişi teslim etmek için adres ve telefon işlemek, sözleşmenin kurulması ve ifası için gerekli sayılır. Bunun için çoğu durumda açık rıza değil, aydınlatma yeterlidir. Ama müşterinin verisini pazarlama amacıyla kullanmak, yurt dışındaki bir hizmete aktarmak ya da bazı profilleme işlemleri için açık rıza gerekebilir. Hangi işlemin hangi hukuki sebebe dayanacağını uzmanınızla netleştirin.
Sık görülen hata: ödeme sayfasında tek bir kutu, “KVKK metnini okudum, verilerimin işlenmesine onay veriyorum”. Bu kutu işaretlenmeden sipariş verilemiyor. Bu yaklaşım hem gerekmeyen bir rıza toplayabilir hem de rızayı bir hizmetin ön şartına bağlar; bu da açık rızanın özgür iradeyle verilmesi şartıyla çelişebilir.
Yaygın önerilen akış şöyle: aydınlatma metnine bağlantı, onay kutusu olmadan. Açık rıza gerektiren her işlem için ayrı, önceden işaretlenmemiş ve isteğe bağlı bir kutu. Kutuyu işaretlemeyen müşteri de alışverişini tamamlayabilmeli.
Ticari elektronik ileti izni
E-posta bülteni, SMS kampanyası ya da kampanya duyurusu içeren bir arama, KVKK'nın yanında elektronik ticaret mevzuatının da kapsamına giriyor. Ticari ileti göndermek için kural olarak alıcının önceden onayı gerekiyor; istisnaları uzmanınızla kontrol edin.
Bu onayın bir de İleti Yönetim Sistemi (İYS) tarafı var. Belirli koşulları taşıyan hizmet sağlayıcıların İYS'ye kaydolması ve aldıkları onayları bu sisteme yüklemesi gerekiyor. Alıcılar da İYS üzerinden onaylarını görüp geri çekebiliyor. Bu sistemde kayıtlı olmayan bir onaya dayanarak ileti göndermek sorun yaratabiliyor.
Sitede pratik karşılığı: üyelik ya da ödeme sayfasında “Kampanya ve fırsatlardan e-posta ve SMS ile haberdar olmak istiyorum” gibi ayrı, işaretsiz bir kutu. Gönderdiğiniz her iletide de ret bağlantısı ya da yöntemi.
İYS yükümlülüğünün kapsamı ve istisnaları değişebiliyor. Kendi durumunuzu güncel mevzuattan ve İYS'nin kendi bilgilendirmelerinden kontrol edin.
Veri güvenliği önlemleri
KVKK, veri sorumlusundan verileri korumak için uygun teknik ve idari tedbirleri almasını istiyor. Bir e-ticaret sitesi için bunun somut karşılığı şunlar olabilir:
- Sitenin tamamında SSL ve HTTPS
- Yönetim paneline yalnızca gerekli kişilerin, iki adımlı doğrulamayla erişmesi
- Müşteri listelerinin Excel dosyası olarak e-postada dolaştırılmaması
- Kargo, muhasebe ve pazarlama gibi üçüncü taraflarla yalnızca gereken verinin paylaşılması
- Düzenli yedek ve yedeklerin de korunması
- Ayrılan çalışanın erişimlerinin aynı gün kapatılması
Bir veri ihlali yaşanırsa (örneğin site ele geçirilir ve müşteri bilgileri sızar), bunun Kurul'a ve ilgili kişilere bildirilmesi gerekebilir. Bildirim için öngörülen süre kısa. Bu yüzden bir ihlal anında ne yapacağınızı önceden bilmek ve fark ettiğiniz anda uzmanınızla harekete geçmek önemli.
Sunucunuzun, e-posta pazarlama aracınızın ya da müşteri destek yazılımınızın yurt dışında olması, kişisel verilerin yurt dışına aktarılması anlamına gelebilir. Bu konudaki kurallarda son yıllarda değişiklik oldu. Kullandığınız hizmetlerin nerede barındırıldığını listeleyin ve uzmanınızla birlikte değerlendirin.
Sık yapılan hatalar
Kurduğumuz ve incelediğimiz sitelerde sık gördüklerimiz:
- Başka bir siteden kopyalanmış, başka bir şirketin unvanını taşıyan aydınlatma metni
- Sipariş için açık rıza kutusunu zorunlu tutmak
- Pazarlama iznini önceden işaretlenmiş olarak sunmak
- Aydınlatma metninde hiç kullanılmayan amaçların listelenmesi ya da kullanılan araçların (analitik, reklam pikseli) hiç anılmaması
- Çerez bildiriminin yalnızca “Tamam” butonundan oluşması
- Silme talebinde bulunan müşterinin verisinin bülten listesinde kalmaya devam etmesi
- VERBİS kayıt yükümlülüğünün olup olmadığının hiç kontrol edilmemesi
Son madde için not: VERBİS'e kayıt yükümlülüğü, Kurul'un belirlediği kriterlere göre değişiyor ve bu kriterler zaman zaman güncellenebiliyor. Kendi durumunuzu Kurum'un güncel kararlarından ve uzmanınızla kontrol edin.
Çerez tarafını ayrı bir yazıda, mesafeli satış sözleşmesi ve diğer zorunlu metinleri de kendi yazısında anlattık. Üçünü birlikte ele almak mantıklı, çünkü hepsi aynı ödeme sayfasında buluşuyor.
Bu yazı genel bilgilendirme amaçlıdır; hukuki, mali veya vergisel danışmanlık yerine geçmez. Kendi durumunuz için bir avukata ya da mali müşavire danışın.
Sıkça Sorulan Sorular
Aydınlatma metni için onay kutusu koymalı mıyım?
Aydınlatma bir bilgilendirme yükümlülüğü ve genel kural olarak onay gerektirmiyor. Metne kolayca ulaşılabilmesi önemli. Bazı siteler “okudum” kutusu koyuyor; bunun açık rızayla karıştırılmayacak şekilde ifade edilmesi önemli. Kendi akışınızı bir uzmanla netleştirin.
Misafir alışverişte de KVKK yükümlülükleri geçerli mi?
Genel olarak evet. Üyelik açılmasa bile ad, adres ve iletişim bilgisi işleniyor. Misafir alışverişte daha az veri tutulur ama aydınlatma ve güvenlik yükümlülükleri devam eder.
Müşteri verilerini silmemi isterse ne yapmalıyım?
Talebi kayıt altına alın ve kanunda öngörülen süre içinde yanıtlayın. Fatura gibi yasal saklama yükümlülüğü olan kayıtları hemen silemeyebilirsiniz; bu durumda gerekçesini açıklayın. Saklama zorunluluğu olmayan veriler için ne yapılacağını, sürecin tamamıyla birlikte bir avukatla ya da KVKK uzmanıyla netleştirin.
Blog yazıları genel bilgilendirme amaçlıdır; hukuki, mali veya teknik danışmanlık yerine geçmez.
