KVKK ve E-Ticaret: Çerez Onayı, Aydınlatma Metni ve Açık Rıza

E-ticaret siteleri, her siparişte ad, adres, telefon ve e-posta gibi kişisel verileri işler. Bu nedenle KVKK ve e-ticaret konusu, online satış yapan her işletmenin gündeminde olmalıdır. Özellikle çerez onayı, aydınlatma metni ve açık rıza kavramları sıkça karıştırılır ve yanlış uygulanır.

Bu yazıda 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) e-ticaret siteleri açısından temel kavramlarını genel hatlarıyla açıklıyoruz. Bu yazı hukuki görüş niteliği taşımaz. İşletmenize özel metinlerin hazırlanması ve uygulamanın değerlendirilmesi için mutlaka bir avukattan veya KVKK uzmanından destek alın.

E-ticarette hangi kişisel veriler işlenir?

Bir e-ticaret sitesi, farkında olsanız da olmasanız da çok çeşitli kişisel veriler işler:

• Kimlik ve iletişim verileri: Ad, soyad, telefon, e-posta, teslimat ve fatura adresi.
• Müşteri işlem verileri: Sipariş geçmişi, sepet içeriği, iade talepleri.
• Finansal veriler: Fatura bilgileri; kart bilgileri ise genellikle ödeme kuruluşu tarafından işlenir.
• İşlem güvenliği verileri: IP adresi, oturum bilgileri, cihaz bilgileri.
• Pazarlama verileri: Çerezler aracılığıyla toplanan davranış bilgileri, e-bülten tercihleri.

Bu verilerin her biri için hangi amaçla ve hangi hukuki sebebe dayanarak işlendiğinin belirlenmesi KVKK uyumunun temelidir.

Bu çalışmaya genellikle veri envanteri adı verilir. Envanter; hangi verinin nereden toplandığını, nerede saklandığını, kimlerle paylaşıldığını ve ne kadar süre tutulduğunu gösteren bir haritadır. Küçük bir işletme için bile bu haritayı çıkarmak, sonraki tüm adımları (aydınlatma metni, rıza metinleri, saklama süreleri) çok daha kolay hale getirir.

Aydınlatma metni nedir?

Aydınlatma yükümlülüğü, kişisel verileri işleyen tarafın (veri sorumlusunun) veri sahiplerini bilgilendirmesidir. Aydınlatma metninde genel olarak şu konulara yer verilir:

1. Veri sorumlusunun kimliği
2. Kişisel verilerin hangi amaçla işleneceği
3. Verilerin kimlere ve hangi amaçla aktarılabileceği
4. Veri toplamanın yöntemi ve hukuki sebebi
5. Veri sahibinin KVKK kapsamındaki hakları

Aydınlatma metni bir onay metni değildir; kişiyi bilgilendirmek içindir. Bu nedenle “okudum, onaylıyorum” gibi bir onay kutusuyla birleştirilmesi genellikle önerilmez. Metin, üyelik ve sipariş adımlarında kolayca erişilebilir olmalıdır.

Açık rıza nedir ve ne zaman gerekir?

Açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. KVKK'da kişisel verilerin işlenmesi için açık rıza dışında başka hukuki sebepler de bulunur. Örneğin bir sözleşmenin kurulması veya ifası için gerekli veriler (siparişi teslim etmek için adres bilgisi gibi) çoğu durumda açık rıza olmadan işlenebilir.

Açık rızanın gündeme gelebileceği tipik durumlar şunlardır:

• Zorunlu olmayan pazarlama ve analiz çerezleri
• Bazı yurt dışına veri aktarımı senaryoları
• Kişiye özel profilleme ve hedefleme faaliyetleri

Açık rıza alınırken dikkat edilmesi gereken temel ilkeler:

• Belirli konuya ilişkin olmalı: Genel ve her şeyi kapsayan bir rıza metni yeterli kabul edilmeyebilir.
• Özgür iradeyle verilmeli: Hizmetin sunulması, gerekmeyen bir açık rızaya şart bağlanmamalıdır.
• Önceden işaretli kutu kullanılmamalı: Kullanıcı onayı kendisi vermelidir.
• Geri alınabilir olmalı: Kişi rızasını kolayca geri çekebilmelidir.

Ticari elektronik ileti (SMS, e-posta ile kampanya gönderimi) için alınan onay ise ayrı bir mevzuata tabidir ve İleti Yönetim Sistemi (İYS) kuralları da dikkate alınmalıdır. Bu konuyu da hukuki danışmanınızla ayrıca değerlendirin.

Çerez onayı nasıl ele alınmalı?

Çerezler, sitenizi ziyaret eden kişinin tarayıcısına yerleştirilen küçük dosyalardır. Kişisel Verileri Koruma Kurumu, çerez uygulamalarına ilişkin bir rehber yayımlamıştır; uygulamanızı bu rehberi ve güncel Kurul kararlarını esas alarak değerlendirmeniz önerilir.

Genel yaklaşım şöyle özetlenebilir:

• Zorunlu çerezler: Sepetin çalışması, oturumun açık kalması gibi sitenin temel işlevleri için gerekli çerezlerdir. Bu çerezler için genellikle açık rıza aranmaz, ancak aydınlatma yapılmalıdır.
• Analiz, kişiselleştirme ve pazarlama çerezleri: Zorunlu olmayan bu çerezler için çoğunlukla açık rıza gerektiği kabul edilir. Bu çerezler, kullanıcı onay vermeden çalıştırılmamalıdır.

Çerez bannerında dikkat edilecek noktalar

1. Kullanıcıya çerezleri kabul etme ve reddetme seçeneklerini eşit kolaylıkta sunun.
2. Çerez kategorilerini ayrı ayrı seçebilme imkânı verin.
3. Onay alınmadan zorunlu olmayan çerezleri yüklemeyin.
4. Çerez politikasına banner üzerinden bağlantı verin.
5. Kullanıcının tercihini sonradan değiştirebileceği bir alan sunun.

Veri aktarımı ve hizmet sağlayıcılar

Bir e-ticaret sitesi kişisel verileri yalnızca kendi bünyesinde işlemez. Siparişin tamamlanması için veriler çeşitli hizmet sağlayıcılarla paylaşılır:

• Kargo firmaları: Teslimat için alıcının adı, adresi ve telefon numarası.
• Ödeme kuruluşları ve bankalar: Ödemenin gerçekleştirilmesi için gerekli bilgiler.
• Muhasebe ve e-fatura hizmetleri: Faturanın düzenlenmesi için müşteri ve sipariş bilgileri.
• Barındırma ve yazılım sağlayıcıları: Sitenin ve verilerin teknik olarak tutulduğu altyapı.
• Pazarlama ve analiz araçları: E-posta gönderim hizmetleri, reklam ve analiz platformları.

Bu aktarımların aydınlatma metninizde açıklanması, aktarımın hukuki sebebinin belirlenmesi ve hizmet sağlayıcılarla gerekli sözleşmesel düzenlemelerin yapılması gerekir. Bazı hizmet sağlayıcıların sunucuları yurt dışında bulunabilir; yurt dışına veri aktarımı KVKK'da ayrıca düzenlenmiştir ve özel dikkat gerektirir. Kullandığınız araçların verileri nerede tuttuğunu öğrenin ve bu konuyu avukatınızla değerlendirin.

Veri güvenliği açısından da sorumluluk sizdedir. Yönetim paneline erişimi olan çalışanların yetkilerini ihtiyaçla sınırlayın, güçlü parolalar ve mümkünse iki adımlı doğrulama kullanın, artık ihtiyaç duyulmayan verilerin silinmesi veya anonim hale getirilmesi için bir süreç belirleyin.

E-ticaret siteniz için KVKK kontrol listesi

Sitenizi gözden geçirirken aşağıdaki soruları kullanabilirsiniz:

1. Hangi kişisel verileri, hangi amaçlarla işlediğinizi listelediniz mi?
2. Aydınlatma metniniz güncel mi ve üyelik ile sipariş adımlarında erişilebilir mi?
3. Açık rıza gerektiren işlemler için ayrı ve önceden işaretlenmemiş onay kutuları var mı?
4. Çerez bannerınız zorunlu olmayan çerezleri onaydan önce engelliyor mu?
5. Verileri aktardığınız tarafları (kargo, ödeme, muhasebe, pazarlama araçları) belirlediniz mi?
6. Veri sahiplerinin başvurularını alacağınız bir kanal ve süreç tanımladınız mı?
7. Kişisel verilerin güvenliği için teknik ve idari tedbirleri (erişim yetkileri, şifreleme, yedekleme) aldınız mı?
8. VERBİS kaydı yükümlülüğünüz olup olmadığını değerlendirdiniz mi?

VERBİS kaydı ve diğer yükümlülüklerin kapsamı, Kurul kararlarıyla belirlenen kriterlere göre değişebilir. Güncel durumu Kurum'un duyurularından takip edin ve avukatınızla teyit edin.

Sonuç

KVKK uyumu; doğru hazırlanmış bir aydınlatma metni, yalnızca gerektiğinde ve doğru şekilde alınan açık rıza ile kullanıcı tercihine saygı gösteren bir çerez yönetimiyle başlar; ancak metinlerin ve süreçlerin işletmenize göre şekillendirilmesi için mutlaka hukuki destek almalısınız. Tuvisoft'un hazır e-ticaret sitesi altyapısında yasal sayfalarınızı yayınlayabilir, aklınıza takılanlar için iletişim sayfasından bize ulaşabilirsiniz.