İletişim formunda KVKK: aydınlatma, açık rıza ve saklama

Bir iletişim formu ad, e-posta, telefon ve çoğu zaman bir mesaj toplar. Bunların hepsi kişisel veridir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kapsamındadır. Birçok sitede buna verilen cevap, gönder düğmesinin hemen üstündeki tek bir kutudur: "KVKK metnini okudum, onaylıyorum." Kutu işaretlenmeden form gönderilmez.

Bu kutu üç ayrı soruyu tek cümleye sıkıştırır ve çoğu zaman üçünü de yanlış cevaplar. Ziyaretçiye ne anlatılmalı? Ondan ne zaman izin istenmeli? Gelen veri ne kadar süre tutulmalı? Bu yazıda bu üç soruyu ayrı ayrı ele alıyoruz.

Aydınlatma bir bildirimdir, onay değildir

Kanun'un 10. maddesi, kişisel veriyi toplayan tarafa aydınlatma yükümlülüğü getirir. Ziyaretçiye şunlar anlatılmalıdır:

• veri sorumlusunun kimliği,
• verinin hangi amaçla işleneceği,
• kimlere ve hangi amaçla aktarılabileceği,
• toplama yöntemi ve hukuki sebebi,
• 11. maddede sayılan hakları.

Bu yükümlülük, işlemenin hangi hukuki sebebe dayandığından bağımsızdır. Açık rıza alınmasa da aydınlatma yapılır.

Aydınlatma tek yönlü bir bilgilendirmedir. Ziyaretçiden "okudum, onaylıyorum" beyanı istemek gerekmez. Kurum'un rehberleri de aydınlatma ile açık rızanın birbirine karıştırılmamasını, ayrı ayrı yapılmasını vurgular. Formda yapılacak iş basittir: gönder düğmesinin yakınına aydınlatma metnine giden açık bir bağlantı koymak.

Talebe cevap vermek için açık rıza gerekmez

Kanun'un 5. maddesi açık rızayı, kişisel veri işleme şartlarından yalnızca biri olarak sayar. Ziyaretçinin kendi isteğiyle yazdığı bir mesaja cevap vermek çoğu durumda başka bir şarta dayanabilir. Bu şart, bir sözleşmenin kurulmasıyla doğrudan ilgili işleme ya da veri sorumlusunun meşru menfaati olabilir. Kurum'un rehberleri, başka bir işleme şartı varken açık rıza istenmesinin ilgili kişiyi yanıltabileceğine dikkat çeker.

Zorunlu onay kutusunun bir sorunu daha var: açık rıza özgür iradeyle verilmelidir. Rıza vermeyen kişi talebini hiç iletemiyorsa, o rıza özgür olmaktan çıkar. Aynı kutu dönüşümü de düşürür, çünkü gereksiz her engel formun yarıda bırakılması için bir sebeptir.

Pazarlama izni ayrı bir sorudur

Formu dolduran kişiye ileride kampanya, bülten ya da tanıtım e-postası göndermek istiyorsanız bu ayrı bir izindir. Ticari elektronik iletiler, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili yönetmelik uyarınca kural olarak alıcının önceden onayına bağlıdır. Gönderim yapacak işletmeler için İleti Yönetim Sistemi (İYS) kaydı da gündeme gelir. Bu izin ayrı bir kutuyla sorulmalıdır. Kutu önceden işaretlenmemeli, isteğe bağlı olmalı ve formun gönderilmesini engellememelidir.

Kendi Site Sağlık Raporu formumuzda da bu ayrımı uyguluyoruz. Form yalnızca rapor için gereken bilgileri ister; kampanya e-postası izni ayrı ve isteğe bağlı bir kutudur.

Saklama süresi yazılmalı ve uygulanmalı

Kanun'un 4. maddesindeki genel ilkelere göre kişisel veri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. İlgili mevzuatta öngörülen ya da işlendiği amaç için gerekli olan süre kadar saklanabilir. Amaç ortadan kalktığında veri silinir, yok edilir ya da anonim hâle getirilir (md. 7). İletişim formunda bunun pratik karşılığı şudur:

1. Yalnızca gereken alanları isteyinBir talebe cevap vermek için T.C. kimlik numarası ya da doğum tarihi gerekmez. Her zorunlu alanın bir gerekçesi olmalıdır.
2. Verinin nereye gittiğini bilinForm e-posta kutusuna mı düşüyor, veritabanına mı yazılıyor, yoksa yurt dışındaki bir form hizmetinde mi tutuluyor? Son durumda Kanun'un yurt dışına aktarımı düzenleyen 9. maddesi de devreye girer.
3. Süreyi belirleyinTaleplerin ne kadar süre tutulacağını aydınlatma metninde yazın. Süre işin doğasına göre makul olmalıdır.
4. Silmeyi otomatikleştirinSüresi dolan kayıtları hatırlamaya bırakmayın. Panelde ya da sunucuda düzenli silme kurun.
5. Erişimi sınırlayınKanun veri güvenliği için uygun teknik ve idari tedbirleri şart koşar (md. 12). Form kayıtlarını yalnızca ilgili kişiler görmeli, bağlantı HTTPS ile şifreli olmalıdır.

İyi bir form, cevap vermek için gerekeni ister ve onu ancak gerektiği kadar tutar.

Örneğin Site Sağlık Raporu taleplerini 12 ay sonra otomatik olarak siliyoruz ve bunu aydınlatma metnimizde açıkça yazıyoruz. Bu tür kuralları formun arkasındaki yönetim tarafına yerleştirmek, kurumsal site ve panel projelerimizin standart parçasıdır.

Bu yazı genel bilgilendirme amaçlıdır. Formunuzun hukuki sebeplerini ve metinlerini bir hukukçuyla birlikte netleştirmenizi öneririz. Formunuzun teknik tarafını bu ilkelere göre yeniden kurmak isterseniz bize ulaşın.