Tek kararda dört önemli uygulama alanı
Karar; güvenlik kamerası, telefon görüşmesi kaydı, web sitesi çerezleri ve iletişim formu üzerinden alınan pazarlama rızasını birlikte inceliyor. Bu yönüyle yalnızca bir eğitim kurumunu değil, web sitesi ve çağrı hattı bulunan hemen her işletmeyi ilgilendiriyor.
Kurul, somut olayda güvenlik kamerasıyla ses kaydı alındığını gösteren belge bulunmadığını; görüntü kaydının ise ilgili sektörel hukuki yükümlülük kapsamında hukuka uygun olduğunu değerlendirdi. Buna karşılık aydınlatma, analitik çerez ve iletişim formu tasarımında önemli aykırılıklar tespit etti.
Sonuçta veri sorumlusu hakkında çerezler ve toplu rıza nedeniyle 250.000 TL, aydınlatma yükümlülüğü nedeniyle 15.000 TL olmak üzere toplam 265.000 TL idari para cezası uygulandı; ayrıca süreçlerin düzeltilmesi yönünde talimat verildi.
Zorunlu çerez ile analitik çerez aynı değildir
Bir web sitesinin temel işlevini yerine getirmesi için kesinlikle gerekli çerezlerle, ziyaretçi davranışını ölçen analitik çerezler aynı hukuki temelde ele alınmamalıdır. Zorunlu çerezler için somut duruma göre açık rıza dışındaki bir işleme şartına dayanılabilir. Analitik, işlevsel veya reklam çerezleri ise hizmet için gerçekten zorunlu değilse ve başka bir işleme şartı yoksa açık rıza gerektirebilir.
Karardaki sitede kalıcı bir analitik çerezin kullanıcıdan onay alınmadan çalıştığı tespit edildi. Kurul, onay gerektiren çerezlerin siteye ilk girişte varsayılan olarak kapalı olması ve kullanıcının aktif hareketiyle çalıştırılması gerektiğini vurguladı. Başka bir ifadeyle “siteyi kullanmaya devam ederek kabul etmiş sayılırsınız” yaklaşımı yerine gerçek bir opt-in mekanizması gerekir.
Çerez politikasında yalnızca kategori tanımları yazmak da yeterli olmayabilir. Kullanılan çerezin adı, sağlayıcısı, amacı, türü ve saklama süresi envanterle uyumlu biçimde açıklanmalı; panelde reddetme seçeneği kabul kadar kolay olmalıdır.
Aydınlatma metni onay kutusu değildir
Aydınlatma, veri sorumlusunun kim olduğunu ve veri işleme faaliyetinin nasıl yürüdüğünü anlatan bir yükümlülüktür. İlgili kişiden “aydınlatma metnini kabul ediyorum” şeklinde rıza istenmesi kavramları karıştırır. Kişi aydınlatmayı kabul etmek zorunda değildir; işletme bunu gerçekleştirdiğini kanıtlamak zorundadır.
Kurul, kamera ve telefon görüşmesi öncesindeki kısa bilgilendirmeleri katmanlı aydınlatmanın ilk katmanı olarak değerlendirdi; ancak Kanun’un 10. maddesindeki asgari unsurları içeren ayrıntılı metne yönlendirme bulunmadığını belirledi. Web sitesindeki “yasal uyarı” ise aydınlatma değil, açık rıza beyanı niteliğindeydi.
Doğru katmanlı yapıda kısa uyarı, kolay erişilen ayrıntılı aydınlatma metnine bağlanır. Ayrıntılı metinde veri sorumlusunun kimliği, amaçlar, aktarım, toplama yöntemi ve hukuki sebep ile ilgili kişi hakları açıkça yer alır.
İletişim formunda pazarlama rızası nasıl ayrılmalı?
Bir ziyaretçi ürün veya hizmet hakkında bilgi almak için iletişim formu doldurduğunda, talebine cevap verilmesi ile uzun süreli reklam ve kampanya iletisi gönderilmesi farklı amaçlardır. Bu iki amaç tek bir zorunlu kutuda birleştirildiğinde rızanın hem belirli konuya ilişkin olma hem de özgür iradeyle açıklanma unsurları zedelenir.
Formun gönderilmesi için yalnızca gerekli veriler alınmalı ve talebin karşılanmasına yönelik işleme faaliyeti uygun hukuki sebebe dayandırılmalıdır. Pazarlama iletişimi için ayrıca açık rıza gerekiyorsa, ayrı ve önceden işaretlenmemiş bir tercih sunulmalıdır. Kullanıcı pazarlama izni vermese de bilgi talebini iletebilmelidir.
- Aydınlatma bağlantısını form alanlarına yakın ve görünür konumlandırın.
- Pazarlama kutusunu varsayılan olarak boş bırakın ve zorunlu alan yapmayın.
- Farklı kanallar için tercihleri gerektiğinde ayrı yönetin.
- Form verilerinin saklama süresini ve CRM aktarımını veri envanterinde gösterin.
İlgili kişi başvurusu sözlü cevapla kapanmaz
Kararda ayrıca veri sorumlusuna yapılan başvuruya sözlü dönüş yapılması ele alındı. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca cevap yazılı veya elektronik ortamda verilmelidir. Telefonla açıklama yapılması yardımcı olabilir; ancak resmî cevabın yerine geçmez.
Başvuru süreci bir çağrı merkezi kaydı olarak değil, süreli bir iş akışı olarak yönetilmelidir. Başvuru tarihi, kimlik doğrulama, talepler, ilgili sistem sahipleri, karar gerekçesi, cevap tarihi ve gönderim kanıtı tek dosyada tutulmalıdır.
Web sitesi için yayın öncesi kontrol listesi
Kurulun bu kararı, yalnızca politika metni eklemenin yeterli olmadığını; teknik davranışın metinlerle aynı olması gerektiğini açıkça gösteriyor. Tarayıcı geliştirici araçları veya bağımsız tarama ile çerezlerin onay öncesi davranışı doğrulanmalıdır.
- Onay verilmeden hangi çerezlerin çalıştığını teknik olarak test edin.
- “Tümünü reddet” seçeneğini ilk katmanda ve kabul kadar erişilebilir sunun.
- Çerez tablosundaki ad, amaç, sağlayıcı ve süreleri gerçek tarama sonuçlarıyla eşleştirin.
- Aydınlatma, açık rıza ve ticari ileti tercihlerini ayrı metin ve kayıtlar hâline getirin.
- KVKK başvuru kanalını, başvuru formunu ve cevap sorumlularını açıkça yayımlayın.
Sık sorulan sorular
Google Analytics gibi analitik çerezler onaydan önce çalışabilir mi?
Kurulun değerlendirmesine göre kesinlikle gerekli olmayan analitik çerez için başka bir işleme şartı yoksa açık rıza gerekir ve çerez, kullanıcının aktif onayından önce çalışmamalıdır.
Aydınlatma metnine onay kutusu koymak gerekir mi?
Hayır. Aydınlatma bir bilgilendirme yükümlülüğüdür. İşletme aydınlatmayı yaptığını kanıtlamalıdır; açık rıza gerekiyorsa bu, aydınlatmadan ayrı ve özgür bir seçim olarak alınmalıdır.
İletişim formunda reklam izni zorunlu tutulabilir mi?
Bilgi talebinin gönderilmesini reklam ve kampanya iznine bağlamak rızanın özgür iradeyle açıklanmasını sakatlayabilir. Pazarlama tercihi ayrı ve seçimlik olmalıdır.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; somut olaya ilişkin hukuki görüş yerine geçmez. Güncel metin ve kapsam için resmî karar özetini inceleyiniz.