Web Sitesi KVKK Uyumluluğu: Temel Yükümlülükler

Veri Güvenliği İçin Sitede Hangi Tedbirler Alınır?

Kanunun 12 nci maddesi, verilere yetkisiz erişimi ve hukuka aykırı kullanımı engellemek ve verileri güvenle muhafaza etmek için veri sorumlusunu teknik ve idari tedbir almakla yükümlü kılar; veri işleyen bir hizmet sağlayıcı kullanılıyorsa bu tedbirlerden onunla birlikte sorumlu olunur. Web sitesi özelinde temel tedbirler şunlardır:

• Tüm sayfaların SSL sertifikasıyla şifreli bağlantı üzerinden sunulması
• Yönetim paneline yalnızca gerekli kişilerin, güçlü şifre ve iki aşamalı doğrulamayla erişmesi
• Çekirdek yazılım, tema ve eklentilerin düzenli güncellenmesi, kullanılmayan eklentilerin kaldırılması
• Form verilerinin gereğinden uzun saklanmaması ve e-posta kutularında birikmemesi
• Düzenli, şifreli ve site dışında tutulan yedekler
• Kimin hangi veriye eriştiğini gösteren kayıtların tutulması

Bu tedbirler tek seferlik değildir; güncellenmeyen bir eklenti zamanla açık hâline gelebilir ve web sitesi KVKK uyumluluğu kâğıt üzerinde tamam görünse bile fiilen bozulur. Düzenli güncelleme ve yedekleme için WordPress bakım desteği, kurulumdan itibaren planlanabilir.

Veri İhlalinde 72 Saat Kuralı Nasıl İşler?

Kişisel verilerin kanuni olmayan yollarla başkalarının eline geçtiği öğrenildiğinde, Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca Kurula beklemeden, her durumda en fazla 72 saat içinde bildirim yapılmalıdır. Kanunun 12 nci maddesindeki “en kısa sürede” ifadesinin bu şekilde yorumlandığı, Kurumun veri ihlali bildirimi duyurusunda yer alır. Kararın web sitesi sahiplerine yansıyan adımları şöyle sıralanabilir:

1. İhlal fark edildiğinde saldırının sürmesi engellenir, erişim bilgileri değiştirilir ve kanıtlar korunur.
2. Etkilenen veri türleri ve kişiler belirlenir.
3. Kurula, Kurumun yayımladığı Kişisel Veri İhlal Bildirim Formu ile bildirim yapılır; bilgiler aynı anda sağlanamıyorsa aşamalı olarak tamamlanır.
4. 72 saat içinde bildirim yapılamadıysa gecikmenin gerekçesi bildirimle birlikte açıklanır.
5. Etkilenen kişiler belirlendikten sonra makul olan en kısa sürede bilgilendirilir.
6. İhlal, etkileri ve alınan önlemler kayıt altına alınır; önceden hazırlanmış bir ihlal müdahale planı gözden geçirilir.

Hacklenen bir sitenin temizlenmesi ve açığın kapatılması bu sürecin teknik ayağıdır; ele geçirilmiş bir WordPress sitesinde izlenecek adımlar hacklenmiş site kurtarma sayfasında anlatılır.

İlgili Kişi Başvuruları Nasıl Yanıtlanır?

Kanunun 11 inci maddesi kişiye verisinin işlenip işlenmediğini öğrenme, düzeltilmesini ya da silinmesini isteme gibi haklar tanır ve 13 üncü madde bu başvuruların otuz günü aşmadan, talebin niteliğine uygun olan en kısa sürede sonuçlandırılmasını ister. Web sitesi KVKK uyumluluğu açısından bu, aydınlatma metninde başvurunun hangi kanaldan yapılacağının açıkça yazılması ve gelen taleplerin kaybolmayacağı bir düzen kurulması demektir.

Küçük işletmelerde en pratik çözüm, başvurular için ayrı bir e-posta adresi belirlemek ve gelen her talebi tarih, konu ve sonuç sütunlarıyla kaydetmektir. Silme talebi geldiğinde verinin yalnızca form kutusundan değil, e-posta arşivinden, müşteri tablosundan ve yedeklerden de temizlenmesi gerektiği unutulmamalıdır.

Çerezler Bu Tabloda Nerede Durur?

Çerezler aracılığıyla kimliği belirlenebilir kişilere ait veri işlendiğinde, çerez kullanımı da KVKK kapsamında değerlendirilen bir veri işleme faaliyetidir ve yukarıdaki aydınlatma ile hukuki sebep kuralları burada da geçerlidir. Kurumun bu konudaki yol gösterici belgesi Çerez Uygulamaları Hakkında Rehber’dir; sitenin çalışması için zorunlu çerezlerle reklam ve pazarlama çerezlerinin nasıl ayrılacağı, onay panelinin nasıl tasarlanacağı ve reklam platformlarının izin sinyallerinin nasıl iletileceği ayrı bir yazının konusu olacak kadar geniştir.

KVKK Uyumunda Sık Yapılan Hatalar

En yaygın hata, başka bir siteden kopyalanmış bir aydınlatma metnini kendi veri işleme faaliyetlerini hiç incelemeden yayınlamaktır; metin, sitede gerçekte olan işlemleri anlatmıyorsa yükümlülük yerine getirilmiş sayılmaz. Sık rastlanan diğer hatalar şunlardır:

• Aydınlatma ve açık rızanın tek bir onay kutusunda birleştirilmesi
• Pazarlama izni kutusunun önceden işaretli gelmesi
• Yurt dışındaki araçların kullanıldığının metinde hiç belirtilmemesi
• Form verilerinin süresiz biçimde e-posta kutusunda saklanması
• VERBİS istisnasının kontrol edilmeden varsayılması
• İhlal müdahale planının hiç hazırlanmamış olması

Uyum bir kez yapılıp bırakılan bir iş değildir: sitede yeni bir form, eklenti ya da pazarlama aracı devreye girdiğinde envanter ve metinler de güncellenir. Kurumsal bir site kurulurken bu noktaların baştan planlanması, sonradan yapılacak düzeltmelerden daha az emek ister; kurulum süreci kurumsal web tasarım sayfasında anlatılır.