Bir e-ticaret mağazası, doğası gereği sürekli kişisel veri işler: müşterinin adı, teslimat adresi, telefon numarası, e-posta adresi, sipariş geçmişi, bazen doğum tarihi ve ödeme bilgileri. Bu verilerin nasıl toplandığı, saklandığı ve korunduğu, Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve ilgili ikincil düzenlemelerle çerçevelenmiştir. Bu yazıda, bir online mağaza sahibinin KVKK uyumu için bilmesi gereken temel kavramları ve atması gereken pratik adımları ele alıyoruz.
Önemli not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Mevzuat ve Kişisel Verileri Koruma Kurulu'nun karar ve rehberleri zaman içinde güncellenmektedir; kendi iş modelinize özgü yükümlülüklerinizi belirlemek için güncel mevzuatı takip etmeniz ve bir hukuk danışmanıyla çalışmanız önerilir.
Temel Kavramlar: Veri Sorumlusu, Veri İşleyen, İlgili Kişi
KVKK'da e-ticaret işletmesi genellikle veri sorumlusu konumundadır: kişisel verilerin hangi amaçla ve nasıl işleneceğine karar veren taraftır. Kullandığınız e-ticaret altyapısı, kargo firması veya e-posta gönderim servisi gibi hizmet sağlayıcılar ise çoğunlukla sizin adınıza veri işleyen veri işleyen konumundadır. Müşteriniz ise verisi işlenen ilgili kişidir. Bu ayrım önemlidir, çünkü yükümlülüklerin büyük kısmı veri sorumlusuna, yani size aittir; altyapı sağlayıcınızın belirli teknik tedbirleri alması, sizin sorumluluğunuzu ortadan kaldırmaz.
1. Aydınlatma Yükümlülüğü: Müşteriye Ne Yaptığınızı Anlatın
KVKK, veri sorumlusuna kişisel veri toplarken ilgili kişiyi bilgilendirme yükümlülüğü getirir. E-ticarette bu, pratikte bir aydınlatma metni ile yapılır. Mevzuata göre aydınlatma metninde asgari olarak şunların yer alması beklenir:
- Veri sorumlusunun (ve varsa temsilcisinin) kimliği.
- Kişisel verilerin hangi amaçla işleneceği.
- İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği (örneğin kargo firması, ödeme kuruluşu).
- Verilerin toplanma yöntemi ve hukuki sebebi.
- İlgili kişinin kanundan doğan hakları.
Aydınlatma metni, üyelik formu, ödeme sayfası ve iletişim formu gibi verinin toplandığı her noktada erişilebilir olmalıdır. Sayfa altında tek bir link bırakmak çoğu zaman yeterli görülmez; verinin alındığı anda, ilgili formun yanında bilgilendirme yapılması daha sağlıklı bir uygulamadır. Aydınlatma metni "kabul ettirilen" bir onay değil, tek taraflı bir bilgilendirmedir; bu yüzden açık rıza ile karıştırılmamalıdır.
2. Açık Rıza: Her Şey İçin Gerekmez, Gerektiğinde Şart
Yaygın bir yanılgı, her veri işleme faaliyeti için müşteriden açık rıza alınması gerektiğidir. KVKK, kişisel verilerin açık rıza dışında da işlenebileceği hukuki sebepler tanımlar; örneğin bir sözleşmenin kurulması ve ifası için gerekli olması (siparişi teslim etmek için adres işlemek gibi), hukuki yükümlülüğün yerine getirilmesi (fatura düzenlemek gibi) veya veri sorumlusunun meşru menfaati.
Buna karşılık, sipariş sürecinin zorunlu parçası olmayan işleme faaliyetleri için genellikle açık rıza gerekir; pazarlama amaçlı profil oluşturma veya bazı üçüncü taraf paylaşımları bunun örnekleri olabilir. Açık rızanın geçerli olması için belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olması gerekir. Pratikte bu şu anlama gelir:
- Önceden işaretlenmiş onay kutuları kullanmayın.
- Rızayı hizmetin ön şartı haline getirmeyin (ürün satın almak için pazarlama iletisi onayı zorunlu tutulmamalı).
- Farklı amaçlar için ayrı onay alın; tek bir kutuda her şeyi toplamayın.
- Rızanın geri alınabilmesini kolaylaştırın ve verdiğiniz onayları kayıt altında tutun.
Ticari elektronik ileti (e-posta/SMS pazarlaması) için gereken onay, kişisel veri açık rızasından ayrı bir düzenlemeye tabidir ve ayrıca yönetilmelidir. E-posta pazarlamasını sadakat stratejinizin parçası olarak kurarken bu onay mekanizmasını baştan doğru kurgulamak için müşteri sadakati yazımıza bakabilirsiniz.
3. Çerezler ve Takip Teknolojileri
Analitik ve pazarlama amaçlı çerezler, kullanıcıyı tanımlayabildikleri ölçüde kişisel veri işleme kapsamına girer. Kişisel Verileri Koruma Kurumu'nun çerez uygulamalarına ilişkin rehberi, sitenin çalışması için zorunlu olan çerezler ile analitik/pazarlama çerezlerini ayırmayı ve zorunlu olmayanlar için kullanıcının tercihini almayı öngörür. Pratikte bu, bir çerez aydınlatma metni ve kullanıcının çerez kategorilerini ayrı ayrı yönetebildiği bir tercih arayüzü anlamına gelir. "Siteyi kullanarak çerezleri kabul etmiş sayılırsınız" türü ifadeler, bu yaklaşımla uyumlu görülmemektedir.
4. Veri İşleme Envanteri ve VERBİS
Hangi kişisel verileri, hangi amaçla, hangi hukuki sebeple, ne kadar süreyle sakladığınızı ve kimlere aktardığınızı gösteren bir kişisel veri işleme envanteri hazırlamak, uyum çalışmasının omurgasıdır. Envanter olmadan ne aydınlatma metnini doğru yazabilir ne de bir başvuruyu düzgün yanıtlayabilirsiniz.
Veri Sorumluları Sicili (VERBİS) kaydı ise her işletme için değil, mevzuatta belirlenen kriterleri (çalışan sayısı, yıllık mali bilanço, ana faaliyetin özel nitelikli veri işleme olması gibi) karşılayan veri sorumluları için zorunludur. İşletmenizin bu kapsama girip girmediğini güncel kriterlere göre değerlendirmeniz gerekir; kapsama girmeseniz bile envanter hazırlamak iyi bir uygulamadır.
5. Veri Saklama Süreleri ve İmha
KVKK'nın temel ilkelerinden biri, kişisel verilerin işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesidir. "Her ihtimale karşı" sonsuza kadar veri saklamak bu ilkeyle çelişir. Bununla birlikte, bazı veriler için diğer mevzuat (vergi, ticaret, tüketici hukuku) asgari saklama süreleri öngörür; örneğin fatura ve sipariş kayıtlarının belirli bir süre tutulması gerekir. Bu yüzden saklama politikanızı belirlerken:
- Her veri kategorisi için amaç ve ilgili yasal saklama süresini belirleyin.
- Süresi dolan verinin silinmesi, yok edilmesi veya anonim hale getirilmesi için periyodik bir imha süreci tanımlayın.
- Bu kuralları bir kişisel veri saklama ve imha politikası olarak yazılı hale getirin.
6. İlgili Kişi Başvuruları
Müşterileriniz, kanun gereği verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini veya silinmesini isteme gibi haklara sahiptir. Veri sorumlusunun bu başvuruları mevzuatta öngörülen süre içinde (en geç 30 gün) sonuçlandırması gerekir. Bu başvuruların nereye ve nasıl yapılacağını aydınlatma metninizde belirtin ve gelen başvuruları takip edebileceğiniz basit bir kayıt süreci oluşturun.
7. Teknik ve İdari Güvenlik Tedbirleri
KVKK, veri sorumlusuna kişisel verilerin hukuka aykırı erişimini ve işlenmesini önlemek için uygun güvenlik düzeyini sağlama yükümlülüğü getirir. Mevzuat tek bir teknoloji listesi dayatmaz; "uygun" tedbirlerin işletmenin ölçeğine ve işlenen verinin niteliğine göre belirlenmesi beklenir. E-ticaret için pratikte öne çıkan tedbirler:
- HTTPS/SSL — sitenin tamamında şifreli bağlantı, yalnızca ödeme sayfasında değil.
- Kart verisini kendiniz saklamamak — ödeme işlemlerini bu alanda yetkili ve sertifikalı ödeme kuruluşları üzerinden yürütmek, kart bilgisinin kendi sisteminizde tutulmamasını sağlar.
- Erişim yetkilendirmesi — yönetim panelinde her çalışanın yalnızca işi için gereken veriye erişmesi (rol bazlı yetki), güçlü parola ve mümkünse iki faktörlü doğrulama.
- Erişim kayıtları (log) — kimin, ne zaman, hangi veriye eriştiğinin izlenebilmesi.
- Yedekleme ve şifreleme — verinin düzenli yedeklenmesi ve hassas alanların şifreli saklanması.
- Tedarikçi sözleşmeleri — kargo, e-posta, ödeme gibi veri işleyen hizmet sağlayıcılarla veri koruma yükümlülüklerini düzenleyen sözleşmeler.
- Çalışan farkındalığı — teknik tedbirlerin çoğu, bir çalışanın müşteri listesini kişisel e-postasına göndermesiyle anlamsız hale gelir; kısa bir eğitim ve gizlilik taahhüdü, idari tedbirlerin temelidir.
8. Veri İhlali Durumunda Ne Yapmalı?
Alınan tüm tedbirlere rağmen kişisel verilerin yetkisiz kişilerce elde edilmesi halinde, veri sorumlusunun durumu en kısa sürede ilgili kişilere ve Kişisel Verileri Koruma Kurulu'na bildirmesi gerekir. Kurul, bu bildirim için uygulamada bir süre sınırı belirlemiştir; bu nedenle bir ihlal yaşandığında ne yapılacağını, kimin karar vereceğini ve nasıl bildirim yapılacağını önceden tanımlayan basit bir ihlal müdahale planı hazırlamak, kriz anında zaman kaybetmenizi önler.
Uyum, Aynı Zamanda Bir Güven Sinyalidir
KVKK uyumunu yalnızca bir yasal zorunluluk olarak görmek, konunun ticari boyutunu kaçırmaktır. Müşteriler, verisine özen gösteren markalara daha kolay güvenir; şeffaf bir gizlilik politikası ve düzgün bir çerez yönetimi, satın alma kararındaki tereddüdü azaltan unsurlar arasındadır. E-ticaret sitesi kurulumunun yasal gereklilikler adımını kurulum rehberimizde genel hatlarıyla ele almıştık; bu yazı, o adımın kişisel veri boyutunu derinleştiriyor. İade ve cayma hakkı gibi tüketici hukuku yükümlülükleri için ise iade ve değişim yönetimi yazımıza bakabilirsiniz.
Sonuç
E-ticarette KVKK uyumu; aydınlatma, gerektiğinde açık rıza, çerez yönetimi, veri envanteri, saklama/imha politikası, başvuru süreci ve güvenlik tedbirlerinden oluşan bir bütündür. Bu adımların hiçbiri tek başına yeterli değildir, ama birlikte uygulandıklarında hem yasal riskinizi azaltır hem de müşterinize verdiğiniz değeri somut biçimde gösterirler. Mevzuatın güncel halini takip etmeyi ve belirsiz noktalarda profesyonel hukuki destek almayı ihmal etmeyin.