KVKK Denetimlerinde Web Siteleri Neden İlk Kontrol Noktasıdır?
KVKK denetimlerinde ilk temas noktası çoğu zaman kurumun web sitesidir. Çünkü web sitesi; kişisel verilerin ilk temas, ilk toplama ve birçok senaryoda ilk aktarım alanıdır. Denetim bakışında web sitesi; kurumun hukuki yaklaşımını (aydınlatma/rıza/hukuki sebep) ve teknik tedbir refleksini (konfigürasyon/log/entegrasyon) aynı anda görünür kılan en hızlı kanıt üreten katmandır.
Web sitesi incelemesi denetimlerde tek ekranda çok sayıda sinyal üretir: çerez/rıza, form hukuki sebebi, log/IP saklama, üçüncü taraf aktarım ve KVKK m.12 teknik tedbirleri. Bu yüzden denetimler çoğu zaman web sitesi üzerinden başlar.
1. Web Siteleri KVKK Açısından Neden Kritik?
Web siteleri üzerinden; kimlik ve iletişim bilgileri, IP adresleri ve erişim kayıtları, çerez verileri ile davranışsal/teknik veriler toplanabilir ve çoğu zaman farkında olunmadan üçüncü taraflarla paylaşılabilir. Denetim açısından bu katman; kontrol edilmesi en kolay, ancak ihlale en açık alanlardan biridir.
- Kurumun “ilk temas” noktasında aydınlatma ve rıza kurgusu var mı?
- Toplanan veri, amaçla bağlantılı ve ölçülü mü?
- Üçüncü taraflara veri akışı kontrol altında mı?
- Teknik tedbirler (HTTPS, güncellik, temel güvenlik) asgari seviyede mi?
2. Çerez Yönetimi: İlk Bakılan Alan
Denetimlerde Sık Tespit Edilen Eksiklikler
- Açık rıza gerektiren çerezlerin onay alınmadan çalıştırılması
- Çerez kategorilerinin net ayrılmaması (zorunlu / analitik / pazarlama vb.)
- Çerez aydınlatma metninin eksik, genel veya güncel olmayan ifadeler içermesi
Kurul Perspektifi: “Banner” Değil, Davranış
Kurul, özellikle zorunlu / zorunlu olmayan çerez ayrımını, rıza mekanizmasının gerçekten çalışıp çalışmadığını ve rızanın geri alınabilirliğini teknik olarak inceler. Sadece banner’ın görünmesi yeterli sayılmaz.
3. Web Formları: Açık Rıza mı, Hukuki Sebep mi?
Sık Yapılan Hata
İletişim, teklif, başvuru ve üyelik formlarında; her durumda açık rıza alınması ya da hukuki sebebin hiç belirtilmemesi.
Denetim Soruları
Kurul, formlar özelinde şu sorulara net yanıt arar:
- Bu veri neden toplanıyor? (amaç)
- Hangi hukuki sebebe dayanılıyor? (seçim + gerekçe)
- Aydınlatma metni gerçekten okunabilir mi? (erişim + anlaşılabilirlik)
- Zorunlu alanlar ölçülü mü? (minimizasyon)
| Kontrol | Beklenen Yaklaşım | Yüksek Riskli Hata |
|---|---|---|
| Aydınlatma erişimi | Formun hemen yanında, okunabilir ve süreç özelinde | Genel metin / link yok / tıklanamaz |
| Hukuki sebep | Amaçla uyumlu ve gerekçeli seçim | Her şeye açık rıza / hiç belirtilmemesi |
| Zorunlu alanlar | Asgari veri + ölçülülük | Gereksiz alanların zorunlu tutulması |
4. Log Kayıtları ve IP Verileri
Denetimlerde İncelenen Başlıklar
- IP adreslerinin kişisel veri olarak ele alınıp alınmadığı
- Log kayıtlarının saklama süresi ve amaçla bağlantısı
- Kimlerin loglara erişebildiği (rol/yetki)
- Logların amaç dışı kullanılıp kullanılmadığı
Web sunucusu logları çoğu zaman göz ardı edilse de denetimlerde yüksek riskli bir alan olabilir. Saklama süresi, erişim yetkileri, bütünlük ve değiştirilemezlik prensipleri bu nedenle kritik hale gelir.
5. Üçüncü Taraf Servisler ve Entegrasyonlar
En Kritik Risk Alanı
Web sitelerinde kullanılan; analytics/ads etiketleri, harici form servisleri, canlı destek/chatbot çözümleri, harici font, CDN ve scriptler fark edilmeden veri aktarımı yaratabilir. Bu nedenle üçüncü taraflar, denetimde “en hızlı genişleyen” inceleme alanıdır.
Kurul’un Beklediği Netlik
Kurul, bu servisler açısından şu sorulara açık yanıt bekler:
- Veri işleyen sözleşmesi var mı?
- Açık rıza gerekiyor mu?
- Yurt dışı veri aktarımı söz konusu mu?
- Aydınlatma metinlerinde belirtilmiş mi?
- Kaynak kodda (script/tag manager) çalışan üçüncü taraf etiketleri
- CDN/Font çağrıları ve bağlantı yapılan domain listesi
- Chat/CRM entegrasyonları ve form action endpoint’leri
- Çerez tablosunda üçüncü taraf çerezlerinin varlığı
6. Aydınlatma Metinleri ve Erişilebilirlik
Sık Tespit Edilen Sorunlar
- Aydınlatma metninin site içinde ulaşılmaz olması
- Farklı süreçler için tek metin kullanılması
- Metin ile fiili uygulamanın örtüşmemesi
Kurul, web sitesi üzerindeki aydınlatma yükümlülüğünü ilk temas anında ve erişilebilir biçimde görmek ister. Metinlerin kullanıcı deneyimini bozmayacak biçimde fakat net bir erişimle konumlandırılması önemlidir.
7. Teknik Altyapı: Görünmeyen Ama Ölçülen Alan
KVKK m.12 kapsamında; HTTPS kullanımı, yetkisiz erişim önlemleri, güncel yazılım ve eklentiler ile temel güvenlik açıklıkları web sitesi üzerinden hızlıca tespit edilebilir. Bu nedenle web sitesi, kurumun teknik tedbir olgunluğunun vitrini gibi değerlendirilir.
- TLS/HTTPS zorunlu yönlendirme ve HSTS gibi temel güvenlik başlıkları
- Güncellik: CMS/tema/eklenti sürümleri ve bilinen zafiyet yüzeyi
- Form güvenliği: CAPTCHA/anti-bot, rate-limit, server-side validation
- Yedekleme ve erişim: yönetim paneli erişim sınırlandırmaları
8. Web Sitesi, KVKK Uyumunun Aynasıdır
KVKK denetimlerinde web siteleri; hukuki ve teknik eksikliklerin en hızlı ve somut biçimde ortaya çıktığı alandır. Bu nedenle denetimler çoğu zaman web sitesi incelemesi ile başlar; burada görülen bulgular diğer süreçlerin de sorgulanmasına yol açar.
Nesil Teknoloji olarak yürüttüğümüz KVKK ve siber güvenlik çalışmalarında, web siteleri yalnızca bir iletişim kanalı değil; aynı zamanda bir “kişisel veri işleme platformu” olarak ele alınır. Çerezlerden loglara kadar tüm katmanlar birlikte değerlendirilir.
İlgili hizmet: KVKK danışmanlığı hizmetimiz hakkında detaylı bilgi almak için sayfamızı inceleyebilirsiniz.
