KVKK ve Oturum Kaydı: Çerez Onayı ve Kontrol Listesi

Oturum kaydı, ziyaretçiyi doğrudan ya da dolaylı olarak tanımlayabildiği ölçüde KVKK kapsamında kişisel veri işlemedir. KVKK Kurumu’nun çerez rehberine göre analitik amaçlı çerez ve benzeri teknolojiler zorunlu sayılmaz; bu nedenle genellikle ziyaretçinin aktif onayı beklenir. Uyum bir aracın etiketiyle değil, sizin kurulumunuz, onay akışınız, aydınlatma metniniz ve veri minimizasyonu tercihlerinizle sağlanır.

Oturum kaydı kişisel veri mi?

KVKK, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her bilgiyi kişisel veri sayar. Bir oturum kaydında ad ya da e-posta görünmese bile IP adresi, cihaz bilgisi, kalıcı bir ziyaretçi kimliği ve davranış verisi bir araya geldiğinde kişi belirlenebilir hale gelebilir. Üye girişi yapmış bir kullanıcının kaydı ise çoğu zaman doğrudan kişiyle ilişkilendirilir. Ekranda görünen sipariş özeti, adres ya da “Merhaba Mehmet” gibi bir karşılama metni de kayda girer.

Bu yüzden güvenli varsayım şudur: oturum kaydı kişisel veri işler. Soru “işliyor mu” değil, “hangi hukuki sebeple, ne kadar ve hangi önlemlerle işliyor” olmalıdır.

Oturum kaydı için açık rıza gerekir mi?

KVKK Kurumu’nun çerez uygulamalarına ilişkin rehberi, sitenin çalışması için kesinlikle gerekli olan zorunlu çerezlerle analitik, pazarlama ve kişiselleştirme çerezlerini ayırır. Rehbere göre analitik amaçlı çerezler zorunlu çerez kapsamında değerlendirilmez ve bunlar için genellikle açık rıza, yani ziyaretçinin aktif bir onayı beklenir. Oturum kaydı da bu analitik amaca hizmet eder.

• Önceden işaretlenmiş kutular onay yerine geçmez.
• “Siteyi kullanmaya devam ederek kabul etmiş sayılırsınız” gibi ifadeler geçerli bir onay olarak görülmez.
• Kabul ve reddet seçenekleri eşit kolaylıkta sunulmalıdır; reddetmeyi gizlemek önerilmez.
• Onay alınmadan analitik betikler çalışmamalı ve veri gönderilmemelidir.
• Onayı geri çekmek en az vermek kadar kolay olmalıdır.

localStorage da cihaza erişim sayılır mı?

Rehberin başlığı çerez olsa da yaklaşım, kullanıcının cihazında bilgi saklayan ya da bu bilgiye erişen benzer teknolojileri de kapsayacak şekilde yorumlanır. localStorage ve sessionStorage bu nedenle ihtiyatla ele alınmalıdır. “Çerez kullanmıyoruz, o halde onay gerekmez” sonucuna varmak risklidir. Tarayıcı depolamasını analitik amaçla kullanan araçları da onay kategorinize dahil etmeniz ve bu yorumu hukuk danışmanınızla netleştirmeniz önerilir.

Örnek olarak AnyReplay’in web kaydedicisi çerez kullanmaz; örnekleme kararı için localStorage içinde rastgele bir ziyaretçi kimliği ve oturum takibi için sessionStorage kullanır. Bu nedenle onay banner’ınızla bağlanmasını öneriyoruz.

Aydınlatma metninde neler yer almalı?

Açık rızadan bağımsız olarak veri sorumlusunun aydınlatma yükümlülüğü vardır. Ziyaretçi, veri toplanmadan önce ya da en geç toplanırken bilgilendirilmelidir. Oturum kaydı için aydınlatma metninizde en azından şunlar bulunmalıdır:

• Veri sorumlusunun kimliği ve iletişim bilgileri
• Oturum kaydının amacı: örneğin hata tespiti ve kullanıcı deneyimini iyileştirme
• Hangi verilerin kaydedildiği ve hangilerinin maskelendiği
• Hukuki sebep ve verinin toplanma yöntemi
• Verinin aktarıldığı taraflar, varsa yurt dışındaki hizmet sağlayıcılar
• Saklama süresi ve süre sonunda ne olduğu
• KVKK’nın 11. maddesindeki ilgili kişi hakları ve başvuru yolu

Veri minimizasyonu nasıl uygulanır?

KVKK’nın genel ilkeleri verinin amaçla bağlantılı, sınırlı ve ölçülü işlenmesini ister. Oturum kaydında bu, “her şeyi kaydet, sonra bakarız” yaklaşımından vazgeçmek demektir. Pratik karşılıkları şunlardır:

Buradaki önemli nokta şu: tarayıcı kaydedicisi siz açmadıkça form değerlerini maskelemez, yani ziyaretçinin yazdıkları kayda girer. Şifre, tek kullanımlık kod, kart bilgisi ve IBAN alanları her ayarda maskelidir; e-posta ve telefon alanları bu zeminin dışındadır, sıradan alan sayılır. Geri kalanının maskelenmesi sizin kararınız ve veri sorumlusu olarak sizin yükümlülüğünüzdür. Özel nitelikli veri içeren sayfalarda bu ayarı yayına almadan önce yapın. Maskeleme ayarlarının ayrıntıları maskeleme dokümantasyonunda (İngilizce), onay modunun kurulumu onay dokümantasyonunda (İngilizce) anlatılıyor.

Saklama süresi ne kadar olmalı?

Kanun oturum kaydı için sabit bir süre belirlemez; süre, amaca göre sizin belirlemeniz ve belgelemeniz gereken bir karardır. Hata ayıklama için birkaç hafta çoğu ekibe yeter. Süreyi seçtikten sonra aracın bu süreyi otomatik uyguladığından emin olun. AnyReplay’de saklama süresi kuruluş bazında 1 ile 365 gün arasında ayarlanır, süresi dolan kayıtlar altı saatte bir temizlenir ve silmeler denetim kaydına yazılır. Yetkili kullanıcılar bir oturumu hemen silebilir; bu, bir silme talebine yanıt verirken işinizi kolaylaştırır. Ayrıntılar için veri saklama dokümantasyonu (İngilizce).

Yurt dışına aktarımda nelere dikkat edilmeli?

Oturum kaydı aracınız verileri Türkiye dışında işliyorsa KVKK’nın 9. maddesi gündeme gelir. Bu madde yurt dışına aktarımı belirli şartlara bağlar; uygun güvenceler, standart sözleşmeler ya da istisnai durumlar gibi seçenekler 2024’teki değişiklikle yeniden düzenlenmiştir. Bazı yollar Kurum’a bildirim gibi ek adımlar da gerektirir. Hangi yolun sizin için uygun olduğu hizmet sağlayıcınızın yapısına bağlıdır; bu kararı hukuk danışmanınızla verin.

Verinin kendi altyapınızda kalmasını istiyorsanız kendi sunucunuza kurulabilen çözümler bir seçenektir. AnyReplay’de Enterprise planda kendi sunucunuzda alım altyapısı, veri işleme sözleşmesi ve güvenlik anketi desteği sunulur. Kurulum yaklaşımı kendi sunucuya kurulum dokümantasyonunda (İngilizce) anlatılıyor.

Kayıtlara kimler erişebilmeli?

Veri güvenliği yükümlülüğü yalnızca dışarıdan gelen tehditlerle ilgili değildir. Oturum kayıtlarını şirket içinde herkesin açabilmesi de bir risktir. Pazarlama ekibinin tüm kayıtları izlemesi gerekmeyebilir; destek ekibinin ise yalnızca talep açan müşterinin oturumuna bakması yeterli olabilir. Erişimi rollerle sınırlamak, kimin hangi kaydı ne zaman sildiğini izlenebilir tutmak ve ayrılan çalışanların hesaplarını hemen kapatmak temel önlemlerdir. AnyReplay’de beş farklı rol, değiştirilemeyen bir denetim kaydı ve kuruluşlar arasında tam ayrım bulunur.

KVKK için oturum kaydı kontrol listesi

1. Oturum kaydının amacını yazılı olarak tanımladınız mı?
2. Kayıt, analitik kategoriye aktif onay verilmeden başlamıyor mu? Reddettikten sonra ağ isteklerini kontrol ettiniz mi?
3. Çerez banner’ında kabul ve reddet seçenekleri eşit görünürlükte mi?
4. Onayı geri çekme yolu sitede kolayca bulunuyor mu?
5. Form değerlerinin maskelenmesini maskAllInputs: false ile kapatmadığınızdan emin misiniz? Ödeme ve üyelik sayfalarını kendiniz izleyip doğruladınız mı?
6. Ekranda görünen ad, adres ve sipariş bilgileri maskelendi mi?
7. Aydınlatma metni ve çerez politikası kullandığınız aracı, amacı, süreyi ve aktarımı içeriyor mu?
8. Saklama süresi belirlendi ve araçta ayarlandı mı?
9. Yurt dışına aktarım varsa dayanağınız belirlendi mi?
10. Kayıtları kimin izleyebileceği rollerle sınırlandı mı?
11. Silme taleplerine nasıl yanıt vereceğiniz belli mi?

AnyReplay’in bu listeye yardımcı olan özelliklerini gizlilik sayfasında topladık. Kurumsal süreçler için iletişim sayfasından bize ulaşabilirsiniz.