E-Ticaret Siteleri ve Çerez Uyumu: KVKK Kapsamındaki Yükümlülükler

1. Konunun Genel Çerçevesi

Bir e-ticaret sitesi; ziyaretçinin sayfaya girdiği andan siparişin teslim edilmesine kadar geçen süreçte kimlik, iletişim, adres, sipariş geçmişi, ödeme, cihaz ve konum bilgileri gibi çok sayıda kişisel veri işlemektedir. Bu verilerin bir kısmı satışın gerçekleşmesi için zorunlu iken bir kısmı ölçümleme, kişiselleştirme ve reklam amacıyla toplanmaktadır.

Çerezler (cookie) ve benzeri teknolojiler, bu ikinci grup veri işlemenin başlıca aracıdır. Çerez uyumu; hangi çerezin hangi amaçla kullanıldığının tespit edilmesi, ziyaretçinin doğru biçimde aydınlatılması ve gerektiğinde geçerli bir açık rıza alınmasını kapsamaktadır.

2. Hukuki Dayanak

• KVKK m.4 (genel ilkeler), KVKK m.5 (işleme şartları), KVKK m.9 (yurt dışına aktarım), KVKK m.10 (aydınlatma yükümlülüğü), KVKK m.12 (veri güvenliği)
• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ
• Kişisel Verileri Koruma Kurumu'nun çerez uygulamalarına ilişkin rehberi
• 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili yönetmelikler
• 6502 sayılı Tüketicinin Korunması Hakkında Kanun, özellikle TKHK m.48 (mesafeli sözleşmeler) ve Mesafeli Sözleşmeler Yönetmeliği

3. Kanundaki Düzenleme

Hukuki Sebepler

Sipariş ve teslimat sürecinde işlenen veriler, çoğunlukla sözleşmenin kurulması ve ifası için zorunlu olma şartına dayanmaktadır. Fatura ve muhasebe kayıtları, vergi ve ticaret mevzuatından doğan hukuki yükümlülüklere dayanmaktadır. Sitenin güvenliği ve dolandırıcılığın önlenmesi amacıyla yapılan işlemeler ise, temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat kapsamında değerlendirilebilmektedir.

Çerez Türleri ve Açık Rıza

Kurum rehberinde çerezler, amaçlarına göre sınıflandırılmaktadır. Sitenin çalışması için zorunlu olan çerezler (oturum yönetimi, alışveriş sepeti, güvenlik) kural olarak açık rıza gerektirmemektedir. Buna karşılık analitik, performans, kişiselleştirme ve hedefli reklam çerezleri için ziyaretçinin açık rızasının alınması gerekmektedir. Açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olmalıdır.

Bu nedenle çerez tercih ekranında şu hususlara dikkat edilmektedir:

• Zorunlu olmayan çerezler, ziyaretçi onay vermeden çalıştırılmamaktadır.
• "Kabul et" ve "Reddet" seçenekleri eşit görünürlükte ve eşit kolaylıkta sunulmaktadır.
• Önceden işaretlenmiş kutular veya sayfada gezinmeye devam etmenin rıza sayılması gibi yöntemler kullanılmamaktadır.
• Ziyaretçinin verdiği rızayı her zaman ve aynı kolaylıkla geri alabilmesi sağlanmaktadır.

Aydınlatma ve Açık Rıza Metinlerinin Ayrılması

Aydınlatma metni ile açık rıza metni birbirinden ayrı düzenlenmektedir. Aydınlatma metni; veri sorumlusunun kimliğini, işleme amaçlarını, aktarım yapılan alıcı gruplarını, toplama yöntemini, hukuki sebebi ve ilgili kişi haklarını içermektedir. Sözleşme kurulmasının, zorunlu olmayan bir işlemeye rıza verilmesi şartına bağlanması geçerli bir açık rıza oluşturmamaktadır.

4. Uygulamada Süreç

1. Çerez taraması: Sitede çalışan birinci ve üçüncü taraf çerezler, pikseller ve benzeri araçlar tespit edilmektedir.
2. Sınıflandırma: Her çerezin amacı, sağlayıcısı, saklama süresi ve verinin aktarıldığı ülke belirlenmektedir.
3. Çerez politikası ve aydınlatma metni: Ziyaretçiler, sade ve katmanlı bir dille bilgilendirilmektedir.
4. Tercih yönetim aracının kurulması: Zorunlu olmayan çerezler, ancak ziyaretçinin onayından sonra çalışacak biçimde teknik olarak yapılandırılmaktadır.
5. Üyelik ve sipariş akışının gözden geçirilmesi: Ticari elektronik ileti onayı, açık rıza ve sözleşme onayları birbirinden ayrılmaktadır.
6. Yurt dışı aktarım değerlendirmesi: Yurt dışında yerleşik analiz, reklam veya altyapı hizmet sağlayıcıları için KVKK m.9 kapsamındaki aktarım mekanizması belirlenmektedir.
7. Dönemsel kontrol: Siteye yeni bir eklenti veya pazarlama aracı eklendiğinde çerez listesi ve metinler güncellenmektedir.

5. Görevli ve Yetkili Mahkeme veya Merci

Kişisel verilerin korunmasına ilişkin şikâyetleri inceleyen ve yaptırım uygulayan merci Kişisel Verileri Koruma Kurulu'dur. Ziyaretçi veya müşteri, önce veri sorumlusuna başvurmakta, ardından Kurul'a şikâyette bulunabilmektedir. Kurul kararlarına ve idari para cezalarına karşı idare mahkemesinde dava açılabilmektedir.

Elektronik ticaret ve tüketici mevzuatına aykırılıklarda Ticaret Bakanlığı denetim ve yaptırım yetkisine sahiptir. Tüketici ile satıcı arasındaki uyuşmazlıklarda, her yıl yeniden belirlenen parasal sınırın altında kalan uyuşmazlıklar için tüketici hakem heyetine, bu sınırın üzerindeki uyuşmazlıklar için tüketici mahkemesine başvurulmaktadır. Tüketici, davayı kendi yerleşim yerinde de açabilmektedir.

6. Süreler ve Dikkat Edilecek Hususlar

• Çerez saklama süreleri amaçla orantılı tutulmalıdır; uzun süreli pazarlama çerezleri ölçülülük ilkesi bakımından risk oluşturabilmektedir.
• Rızanın geri alınması hâlinde ilgili çerezlerin çalışmasının fiilen durdurulması gerekmektedir. Yalnızca arayüzde tercih değişikliğinin görünmesi yeterli değildir.
• Sosyal medya pikselleri ve reklam etiketleri, ziyaretçi verilerini yurt dışındaki platformlara aktarabilmektedir. Bu araçlar için ayrıca aktarım değerlendirmesi yapılmalıdır.
• Ödeme bilgileri genellikle ödeme kuruluşu tarafından işlenmektedir; e-ticaret sitesinin bu verileri kendi sistemlerinde tutup tutmadığı ve buna ilişkin güvenlik tedbirleri netleştirilmelidir.
• Satıcı firmanın VERBİS kayıt yükümlülüğü bulunup bulunmadığı ayrıca değerlendirilmelidir.
• Çerez rehberi ve ilgili düzenlemelerin güncel hâlinin, uygulama tarihinde kontrol edilmesi gerekmektedir.

7. Sonuç

E-ticaret sitelerinde kişisel veri uyumu, satış sürecinin hukuki altyapısını oluşturan teknik ve hukuki çalışmaların birlikte yürütülmesini gerektirmektedir. Çerez yönetimi, aydınlatma metinleri ve yurt dışı aktarım değerlendirmesi birbirine bağlı konulardır. Bu nedenle sitenin teknik yapısındaki her değişiklik, hukuki metinlere de yansıtılmalıdır.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır.

← Kişisel Verilerin Korunması ve Veri Uyumu