Gizlilik politikası, bir web sitesinin veya uygulamanın ziyaretçilerinin ve kullanıcılarının kişisel verilerini nasıl topladığını, işlediğini, sakladığını ve koruduğunu açıklayan bir belgedir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, kişisel veri işleyen her veri sorumlusunun aydınlatma yükümlülüğü bulunmaktadır. Gizlilik politikası, bu yükümlülüğün yerine getirilmesinde önemli bir araç olarak değerlendirilebilir.
Gizlilik Politikası Neden Gereklidir?
Gizlilik politikası hazırlamanın birkaç temel sebebi bulunmaktadır:
- Yasal yükümlülük: KVKK'nın 10. maddesi uyarınca, veri sorumlusunun ilgili kişiyi veri işleme faaliyetleri hakkında bilgilendirmesi gerekmektedir. Gizlilik politikası, bu bilgilendirmenin kapsamlı bir şekilde yapılmasına olanak tanır.
- Güven oluşturma: Kullanıcılar, verilerinin nasıl işlendiğini bilmek ister. Şeffaf bir gizlilik politikası, kullanıcı güvenini artırabilir.
- Üçüncü taraf gereksinimleri: Google AdSense, Google Analytics, Apple App Store ve Google Play Store gibi platformlar, gizlilik politikası bulundurulmasını şart koşmaktadır.
- Uluslararası uyum: GDPR gibi uluslararası düzenlemelere tabi olabilecek işletmeler için de gizlilik politikası zorunludur.
Gizlilik Politikasında Bulunması Gereken Temel Unsurlar
KVKK'nın aydınlatma yükümlülüğü çerçevesinde, bir gizlilik politikasında genel olarak şu bilgilerin yer alması önerilir:
1. Veri Sorumlusunun Kimliği
Gizlilik politikasının başında veri sorumlusunun unvanı, adresi ve iletişim bilgileri açıkça belirtilmelidir. Varsa veri sorumlusu temsilcisi veya irtibat kişisinin bilgileri de eklenebilir.
2. Toplanan Kişisel Veri Kategorileri
Web sitesi veya uygulama aracılığıyla hangi kişisel verilerin toplandığı açıklanmalıdır. Bunlar arasında şunlar sayılabilir:
- Kimlik bilgileri (ad, soyad, TC kimlik numarası vb.)
- İletişim bilgileri (e-posta, telefon, adres)
- Finansal bilgiler (kredi kartı, banka hesabı)
- Kullanım verileri (IP adresi, tarayıcı bilgisi, çerezler)
- Konum verileri
3. Veri İşleme Amaçları
Toplanan verilerin hangi amaçlarla işlendiği detaylı şekilde açıklanmalıdır. Genel olarak karşılaşılan işleme amaçları:
- Hizmet sunumu ve sözleşme yükümlülüklerinin yerine getirilmesi
- İletişim taleplerinin yanıtlanması
- Üyelik ve hesap yönetimi
- Sipariş ve ödeme işlemlerinin gerçekleştirilmesi
- İstatistiksel analiz ve site performansının ölçülmesi
- Reklam ve pazarlama faaliyetleri
- Yasal yükümlülüklerin yerine getirilmesi
4. Hukuki Sebepler
KVKK'nın 5. ve 6. maddeleri kapsamında, veri işleme faaliyetinin dayandığı hukuki sebepler belirtilmelidir. Bunlar arasında açık rıza, sözleşmenin ifası, yasal yükümlülük, meşru menfaat gibi sebepler sayılabilir.
5. Veri Aktarımı
Kişisel verilerin hangi üçüncü taraflara ve hangi amaçlarla aktarılabileceği açıklanmalıdır. Yurt dışına veri aktarımı söz konusu ise bu durum ayrıca belirtilmeli ve KVKK'nın 9. maddesindeki kurallara atıfta bulunulmalıdır.
6. Çerez Kullanımı
Web sitesinde kullanılan çerez türleri, amaçları ve yönetim yöntemleri açıklanmalıdır. Detaylı bilgi için ayrı bir çerez politikası hazırlanması da önerilir.
7. Veri Saklama Süreleri
Kişisel verilerin ne kadar süreyle saklanacağı hakkında bilgi verilmelidir. Saklama süreleri, işleme amacının gerektirdiği süre ve yasal zorunluluklar çerçevesinde belirlenmelidir.
8. İlgili Kişi Hakları
KVKK'nın 11. maddesi kapsamında ilgili kişilerin sahip olduğu haklar açıkça listelenmelidir:
- Kişisel verilerin işlenip işlenmediğini öğrenme
- İşlenmişse buna ilişkin bilgi talep etme
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
- Aktarıldığı üçüncü kişileri bilme
- Eksik veya yanlış işlenmişse düzeltilmesini isteme
- Silinmesini veya yok edilmesini isteme
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhe bir sonuç doğmasına itiraz etme
- Zarara uğranması halinde zararın giderilmesini talep etme
9. Başvuru Yöntemi
İlgili kişilerin haklarını nasıl kullanabileceği, başvuru adresi ve yöntemi açıkça belirtilmelidir. E-posta, posta adresi veya Kayıtlı Elektronik Posta (KEP) gibi kanallar sunulabilir.
Gizlilik Politikası Hazırlama Adımları
Gizlilik politikası hazırlarken izlenebilecek genel adımlar şu şekilde özetlenebilir:
- Veri envanteri çıkarın: Web sitenizde hangi verileri, hangi yollarla topladığınızı belirleyin
- İşleme amaçlarını tespit edin: Her veri kategorisinin neden işlendiğini açıklayın
- Hukuki sebepleri belirleyin: Her işleme faaliyetinin hangi hukuki sebebe dayandığını tespit edin
- Üçüncü taraf paylaşımlarını listeleyin: Verileri kiminle paylaştığınızı belirleyin
- Anlaşılır bir dil kullanın: Gizlilik politikası, teknik jargondan arındırılmış, sade bir Türkçe ile yazılmalıdır
- Düzenli güncelleyin: İşleme faaliyetleri değiştikçe gizlilik politikasını da güncelleyin
- Erişilebilir konumda yayınlayın: Gizlilik politikasına web sitenizin her sayfasından erişim sağlanmalıdır (genellikle footer'da)
Sık Yapılan Hatalar
Gizlilik politikası hazırlanırken dikkat edilmesi gereken bazı yaygın hatalar:
- Genel ve belirsiz ifadeler kullanmak (örn. "verileriniz güvende" gibi soyut cümleler)
- Toplanan tüm veri kategorilerini kapsamamak
- Üçüncü taraf hizmetleri (analytics, reklam, sosyal medya) hakkında bilgi vermemek
- İlgili kişi haklarını ve başvuru yöntemini belirtmemek
- Gizlilik politikasını güncellememek
- Başka bir siteden kopyalayıp yapıştırmak (site özelinde hazırlanmalıdır)
Sonuç
Gizlilik politikası, KVKK uyumunun temel taşlarından biridir. Kullanıcıların kişisel verilerinin nasıl işlendiğini şeffaf bir şekilde açıklamak, hem yasal yükümlülüklerin yerine getirilmesine hem de kullanıcı güveninin artırılmasına katkı sağlar. Bu rehberdeki bilgiler genel çerçeve niteliğindedir; web sitenize özel bir gizlilik politikası hazırlamak için mutlaka bir hukuk danışmanına başvurmanızı öneririz.