Sektörel KVKK Rehberleri

Birçok ekipte KVKK ve GDPR uyumu teknik iş listesinde sürekli ertelenen konular arasında yer alıyor. Nedeni çoğu zaman önemsenmemesi değil; geliştirici zamanı, entegrasyon süresi ve test yükünün birikmesi.

Uluslararası ziyaretçi alan sitelerde herkese aynı consent deneyimini sunmak pratik görünür. Ancak çoğu zaman bu yaklaşım ne uyumluluk ne de kullanıcı deneyimi açısından yeterlidir.

Çerez ve açık rıza yönetiminde çoğu ekip ilk olarak “onay alabiliyor muyuz?” sorusuna odaklanıyor. Oysa ikinci soru en az bunun kadar önemli: “Olan biteni gerçekten görebiliyor muyuz?”

Kullanıcı çerez tercihlerini yaptıktan kısa süre sonra aynı banner ile yeniden karşılaşıyorsa, sistem en temel UX sınavlarından birini geçememiş demektir. İyi bir consent deneyimi yalnızca izin istemek değil, verilen kararı yaşatmaktır.

Global ya da çok dilli bir sitede ziyaretçi daha içerikle etkileşime geçmeden önce çoğu zaman bir consent katmanıyla karşılaşır. Eğer bu katman yanlış dildeyse, ilk izlenim daha ilk saniyede zedelenebilir.

Modern bir sitede onlarca script aynı anda bulunabilir: analytics, reklam, chat, A/B test, kişiselleştirme, session replay ve daha fazlası. Risk, bunların varlığı değil; hangi koşulda çalıştıklarının bilinmemesidir.

Bir sitede cookie banner görünmesi, çerez yönetiminin doğru kurulduğu anlamına gelmez. Asıl kritik soru şudur: Kullanıcı daha seçim yapmadan önce neler çalışıyor? Birçok kurulumda sorun tam burada başlar.

Pazarlama performansını yalnızca oturum sayısıyla yorumlamak artık yetersizdir. Aynı hacimde trafik getiren iki kanal, iş sonucuna tamamen farklı katkı verebilir. Asıl soru şudur: Ziyaretçi nereden geldi ve gerçekten ne kadar etkileşim gösterdi?

KVKK ve GDPR uyumu çoğu şirkette düzenlemenin kendisinden çok, kurulum biçimi nedeniyle karmaşık hale gelir. Banner ayrı araçta, script kontrolü başka yerde, tercih log'ları farklı bir tabloda, hukuk metni ise bambaşka ekipte kalır. Böyle bir yapıda küçük bir değişiklik bile büyük koordinasyon işi olur.

Asıl mesele, bunu kullanıcı deneyimini bozmadan yapabilmek.

Bir şirket sitesi, e-ticaret sitesi ya da SaaS ürünü fark etmiyor: Türkiye'de faaliyet gösteren hemen her web sitesi bugün aynı sorularla karşılaşıyor. Çerez banner'ı gerçekten gerekli mi? Google Analytics kullanmak sorun yaratır mı? Ziyaretçi davranışlarını ölçmek için hangi veriler açık rıza gerektirir? Bu yazı, konuyu hukuk diliyle karmaşıklaştırmadan temel çerçeveyi netleştirmek için hazırlandı. Amaç, teknik ekiplerin ve iş birimlerinin aynı sayfada buluşmasını sağlamak.

Fintech şirketleri, iki düzenleyiciye sorumludur: | Düzenleyici | Sorumluluğu | Ceza | |------------|-----------|------| | **BDDK** (Bankacılık Düzenleme ve Denetleme Kurulu) | Finansal güvenlik, para transferi, hesap yönetimi | 6-9 hane (milyon TL) | | **KVKK** (Kişisel Verileri Koruma Kurumu) | Kişisel veri işleme, onay, silinme | 6-9 hane (müşteri başına) |

Emlak sektörü, kişisel verinin en yoğun işlendiği sektörlerden biridir. Ancak birçok emlak acentası ve dijital platform bu gerçeğin farkında değildir: - **Form Verisi Birikimi**: "Beni Ara" formlarından gelen veriler 5 yıl, 10 yıl, hatta daha uzun yıllar tutulur. Hiçbir hukuki neden yokken. - **Lead Çürümesi**: CRM'de 3 yıl önceki potansiyel müşterilerin verileri durmadan saklanır. Kişinin müşteri olmak istediğini unutmuş olabilir. - **Eski Veri Dinamiti**: Gayrimenkul portallarındaki eski ilanlarla beraber, ilanı yapan müşteri ve acentaların verisi de kalır. - **Fotoğraf Tuzağı**: Mülk fotoğraflarında evin sahibi, emlakçı ve potansiyel müşterilerin yüzleri görünebilir. Bu kişisel veridir. - **Arsa Bilgisinin Adresi**: "Üsküdar, Fatih Cad., No 45" — bu sadece adres değil, kimin nerede oturduğunun haritası. > **🚨 İHLAL RİSKİ:** Türkiye Veri Koruma Kurulu (KVKK) 2023–2024 denetimlerinde **emlak sektörü en yüksek ceza oranına** sahip olmuştur. Başlıca nedenler: onaysız veri işleme, saklama süresi aşımı, DSAR talepleri karşılanmama.

2024'te, Türkiye'deki **27 milyon** öğrenci, en az bir online eğitim platformunda kayıtlı. - Udemy: 3.2M - Kodlama.io: 800K - Khan Academy Türkçe: 500K - Kendi kurumsal LMS'ler: 22M+ Ancak, bu platformların **95%'i**, reşit olmayan öğrencilerin verilerini işlerken temel KVKK kurallarını ihlal ediyor.

Turizm ve otelcilik sektörü, çok sayıda **hassas kişiye ilişkin veri** işler. Bunu fark etmeyen oteller, yüksek ceza riskine maruz kalır

Birçok SaaS kurucusu, hukuki sorumluluktan kurtulmak için söyle demiştir: > "Biz platform sağlayıcısı, müşterilerin ne yaptığından sorumlu değiliz." **KVKK Madde 2 ve GDPR Article 28 bu yanlış yorumu çöper:** ``` Veri İşleyen, Veri Sorumlusu'nun talimatı üzerine kişiye ilişkin verileri işler. Hukuki sorumluluğu Veri Sorumlusu üstlenir. ``` Yani: - **Veri Sorumlusu (DPA'da)**: SaaS müşterisi (B2B client) - **Veri İşleyen**: SaaS firması - **Sorumlu**: **İkisi de** — ancak farklı seviyelerde SaaS firması, eğer: - Konum verisi saklar - Kullanıcı davranış analizi yapar - Çerez yönetimi sunar - Müşteri İP adresini loglar ...bunları **kontrol altında** tutmazsa, **ortakça sorumlu** sayılabilir.

Lojistik ve kargo şirketleri her gün milyonlarca veri noktası toplarlar. Ancak bu verilerin çoğu **üst düzey gizlilik riskini** barındırır: 1. **Müşteri Konum Verisi**: "Paketim nerede?" sorusu, gerçek zamanlı koordinatlar anlamına gelir 2. **Sürücü Takibi**: Hareket halindeki çalışanların konum, hız, rota verileri 3. **Teslimat Adresleri & Tercih Verisi**: İş saatleri, telefon, dönem özel adresler (örn. tatil evi) KVKK Madde 4'ün tanımı gereği bu veriler **"kişiye ilişkin veri"** kategorisine girer. Eğer bir kişi bir konum ile özdeş konuma getirilirse, o konum verisi de kişiye ilişkin sayılır.

Sağlık sektörü, kişisel veri koruması açısından **en hassas sektor**. Diş kliniğinden, fizik tedavi merkezine, online sağlık danışmanlığına kadar, **hasta mahremiyeti**, KVKK'nın en yüksek standardı gerektiriyor.

İK Platformlarında KVKK Kabusu ve Veribenim Çözümü: Aday CV'leri, İşe Alım Verisi ve Otomatik Anonimleştirme

Oyun (Gaming) Sektöründe KVKK Kabusu ve Veribenim Çözümü: Global Oyuncu Verisi, Çerezsiz Takip ve GDPR/KVKK Çakışması