Gizlilik Politikası Nedir, Nasıl Hazırlanır?

Gizlilik politikası, bir internet sitesi veya işletmenin kişisel verilerle ilgili uygulamalarını açıklayan metindir. 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından belirleyici olan belgenin adı değil, gerçek veri işleme faaliyetini doğru anlatması ve gerekli bilgilendirmenin kişisel veriler elde edilirken yapılmasıdır. Politikayı yayımlamak, veri işlemeye kendiliğinden izin vermez (KVKK m.2, m.4, m.5, m.10).

Bu rehber, kendi sitesinin gizlilik politikasını hazırlayan işletme ve site sorumlularına yöneliktir. Önce hangi verilerin nereden alındığı belirlenir; ardından amaçlar, hukuki sebepler, aktarımlar ve başvuru yolu bu faaliyetlere göre açıklanır. Temel kavramlar ve ilgili kişinin hakları KVKK ana rehberinde ele alınmıştır.

1. Gizlilik Politikası ile KVKK Aydınlatma Metni Aynı mı?

Bir gizlilik politikası, aydınlatma için gerekli bilgileri içerebilir. Ancak yalnız başlığında gizlilik yazması, aydınlatma yükümlülüğünün yerine getirildiğini göstermez. Veri sorumlusunun kimliği, işleme amaçları, aktarım, toplama yöntemi, hukuki sebep ve ilgili kişinin hakları açıklanmalı; bilgilendirme verilerin elde edilmesi sırasında yapılmalıdır (KVKK m.10).

Sitenin alt menüsünde bir belgeye bağlantı bulunmasıyla, bütün veri toplama noktalarının doğru biçimde bilgilendirilmesi aynı şey değildir. İletişim formu, üyelik veya iş başvurusu farklı amaçlar içeriyorsa açıklamalar bu gerçek faaliyetlerle karşılaştırılmalıdır. Kullanılan yöntem ne olursa olsun bilgi açık, anlaşılır ve yanıltıcı olmayan bir içerik taşımalıdır (KVKK m.10; Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-g, m.5/1-ğ, m.5/1-j).

Belge veya işlem	Cevapladığı soru	Hazırlıkta dikkat edilecek ayrım
Gizlilik politikası	Sitenin kişisel veri uygu­la­ma­ları nasıl açıklanıyor?	İçerik ile gerçek veri akışı kar­şı­laş­tı­rı­lır (KVKK m.4, m.10).
Aydınlatma	Veriyi kim, hangi amaç ve hukuki sebeple işliyor?	Kanunda belirtilen bilgiler verilerin elde edilmesi sırasında sunulur (KVKK m.10).
Açık rıza	Belirli bir işlemeye bil­gi­len­di­ril­miş ve özgür iradeyle izin veriliyor mu?	Bilgi verme ile rıza alma işlemleri ayrı yürütülür (KVKK m.3/1-a; Tebliğ m.5/1-f).
Çerez politikası	Çerezlerle ger­çek­leş­ti­ri­len veri işleme nasıl açıklanıyor?	Çerez kullanımı, veri işleme amacı ve şartıyla birlikte değer­len­di­ri­lir (KVKK m.4, m.5, m.10).

Aydınlatma metninin hazırlanışı ve açık rızanın şartları ayrı rehberlerde açıklanmıştır. Gizlilik sözleşmesi arayan okuyucu için ise NDA rehberi, taraflar arasında bilgilerin gizli tutulmasına ilişkin sözleşmeyi ele alır.

2. Gizlilik Politikası Hazırlamadan Önce Hangi Bilgiler Toplanır?

Hazırlık, işletmenin gerçekte yaptığı işlemleri belirleyerek başlar. Kişisel verilerin hangi kaynaktan geldiği, ne için kullanıldığı, kimlere aktarıldığı ve ne kadar tutulduğu bilinmeden doğru açıklama yazılamaz. Amaçlar belirli ve meşru olmalı; işlenen veriler amaçla bağlantılı, sınırlı ve ölçülü tutulmalıdır (KVKK m.4).

İnternet sitesindeki görünen formlarla yetinilmemelidir. Site sorumlusu, teknik ekip ve ilgili işletme birimleri birlikte çalışarak üyelik, sipariş, destek, kariyer, analiz aracı ve bülten gibi faaliyetleri tek tek belirleyebilir. Bu çalışma, hukuki yükümlülüğün yerine geçmez; metnin gerçek uygulamadan kopmasını önleyen bir hazırlık yöntemidir.

Her faaliyet için şu bilgiler bir araya getirilebilir:

• Veri ve kaynak: Hangi kişisel veriler, hangi form, cihaz veya başka kanal üzerinden elde ediliyor?
• Amaç ve hukuki sebep: Faaliyet neden yapılıyor ve hangi işleme şartına dayanıyor (KVKK m.4, m.5)?
• Alıcılar: Veriler kimlere veya hangi alıcı gruplarına, hangi amaçla aktarılıyor (KVKK m.10/1-c; Tebliğ m.5/1-ı)?
• Saklama: İlgili mevzuatın öngördüğü veya amacın gerektirdiği süre nasıl belirleniyor (KVKK m.4/2-d)?
• Hak ve başvuru: Kişi kendi verileri hakkında hangi hakları, hangi veri sorumlusuna yöneltebiliyor (KVKK m.11, m.13)?

Bu bilgiler kişisel veri envanteri çalışmasıyla ilişkilendirilebilir. Hizmet alınan şirketin rolü de gerçek faaliyete göre belirlenmelidir; veri sorumlusu ve veri işleyen ayrımı bu değerlendirmede önem taşır (KVKK m.3/1-ğ, m.3/1-ı).

3. Gizlilik Politikası Nasıl Hazırlanır?

Metin, hazırlanmış faaliyet listesinden hareketle yazılır. Her kullanım amacı için toplanan veri ve hukuki sebep eşleştirilir; bilgilendirme ile gerçek uygulamanın uyuşup uyuşmadığı kontrol edilir. Aydınlatma yükümlülüğü, veri işleme açık rızaya veya diğer işleme şartlarına dayansa da yerine getirilir (Tebliğ m.5/1-a).

Hazırlama sırası şöyle kurulabilir:

1. Veri sorumlusunu belirleyin. İşleme amaçlarını ve vasıtalarını kimin belirlediğini, okuyucuya hangi kimliğin açıklanacağını saptayın (KVKK m.3/1-ı, m.10/1-a).
2. Faaliyetlere göre açıklamayı yazın. Amaç, yöntem, hukuki sebep ve alıcıları birbirinden kopuk genel listeler yerine gerçek işleme faaliyeti üzerinden karşılaştırın (KVKK m.10; Tebliğ m.5/1-g, m.5/1-h, m.5/1-ı, m.5/1-i).
3. Aydınlatmanın sunulduğu noktaları kontrol edin. İlgili kişinin veriler elde edilirken gerekli bilgileri alıp almadığını inceleyin (KVKK m.10).
4. Rıza gereken işlemleri ayırın. İşleme açık rızaya dayanıyorsa bilgi verme ve rıza alma işlemlerini ayrı yerine getirin (KVKK m.3/1-a; Tebliğ m.5/1-f).
5. Metni teknik uygulamayla karşılaştırın. Sunucular, kullanılan araçlar, alıcılar ve saklama uygulamasıyla çelişen ifadeleri düzeltin; aydınlatmada yanlış veya yanıltıcı bilgi bırakmayın (KVKK m.4; Tebliğ m.5/1-j).

Hukuki sebep, yalnızca KVKK’ya uyulduğunu söyleyen genel bir cümle değildir. Hangi işlemenin Kanunun hangi işleme şartına dayandığı açıklanmalıdır. Örneğin sözleşmenin ifası şartı, ancak sözleşmenin taraflarına ait verilerin sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerekli olması hâlinde değerlendirilir; her pazarlama faaliyetini kapsayan genel bir gerekçe gibi kullanılamaz (KVKK m.5/2-c; Tebliğ m.5/1-h).

4. Gizlilik Politikası Örneği Doğrudan Kullanılabilir mi?

Başka bir sitenin metni, kendi sitenizde bulunmayan araçları, alıcıları veya amaçları anlatabilir. Örnek bir metin ancak kontrol başlıklarını belirlemeye yardım eder; faaliyetin gerçeğe uygun biçimde açıklanması ve gerekli bilgilerin verilmesi ayrıca gerekir. Eksik veya yanlış bilgilere yer verilmemelidir (KVKK m.10; Tebliğ m.5/1-j).

4.1. İletişim Formu ve Bülten İçin Doldurulmuş Örnek

Varsayımsal bir işletmenin sitesinde iletişim formu ve ayrı bir e-posta bülteni bulunduğunu düşünün. İletişim formu yalnız gelen soruyu yanıtlamak için kullanılıyor; bültende ise abonelere tanıtım gönderiliyor. Aynı e-posta adresinin alınması, bu iki kullanımın amacını veya hukuki sebebini aynı yapmaz (KVKK m.4, m.5).

Aşağıdaki tablo bu varsayımlar için doldurulmuş bir çalışma örneğidir. İşletmenin kimliği, gerçek sağlayıcıları ve saklama gerekçeleri belirlenmeden doğrudan yayımlanabilecek bir politika metni değildir.

İncelenecek alan	İletişim talebini yanıtlama	E-posta bülteni gönderme
Formdaki veri alanları	Yanıt adresi ve soru metni alınıyor; ad alanının yanıt için gerekip gerekmediği ayrıca kontrol ediliyor.	Bülten adresi alınıyor; bu örnekte doğum tarihi veya telefon istenmiyor.
Belirlenmiş amaç	Gelen soruyu ilgili birime ulaştırmak ve yanıtını göndermek.	Abonenin seçtiği tanıtım bültenini göndermek; iletişim formundan gelen adresleri bu listeye ken­di­li­ğin­den eklememek.
Hukuki sebep değer­len­dir­mesi	Talep, kurulacak bir sözleşmeyle doğrudan ilgili ve taraflara ait verilerin işlenmesi gerekli ise sözleşme şartı incelenir. Bu bağlantı yoksa aynı gerekçe otomatik kullanılmaz (KVKK m.5/2-c).	Bu örnekte bülten işlemesinin açık rızaya dayan­dı­rıl­dığı var­sa­yı­lı­yor; rızanın belirli konu, bil­gi­len­dirme ve özgür irade koşulları ayrıca incelenir (KVKK m.3/1-a, m.5).
Bil­gi­len­dirme noktası	Formda, veriler gön­de­ril­me­den önce bu talebin amaç, yöntem, hukuki sebep, alıcı ve hak açık­la­ma­sına erişim sağlanması kontrol ediliyor.	Kayıt alanında bülten faaliyetine ait açıklama sunuluyor; bilgi verme ile rıza açıklaması birbirinden ayrılıyor (KVKK m.10; Tebliğ m.5/1-f).
Kullanılan hizmet ve alıcı	Mesajı alan birim ile form ve e-posta sağ­la­yı­cı­sı­nın eriştiği kayıtlar lis­te­le­ni­yor.	Bülten aracı sağ­la­yı­cı­sı­nın aldığı adres ve işlediği diğer kayıtlar ayrıca belir­le­ni­yor; iletişim formunun sağ­la­yı­cı­sıyla aynı olduğu var­sa­yıl­mı­yor.
Saklama ve başvuru hazırlığı	Talep kapandıktan sonra devam eden bir saklama gerekçesi bulunup bulunmadığı inceleniyor; başvuruda hangi mesaj kaydının aranacağı belir­le­ni­yor.	Gönderim tercihi ile adresin başka bir amaçla tutulup tutulmadığı ayrı kontrol ediliyor; listeden çıkmakla bütün kayıtların silinmesi aynı işlem sayılmıyor (KVKK m.4/2-d, m.7).

Bu karşılaştırmayı kendi sitenize uyarlarken, tablodaki her açıklamayı kullanılan form ve hizmet ayarlarıyla eşleştirin. Form yanıtlarından bülten listesine otomatik aktarım varsa, yalnız politika metnini değiştirmekle yetinmeyin; bu ayrı işlemenin amacını ve şartını da inceleyin (KVKK m.4, m.5).

Örnekteki az sayıdaki alan her site için yeterli veya zorunlu bir liste değildir. Özgeçmiş toplayan kariyer formu farklı bir faaliyet yürütür. Toplanan alanlar, hukuki sebep, sağlayıcı ve saklama bilgileri gerçek amaca göre yeniden belirlenir (KVKK m.4, m.5, m.10).

5. Politikayı Kabul Etmek Çerez ve Bülten İzni Sayılır mı?

Bir politikayı okuduğunu bildirmek, bütün kişisel veri işlemlerine açık rıza verildiği anlamına gelmez. Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade olmalıdır. İşleme rızaya dayanıyorsa aydınlatma ve rıza alma işlemleri ayrı yürütülür (KVKK m.3/1-a; Tebliğ m.5/1-f).

Çerezler için önce gerçek kullanım ve işleme şartı değerlendirilir. Politika metni ile tercih ekranı farklı işlevler taşır; bilgilendirmenin içeriği ve yapılan tercihin uygulanması birlikte kontrol edilmelidir. Envanter ve ekran hazırlığı çerez politikası rehberinde açıklanmıştır (KVKK m.4, m.5, m.10).

Bülten veya tanıtım gönderimi planlanıyorsa, kişisel verinin hangi amaçla işlendiği ve hangi işleme şartına dayandığı ayrıca belirlenir (KVKK m.4, m.5). Ticari ileti onayı ve ret düzeni için İYS ile KVKK arasındaki fark rehberi kullanılabilir. Sitenin bütün işlemlerini tek bir genel kabul cümlesiyle açıklamaya çalışmak, okuyucunun hangi faaliyete izin verdiğini belirsizleştirir.

6. Saklama, Güvenlik ve Yurt Dışına Aktarım Nasıl Açıklanır?

Her kişisel veri için aynı saklama süresi kullanılmaz. Veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar tutulmalıdır. İşlenmesini gerektiren sebepler ortadan kalktığında silme, yok etme veya anonim hâle getirme yükümlülüğü değerlendirilir; diğer kanunlardaki hükümler saklıdır (KVKK m.4/2-d, m.7).

Bu nedenle süresiz saklama veya her talepte bütün kayıtların derhâl silineceği gibi genel vaatler yerine, gerçek saklama sebepleri ve uygulama açıklanmalıdır. Ayrıntılar kişisel verilerin imhası rehberinde bulunabilir. İlgili kişinin silme talebi de Kanunun şartları çerçevesinde ele alınır (KVKK m.7, m.11/1-e).

Bir hizmet sağlayıcının politikada adının yazılması, yurt dışına aktarım şartlarının yerine getirildiğini göstermez. Yurt dışına veri aktarımı varsa, 2024’te yeniden düzenlenen m.9 kapsamındaki yeterlilik, uygun güvence veya şartları bulunan arızi aktarım yolları gerçek veri akışına göre değerlendirilir. Arızi aktarım için düzenlenen açık rıza yolunun, sürekli yapılan her aktarımın genel dayanağı olduğu söylenemez (KVKK m.9/1, m.9/4, m.9/6).

Güvenlik açıklaması da fiilî tedbirlerle uyumlu olmalıdır. Veri sorumlusu, hukuka aykırı işleme ve erişimi önlemek, verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almak zorundadır. Kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi, bu tedbirlere ilişkin müşterek sorumluluğu kaldırmaz (KVKK m.12/1, m.12/2).

7. Gizlilik Politikası Ne Zaman Güncellenir, Haklar Nasıl Kullanılır?

Yeni bir form, hizmet sağlayıcı veya araç eklenmesi, açıklanan bilgilerle gerçek uygulamanın yeniden karşılaştırılmasını gerektirebilir. Kişisel veri işleme amacı değiştiğinde, bu amaçla faaliyete geçilmeden önce ayrıca aydınlatma yapılmalıdır. Yalnız belgenin tarihini değiştirmek, açıklamaların eksik veya yanlış kalmasını gidermez (Tebliğ m.5/1-b, m.5/1-j).

İlgili kişi veri işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, amaç ve alıcıları öğrenme, yanlış verileri düzelttirme ve Kanunun şartları çerçevesinde silme isteme gibi haklarını veri sorumlusuna yöneltebilir. Başvuru yazılı veya belirlenen diğer yöntemlerle yapılır; talepler niteliklerine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır (KVKK m.11, m.13).

Başvuru hazırlığında talep edilen işlemin ve ilgili verinin açıkça belirtilmesi yararlıdır. Yöntem ve içerik için veri sorumlusuna KVKK başvurusu rehberine bakılabilir. İşletme tarafında ise politika, kullanılan form ve araçlarla birlikte KVKK uyum sürecinin içinde kontrol edilir.