Bir web sitesinin iletişim formunu incelerken en sık duyduğumuz cümle hep aynı: "Biz küçük bir firmayız, VERBİS bizi ilgilendirmez." Oysa masaya konan üç ekran görüntüsü bile — bir üyelik formu, bir bülten kutusu, bir başvuru sayfası — o firmanın kişisel veri işlediğini gösteriyor. Çoğu zaman bu cümlenin arkasında kötü niyet değil, kayıt yükümlülüğünün ne zaman doğduğuna dair bir yanlış anlama yatıyor.
Ana kural nettir: Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), 6698 sayılı KVKK'nın 16. maddesine dayanır ve kişisel veri işleyen veri sorumlularını, işlemeye başlamadan önce Sicile kayıt olmakla yükümlü kılar. Yani kayıt istisna değil, kuralın kendisidir.
Zamanlama, çoğu firmanın gözden kaçırdığı ayrıntıdır. Kayıt, veri toplandıktan sonra tamamlanacak bir formalite değildir; yükümlülük, ilk kişisel veri işlenmeden önce başlar. Site yayına alınıp formlar çalışmaya başladığında kayıt penceresi çoktan açılmıştır.
İstisna bir muafiyet değil, bir çerçevedir
Kurul, bazı veri sorumluları için kayıt yükümlülüğüne istisna kararları vermiştir. Bu istisnanın kapsamı çalışan sayısı, yıllık mali bilanço ve ana faaliyet gibi ölçütlerle çizilir. Buradaki iki yanılgı tehlikelidir: birincisi, "küçük olmak" tek başına muafiyet sağlamaz; ölçütler birlikte değerlendirilir ve zamanla değişebilir. İkincisi, istisna kapsamında olmak yalnızca kaydın dışında kalmak demektir, başka hiçbir yükümlülüğün ortadan kalkması demek değildir. Ölçütlerden yalnızca birine bakıp karar vermek, çoğu zaman hatalı bir "muafız" sonucuna götürür.
Pratik test: Sitenizde ziyaretçiden isim, e-posta, telefon ya da özgeçmiş alan tek bir alan bile varsa, siz kişisel veri işliyorsunuz. "Kayıt gerekmez" sonucuna varmadan önce sorulacak soru "veri işliyor muyum" değil, "istisna ölçütlerini gerçekten karşılıyor muyum" olmalıdır.
İstisna, diğer yükümlülükleri silmez
Kayıttan istisna olmak; aydınlatma yükümlülüğünü, veri güvenliği tedbirlerini ve saklama-imha politikasını olduğu gibi bırakır. Uygulamada en sık atlanan noktalar şunlardır:
- Her form için açık ve erişilebilir bir aydınlatma metninin bulunması,
- Toplanan verinin ne kadar süre ve hangi gerekçeyle saklanacağının yazılı olması,
- Verinin yetkisiz erişime karşı korunması için teknik ve idari tedbirlerin alınmış olması.
Bir web sitesindeki her form — iletişim, üyelik, bülten, başvuru — ayrı bir işleme faaliyetidir; her biri kendi hukuki dayanağını ve aydınlatmasını gerektirir. Kayıt yükümlülüğünüzü doğru değerlendirmenin ilk adımı, sitenizin gerçekte hangi verileri, nereden ve niçin topladığını görmektir. Legalitify sitenizdeki tüm formları tarar, her birini bir işleme faaliyeti olarak değerlendirip eksiklerini çıkarır ve aydınlatma metinlerini tek tıkla tamamlanacak şablonlarla üretir.