Önce hangi veriyi topladığınızı yazın
Uyumluluk çalışması metin yazmakla değil, envanter çıkarmakla başlar. İletişim formu, teklif formu, üyelik kaydı, bülten aboneliği, çerezler ve sunucu kayıtları; her biri kişisel veri toplayan ayrı bir noktadır.
Her nokta için üç soruyu yanıtlayabilmelisiniz: hangi veriyi topluyorum, neden topluyorum, ne kadar süre saklıyorum? Bu üçlüyü yazılı hâle getirmeden hazırlanan aydınlatma metni, sitenin gerçek davranışını anlatmaz.
Uygulamada en sık atlanan kalem sunucu kayıtlarıdır. IP adresi de kişisel veridir ve çoğu sistemde aylarca saklanır; bunun envanterde yer alması gerekir.
Aydınlatma metni ile açık rıza aynı şey değil
Aydınlatma yükümlülüğü her durumda vardır: veriyi topladığınız anda, kişiyi kimin hangi amaçla işlediği konusunda bilgilendirmeniz gerekir. Açık rıza ise yalnızca hukuki bir başka dayanak bulunmadığında istenir.
Bu ayrımı karıştırmak, en sık görülen hatadır. Sözleşmenin ifası için gereken bir veriyi "rızaya" bağlamak, kişi rızasını geri çektiğinde işinizi yapamaz hâle gelmenize yol açar.
Pazarlama izni ise ayrı ve açıkça alınmalıdır. Formun altındaki tek bir kutucukla hem aydınlatmayı onaylatıp hem pazarlama izni almak geçerli sayılmaz; iki ayrı kutucuk gerekir ve ikisi de önceden işaretli gelmemelidir.
Çerezler: bilgilendirme değil, yönetim
Sayfanın altında beliren "çerezleri kabul ediyorum" şeridi tek başına yeterli değildir. Zorunlu olmayan çerezlerin (analiz, reklam, sosyal medya) ziyaretçi onay vermeden çalışmaması gerekir.
Bu, teknik bir gerekliliktir: onay verilene kadar ilgili betiklerin hiç yüklenmemesi gerekir. Çoğu sitede şerit görünürken analiz kodu çoktan çalışmış olur ve bu, uyumluluğu görünürde bırakır.
Çerez politikasında hangi çerezin ne işe yaradığı ve ne kadar süre kaldığı listelenmelidir. Bu listeyi yılda bir kez, eklenen yeni araçlara göre güncellemek gerekir.
Başvuru, saklama ve imha
İlgili kişinin verisine erişme, düzeltme ve silme hakkı vardır; bu başvuruları alacak bir kanal (genellikle bir e-posta adresi veya form) sitede açıkça yer almalıdır. Başvurulara en geç otuz gün içinde yanıt verilmesi beklenir.
Saklama ve imha politikası ise çoğu sitede hiç yoktur. Oysa "süresiz saklama" diye bir seçenek yoktur: her veri türü için bir süre belirlenmeli ve süre dolduğunda kaydın silinmesi ya da anonimleştirilmesi gerekir.
Geliştirdiğimiz projelerde bu süreleri otomatik çalışan bir temizlik görevine bağlıyoruz; elle yapılan bir işlem, birkaç ay sonra unutulan bir işlem hâline geliyor.
