E-ticaret sitelerinde kişisel verilerin korunması mevzuatına uyum sağlanması; her veri işleme faaliyeti için amaç ve hukuki sebebin ayrı ayrı belirlenmesi, veriler elde edilirken kullanıcıların aydınlatılması ve aydınlatma yükümlülüğü ile açık rıza alma işlemlerinin ayrı ayrı yerine getirilmesiyle sağlanır. Sipariş, teslimat, faturalandırma, kampanya iletileri ve yeniden pazarlama gibi faaliyetlerin her biri farklı hukuki değerlendirmeler gerektirir.
Kişisel Veri İşleme Amaçları ve Hukuki Sebeplerin Belirlenmesi
E-ticaret platformlarında yürütülen her bir veri işleme faaliyeti bakımından amaç ve hukuki sebebin ayrı ayrı tespit edilmesi zorunludur. Tüketicinin sipariş ettiği ürünün adresine ulaştırılması amacıyla teslimat adresi ve iletişim bilgisinin işlenmesi, sözleşmenin kurulması ve ifası hukuki sebebine dayanır. Düzenlenen fatura ve muhasebe kayıtları ise vergi mevzuatından doğan hukuki yükümlülüklerin yerine getirilmesi amacıyla işlenir. Bu verilerin teslimat veya faturalandırma için toplanmış olması; müşteriye kampanya SMS'i gönderilmesi, reklam çerezleriyle kullanıcı takibi yapılması veya yeniden pazarlama faaliyetleri yürütülmesi için kendiliğinden bir hukuki zemin oluşturmaz.
Aydınlatma Yükümlülüğü ve Açık Rıza Ayrımı
Aydınlatma yükümlülüğü, kişisel veriler elde edilirken yerine getirilmelidir. Bu bilgilendirmede verilerin kim tarafından, hangi amaçla, hangi hukuki sebeple işlendiği, kimlere aktarılabileceği, toplama yöntemleri ve ilgili kişinin hakları açıklanmalıdır. Aydınlatma yükümlülüğü ile açık rıza alma işlemleri birbirine karıştırılmamalı ve her iki işlem ayrı ayrı yürütülmelidir.
Açık rıza gereken süreçlerde kullanıcıya ait onay kutucukları önceden işaretlenmiş olarak sunulamaz. İlgili kişinin sessiz kalması, platformdaki işlemlerine devam etmesi veya alışveriş yapması açık rıza olarak değerlendirilemez. Açık rıza, belirli bir konuya ilişkin ve bilgilendirmeye dayalı aktif bir irade beyanı ile verilmelidir.
Ticari Elektronik İletiler ve SMS Doğrulama Süreçleri
Müşterinin yalnızca siteden alışveriş yapmış olması veya teslimat için telefon numarasını bildirmesi, kendisine reklam ve tanıtım mesajı iletilebileceği anlamına gelmez. Ticari elektronik ileti gönderiminde kişisel verilerin korunması kurallarının yanı sıra 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ile Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik hükümleri dikkate alınmalı; izin ve ret süreçleri İleti Yönetim Sistemi (İYS) üzerinden yönetilmelidir.
Pazarlama amacıyla izin talep edilirken hangi iletişim kanalı için izin istendiği açıkça belirtilmelidir. SMS, elektronik posta ve sesli arama kanallarına ilişkin onaylar birbirinden bağımsız şekilde yönetilmeli ve müşterinin tercihlerini kanallara göre belirlemesine imkan tanınmalıdır.
Kayıt açma, üyelik oluşturma, ödeme veya teklif alma aşamalarında gönderilen SMS doğrulama kodlarının gönderim amacı ilgili kişiye açık ve net biçimde bildirilmelidir. Üyelik sözleşmesi onayı, kişisel veri işleme izni ve ticari elektronik ileti onayı gibi birbirinden tamamen farklı hukuki nitelik taşıyan işlemler, tek bir SMS doğrulama koduyla veya tek bir eylemle birleştirilemez.
Ticari elektronik ileti gönderimi amacıyla kişisel verilerin işlenmesine onay verilmesi, e-ticaret sitesinden ürün ya da hizmet sunumunun tamamlanması için bir ön şart veya zorunlu unsur olarak dayatılamaz.
Çerez Yönetimi ve Tercih Mekanizmaları
E-ticaret sitelerinde kesinlikle gerekli çerezler haricindeki işlevsel, performans-analitik ve reklam veya pazarlama çerezleri için aktif onay mekanizması (opt-in) uygulanmalıdır. Açık rıza dışında bir veri işleme şartı bulunmadıkça, kullanıcının aktif iradesiyle onay vermediği zorunlu olmayan çerezler siteye giriş anında varsayılan olarak çalıştırılmamalıdır.
Sitede yer alan çerez yönetim panelinde yalnızca tümünü kabul etme seçeneğinin sunulması yeterli değildir. Kullanıcıların zorunlu olmayan çerezleri reddedebileceği veya tercihlerini özelleştirebileceği buton ve seçenekler panel üzerinde açık ve görünür şekilde sunulmalı; aktif onay alınmadığı sürece bu çerezler devreye sokulmamalıdır.
Çerez yönetim panelinde çerez kategorileri açıkça ayrıştırılmalıdır. Zorunlu çerezler, işlevsel çerezler, performans-analitik çerezler ve reklam-pazarlama çerezleri ayrı başlıklar altında listelenmeli; kullanıcıya örneğin analitik çerezleri kabul edip reklam çerezlerini reddedebileceği bağımsız seçim imkânı tanınmalıdır.
Sınır Ötesi Kişisel Veri Aktarımı ve Standart Sözleşmeler
E-ticaret platformlarında kullanılan analitik araçlar, reklam teknolojileri veya bulut tabanlı altyapılar vasıtasıyla kişisel verilerin sınır ötesine aktarılması söz konusu olduğunda, bu işlem 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 9. maddesine uygun hukuki dayanaklara bağlanmalıdır. Kişisel veriler, Kanun'un 5. ve 6. maddelerinde belirtilen işleme şartlarından birinin bulunması ve aktarım yapılacak ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında Kurulca verilmiş bir yeterlilik kararının varlığı halinde yurt dışına aktarılabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik kararı Kurul tarafından alınır ve Resmî Gazete üzerinden duyurulur. Düzenlenen bu kararlar azami dört yılda bir gözden geçirilir. Kurul, gerek görmesi halinde ilgili kurum veya kuruluşların görüşlerine başvurabilir; inceleme sonucunda ya da zorunlu bulduğu diğer durumlarda verdiği yeterlilik kararını ileriye dönük olarak değiştirebilir, askıya alabilir veya tamamen kaldırabilir.
Yeterlilik kararının bulunmadığı hallerde sınır ötesi veri aktarımı; Kanun'un 5. ve 6. maddesindeki işleme şartlarından birinin mevcudiyeti, ilgilinin aktarım yapılacak ülkede haklarını kullanabilmesi ve etkili kanun yollarına erişebilmesi şartıyla taraflarca uygun güvencelerden birinin temin edilmesi durumunda gerçekleştirilebilir. Bu doğrultuda güvence yöntemi olarak imzalanan standart sözleşmelerin, imza tarihinden itibaren beş iş günü zarfında veri sorumlusu yahut veri işleyen tarafından Kişisel Verileri Koruma Kurumuna iletilmesi zorunludur.
Yeterlilik kararının bulunmaması ve uygun güvencelerin sağlanamaması durumunda ise ancak arızi olmak kaydıyla Kanun'da sayılan istisnai hallerde aktarım yapılabilir. İlgili kişinin muhtemel riskler hakkında bilgilendirilerek aktarıma açık rıza vermesi ya da aktarımın ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya sözleşme öncesi tedbirlerin uygulanması için zorunlu olması bu istisnalar arasındadır. Yurt dışına aktarılan kişisel verilerin sonraki aktarımları ile uluslararası kuruluşlara aktarımları bakımından da bu güvencelerin sağlanması zorunludur. Türkiye'nin veya ilgili kişinin menfaatinin ciddi şekilde zarar göreceği hallerde ise veri aktarımı ancak ilgili kamu kurumunun görüşü alınarak Kurulun izniyle gerçekleştirilebilir.
Hukuki Belgelerin Ayrıştırılması ve Veri Saklama Süreleri
E-ticaret süreçlerinde başvurulan üyelik sözleşmesi, mesafeli satış metinleri, ön bilgilendirme formu, aydınlatma metni, açık rıza beyanı, çerez politikası ve ticari ileti onayının her biri mevzuat bakımından birbirinden ayrı hukuki amaç ve nitelik taşır. Bu metinlerin tek bir onay kutusunda birleştirilmesi ya da birbirinin yerine ikame edilmesi hukuka aykırılık teşkil eder.
Kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmalı, sınırsız veya belirsiz sürelerle muhafaza edilmemelidir. Kanuni yükümlülükler ve uyuşmazlık ihtimalleri gözetilerek belirlenen saklama süreleri dolduğunda veya işleme şartları ortadan kalktığında veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir.
E-ticaret müşterileri, ilgili kişi sıfatıyla veri sorumlusu işletmeye başvurarak kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve bu amaca uygun kullanılıp kullanılmadığını sorgulama, aktarıldığı kişileri bilme, eksik veya yanlış verilerin düzeltilmesini isteme, şartları oluştuğunda verilerin silinmesini veya yok edilmesini talep etme ve kanuna aykırı işleme sebebiyle zarara uğraması halinde zararın giderilmesini isteme haklarına sahiptir.
Teslimat için verilen telefon numarasına reklam SMS'i gönderilebilir mi?
Hayır, teslimat amacıyla alınan telefon numarası sözleşmenin ifası kapsamında işlendiğinden, ayrıca onay alınmadıkça reklam ve kampanya mesajları için kullanılamaz.
Aydınlatma metni ile açık rıza tek bir metinde sunulabilir mi?
Hayır, aydınlatma yükümlülüğü veri sorumlusunun yerine getirmesi gereken tek taraflı bir bilgilendirmedir; açık rıza ise rızaya tabi işlemler için aydınlatmadan bağımsız ve ayrı şekilde alınmalıdır.
Üyelik oluşturulurken SMS doğrulama kodu ile ticari ileti onayı alınabilir mi?
Hayır, SMS doğrulama kodunun amacı kişiye açıkça bildirilmeli; üyelik sözleşmesi, kişisel veri işleme izni ve ticari elektronik ileti onayı gibi farklı işlemler tek bir SMS koduyla birleştirilmemelidir.
Alışveriş yapabilmek için pazarlama iletisi onay kutusunu işaretlemek zorunlu tutulabilir mi?
Hayır, ticari elektronik ileti gönderimine açık rıza verilmesi, ürün ya da hizmet sunumunun tamamlanması için bir ön şart veya zorunluluk olarak dayatılamaz.
Çerez yönetim panelinde yalnızca kabul seçeneği sunulması yeterli midir?
Yeterli değildir; panelde tümünü kabul et butonunun yanında açık ve görünür şekilde reddet ve tercihler seçenekleri bulunmalı, çerez kategorileri bağımsız seçime imkân tanıyacak biçimde sunulmalıdır.
Yurt dışına veri aktarımında imzalanan standart sözleşmeler nereye ve ne zaman bildirilir?
Standart sözleşmeler, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy