Yazılım Ürünlerinde KVKK Uyumu: Geliştirme Öncesi Temel Rehber

Yazılımda KVKK uyumu, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun gerekliliklerinin yalnızca hukuki metinlerle değil, yazılımın kendi tasarımıyla da karşılanması demektir. Pratikte bu; yalnızca gerekli veriyi toplamak, kullanıcıyı doğru zamanda aydınlatmak, gerektiğinde açık rıza almak, verileri güvenli saklamak ve silme ile erişim taleplerini karşılayabilecek bir altyapı kurmak anlamına gelir. Bu yazı hukuki danışmanlık yerine geçmez; ürün sahiplerinin geliştirme öncesinde bilmesi gereken temel noktaları özetler.

Temel kavramlar

Yazılım projelerinde sık karşılaşacağın kavramlar şunlar:

• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Ad, e-posta, telefon, IP adresi, konum ve cihaz tanımlayıcıları bu kapsama girebilir.
• Özel nitelikli kişisel veri: Sağlık, biyometrik veri, din, etnik köken gibi kanunda sayılan, daha sıkı korunan veri türleri.
• Veri sorumlusu: Verilerin işlenme amaçlarını ve araçlarını belirleyen taraf. Ürünün sahibi olarak genellikle sensin.
• Veri işleyen: Veri sorumlusu adına veriyi işleyen taraf. Barındırma sağlayıcısı, e-posta servisi veya yazılımını geliştiren ve bakımını yapan ekip bu rolde olabilir.
• Açık rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza.

Önemli bir nokta: Kanun, kişisel veri işlemeyi yalnızca açık rızaya bağlamaz. Sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi başka işleme şartları da vardır. Her veri işleme faaliyeti için hangi şarta dayandığını belirlemek, gereksiz rıza kutucuklarının önüne geçer.

Yazılımda KVKK uyumu için tasarım ilkeleri

Veri minimizasyonu

Toplamadığın veriyi korumak zorunda kalmazsın. Her form alanı için "bu veri ne için gerekli?" sorusunu sor. Doğum tarihi yerine yaş aralığı, tam adres yerine il bilgisi yeterli olabilir. Kanundaki ölçülülük ilkesinin yazılımdaki karşılığı budur.

Amaç sınırlaması

Bir amaçla topladığın veriyi başka bir amaçla kullanmak için ayrı bir hukuki dayanak gerekebilir. Örneğin sipariş için alınan telefon numarasını pazarlama mesajları için kullanmak, ayrı bir onay gerektirir. Veri modelinde bu ayrımı tutabilecek alanlar planlanmalı.

Aydınlatma yükümlülüğü

Kullanıcıya, veriler toplanırken; veri sorumlusunun kimliği, işleme amaçları, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile kullanıcının hakları hakkında bilgi verilmeli. Yazılımda bu, kayıt ve form ekranlarında aydınlatma metnine erişilebilir bir bağlantı demektir.

Açık rızanın doğru alınması

Açık rıza gerektiren işlemler için:

• Rıza kutucuğu önceden işaretli olmamalı.
• Rıza, hizmetin ön şartı hâline getirilmemeli (gerçekten gerekli değilse).
• Farklı amaçlar için ayrı ayrı rıza alınmalı.
• Rızanın ne zaman, hangi metin sürümüyle verildiği kayıt altına alınmalı.
• Kullanıcı rızasını kolayca geri alabilmeli.

Saklama ve imha

Her veri türü için bir saklama süresi belirlenmeli ve süre dolduğunda veri silinmeli, yok edilmeli veya anonim hâle getirilmeli. Yazılımda bu; otomatik silme veya anonimleştirme görevleri ve yedeklerdeki verilerin de bu politikaya dahil edilmesi demektir.

Çerezler, analitik ve üçüncü taraf betikler

Web uygulamalarında kişisel veri çoğu zaman fark edilmeden üçüncü taraf betiklerle toplanır: analitik araçları, reklam pikselleri, canlı destek widget'ları, gömülü videolar. Bu araçların her biri kullanıcının cihazına çerez yerleştirebilir ve veriyi yurt dışındaki sunuculara gönderebilir. Uyum açısından şunlar önemli:

• Uygulamanın çalışması için zorunlu olmayan çerezler ve takip araçları, kullanıcı onay vermeden yüklenmemeli.
• Çerez tercihleri kaydedilmeli ve kullanıcı istediğinde değiştirebilmeli.
• Hangi üçüncü taraf aracın hangi veriyi topladığı bir listede tutulmalı ve çerez politikasıyla tutarlı olmalı.
• Yeni bir araç eklendiğinde bu liste güncellenmeli; pazarlama ekibinin geliştiriciye haber vermeden betik eklemesi sık rastlanan bir uyum açığıdır.

Teknik güvenlik önlemleri

Kanun, veri sorumlusunun uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri almasını öngörür. Yazılım tarafında temel önlemler şunlar:

• Aktarımda şifreleme: Tüm trafik HTTPS üzerinden olmalı.
• Saklamada koruma: Parolalar güçlü ve tek yönlü algoritmalarla özetlenmeli, hassas alanlar gerektiğinde şifrelenmeli.
• Yetkilendirme: Kullanıcılar ve çalışanlar yalnızca işleri için gerekli verilere erişebilmeli.
• Erişim kayıtları: Kişisel verilere kim, ne zaman, ne işlem yaptı kayıt altına alınmalı.
• Yedekleme ve geri yükleme: Yedekler düzenli alınmalı, şifrelenmeli ve geri yükleme test edilmeli.
• Test ortamında gerçek veri kullanmamak: Geliştirme ve test ortamlarında anonimleştirilmiş veya sahte veri kullanılmalı.

Bir veri ihlali durumunda Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü vardır. Bu nedenle olağan dışı erişimleri tespit edebilecek izleme ve kayıt altyapısı da uyumun parçasıdır.

Kullanıcı haklarına yazılımda karşılık vermek

KVKK, ilgili kişilere verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme ve aktarıldığı üçüncü kişileri öğrenme gibi haklar tanır. Bu taleplere zamanında cevap verebilmek için yazılımda şunlar planlanmalı:

1. Bir kullanıcının tüm verilerini tek bir yerden bulabilme,
2. Verileri okunabilir bir formatta dışa aktarabilme,
3. Hesap ve ilişkili verileri silebilme ya da anonimleştirebilme,
4. Yasal saklama yükümlülüğü olan kayıtları (örneğin fatura bilgileri) silme işleminden ayırabilme.

Yurt dışı servisler ve GDPR

Barındırma, e-posta, analitik veya yapay zekâ servisleri yurt dışında bulunuyorsa, bu durum kişisel verilerin yurt dışına aktarılması anlamına gelebilir. Kanunun yurt dışına aktarım hükümleri 2024 yılında yapılan değişiklikle güncellendi ve aktarımın hangi mekanizmaya dayanacağı ayrıca değerlendirilmeli.

Ürünün Avrupa Birliği'ndeki kişilere hizmet veriyorsa, AB Genel Veri Koruma Tüzüğü (GDPR) de devreye girebilir. GDPR'ın tasarımdan itibaren veri koruma (privacy by design) yaklaşımı, yukarıdaki ilkelerle büyük ölçüde örtüşür.

Geliştirme öncesi KVKK kontrol listesi

• Toplanan tüm kişisel veriler ve amaçları listelendi.
• Her işleme faaliyetinin hukuki dayanağı belirlendi.
• Aydınlatma metni hazırlandı ve ilgili ekranlara bağlandı.
• Açık rıza gereken yerler ayrı, işaretsiz kutucuklarla ve kayıtlı olarak tasarlandı.
• Saklama süreleri ve otomatik silme veya anonimleştirme planı hazır.
• Kullanılan üçüncü taraf servisler ve veri konumları listelendi.
• Rol bazlı yetkilendirme ve erişim kayıtları tasarlandı.
• Silme, dışa aktarma ve düzeltme talepleri için yönetim araçları planlandı.
• Yükümlülüklerin hukuk danışmanıyla gözden geçirilmesi planlandı.

Sonuç

Yazılımda KVKK uyumu, projenin sonunda eklenen bir aydınlatma metniyle değil, ilk günden verilen tasarım kararlarıyla sağlanır. Az veri toplamak, amaçları ayırmak, güvenliği katmanlı kurmak ve kullanıcı haklarına cevap verebilecek araçları baştan planlamak, sonradan yapılacak pahalı düzeltmelerin önüne geçer. Weras Labs'te projelerde kişisel veri akışlarını teklif aşamasında birlikte ele alıyoruz; çalışma şeklimizi hizmetler sayfamızda bulabilirsin. Hukuki yükümlülüklerin için mutlaka bir hukuk danışmanından görüş almanı öneririz.