Avukat web sitesinde KVKK: iletişim formu ve çerezler

Kısa özet

• Site üzerinden kişisel veri toplayan avukat veri sorumlusudur; formdaki her alan bir amaca bağlı olmalıdır (KVKK m.4).
• Görüşme talebi için toplanan veriler çoğunlukla sözleşmenin kurulmasıyla doğrudan ilgili olduğundan açık rızaya dayanmak zorunlu değildir (m.5/2-c); aydınlatma ise her durumda gerekir (m.10).
• Formda sağlık, ceza mahkûmiyeti gibi özel nitelikli verileri baştan istemeyin (m.6).
• Analitik ve pazarlama çerezleri gibi zorunlu olmayan çerezler için açık rıza aranması yaygın yaklaşımdır.
• Yurt dışında barındırılan araçlar (analitik, harita, yazı tipi) yurt dışına aktarım doğurabilir; 2024'te değişen m.9 dikkate alınmalıdır.

Avukat bürolarının KVKK yükümlülüklerinin tamamı için avukatlar için KVKK yükümlülükleri yazısına, aydınlatma metninin yazımı için KVKK aydınlatma metni hazırlama rehberine bakabilirsiniz. Bu yazı yalnızca web sitesine özgü konulara odaklanır.

İletişim formu: ne kadar veri?

KVKK m.4, verilerin belirli, açık ve meşru amaçlar için ve işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak işlenmesini zorunlu tutar. Bir görüşme talebi formunda çoğu zaman ad soyad, telefon veya e-posta ve kısa bir konu başlığı yeterlidir. T.C. kimlik numarası, doğum tarihi veya açık adres istemek bu aşamada ölçülü değildir.

Hukuki sebep olarak, kişinin avukatla görüşme ve vekâlet ilişkisi kurma talebiyle verdiği bilgiler m.5/2-c'deki "bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması" şartına dayanabilir. Bu durumda ayrıca açık rıza istemek gerekmez; gereksiz yere "açık rıza onay kutusu" koymak, rızanın geri alınması hâlinde zaten başka bir sebebe dayanılan işlemi karıştırır.

Özel nitelikli verileri formda istemeyin

KVKK m.6, sağlık, ceza mahkûmiyeti ve güvenlik tedbirleri, cinsel hayat, dini inanç gibi verileri özel nitelikli kişisel veri olarak sayar ve daha sıkı kurallara bağlar. Bir boşanma, iş kazası veya ceza dosyası için yazan kişi bu bilgileri kendiliğinden paylaşabilir; ancak formun bu bilgileri istemesi veya zorunlu alan yapması gereksiz risk yaratır. Mesaj kutusunun yanına "Lütfen ilk mesajınızda sağlık veya ceza kaydı gibi hassas bilgileri paylaşmayın; bunları görüşmede konuşalım." gibi kısa bir not eklemek iyi bir uygulamadır.

Aydınlatma metni ve açık rıza farkı

Aydınlatma (m.10) bir bilgilendirmedir ve her durumda yapılır; açık rıza ise belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan bir onaydır ve yalnızca başka bir hukuki sebep yoksa gerekir. Sık görülen hata, aydınlatma metnini "okudum, onaylıyorum" kutusuna bağlayarak açık rıza gibi sunmaktır. Formun altında aydınlatma metnine bağlantı vermek ve kişinin metne ulaşabildiğini göstermek yeterlidir.

Çerezler ve yurt dışı hizmetler

Sitenin çalışması için zorunlu olmayan çerezler (ziyaretçi analizi, reklam ve yeniden hedefleme) için açık rıza aranması, Kişisel Verileri Koruma Kurumunun çerez uygulamalarına ilişkin yaklaşımıyla da uyumlu, yaygın bir yöntemdir. Daha basit yol, çerez kullanmayan bir yapı kurmaktır: sayfa görüntülenmelerini kişisel veri tutmadan sayan araçlar, yerel olarak sunulan yazı tipleri ve gömülü harita yerine "Haritada aç" bağlantısı.

Yurt dışında barındırılan analitik, harita veya yazı tipi servisleri, ziyaretçinin IP adresi gibi verilerin yurt dışına gitmesine yol açabilir. 2/3/2024 tarihli 7499 sayılı Kanunla değişen m.9'a göre yurt dışına aktarım, m.5 veya m.6'daki şartlardan birinin varlığı ve aktarımın yapılacağı ülke hakkında yeterlilik kararı bulunması hâlinde yapılabilir; yeterlilik kararı yoksa uygun güvencelerden biri (örneğin Kurulca ilan edilen standart sözleşme) gerekir. Bu yüzden siteye eklenen her üçüncü taraf aracı tek tek değerlendirmek gerekir.

Veri güvenliği ve hizmet sağlayıcılar

KVKK m.12, veri sorumlusunun verilere hukuka aykırı erişimi önlemek ve muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almasını zorunlu tutar. Web sitesinde bunun karşılığı; https bağlantısı, form spam koruması, form mesajlarının yalnızca yetkili kişilerin erişebildiği bir yerde tutulması ve güçlü parolalardır. Verileri avukat adına başka biri işliyorsa (barındırma firması, site platformu) m.12/2 uyarınca veri sorumlusu bu kişilerle birlikte müştereken sorumludur; hizmet sözleşmesinde veri güvenliği yükümlülüklerinin yer alması önemlidir.

Formdan gelen mesajlar çoğu zaman bir hukuki uyuşmazlığın ilk anlatımını içerir. Avukatlık Kanunu m.36'daki sır saklama yükümlülüğü, bu mesajların korunmasını kişisel veri mevzuatının ötesinde bir mesleki ödev hâline getirir.

Sık yapılan hatalar

• Formda T.C. kimlik numarası veya açık adres gibi gereksiz alanlar.
• Aydınlatma metnini açık rıza kutusuna dönüştürmek.
• Başka bir siteden kopyalanmış, büronun gerçek uygulamasını yansıtmayan aydınlatma metni.
• Ziyaretçiye sormadan analitik ve reklam çerezleri çalıştırmak.
• Eklenen harita, sohbet balonu ve yazı tipi servislerinin yurt dışı aktarım boyutunu hiç değerlendirmemek.

Örnek senaryo

Bir aile hukuku avukatının sitesinde iletişim formu T.C. kimlik numarası, doğum tarihi ve "sağlık durumunuz" alanlarını zorunlu tutmaktadır; sayfada yurt dışında barındırılan bir analitik aracı ve gömülü harita çalışır, çerez bildirimi yoktur. Avukat formu ad soyad, telefon, e-posta ve konu alanlarına indirir; mesaj kutusuna hassas bilgi paylaşılmaması notunu ekler ve formun altına büroya özgü aydınlatma metni bağlantısı koyar. Analitik aracını çerez kullanmayan bir sayaçla değiştirir, gömülü haritayı "Haritada aç" bağlantısına çevirir. Böylece zorunlu olmayan çerez ve yurt dışı aktarım sorunları büyük ölçüde ortadan kalkar.

Sitede hangi bilgilerin yer alması gerektiğini bulunması gereken bilgiler yazımızda anlattık. LexLawy'nin ücretsiz avukat web sitesi tasarımları çerez kullanmaz, yazı tiplerini yerel sunar, haritayı bağlantı olarak verir ve aydınlatma metnini avukatın bilgilerinden otomatik oluşturur.