Dernek ve vakıf sitelerinde KVKK ve çerez onayı: kısa rehber

Dernek ve vakıf siteleri, bağış formu sayesinde her gün kişisel veri toplar: ad soyad, telefon, e-posta, bazen TC kimlik numarası ve adres. Buna sitede kullanılan istatistik ve reklam çerezleri de eklenince, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) web sitesinin doğrudan konusu hâline gelir.

Bu yazı hukuki görüş değildir; dernek ve vakıf yöneticilerinin web sitesinde dikkat etmesi gereken başlıkları özetleyen pratik bir rehberdir. Kendi durumunuz için bir hukukçuya danışmanızı öneririz.

Bağış formunda aydınlatma

KVKK, kişisel verisini toplayan kuruluşun, veriyi toplarken kişiyi bilgilendirmesini ister (aydınlatma yükümlülüğü). Bağış formunda bu genellikle şöyle yapılır:

• Formun yanında aydınlatma metnine açık bir bağlantı bulunur.
• Metin; hangi verilerin hangi amaçla işlendiğini, kimlere aktarılabileceğini, saklama süresini ve kişinin haklarını sade bir dille anlatır.
• Bağış için gerekli olmayan veriler (ör. doğum tarihi) forma eklenmez.

Aydınlatma, bir onay kutusuyla “kabul ettirilen” bir metin değildir; bilgilendirmedir. Açık rıza gereken durumlar ise ayrıca ve ayrı bir kutuyla sorulmalıdır.

SMS, e-posta ve WhatsApp için ayrı izin

Bağış için alınan telefon numarası, ileride kampanya duyurusu göndermek için kendiliğinden kullanılmamalıdır. Kampanya duyurusu ve tanıtım amaçlı gönderimler için bağışçıdan ayrıca izin alınmalı; bu izin ön işaretli olmamalı, ne zaman ve hangi kanaldan verildiği kayıt altında tutulmalıdır.

Pratikte iyi bir bağış formunda “SMS ile bilgilendirme istiyorum” ve “e-posta ile bilgilendirme istiyorum” gibi ayrı ve boş gelen kutular bulunur. Bağışçı izninden vazgeçtiğinde, bunu kolayca yapabilmeli (ör. kendi bağışçı panelinden) ve gönderimler hemen durmalıdır.

Çerez onayı: ne zaman gerekir?

Kişisel Verileri Koruma Kurumu’nun yayımladığı Çerez Uygulamaları Hakkında Rehber, çerezleri işlevine göre ayırır:

• Zorunlu çerezler, ziyaretçinin açıkça istediği hizmetin çalışması için gereklidir: oturum çerezi, bağış sepeti, dil tercihi, güvenlik çerezleri gibi. Bunlar için açık rıza aranmaz.
• Reklam ve davranışsal hedefleme çerezleri (ör. reklam pikselleri) için açık rıza gerekir.
• İstatistik çerezleri için durum, çerezin nasıl kullanıldığına göre değişir; rehber, belirli koşullarda (birinci taraf, anonim, IP maskeli) bazı analitik çerezleri ayrı değerlendirir. Emin değilseniz izin isteyin.

Rehberde öne çıkan birkaç pratik kural şunlardır:

• Siteye girmiş olmak ya da gezinmeye devam etmek, çerezlere onay sayılmaz.
• İzin gerektiren çerezler, ziyaretçi onay vermeden yüklenmemelidir.
• Kabul ve reddetme seçenekleri eşit kolaylıkta sunulmalıdır; reddetmek, kabul etmekten zor olmamalıdır.
• Ziyaretçi verdiği izni sonradan geri alabilmelidir.

Reklam pikselleri ve dönüşüm ölçümü

Meta Pixel ya da Google Ads etiketiyle bağışların hangi reklamdan geldiğini ölçmek, kampanya bütçesini doğru kullanmak için değerlidir. Ancak bu etiketler reklam çerezi kullandığı için yalnızca izin veren ziyaretçide yüklenmelidir. Sunucudan gönderilen dönüşüm bildirimlerinde de (ör. Meta Conversions API) e-posta ve telefon gibi bilgiler açık hâliyle değil, geri çevrilemez biçimde şifrelenmiş (karma) hâliyle iletilmelidir. Çerez politikanız bu aktarımı açıkça anlatmalıdır.

VERBİS kaydı

Kurul’un kararlarına göre dernekler, vakıflar ve sendikalar; ilgili mevzuata ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve yalnızca kendi çalışanları, üyeleri, mensupları ve bağışçılarına yönelik veri işledikleri sürece VERBİS kayıt yükümlülüğünden istisnadır. Kurul, 2019/353 sayılı kararıyla bağış yapan kişilerin de bu kapsamda olduğunu belirtmiştir. Derneğe ya da vakfa ait bir iktisadi işletme varsa, onun durumu ayrıca değerlendirilmelidir.

İstisna, aydınlatma yükümlülüğünü ve veri güvenliği tedbirlerini ortadan kaldırmaz.

Veri güvenliği: sitede neye bakmalı?

• Kart bilgisi derneğin sunucusuna hiç gelmemeli; ödeme, ödeme kuruluşunun 3D Secure sayfasında yapılmalı.
• TC kimlik numarası ve telefon gibi veriler veritabanında şifreli saklanmalı.
• Panelde her kullanıcı yalnızca yetkili olduğu ekranları görmeli; liste indirme gibi işlemler ek doğrulama istemeli.
• Kim hangi kaydı ne zaman değiştirdi ya da dışa aktardı, silinemeyen bir kayıtta tutulmalı.

Kısa kontrol listesi

1. Bağış formunun yanında aydınlatma metni bağlantısı var mı?
2. SMS ve e-posta izinleri ayrı, boş gelen kutularla mı soruluyor?
3. Reklam ve istatistik etiketleri izin verilmeden yükleniyor mu?
4. Reddetme seçeneği, kabul seçeneği kadar görünür mü?
5. Ziyaretçi çerez tercihini sonradan değiştirebiliyor mu?
6. Kart bilgisi ve kimlik numarası nerede ve nasıl saklanıyor?

VakıfPanel ile kurulan dernek ve vakıf sitelerinde aydınlatma metni, ayrı iletişim izinleri, izin olmadan yüklenmeyen ölçüm etiketleri ve şifreli kişisel veriler varsayılan olarak gelir. Ayrıntılar için dernek web tasarımı sayfamıza göz atabilirsiniz.