E-Ticaret Şirketlerinde KVKK Uyum Projesinin Adımları

E-Ticarette Büyük Veri ve Hukuki Riskler

Günümüzde elektronik ticaret (e-ticaret) ekosistemi, ürünlerin alım satımından öte; kişisel verilerin devasa boyutlarda işlendiği, analiz edildiği ve dijital pazarlama için sınıflandırıldığı bir yapı haline gelmiştir. İnternet sitesine bırakılan T.C. Kimlik numarasından, kargo adresine, kredi kartı alışveriş alışkanlıklarından IP adresi ve cihaz lokasyonuna kadar alınan her bilgi 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bağlamında korunmaktadır.

Özellikle dijital platform ve pazaryeri girişimleri, "Kişisel Veri iİhlali" sebebiyle KVKK Kurulu tarafından kesilen milyonlarca liralık idari para cezalarıyla iflas noktasına gelebilmektedir. Bursa merkezli Ekser Hukuk uzmanlığı kapsamında ticaret şŞİşçŞirketlerine verdiğimiz hukuk danışmanlığı pratiğimizde, KVKK uyum sürecinin basit bir "gizlilik politikası" metnini siteye kopyalamaktan ibaret olmadığını sıklıkla tecrübe etmekteyiz.

KVKK Uyum Projesi’nin Temel Adımları

Hukuk ve bilişim güvenliği departmanlarının entegre bir şekilde çalışması gereken bu uyum sürecinde şu yasal adımlar kusursuz atılmalıdır:

• 1. Veri Envanteri Çıkarılması: E-ticaret şirketinin müşteriden, tedarikçiden, kuryeden ve şirket personelinden HANGİ veriyi, HANGİ kanun maddesine dayanarak, NE KADAR süreyle tutup, KİME aktAraağının haritalanması (Data Mapping) işlemidir.
• 2. Aydınlatma Metinlerinin Organizasyonu: "KVKK Aydınlatma Metni" tek bir adet belge değildir. Üyelik paneli, Satış ödeme sayfası, Bülten aboneliği pop-Up'ı, Çağrı merkezi sesli mesajı ve çalışanların bordro imzası dahi ayrı ve zgün aydınlatma metnini ("Katmanlı Aydınlatma" kuralı) gerektirir.
• 3. Açık Rıza Algoritmasının Düzenlenmesi: Pazarlama faaliyeti, SMS gnderimi ve yurt dışı lokasyonlu bulut sunuculara (AWS, Google Cloud vb.) yedekleme yapılıyorsa "açık rıza" onay kutucukları UX tasarımına uygun entegre edilmelidir.

Bursa yerel mahkeme uygulamaları ve Kurul İlke Kararları neticesinde çok sık rastlanan bir hata da Opt-Out yntemidir. E-ticaret sitelerinde nceden 'okudum kabul ediyorum' kutucuğu işaretli (check-box) olarak kullanıcıdan onay alınıyorsa bu rıza geçersiz sayılır ve iİhlal cezası kesilir (Açık Rıza 'Opt-in/Aktif hamle' ilkesi gereği kullanıcı tarafından serbest iradeyle tıklanarak tiklidir).

VERBİS Kayıt Yükümlülüğü ve Çerez (Cookie) Kararları

Kanunla sınırları çizilmiş yıllık mali bilanço tutarı (Son güncellemelerle genellikle 100 milyon TL'den fazla) veya yıllık çalışan sayısını (50 kişi) aşan şŞİşçŞirketlerin "Veri Sorumluları Sicil Bilgi Sistemi"ne (VERBİS) kayıt olması kanuni bir mecburiyettir. Aksi takdirde çok ağır idari para cezaları direkt şirket tüzel kişiliğine verilir.

Bunun dışında güncel ve çok dikkat eken konulardan biri de Çerez (Cookie) Kullanımıdır. E-ticaret siteleri "Google Analytics", "Facebook Pixel" gibi üçüncü parti izleme araçlarıyla kullanıcının hareketlerini analiz eder. Bu veriler reklam şŞİşçŞirketlerine satıldığı için Avrupa GDPR kurallarına paralel olarak Türkiye'de de kurulan "Çerez (Cookie) Ynetim Panelleri" zorunlu hale gelmiş, "Kabul Et / Reddet / Özelleştir" seçeneklerinden oluşan gelişmiş çerez onay mekanizmaları dikte edilmiştir.

Siber nlemler, Hukuki İdari Tedbirlerin Gücü

Eğer bir online satış mağazasının veri tabanına siber saldırı (Ransomware vb.) yapılır ve müşterilerin kredi kartı, şifre verileri sızdırılırsa şirket, "veri iİhlal bildirimini" en geç 72 saat içerisinde Kişisel Verileri Koruma Kurulu'na bildirmelidir. Aksi takdirde olay basına yansrsa kesilecek idari ceza katlanarak artar. KVKK sürecinin idari ayaklarına ynelik hazırladığımız iç ynergeler ve şirket "veri imha politikaları" bu tür krizlerin sarsıntısız atlatılmasını sağlamaktadır.

Elektronik ticaret altyapılarınızda veri kanunlarına sıfır iİhlal uyumu için profesyonel destek almak adına hukuki analizlerini yapan Şirketler Hukuku birimimize ulaşabilirsiniz.