Kişisel Verilerin Korunması ve Çerez Politikaları

E-Ticaret Hukuku Kapsamında Kişisel Verilerin Korunması ve Çerez Politikaları​

Günümüzde dijital ekonominin giderek büyümesi ve tüketicilerin çevrim içi platformlara artan ilgisi, e-ticaret hukuku çerçevesinde kişisel verilerin korunması ve çerez politikaları konularına özel bir önem atfetmektedir. Kişisel verilerin işlenmesi, depolanması ve aktarılması süreçlerinde işletmelerin sorumlulukları, hukuki düzenlemelerin gereklerine uygun şekilde şekillenmekte ve çerezler aracılığıyla toplanan verilerin hukuki boyutu da tartışma konusu olmaktadır. Bu bağlamda, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) başta olmak üzere, Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun gibi mevzuat hükümleri, e-ticaret faaliyeti gösteren gerçek ve tüzel kişilere önemli yükümlülükler getirmektedir. Aşağıdaki bölümlerde, e-ticaret kapsamında kişisel verilerin korunması, bu verilerin işlenme ilkeleri, çerezlerin hukuki dayanakları ve uygulama örnekleri ayrıntılı biçimde ele alınacaktır.

Kişisel Verilerin Korunması Kavramı ve Temel İlkeler​

Kişisel verilerin korunması, bireylerin özel hayatının gizliliğinin sağlanması ve bu kişilere ait verilerin yasal çerçevede işlenerek hak ve özgürlüklerinin teminat altına alınması anlamına gelir. Veri işleme süreçleri, dijital platformlar ve çevrim içi alışveriş platformları üzerinden gerçekleştirilen işlemlerde büyük önem kazanır. Teknolojik gelişmeler, verileri çok daha hızlı ve kapsamlı biçimde işlemeyi mümkün kıldığından, hukuki düzenlemeler de bu sürece uyum sağlamak durumundadır.

Kişisel verilerin korunması alanında kabul görmüş temel ilkeler şunlardır:

• Hukuka ve Dürüstlük Kurallarına Uygunluk: Verilerin işlenmesinde, ilgili mevzuat hükümlerine uygunluk ve dürüstlük kuralı çerçevesinde hareket etme yükümlülüğü vardır.
• Doğruluk ve Güncellik: İşlenen verilerin doğru, gerekli olduğunda güncellenebilir nitelikte olması önem taşır.
• Belirli, Açık ve Meşru Amaçlar İçin İşleme: Veriler, yalnızca meşru amaçlarla ve amaçla sınırlı olarak işlenmelidir.
• İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma: Veriler, gereğinden fazla toplanmamalı ve amacıyla sınırlı şekilde kullanılmalıdır.
• İşlendikleri Amaç Süresince Muhafaza Edilme: İlgili mevzuatta öngörülen veya işleme amacının gerektirdiği süre boyunca saklanmalı; süresi dolduğunda imha edilmelidir.

E-ticaret kapsamında faaliyet gösteren veri sorumluları, bu ilkeleri iş süreçlerinde benimsemek zorundadır. Zira tüketiciler, çevrim içi alışverişlerde genellikle ad, soyad, adres, telefon numarası, e-posta adresi, finansal bilgiler ve tarayıcı çerezleri gibi pek çok kişisel veriyi platformlarla paylaşmaktadır. Bu verilerin hukuka aykırı olarak ifşa edilmesi veya yanlış kullanımı, bireylerin özel hayatının ihlali yanı sıra kurumlar açısından da ciddi yaptırımlara yol açabilir.

E-Ticaret Mevzuatında Kişisel Verilerin Korunması​

Türkiye’de e-ticaret alanında önemli düzenlemeler, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili Yönetmelikler aracılığıyla yapılmaktadır. Bu kanun, ticari elektronik ileti gönderme, veri saklama, tüketicinin bilgilendirilmesi ve verilerin güvenliği konularında temel esasları belirlemiştir. Kanun kapsamında gerçek veya tüzel kişi tacirler, tüketicilere ticari elektronik ileti gönderebilmek için önceden onay alma, ileti içeriğinde belirli bilgileri bulundurma ve tüketicinin istediği zaman ileti listesinden çıkabilmesine imkân tanıma yükümlülüklerini taşır.

E-ticarette kişisel verilerin korunmasına dair en kritik noktalardan biri, veri işleme faaliyetinin KVKK ile uyumlu olması gerekliliğidir. Zira 6563 sayılı Kanun ve ilgili ikincil mevzuat, genel olarak e-ticaret faaliyetlerinin usul ve esaslarını düzenlese de KVKK, kişisel verilerin işlenmesi noktasında özel hükümler içermektedir. Şu hususlara dikkat edilmelidir:

• Kanuna Uygun Veri İşleme: Herhangi bir e-ticaret işlemi kapsamında işlenen tüm kişisel veriler, KVKK’da belirtilen işleme şartlarına dayanmalıdır.
• Aydınlatma Yükümlülüğü: E-ticaret siteleri, veri sorumlusu sıfatıyla hangi verilerin hangi amaçlarla işleneceğine dair kullanıcıları açık ve anlaşılır biçimde bilgilendirmelidir.
• Rıza ve Onay Süreçleri: Bazı kişisel verilerin işlenmesi, açık rızaya tabi olabilir. E-ticaret işletmeleri, rıza alma süreçlerini mevzuata uygun şekilde tasarlamalıdır.
• Veri İşleyenlerin Denetimi: E-ticaret işletmeleri, verileri kendi nam ve hesabına işleyen üçüncü taraf hizmet sağlayıcılarının hukuka uygun faaliyet göstermesini denetlemekle yükümlüdür.
• Veri Güvenliği Tedbirleri: İşlenen kişisel verilerin korunması için teknik ve idari tedbirlerin alınması, veri sorumlularının başlıca sorumlulukları arasındadır.

KVKK ihlalleri, idari para cezaları ve çeşitli yaptırımlarla sonuçlanabileceğinden, e-ticaret şirketlerinin mevzuatın getirdiği tüm yükümlülüklere uymaları hayati önemdedir. Ayrıca, 6563 sayılı Kanun’a aykırılıklar da ayrı yaptırım süreçlerini doğurabilir. Dolayısıyla, e-ticaret sektöründe faaliyet gösterenlerin hem elektronik ticaret mevzuatına hem de KVKK’ya eş zamanlı uyum sağlaması gerekir.

Kişisel Verilerin İşlenmesine İlişkin Hukuki Dayanaklar​

6698 sayılı KVKK kapsamında kişisel verilerin işlenebilmesi için ilgili kanunda öngörülen işleme şartlarından en az birine dayanılması zorunludur. Bu şartlar, özellikle e-ticaret faaliyetleri bağlamında önemlidir. KVKK’nın 5. maddesinde düzenlenen genel nitelikli kişisel verilerin işlenme şartları şunları içerir:

1. Kanunlarda açıkça öngörülmesi
2. Fiili imkânsızlık gibi durumlarda ilgili kişinin rızasının alınamaması
3. Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması
4. Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
5. İlgili kişinin kendisi tarafından alenileştirilmiş olması
6. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
7. Temel hak ve özgürlüklere zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması

E-ticaret siteleri, genellikle müşteriyle yapılacak satış sözleşmesini ifa edebilmek veya yasal yükümlülüklerini yerine getirebilmek gibi dayanaklara dayanarak veri işlemesini gerçekleştirir. Örneğin, bir tüketicinin siparişi teslim edilebilmesi için iletişim ve adres bilgilerinin alınması gerekir. Bu veriler, “sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması” hükmü doğrultusunda işlenebilir. Ayrıca, e-ticaret sırasında kredi kartı bilgileri gibi özel nitelikli veriler işleniyorsa, bu verilerin işlenmesi için ayrıca daha sıkı şartlar devreye girer.

Hukuki dayanakların varlığı, veri sorumlularına tek başına her türlü veri işleme yetkisini vermez. Meşru menfaat gibi nispeten daha esnek gerekçelere dayanıldığında, veri sorumlusunun bu menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında denge kurulmalıdır. E-ticaret sitelerinde gezinme verilerinin işlenmesi veya çerez yoluyla elde edilen bilgilerin pazarlama faaliyetlerinde kullanılması, meşru menfaat gerekçesine dayanılmakla birlikte ölçülülük ve bilgilendirme ilkeleri çerçevesinde değerlendirilmelidir.

Çerez (Cookie) Kavramı ve Hukuki Boyutu​

Çerez (cookie), kullanıcıların tarayıcıları aracılığıyla toplanan küçük metin dosyalarını ifade eder. Çerezler, ziyaret edilen web siteleri tarafından oluşturulur ve kullanıcıların bilgisayar, telefon veya diğer cihazlarında saklanır. Bu sayede, siteler kullanıcı tercihlerini hatırlayabilir, ziyaretçilerin site içinde yaptıkları işlemleri takip edebilir ve benzeri işlevler yerine getirilebilir. Çerezlerin temel kullanım amaçları şu şekildedir:

• Oturum Yönetimi: Kullanıcının giriş yaptığı hesap bilgilerini saklayarak site içi gezinmeyi kolaylaştırır.
• Kişiselleştirme: Kullanıcıların tercihlerini hatırlayarak daha kişiselleştirilmiş bir deneyim sunar.
• Reklam ve Pazarlama: Kullanıcı davranışlarını izleyerek hedefli reklamlar veya pazarlama stratejileri geliştirilmesini sağlar.
• Analiz ve Performans Takibi: Web sitelerinin performansını ölçmek, ziyaretçi sayısını veya sitede geçirilen zamanı takip etmek amacıyla kullanılır.

Hukuki açıdan, çerezler aracılığıyla toplanan verilerin büyük bir kısmı kişisel veri niteliği taşıyabilir. Örneğin, kullanıcıya ait IP adresi, cihaz bilgileri, site içindeki davranış kalıpları veya kullanıcı hesabına ait oturum bilgileri, kişisel veri kapsamında değerlendirilebilir. Dolayısıyla, çerez uygulamaları da KVKK ve ilgili diğer mevzuat çerçevesinde değerlendirilmelidir.

E-Ticaret Sektöründe Çerez Politikaları​

E-ticaret siteleri, kullanıcı deneyimini iyileştirmek ve rekabet avantajı elde etmek amacıyla çerezleri yoğun biçimde kullanır. Özellikle ürün tavsiyeleri, kişiselleştirilmiş kampanyalar ve dinamik fiyatlandırma gibi uygulamalarda çerezlerin işlevselliğinden yararlanılır. Bunun yanı sıra, reklam ağlarıyla yapılan iş birlikleri kapsamında üçüncü taraf çerezleri de devreye girebilir. Bu tür çerezler, başka bir domainden yüklenen küçük dosyalardır ve genellikle farklı siteler arasında kullanıcı hareketlerini takip etmeye yarar.

E-ticaret hukukunda çerez politikaları, aşağıdaki hususları içerir:

• Açık ve Detaylı Bilgilendirme: Kullanıcılara hangi çerez türlerinin hangi amaçlarla kullanıldığı net biçimde açıklanmalı, tercih haklarını nasıl kullanabilecekleri belirtilmelidir.
• Rıza ve Tercih Yönetimi: İlgili mevzuat kapsamında gerekliyse (özellikle reklam ve pazarlama odaklı çerezlerde), kullanıcılardan açık rıza alınması veya en azından reddetme opsiyonunun sunulması gereklidir.
• Teknik ve Analitik Çerezlerin Ayrımı: Zorunlu veya teknik çerezler genellikle açık rıza gerektirmese de analitik veya reklam çerezleri için kullanıcı onayı almak gerekebilir.
• Üçüncü Taraf Çerezleri: Farklı platformlar veya reklam ağları tarafından yerleştirilen çerezler konusunda da veri sorumlusu, kullanıcıya bilgilendirme yapmak ve gerektiğinde kullanıcı onayı almak zorundadır.
• Kişisel Verilerin Güvenliği: Çerezlerle toplanan verilerin, teknik ve idari tedbirlerle korunması önemlidir.

Birçok e-ticaret sitesi, çerez politikasını siteye ayrı bir doküman olarak ekler ve gizlilik politikasından farklı ama iç içe geçen hükümler içerecek biçimde düzenler. Burada amaç, çerez kullanımına ilişkin spesifik bilgilendirme yapabilmektir. Ayrıca, kullanıcıların tarayıcı ayarları üzerinden çerezleri yönetebileceklerini ve istedikleri zaman tüm çerezleri silebileceklerini hatırlatmak da yasal yükümlülüklerin bir parçası olarak görülebilir.

Çerez Türleri ve Uygulama Örnekleri​

Çerezler, kullanım amacına veya işlevine göre farklı kategorilere ayrılır. E-ticaret ekosisteminde en sık rastlanan çerez türleri ve örnek uygulamalar şu şekilde sınıflandırılabilir:

• Oturum Çerezleri (Session Cookies): Tarayıcının kapanmasına kadar geçerli olan bu çerezler, kullanıcının oturum süresi boyunca kimlik doğrulamasını korur. Örneğin, bir e-ticaret sitesinde alışveriş sepetinin yönetimi bu çerezler sayesinde yapılır.
• Kalıcı Çerezler (Persistent Cookies): Daha uzun süre saklanabilen çerezlerdir. Kullanıcının siteye tekrar girmesi halinde tercihlerini veya dil seçeneklerini hatırlar. Örneğin, kullanıcı “Beni Hatırla” seçeneğini işaretlediğinde kullanılan çerez bu kategoridedir.
• Performans Çerezleri (Performance Cookies): Site kullanımının analiz edilmesini, ziyaretçi davranışlarının ölçülmesini sağlar. Google Analytics gibi analitik araçlar bu amaçla çerez kullanır. E-ticaret sitelerinin kullanıcı deneyimini iyileştirmek için bu verileri toplaması yaygındır.
• Reklam/Hedefleme Çerezleri (Advertising/Targeting Cookies): Kullanıcının ilgisine yönelik reklamlar sunmak için oluşturulmuştur. Ziyaret edilen sayfalar, tıklanan ürünler veya site içi etkileşim düzeyleri baz alınarak hedefli reklamlar gösterir. E-ticaret sitelerinde sıkça kullanılır.
• İşlevsel Çerezler (Functional Cookies): Site içi bazı özelliklerin kullanılabilmesini sağlar ve kullanıcıya daha gelişmiş fonksiyonlar sunar. Kullanıcının dil seçimi, bölge tercihleri gibi veriler bu çerezlerle yönetilebilir.

Bu çerez türlerinin her biri farklı gereksinimler ve rıza süreçleri doğurabilir. Örneğin, reklam amaçlı kullanılan bir çerez, kullanıcı davranışlarını detaylı biçimde izlediğinden ve profil çıkarma amacı taşıdığından, meşru menfaat ilkesi yerine açık rıza gibi daha sıkı bir hukuki dayanak ihtiyacı doğurabilir. Reklam platformlarıyla entegre çalışan çerez yönetim araçları, e-ticaret sitelerinin veriyi nasıl kullandığını ve kullanıcıların bu kullanımı nasıl kontrol edebileceğini açıklayacak mekanizmalara da sahip olmak durumundadır.

Aydınlatma Yükümlülüğü ve Açık Rıza Gereklilikleri​

KVKK çerçevesinde veri sorumlularının temel yükümlülüklerinden biri, ilgili kişileri aydınlatma yükümlülüğüdür. Bu yükümlülük, veri işlenmeye başlamadan önce veya en geç işleme sırasında yerine getirilmelidir. E-ticaret bağlamında aydınlatma, genellikle gizlilik politikası veya kullanıcı sözleşmelerine eklenen aydınlatma metinleri aracılığıyla gerçekleştirilir. Aydınlatma metninde şu unsurlara yer verilmelidir:

• Veri sorumlusunun ve varsa temsilcisinin kimliği
• Kişisel verilerin işlenme amaçları
• İşlenen verilerin aktarılabileceği kişi ya da kuruluşlar
• Veri toplama yöntemi ve hukuki sebebi
• İlgili kişinin KVKK’nın 11. maddesinde sayılan hakları

Açık rıza gereklilikleri ise farklı bir boyut taşır. KVKK’ya göre, işleme faaliyetinin dayandığı hukuki sebep açık rıza değilse, ilgili kişinin rızasının alınması zorunlu değildir. Öte yandan, çerez politikalarında genellikle reklam ve profil çıkarma amaçlı çerezler, açık rıza alınmasını gerektirebilir. Özellikle Avrupa Birliği’nde, GDPR ile birlikte çoğu durumda çerez banner’ları aracılığıyla kullanıcıdan rıza alınması benimsenmiştir. Kullanıcı, çerez kullanımını reddetme hakkına sahip olmalıdır ve bu reddetme, site kullanımını engelleyici bir etki doğurmamalıdır.

Kullanıcıdan açık rıza almanın yanı sıra, rızanın geri alınabilir olması da önemlidir. E-ticaret platformu, bu süreci basitleştirecek teknolojik araçları ve kullanıcı ayarlarını erişilebilir kılmalıdır. Özellikle çerez politikası sayfasında, kullanıcının çerez tercihlerini güncelleyebilmesine yönelik fonksiyonlar sunulması, uluslararası iyi uygulama örnekleri arasında yer alır.

Veri Sorumlusu ve Veri İşleyen Sorumlulukları​

E-ticaret ortamında faaliyet gösteren şirketler, kullanıcı verilerini toplama ve işleme sürecinde genellikle “veri sorumlusu” sıfatına sahiptir. Veri sorumlusu, işlenen kişisel verilerin hukuka uygunluğunu temin etmek, veri güvenliğine ilişkin tedbirleri almak ve veri işleyenleri denetlemekle yükümlüdür. KVKK açısından veri işleyen ise veri sorumlusundan aldığı yetki çerçevesinde verileri işleyen gerçek veya tüzel kişiler olarak tanımlanır.

Örneğin, bir e-ticaret platformu, ödeme alt yapısı sağlayan bir firma ile çalıştığında, ödeme alt yapısı sağlayıcısı genellikle “veri işleyen” konumundadır. Bu noktada veri sorumlusu ile veri işleyen arasında yazılı bir sözleşme (veri işleme sözleşmesi) düzenlenmeli, işleyenin verileri sadece talimatlar doğrultusunda ve hukuka uygun biçimde işlemesi gerektiği açıkça belirtilmelidir. Aynı şekilde, çerez yönetimi veya reklam hizmetleri sağlayan üçüncü taraflar da veri işleyen konumunda olabilir. Veri sorumlusu, bu kuruluşların faaliyetlerini periyodik olarak izlemek, güvenlik tedbirlerinin alındığından emin olmak ve gerekirse sözleşme fesih haklarını saklı tutmak durumundadır.

Veri işleyenin sorumluluğu, veri işleme faaliyetiyle sınırlıdır. Buna karşılık veri sorumlusu, ilgili kişilerin haklarını kullanmaları noktasında asli muhatap kabul edilir. Bu nedenle, kullanıcı bir veri ihlali yaşandığında veya KVKK kapsamındaki haklarını kullanmak istediğinde, doğrudan veri sorumlusuna başvurabilir. Veri sorumlusu, talebi yanıtlamakla veya gerekli işlemleri yapmakla yükümlüdür.

Kişisel Verilerin Güvenliği ve İhlal Durumları​

Kişisel verilerin korunması hukuku, sadece verilerin toplanması ve işlenmesi aşamalarında değil, saklama ve güvenlik süreçlerinde de yükümlülükler öngörür. KVKK’nın 12. maddesi, veri sorumlularına gerekli teknik ve idari tedbirleri alma ödevi yükler. Bu tedbirler şunları içerebilir:

• Veri Maskeleme ve Şifreleme: Özellikle finansal bilgiler gibi hassas veriler, maskeleme ve kriptografi yöntemleriyle saklanmalıdır.
• Erişim Yetkileri Yönetimi: Şirket içinde hangi personelin hangi verilere erişebileceği, rol ve sorumluluklara göre sınırlandırılmalıdır.
• Saldırı Tespit ve Önleme Sistemleri: Sunucu ve ağ güvenliği için firewall, IDS/IPS gibi sistemler kullanılmalıdır.
• Veri Yedekleme ve Geri Yükleme Prosedürleri: Olası bir felaket durumunda veri kaybını önlemek amacıyla düzenli yedekleme yapılmalı, geri yükleme süreçleri test edilmelidir.
• Personel Eğitimi: Veri işleme süreçlerinde yer alan çalışanların farkındalığı artırılmalı, ihlallerin önlenmesi için sürekli eğitim verilmelidir.

Bir veri ihlali söz konusu olduğunda, veri sorumlusu KVKK ve ilgili diğer mevzuat çerçevesinde Kurul’a ve ilgili kişiye bildirimde bulunmakla yükümlüdür. İhlalin niteliği, etkilenen kişi sayısı ve alınan tedbirler açıklanarak 72 saat içinde bildirim yapılması gerekir. Aksi halde kurum, idari para cezası ve diğer yaptırımları uygulayabilir. E-ticaret sektöründe, çoğunlukla kullanıcı hesaplarının ele geçirilmesi, ödeme bilgilerinin sızdırılması veya veritabanlarının siber saldırıya uğraması gibi ihlaller gündeme gelir. Bu tür bir ihlal, hem şirketin itibarını zedeler hem de yasal sorumluluklar doğurur.

Uluslararası Mevzuatın E-Ticarete Etkisi​

Türkiye’de faaliyet gösteren e-ticaret şirketleri, yalnızca Türk mevzuatına değil, aynı zamanda uluslararası düzenlemelere de uyum sağlamak zorunda kalabilir. Özellikle Avrupa Birliği sınırları içinde yaşayan kullanıcılara hizmet sunan platformlar için GDPR (General Data Protection Regulation) uyumluluğu önem arz eder. GDPR, Türkiye’deki KVKK’ya kıyasla daha detaylı yükümlülükler getirebilmektedir.

Benzer şekilde, ABD’de farklı eyaletlerde farklı veri koruma yasaları söz konusudur. Örneğin, California Consumer Privacy Act (CCPA), tüketicilere veri üzerinde geniş haklar tanır ve birçok e-ticaret işletmesinin faaliyet gösterdiği eyaletlerden biri olması nedeniyle küresel şirketler açısından bağlayıcı hâle gelebilir.

Uluslararası düzenlemelerle uyumlu olmak isteyen e-ticaret işletmeleri, çerez politikalarını çok dilli hazırlamak, farklı coğrafi bölgelerdeki kullanıcılara özgü aydınlatma metinleri sunmak ve veri aktarımlarında güvenli liman veya yeterli koruma mekanizmalarını sağlamak durumundadır. Örneğin, Avrupa Ekonomik Alanı dışına veri aktarımı yapmak isteyen bir şirketin, standart sözleşme maddeleri veya veri koruma kalkanı (Privacy Shield) gibi mekanizmaları devreye sokması gerekebilir.

Küresel e-ticaret devleri, veri işleme faaliyetlerini genellikle birden fazla sunucu veya bulut hizmeti üzerinden gerçekleştirdiğinden, veri işlemenin coğrafi boyutu oldukça karmaşık hâle gelir. Bu nedenle, her bölge için ayrı regülasyonları takip edecek hukuk ve uyumluluk ekipleri oluşturmak stratejik bir ihtiyaç olarak görülür.

Türk Mevzuatındaki Yaptırımlar ve Denetim Mekanizmaları​

KVKK çerçevesinde yetkili otorite, Kişisel Verileri Koruma Kurumu (KVKK Kurumu) ve Kurul’dur. Bu Kurul, veri sorumlularının yükümlülüklerini yerine getirip getirmediğini denetleyebilir, resen inceleme başlatabilir ve şikâyet üzerine soruşturma yürütebilir. İhlal tespit edilmesi hâlinde idari para cezaları, düzeltici işlemler ve veri işleme faaliyetlerinin durdurulması gibi yaptırımlar söz konusu olabilir.

Kanunda öngörülen yaptırımlar, ihlalin niteliğine ve kapsamına göre değişiklik gösterir. İdari para cezalarının üst limitleri, özellikle büyük ölçekli şirketler için oldukça caydırıcı seviyelere çıkabilir. E-ticaret platformu, veri ihlali veya mevzuata aykırı veri işleme faaliyetleri nedeniyle para cezasına çarptırıldığında, bu durum hem maddi hem de manevi zararlara yol açar. Ticari itibarın zedelenmesi, müşteri güveninin sarsılması ve olası tazminat davaları gibi ikincil etkiler de dikkate alındığında, kişisel verilerin korunması ve çerez politikalarına azami özen göstermek bir zorunluluk hâline gelir.

6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun bağlamında da Ticaret Bakanlığı ve Bilgi Teknolojileri ve İletişim Kurumu (BTK) gibi kurumlar denetim yetkisine sahiptir. Ticari elektronik ileti gönderim kurallarının ihlali, tüketicinin açık rızası olmadan ticari ileti yapılması, ticari ileti içeriğinde zorunlu bilgilerin yer almaması gibi durumlar idari yaptırımlara yol açabilir. Dolayısıyla, e-ticaret mevzuatına uyum, sadece kişisel verilerin korunmasıyla sınırlı olmayıp geniş bir regülasyon çerçevesinde değerlendirilmelidir.

Şeffaflık ve Hesap Verebilirlik İlkeleri​

E-ticaret hukukunda kişisel verilerin korunması ve çerez politikaları alanında temel ilkelerden biri olan “şeffaflık,” veri sorumlusunun veri işleme faaliyetlerini açık bir şekilde beyan etmesini ve kullanıcıları bilgilendirmesini gerekli kılar. Şeffaflık, aydınlatma yükümlülüğünü karşılayacak bir politikayla, kullanıcılara hangi verilerin hangi amaçlarla toplandığı ve nasıl işlendiğini anlamalarını sağlayacak detaylar sunar.

Hesap verebilirlik (accountability) ilkesi ise veri sorumlusunun, veri işleme faaliyetlerinin tüm aşamalarından sorumlu olduğunu ifade eder. Bu ilke kapsamında e-ticaret işletmeleri, kendi bünyelerinde uyum politikaları geliştirmeli, düzenli denetimler yapmalı ve çalışanlarını veri koruma konusunda eğitmelidir. Ayrıca, veri işleme sürecine dair tüm belgeleri, raporlamaları ve iş akışlarını şeffaf biçimde ortaya koyabilmelidir.

E-ticaret firmalarının verileri işleme biçimlerini ayrıntılı olarak tanımlaması, kullanıcıların hak arama süreçlerini kolaylaştırmakla birlikte firmaya duyulan güveni de artırır. Böylece, müşteriler siteye girdiklerinde kişisel verilerinin hangi teknolojiler tarafından, hangi meşru amaçla, ne tür güvenlik tedbirleri çerçevesinde işlendiğini görebilir. Bu husus, dijital pazarlama ve reklam alanında da büyük önem taşır. Kullanıcıya gösterilen reklamların neden ve nasıl kişiselleştirildiği, hangi üçüncü taraflarla veri paylaşımı yapıldığı gibi bilgiler, şeffaflık politikasının bir parçası olarak sunulmalıdır.

Veri Minimalizasyonu ve Ölçülülük İlkeleri​

Veri minimalizasyonu, e-ticaret işletmelerinin sadece işin amacına uygun ve gerekli olan verileri toplaması gerektiğini ifade eder. Bu ilke, gereksiz veri toplamaktan ve saklamaktan kaçınmayı zorunlu kılar. Ölçülülük ilkesiyle birlikte düşünüldüğünde, veri minimalizasyonu, veri sorumlusunun kullanıcıların verileri üzerindeki manipülasyon veya ihlal riskini azaltır.

Örneğin, basit bir kayıt formunda kullanıcının adı, soyadı ve e-posta adresi yeterliyken, cep telefonu numarası veya doğum tarihi gibi ek veriler talep etmek, eğer yasal veya operasyonel bir gerekçe yoksa ölçülülük ilkesine aykırı bulunabilir. Benzer şekilde, çerezler üzerinden kullanıcıya ait gereksiz ya da fazla detaylı bilgiler (tarayıcı eklentileri, ayrıntılı coğrafi konum verileri vb.) toplanmamalıdır.

Veri minimalizasyonu ilkesi, veri silme ve anonimleştirme süreçlerinde de etkilidir. Bir e-ticaret platformu, kullanıcıyla ilgili bir veriyi saklamaya devam ediyorsa, bu saklamanın amacının ne olduğunu ve ne kadar süreyle saklayacağını açıklayabilmelidir. Yasal bir saklama süresi veya sözleşmesel bir yükümlülük olmaksızın gereğinden uzun süre veri tutmak, ölçülülük ve veri minimalizasyonu ilkeleriyle çelişir.

İlgili Tarafların Hak ve Yükümlülükleri​

Kişisel verilerin korunması alanında ilgili taraflar, veri sahibi (ilgili kişi), veri sorumlusu ve veri işleyendir. E-ticaret platformu genelde veri sorumlusu konumundadır, ödemeler veya lojistik hizmetler ise veri işleyen konumunda olabilir. İlgili kişi (tüketici veya kullanıcı), KVKK’nın 11. maddesiyle kendisine tanınan hakları kullanabilir:

• Kendisini tanımlayan kişisel verilerin işlenip işlenmediğini öğrenme
• İşlenen veriler hakkında bilgi talep etme
• Verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme
• Verilerin eksik veya yanlış işlenmesi hâlinde düzeltilmesini isteme
• İlgili mevzuatta öngörülen şartlar çerçevesinde verilerin silinmesini veya yok edilmesini talep etme
• Düzeltme, silme veya yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
• İşlenen verilerin münhasıran otomatik sistemler aracılığıyla analiz edilmesi suretiyle kişinin aleyhine bir sonucun ortaya çıkmasına itiraz etme
• Kanuna aykırı işleme sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme

Veri sorumlusu, bu hakları kullanmak isteyen kullanıcılara başvuru mekanizması sunmalı ve belirli yasal süreler içerisinde başvuruları yanıtlamalıdır. Başvurunun reddedilmesi veya süresinde cevap verilmemesi durumunda, ilgili kişi KVKK Kurulu’na şikâyette bulunma hakkına sahiptir.

Bu süreç, e-ticaret firmalarının şeffaf bir veri politikası uygulamalarını zorunlu kılar. Kullanıcılar, müşteri hizmetleri üzerinden veya site içinde yer alan başvuru formlarıyla verileri üzerindeki haklarını kullanabilmelidir. E-ticaret işletmesinin veri işleme prensiplerini açıklayan bir gizlilik politikası ya da yardım merkezi, genellikle ilgili kişilere yol gösterici nitelikte olur.

Veri İmhası ve Saklama Süreçleri​

Veri imhası, hem KVKK’nın hem de diğer mevzuatların öngördüğü süreler sonunda, artık işleme amacı kalmayan veya saklama yükümlülüğü sona eren verilerin geri dönüştürülemez şekilde silinmesi, yok edilmesi veya anonim hâle getirilmesini ifade eder. E-ticaret alanında, kullanıcı alışveriş geçmişi, finansal bilgiler veya üyelik hesaplarına dair veriler, çeşitli yasal saklama sürelerine tabidir. Örneğin, muhasebe kayıtlarının saklanma süresi Vergi Usul Kanunu uyarınca beş yıl olabilir; dolayısıyla bu verilerin, söz konusu süre boyunca saklanması zorunlu hâle gelebilir.

Veri sorumluları, veri imha politikaları geliştirmeli ve periyodik imha işlemleri yapmalıdır. Bu politikada;

• Saklama süreleri
• İmha yöntemleri
• İmha süreçlerinden sorumlu kişiler ve departmanlar
• Veri imhası sonrasında tutulacak kayıt ve raporlamalar

gibi konular açıkça tanımlanmalıdır. E-ticaret platformu, kullanıcının üyeliğini sonlandırması durumunda, yasal yükümlülük dışında tutulmasına gerek olmayan verileri derhal imha etmelidir. Özellikle çerez verileri veya pazarlama amaçlı veriler söz konusu olduğunda, kullanıcı hesap kapatma talebinde bulunduktan sonra da bu verilerin saklanmaya devam etmesi veri minimalizasyonu ve ölçülülük ilkelerine aykırı düşebilir.

Geleceğe Yönelik Öngörüler ve Uygulamalar​

E-ticaret sektöründe kişisel verilerin korunması ve çerez politikaları, teknolojinin gelişmesine paralel olarak sürekli evrim geçirmeye adaydır. Yapay zekâ ve makine öğrenimi tekniklerinin artan kullanımına bağlı olarak kullanıcı davranışlarını tahmin eden, ürün önerileri yapabilen veya fiyat optimizasyonu sunabilen araçlar yaygınlaşmaktadır. Bu gelişmeler, veri işlemenin boyutunu genişlettiği için düzenleyici kurumların daha detaylı kontrol ve gözetim yapmasını zorunlu kılar.

Özellikle biyometrik verilerin çevrim içi işlemlerde kimlik doğrulamada kullanılmaya başlaması, mevzuatın daha sıkı ve teknik yönden donanımlı bir gözetim geliştirmesini gerektirmektedir. Çerez politikalarında ise tarayıcı tabanlı takip yerine cihaz tabanlı takip ve uygulama içi veri toplama gibi yöntemler öne çıkabilir. Kullanıcılar, farklı platform ve cihazlarda senkronize edilmiş hesaplarla aynı veriyi paylaşabileceğinden, veri koruma farkındalığı daha da kritik bir hâl alır.

Blokzincir teknolojileri, merkeziyetsiz uygulamalar ve akıllı sözleşmeler gibi yenilikler, e-ticaretin geleceğinde güvenlik ve şeffaflık konularını farklı açılardan yeniden tanımlayabilir. Kullanıcının verilerinin kaydının blokzincir üzerinde tutulması, taraflara ait bilgilerin anlık ve değiştirilemez bir kaydı anlamına gelebilir; ancak bu da kişisel verilerin silinmesi ya da unutulma hakkı gibi düzenlemelerle çelişkiler yaratabilir. Bu nedenlerle geleceğe dair en önemli öngörüler, hukuki düzenlemelerin de sürekli güncellenmesi ve teknolojik gelişmelerle uyumlu şekilde ilerlemesi gerektiğini ortaya koyar.

Geniş Ölçekte Çerez Yöntemlerini Karşılaştırmak:


Yukarıdaki tabloda en çok kullanılan çerez türlerine dair kısa bir özet bulunmaktadır. Bu çerezlerin hukuki boyutları, kullanıcı rızası, veri sorumlusu yükümlülükleri ve veri güvenliği tedbirleri açısından farklı gereksinimler doğurabilir. Örneğin, reklam/hedefleme çerezleri bazen açık rıza gerektirebilirken, oturum çerezleri genellikle açık rıza gerektirmeyen zorunlu çerezler kategorisinde değerlendirilebilir. E-ticaret dünyasında kullanıcı deneyimini üst seviyeye taşımak ve veri işleme faaliyetlerini yasal zeminde sürdürmek, çerez politikasının doğru kurgulanmasıyla mümkündür.

Dijital pazarlama ve e-ticaret süreçleri, veri odaklı bir yaklaşıma dayandıkça, mevzuatın getirdiği sınırlamalar ve kullanıcıların giderek artan farkındalığı, veri koruma alanında katı standartların oluşmasına öncülük edecektir. Kullanıcılar, hangi verilerinin toplandığı ve nasıl kullanıldığı konusunda daha fazla söz hakkı talep ettikçe, şirketlerin de şeffaflığı ve veri koruma tekniklerini geliştirerek rekabet avantajı sağlaması beklenir. Bu sebeple, e-ticaret sektöründe faaliyet gösteren şirketler, yalnızca mevzuat uyumunu sağlamakla kalmamalı, aynı zamanda tüketici güvenini artıracak ve müşteri deneyimini zenginleştirecek veri koruma stratejileri geliştirmelidir.