KVKK ve SSL: Web Sitenizde SSL Sertifikası Zorunlu mu?
Web sitenizde iletişim formu, üyelik, sipariş veya bülten kaydı varsa kişisel veri topluyorsunuz demektir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu verileri işleyen herkese verilerin güvenliğini sağlama yükümlülüğü getirir. Kanun “SSL kullanın” diye tek tek teknoloji saymaz; ancak verilerin internet üzerinden şifrelenmeden taşınması, alınması gereken temel tedbirin alınmadığı anlamına gelir. Bu yazıda KVKK ile SSL arasındaki ilişkiyi ve sitenizde yapmanız gerekenleri anlatıyoruz.
Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. Şirketinize özel yükümlülükler için bir hukuk danışmanına başvurun.
KVKK veri güvenliği konusunda ne diyor?
KVKK’nın 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı olarak erişilmesini önlemek için uygun güvenlik düzeyini sağlamaya yönelik her türlü teknik ve idari tedbiri almasını şart koşar. Kişisel Verileri Koruma Kurumu’nun yayımladığı Kişisel Veri Güvenliği Rehberi de teknik tedbirler arasında verilerin şifrelenmesini ve güvenli iletişim protokollerinin kullanılmasını sayar.
Bir web sitesinde formdan gönderilen ad, telefon, e-posta, adres veya şifre bilgisi, SSL yoksa ağ üzerinde açık metin olarak gider. Aynı Wi-Fi ağındaki biri, internet servis sağlayıcısı düzeyindeki bir saldırgan veya araya giren bir cihaz bu bilgileri okuyabilir. SSL (TLS) bu iletişimi şifreleyerek söz konusu riski ortadan kaldırır.
Hangi siteler etkilenir?
| Sitede ne var? | Toplanan kişisel veri | SSL gerekli mi? |
|---|---|---|
| İletişim formu | Ad, e-posta, telefon, mesaj | Evet |
| Üyelik / giriş | Kullanıcı adı, şifre, profil bilgileri | Evet |
| E-ticaret | Ad, adres, telefon, sipariş geçmişi, ödeme bilgileri | Evet (ödeme kuruluşları da şart koşar) |
| Bülten kaydı | E-posta adresi | Evet |
| İş başvurusu formu | Özgeçmiş, kimlik ve iletişim bilgileri | Evet |
| Randevu / rezervasyon | Ad, telefon, bazen sağlık bilgisi | Evet; özel nitelikli veri varsa ek tedbirler de gerekir |
Pratikte formu, girişi veya çerez ile kişiyi tanıyan bir sistemi olan her sitenin HTTPS üzerinden çalışması gerekir. Kişisel veri toplamayan basit bir tanıtım sitesi için bile tarayıcıların “Güvenli değil” uyarısı ve SEO etkisi nedeniyle SSL artık standarttır.
SSL tek başına KVKK uyumu sağlar mı?
Hayır. SSL, verinin iletim sırasında korunmasını sağlar; KVKK uyumunun yalnızca bir parçasıdır. Web siteniz için diğer temel adımlar şunlardır:
- Aydınlatma metni: Hangi verileri, hangi amaçla, ne kadar süre işlediğinizi ve kimlerle paylaştığınızı açıklayan metin, veri toplanan her noktada erişilebilir olmalıdır.
- Açık rıza: Pazarlama e-postası gibi kanundaki diğer işleme şartlarına dayanmayan işlemler için ayrı ve açık onay alınmalıdır.
- Çerez politikası: Zorunlu olmayan çerezler (analiz, reklam) için ziyaretçiden onay alınmalıdır.
- Sunucu ve veritabanı güvenliği: Güncel yazılım, güçlü şifreler, erişim yetkilendirmesi, yedekleme ve kayıt (log) tutma.
- Yurt dışı aktarım: Form verileri yurt dışındaki bir hizmete (ör. bulut form aracı, e-posta pazarlama servisi) gidiyorsa aktarım kurallarına uyulmalıdır.
- Veri ihlali bildirimi: Bir ihlal fark edildiğinde Kurul’a ve ilgili kişilere bildirim süreçleri tanımlı olmalıdır.
KVKK için SSL kontrol listesi
- Tüm site HTTPS olsun. Sadece form sayfası değil, sitenin tamamı https:// üzerinden açılmalı ve http:// istekleri 301 ile yönlendirilmeli. Adımlar: HTTP’den HTTPS’e geçiş rehberi.
- Karışık içerik kalmasın. Form script’leri http:// ile yükleniyorsa tarayıcı onları engeller veya kilit simgesi kaybolur. Bkz. Mixed Content hatası.
- Güncel TLS kullanın. TLS 1.2 ve 1.3 açık, eski TLS 1.0 ve 1.1 kapalı olmalı.
- Sertifikanın süresini takip edin. Süresi dolmuş bir sertifika, şifrelemenin güvenilirliğini ortadan kaldırır ve ziyaretçiyi uyarıyı geçmeye alıştırır. Bkz. SSL yenileme rehberi.
- Panelleri de koruyun. Yönetim paneli, e-posta (webmail), FTP ve API adresleri de şifreli bağlantı kullanmalı. Çok sayıda alt alan adı için Wildcard SSL pratik bir çözümdür.
- Kurumsal kimliği gösterin. Müşteri verisi toplayan şirketler için OV veya EV sertifika, sertifika ayrıntılarında doğrulanmış şirket adını gösterir ve hesap verebilirliği destekler.
Hangi SSL türü seçilmeli?
Şifreleme gücü bütün SSL türlerinde aynıdır; KVKK açısından DV sertifika da iletimi şifreler. Ancak kişisel veri işleyen bir şirketin sitesinde sertifikada şirket adının yer alması, ziyaretçiye verilerini kime verdiğini gösterir. Bu nedenle:
- Blog ve küçük tanıtım siteleri için DV yeterlidir.
- Müşteri verisi toplayan kurumsal siteler ve e-ticaret için OV önerilir.
- Finans, sağlık ve sigorta gibi hassas veri işleyen kurumlar için EV tercih edilir.
Türler arasındaki farklar için SSL Çeşitleri, e-ticarete özel öneriler için E-Ticaret Siteleri İçin SSL yazımıza bakabilirsiniz.
Kurumsal siteniz için SSL sertifikalarını ve güncel TL fiyatlarını inceleyin »
Sıkça sorulan sorular
SSL olmayan bir sitede form kullanmak KVKK’ya aykırı mı?
Kanun belirli bir teknolojiyi adıyla zorunlu kılmaz, ancak kişisel verilerin şifrelenmeden iletilmesi “uygun güvenlik düzeyi” yükümlülüğüyle bağdaşmaz. Bir ihlal yaşandığında şifreleme kullanılmamış olması, gerekli tedbirlerin alınmadığının göstergesi sayılabilir.
Ücretsiz SSL KVKK için yeterli mi?
İletimin şifrelenmesi açısından ücretsiz DV sertifika da şifreleme sağlar. Ancak otomatik yenilemenin aksaması hâlinde site uyarı vermeye başlar; şirket doğrulaması ve garanti de içermez. Kurumsal siteler için ücretli OV sertifika daha uygundur.
SSL verilerimi sunucuda da korur mu?
Hayır. SSL verileri tarayıcı ile sunucu arasındaki yolda korur. Sunucuda saklanan verilerin güvenliği için ayrıca erişim kontrolü, güncellemeler, yedekleme ve gerekiyorsa veritabanı şifrelemesi gerekir.
KVKK ihlalinde ne gibi yaptırımlar var?
Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi idari para cezasına konu olabilir. Ceza tutarları her yıl yeniden değerleme oranıyla güncellenir; güncel tutarlar için Kişisel Verileri Koruma Kurumu’nun duyurularını takip edin.
