6698 sayılı KVKK, veri sorumlusuna kişisel verilerin hukuka aykırı erişimini önlemek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Kanun "SSL kullanın" demez; ancak form, üyelik veya ödeme sayfalarından gelen kişisel verinin şifrelenmeden taşınması, bu tedbir yükümlülüğü açısından ciddi bir zayıflıktır. Hukuki değerlendirme için bir uzmana danışmanız önerilir.
SSL/TLS KVKK açısından ne sağlar?
- Aktarımda gizlilik: Ad, e-posta, telefon gibi veriler tarayıcı ile sunucu arasında şifreli iletilir.
- Bütünlük: Verinin yolda değiştirilmesi zorlaşır.
- Kimlik doğrulama: Kullanıcı gerçekten sizin sitenizle konuştuğunu doğrulayabilir.
Bunlar yalnızca aktarım katmanıdır; saklanan verinin korunması ayrı tedbirler gerektirir.
Uygulama kontrol listesi
- Kişisel veri toplayan tüm sayfaları (iletişim formu, üyelik, bülten, ödeme) belirleyin.
- Bu sayfaların hepsini HTTPS ile sunun ve HTTP'den kalıcı (301) yönlendirme yapın.
- TLS 1.2 ve üzerini etkinleştirin, eski protokolleri kapatın.
- Çerezlerde
SecureveHttpOnlybayraklarını kullanın. - Sertifika bitiş tarihini izleyin; süresi dolmuş sertifika tarayıcıda uyarı çıkarır ve güveni zedeler.
- Veritabanı, yedek ve e-posta gibi sitenin dışındaki akışları da değerlendirin.
Sık yapılan hatalar
- Sadece ana sayfaya SSL kurup form gönderim adresini HTTP bırakmak.
- API ve alt alan adlarını unutmak (bunun için wildcard SSL pratik olabilir).
- Aydınlatma metni ve açık rıza süreçlerini teknik tedbirle karıştırmak.
Teknik tedbirlerin devamı
Aktarım güvenliği kadar, verinin sunucuda nasıl korunduğu da önemlidir: güçlü parola özetleme, erişim yetkilendirmesi, yedeklerin şifrelenmesi ve erişim kayıtlarının tutulması gibi tedbirler ayrıca planlanmalıdır. Bir ihlal yaşanırsa sürecin belgelenmiş olması, tedbirlerin alındığını göstermede yardımcı olur. Teknik ekip ile hukuk birimi arasındaki iletişimi düzenli tutmak, yükümlülüklerin güncel kalmasını sağlar.
Özetle SSL, KVKK uyumunun tek başına yeterli değil ama gerekli bir parçasıdır. Sitenize uygun sertifikayı SSL seçim rehberiyle belirleyebilir, SSL sertifikaları sayfasından inceleyebilirsiniz.