KVKK ve düğün web sitesi: hangi veri, nerede durur, ne kadar kalır?

Bir düğün sitesi, çoğu çiftin ömrü boyunca tuttuğu en hassas listeyi barındırır: birkaç yüz kişinin adı, telefonu, adresi, kimin kiminle geldiği ve mutfağa gidecek alerji notları. Bunların hiçbiri teknik bir konu değildir; hepsi kimin neyi görebildiğiyle ilgilidir.

Türkiye’de kişisel verinin çerçevesini Kişisel Verilerin Korunması Kanunu — kısaca KVKK — çizer ve kanunun kendi kurumu vardır. GDPR Türkiye’de doğrudan geçerli değildir; AB’de barındırma yapan bir sağlayıcıyla çalıştığınızda ya da AB’de yaşayan misafirleriniz olduğunda ayrıca devreye girer. İki metin birbirine benzer, ama aynı değildir.

Getting Married bu tarafı sizin yerinize çözmez, ama kolaylaştırır: sayfa varsayılan olarak aramaya kapalıdır, erişim davet koduyla açılır ve hangi alanın nerede durduğu görünür.

Hepsi kişisel veridir, ama hepsi aynı ağırlıkta değildir. Ad, telefon ve adres sıradan kişisel veridir. Alerji ve özel beslenme notları sağlıkla ilgilidir ve KVKK sağlık bilgisini ayrı, daha korumalı bir kategoride sayar. Fotoğraflar da kişiyi tanınır kıldığı ölçüde kişisel veridir.

Buradan çıkan pratik kural basittir: alerji bilgisi, adres listesiyle aynı dosyada dolaşmamalıdır. Mutfağın adrese, kapıdaki yardımcının alerjiye ihtiyacı yoktur. Alanları ayrı tutmak yalnızca düzen değil, koruma yöntemidir.

İkinci kural: sormadığınız veriyi korumak zorunda değilsiniz. Formda açık uçlu bir not kutusu bırakırsanız, oraya doğum tarihinden sağlık bilgisine kadar her şey gelir ve hepsi sizin sorumluluğunuz olur. Her alanın bir karşılığı olsun; karşılığı olmayan alanı hiç açmayın.

KVKK kişisel verinin işlenmesini kurala bağlar ve bu kuralın uygulanmasını kendi kurumu denetler. Kanun, tamamen kişisel ya da ailevi faaliyet kapsamında kalan ve üçüncü kişilere aktarılmayan işlemeler için bir istisna tanır; bir düğün davetli listesi çoğu zaman bu tarifin içinde durur. Ancak çoğu zaman bir güvence değildir: liste salona, catering firmasına ve organizasyon şirketine aktarıldığı anda tablo değişmeye başlar.

Bu yüzden doğru yaklaşım kanunun sınırını zorlamak değil, sınırın hangi tarafında durduğunuzu önemsiz kılmaktır. Az veri toplayın, erişimi dar tutun, süresi dolunca silin. Bu üç davranış hangi istisnanın uygulandığından bağımsız olarak sizi de misafirlerinizi de korur ve hiçbiri bir hukukçuya sormayı gerektirmez.

GDPR ayrı bir metindir ve kendi coğrafyasında geçerlidir. Sağlayıcınız AB’de barındırma yapıyorsa verileriniz orada GDPR’ye göre işlenir; bu size ek bir yük getirmez, sağlayıcı tarafında bir standart anlamına gelir. İki kanunun adını birbirinin yerine kullanmak ise yalnızca yanlış değil, yanıltıcıdır — çünkü sizin yükümlülüğünüzü yanlış yerde arattırır.

Seçim yaparken sorulacak üç somut soru var. Birincisi: sunucular nerede? Yanıt bir ülke adı olmalı, bulutta değil. İkincisi: sağlayıcının çalışanları davetli listenize teknik olarak erişebiliyor mu, erişim kayıt altına alınıyor mu? Üçüncüsü: veri üçüncü taraflara — analiz araçlarına, reklam ağlarına, e-posta servislerine — aktarılıyor mu?

Üçüncü soru en çok atlanan sorudur ve ücretsiz araçlarda en çok karşılığı olandır. Sayfaya gömülü bir izleme kodu, misafirlerinizin ziyaretini üçüncü bir şirkete taşır ve siz bunu görmezsiniz. Sayfanın ne kadar çok dış adrese bağlandığına bakmak yeterlidir; her bağlantı bir iz demektir.

Aktarımın yurt dışına olması tek başına bir kusur değildir; belirsiz olması kusurdur. Sağlayıcı hangi ülkede, hangi şirketle çalıştığını yazıyorsa değerlendirebilirsiniz. Yazmıyorsa değerlendirilecek bir şey yok demektir.

Düğün sayfasının arama sonuçlarında çıkmaması gerektiği açıktır, ama bunun nasıl sağlandığı önemlidir. Sayfayı aramaya kapatan bir işaret, sayfayı gizlemez — yalnızca arama motorlarından rica eder. Bağlantıyı bilen herkes yine açabilir. Gerçek koruma erişim tarafındadır: davet kodu ya da şifre olmadan sayfa açılmıyorsa, sayfa gerçekten kapalıdır.

İki katman birlikte kullanılır. Arama motoruna kapalı olmak, sayfanın yıllar sonra bir arama sonucunda belirmesini engeller. Davet kodu ise bugün, bağlantı yanlış bir gruba düştüğünde çalışır. Biri diğerinin yerine geçmez ve ikisi birlikte kurulduğunda geriye tek soru kalır: kod kimlerde?

Aynı ayrım galeri için de geçerlidir. Misafir yüklemeli bir galeri varsayılan olarak kapalı kurulmalı, dışarı çıkacak kareler tek tek seçilmelidir. Ters yönde kurulmuş bir galeriyi sonradan kapatmak, çoktan kopyalanmış kareleri geri getirmez.

Verinin en riskli dönemi kutlamadan sonraki aylardır: kimse bakmaz, kimse sahiplenmez, dosya bir yerde durur. Bu yüzden silme tarihi baştan belirlenir. Teşekkür kartları gönderildikten sonra telefon ve adres alanlarının çoğu satırda bir karşılığı kalmaz.

Şu üçünü ayrı ayrı kararlaştırın:

• Davetli listesi ne zaman sadeleşecek — telefon ve adres alanları hangi ay siliniyor.
• Galeri ne zaman kapanacak ve kapanmadan önce toplu indirmeyi kim yapacak.
• Sayfanın kendisi ne zaman kapanacak, adres ondan sonra ne gösterecek.

Üçü aynı gün olmak zorunda değil — galeri genellikle en uzun yaşayanıdır, davetli listesi ise en kısa yaşaması gerekendir.

Ve bir kişiyi sorumlu yapın. İkimizden biri demek, hiç kimse demektir. Takvime bir tarih ve bir isim yazın; o gün geldiğinde iş beş dakika sürer.