Bir platformda üyelik formu açıldığında çoğu kişi hangi bilgilerin istendiğine odaklanır. Oysa verinin daha sonra nerede tutulacağı, kimlerle paylaşılacağı ve ne kadar saklanacağı da önemlidir. Gizlilik politikasının yalnızca bulunması yeterli değildir; amaçlar ve sorumlu kuruluş anlaşılabilir olmalıdır.
İlk kontrol: Veriyi kim topluyor?
Politikada şirket adı, iletişim adresi ve veri işleme sorumluluğu tanımlanıyor mu? Formun bulunduğu alan adı ile hukuki metindeki kuruluş arasında açıklanamayan fark varsa dikkatli yaklaşılmalıdır. Üçüncü taraf doğrulama ve ödeme hizmetleri de kişisel veri işliyor olabilir. Bir sayı veya ifade bir platformun güncel iddiasına dayanıyorsa kaynağın nasıl doğrulanacağı da önem taşır.
İkinci kontrol: Neden isteniyor?
E-posta adresiyle iletişim kurulması başka, kimlik belgesinin toplanması başka bir işlemdir. Her veri kaleminin amacı ve hukuki dayanağı açıkça anlatılmalıdır. Genel bir “hizmeti geliştirmek için” ifadesi ayrıntılı bütün sorulara cevap oluşturmaz.
Çerezlerle ilgili sorular
- Hangi çerezler çalışmak için zorunlu?
- Hangileri ölçüm veya reklam amacı taşıyor?
- Tercih değiştirmek mümkün mü?
- Hangi üçüncü taraf hizmetler veri alabiliyor?
Veri saklama ve talep yolları
Bir kullanıcı bazı veriler için erişim, düzeltme, silme veya itiraz haklarına sahip olabilir; hakların kapsamı geçerli mevzuata bağlıdır. Bunları kullanmak için ulaşılabilir bir iletişim noktası bulunmalıdır. Belge yüklemeden önce kiminle paylaşılacağı konusunda bilgi istemek yerinde bir güvenlik adımıdır.
Kaynaklara göre değerlendirme
Tarayıcı kilit simgesi şifreli bağlantı konusunda bilgi verir; işletmenin dürüst, lisanslı veya yetkili olduğunu tek başına göstermez. HTTPS, gizlilik politikası ve işletmeci kimliği birbirini tamamlayan ama farklı kontrollerdir.
Formların tasarımı ne anlatabilir?
Üyelik formunda hangi alanların zorunlu, hangilerinin isteğe bağlı olduğu kullanıcı için önemlidir. Bir hizmet sunulması için açıkça gerekli olmayan hassas bir bilgi talep ediliyorsa amaç ve veri saklama politikası sorulmalıdır. Önceden işaretlenmiş pazarlama kutucukları veya anlaşılması güç rıza metinleri de değerlendirilmesi gereken işaretlerdir.
Veri politikasında şirket adı belirtilmiş olsa bile gerçek faaliyetin ne olduğu ve üçüncü taraf sağlayıcıların rolü önemlidir. Bir çerez bildirimi görmek, veri işlemenin her yönüyle mevzuata uygun olduğunu tek başına kanıtlamaz.