Web Erişilebilirliği (WCAG) ve KVKK: Kurumsal Web Sitelerinin Yasal Yükümlülükleri

Kurumsal web siteleri yalnızca markanın dijital yüzü değil; yasal düzenlemelere tabi bir kanal. Avrupa Erişilebilirlik Yasası (EAA), KVKK ve GDPR; web sitelerinin tasarım, geliştirme ve içerik yönetiminde uyulması gereken çerçeveyi belirler. Bu yazıda kurumsal markaların web sitelerinde dikkat etmesi gereken yasal yükümlülükleri ele alıyoruz.

Web Erişilebilirliği: WCAG 2.2 Kriterleri

Web Content Accessibility Guidelines (WCAG) 2.2, dünya genelinde erişilebilirlik standardı olarak kabul edilir. AA seviyesi, kurumsal projelerde hedeflenen uyum noktasıdır. Dört temel ilke vardır:

Algılanabilir: İçerik kullanıcının algılayabileceği biçimde sunulmalı. Görseller için alternatif metin (alt), videolar için altyazı, yeterli renk kontrastı (4.5:1 normal metin, 3:1 büyük metin).

Operasyonel: Tüm işlevler klavye ile kullanılabilmeli. Klavye tuzakları olmamalı. Kullanıcı yeterli zaman bulmalı; otomatik yönlendirme kontrol edilebilmeli.

Anlaşılabilir: Sayfa dili belirtilmeli (lang öznitelik). Form hataları açıkça iletilmeli. Tutarlı navigasyon ve etiketleme.

Sağlam: HTML semantik doğru kullanılmalı. ARIA etiketleri sadece gerektiğinde, doğru biçimde kullanılmalı. Ekran okuyucu uyumu test edilmeli.

Avrupa Erişilebilirlik Yasası (EAA)

EAA 28 Haziran 2025'te yürürlüğe girdi. Avrupa Birliği'nde mal veya hizmet sunan kurumsal markalar, e-ticaret platformları, bankacılık hizmetleri ve mobil uygulamalar bu yasa kapsamındadır. WCAG 2.1 AA seviyesi minimum uyum çıtasıdır. Türkiye merkezli markaların AB pazarına yönelik dijital ürünleri de EAA kapsamında değerlendirilir.

KVKK: Web Sitelerinde Veri Koruma

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veri işleyen tüm kurumları kapsar. Web sitesinin KVKK uyum noktaları:

Aydınlatma metni: Form alanlarında hangi verinin hangi amaçla işlendiği şeffaf biçimde belirtilmeli. Linkle ulaşılabilir, anlaşılır dilde yazılmış olmalı.

Açık rıza: Pazarlama amaçlı veri işleme için kullanıcının açık rızası alınmalı. Pre-checked checkbox kullanılamaz; kullanıcı aktif onay vermelidir.

Çerez politikası: Zorunlu olmayan çerezler için kullanıcının onayı alınmalı. Onaydan önce analitik, reklam ve takip çerezleri yüklenmemeli.

VERBİS kayıt: Belirli ölçeğin üzerindeki şirketler için Veri Sorumluları Sicili kayıt zorunluluğu vardır.

GDPR: Avrupa Veri Koruma Tüzüğü

AB pazarına hizmet veren ya da AB'de yerleşik kullanıcıların verisini işleyen Türkiye merkezli markalar GDPR kapsamına girer. KVKK ile büyük ölçüde örtüşür ama bazı farklılıklar vardır. Veri işleme sözleşmeleri, veri ihlali bildirim süreleri (72 saat) ve unutulma hakkı GDPR'a özgü güçlü unsurlardır.

Çerez Yönetimi (CMP)

Çerez yönetim platformları (Cookiebot, OneTrust, Usercentrics) kurumsal web sitelerinde standart hâle geldi. Çerez kategorilendirme (zorunlu, performans, fonksiyonel, hedefleme), kullanıcı onayı saklama ve raporlama gibi özellikleri sunar.

Form ve Kullanıcı Verisi

İletişim formu, abonelik formu, başvuru formu gibi alanlarda işlenen kişisel veri minimum prensibine uymalı. Sadece amaç için gerekli alanlar toplanmalı. Veri saklama süreleri belirlenmeli ve süre dolduğunda otomatik silme süreci tanımlanmalı.

Erişilebilirlik ve KVKK'nın Tasarıma Etkisi

Bu iki başlık tasarım sürecinin sonunda eklenebilecek bir uyum kontrol listesi değil; brief aşamasında alınan kararlardır. Form alanları, çerez banner tasarımı, font tercihleri, renk paleti ve etkileşim tasarımı bu çerçevede şekillenir.

Sonuç

Kurumsal web siteleri yasal yükümlülük açısından artık çok daha sıkı bir çerçevede yer alır. WCAG 2.2 AA seviyesi, KVKK uyum noktaları ve uygunsa GDPR; tasarım ve geliştirme süreçlerinin başında masada olmalıdır. Bu çerçeveyi sonradan eklemek hem maliyetli hem de yasal risk anlamına gelir.