Avrupa'daki kullanıcılardan e-posta adresi toplayan herhangi bir uygulama geliştiriyorsanız, GDPR'ın e-posta adresleri hakkında ne söylediğini anlamanız gerekir. Korkutucu versiyonu değil, bürokratik kontrol listesi versiyonu da değil — işleri en başından doğru yapmanıza yardımcı olan pratik geliştirici versiyonu.
İyi haber: GDPR'ın büyük kısmı hukuki dile bürünmüş sağduyu. Temel ilkeleri anladığınızda — neden veri topladığınız, onunla ne yaptığınız, ne kadar süre sakladığınız ve kullanıcıların hangi haklara sahip olduğu — geri kalan doğal olarak takip eder.
E-posta Adresleri GDPR Kapsamında Kişisel Veridir
GDPR, e-posta adreslerini kişisel veri olarak sınıflandırır çünkü bir bireyi tanımlayabilirler. [email protected] gibi görünürde anonim bir adres bile gerçek bir kişiye işaret eder. Bu, uygulamanızın AB'de bulunan birinin e-posta adresini her depoladığında, işlediğinde veya ilettiğinde, GDPR'ın o işlem faaliyetine uygulandığı anlamına gelir.
Bu, GDPR'ın yalnızca sağlık kayıtları veya finansal veriler gibi "hassas" bilgilere uygulandığını varsayan bazı geliştiricileri şaşırtır. Gerçekte GDPR, belirli bir gerçek kişiyle ilişkilendirilebilen her türlü bilgiye uygulanır. E-posta adresleri açıkça bu eşiği karşılar.
Bunun yalnızca Avrupa'ya özgü bir endişe olmadığını da belirtmek gerekir. Kaliforniya'nın CCPA'sı, Brezilya'nın LGPD'si ve diğer birçok ulusal gizlilik çerçevesi doğrudan GDPR'dan ilham almıştır. GDPR gözetilerek geliştirmek, esasen iyi gizlilik uygulamalarıyla geliştirmek demektir. Elektronik Sınır Vakfı bu küresel çerçevelerin neden önemli olduğu hakkında kapsamlı yazılar yazmıştır.
Altı Yasal Dayanak — Geliştiriciler İçin Basitleştirilmiş
GDPR, her işlem faaliyeti için yasal dayanak gerektirir. Altı tane var, ancak tüketici uygulamaları geliştiren çoğu geliştiricinin yalnızca ikisini derinlemesine bilmesi gerekir.
Sözleşme, kullanıcının talep ettiği bir hizmeti sunmak için e-posta adresine ihtiyaç duyduğunuzda yasal dayanağınızdır. Kullanıcı kaydolur, doğrulama e-postası ve işlem bildirimleri gönderirsiniz. Bu nettir ve ayrı rıza gerektirmez.
Rıza, hizmetin ötesindeki her şey için yasal dayanağınızdır — pazarlama e-postaları, bültenler, üçüncü taraflarla paylaşım. GDPR rıza için yüksek bir çıta belirler: özgürce verilmeli, spesifik, bilgilendirilmiş ve açık olmalıdır. Önceden işaretlenmiş onay kutuları açıkça uyumsuzluktur. UK ICO rehberi yararlı pratik örnekler sunar.
Veri Minimizasyonu — En Pratik İlke
GDPR Madde 5(1)(c), kişisel verilerin "işlendikleri amaçlar bakımından yeterli, ilgili ve bunlarla sınırlı" olması gerektiğini belirtir. Bu veri minimizasyonu ilkesidir ve geliştiriciler için muhtemelen tüm yönetmelikteki en pratik fikirlerin başında gelir.
Kayıt formlarınızı denetleyin. Kaç alan istiyorsunuz? Hizmetiniz yalnızca bir doğrulama bağlantısı göndermek için e-posta adresine ihtiyaç duyuyorsa, neden telefon numarası, doğum tarihi ve posta kodu da soruyorsunuz? Gerekli olanın ötesinde topladığınız her alan ek sorumluluk doğurur. CNIL, saklama süreleri hakkında faydalı kıyaslama noktaları sağlayan ayrıntılı rehberlik yayımlar.
E-posta Adreslerini Ne Kadar Süre Saklayabilirsiniz?
GDPR'ın saklama sınırlama ilkesi, kişisel verilerin "işlendikleri amaçlar için gerekli olan süreden daha uzun süre saklanmamasını" gerektirir. Bir saklama politikasına ihtiyacınız var — ve bunu sistemlerinizde teknik olarak uygulamanız gerekir.
Makul bir yaklaşım: aktif kullanıcıların e-posta adreslerini hesapları aktif olduğu sürece saklamak. Aktif olmayan kullanıcılar için (12-24 ay hareketsizlik): silme bildirimi gönderin, ardından bir ödemesizlik süresinden sonra silin. Doğrulanmamış kayıtlar: 30 gün sonra silin.
Silme Hakkı
GDPR Madde 17, kullanıcılara belirli koşullar altında kişisel verilerinin silinmesini talep etme hakkı tanır. Gerçekten eksiksiz bir "hesabımı sil" akışı oluşturun: birincil veritabanı, e-posta listeleri, alt sistemler. Yumuşak silme desenleri operasyonel açıdan iyidir, ancak aşağı akışta gerçek bir temizleme adımı gerektirir.
Geçici E-posta ve GDPR Uyumlu Tasarım
GDPR veri minimizasyonu ilkesinin pratikte ilginç bir örneği var: bir saat sonra otomatik olarak silinen bir geçici e-posta adresi. Kalıcı kişisel veri yok. Mimariye entegre otomatik silme. Bu, ilkenin bir modeli: veriler yalnızca belirli amaç için gerekli olduğu süre kadar var olur.
Geliştirici perspektifinden: kullanıcı e-posta adreslerini işleyen sistemleri oluştururken ve test ederken, test hesapları için geçici posta hizmeti kullanmak, geliştirme ortamınızda gerçek kişisel veri biriktirmediğiniz anlamına gelir — GDPR bilincine sahip bir geliştirme alışkanlığı.
GDPR Kapsamında Pazarlama E-postaları
Pazarlama e-postaları GDPR kapsamında açık rıza gerektirir. Çift onay (double opt-in) en iyi uygulamadır. Rıza kaydınız şunları içermelidir: rızanın tarihi ve saati, kişinin gördüğü tam metin ve rızanın elde edildiği kanal. Abonelikten çıkma talepleri hızla işlenmelidir. FTC spam rehberi tamamlayıcı bilgiler sunar.
Üçüncü Taraf E-posta İşleyicileri
Adınıza e-posta adreslerini göndermek, depolamak veya işlemek için kullandığınız her hizmet — SendGrid, Mailchimp, Postmark — GDPR kapsamında veri işleyicisidir. Her biriyle Veri İşleme Sözleşmesi (DPA) yapmanız gerekir. Büyük sağlayıcıların çoğu bunları otomatik olarak veya talep üzerine sunar.
GDPR ile en çok mücadele eden geliştiriciler ve şirketler, genellikle net bir amaç olmadan, belgelenmiş bir saklama politikası olmadan ve temiz bir silme yolu olmadan büyük miktarda veri biriktirmiş olanlardır. Bu yapıları baştan oluşturmak, sonradan uyarlamaktan çok daha kolaydır. Elektronik Sınır Vakfı bunu iyi ifade eder: gizliliğe saygılı yazılım daha iyi yazılımdır.