Kamu internet sitelerinde erişilebilirlik, güvenlik ve KVKK yükümlülükleri

Kamu İnternet Siteleri Rehberi (KAMİS), kamu internet sitelerinin kullanılabilirliği ve erişilebilirliğine yönelik temel ilkeleri sunan kapsamlı bir rehberdir. Rehber; İnternet Sitelerinde Kullanılabilirlik ve Erişilebilirlik Rehberi, Kullanılabilirlik İlkeleri Rehberi, Erişilebilirlik İlkeleri Rehberi, Kamu İnternet Siteleri Mevzuat Bilgileri Rehberi ve Teknoloji Rehberi olmak üzere beş alt rehber hâlinde kamu kurumlarının hizmetine sunulmuştur. Alt rehberler TÜBİTAK BİLGEM'in internet sitesinde yayımlanmaktadır.

Erişilebilirlik İlkeleri Rehberi, WCAG 2.1 kapsamındaki başarı ölçütlerini kamu sitelerinden olumlu ve olumsuz örneklerle açıklar. Rehber'e göre WCAG 2.1'deki 30 ölçütten oluşan A düzeyi ilkeler temel seviyede yerine getirilmesi beklenen standartlardır; bu ilkeler sağlanmadığında engelli kullanıcıların büyük çoğunluğu site içeriğinden etkili biçimde yararlanamaz. 20 ölçütten oluşan AA düzeyi ilkeler ise yerine getirilmesi tavsiye edilen standartlar olarak sunulur. Rehber ayrıca TSE tarafından verilen ISO 9241-151 ve ISO/IEC 40500 sertifikaları için sağlanması gereken ölçütlere ve kontrol listelerine ulaşılabileceğini belirtir.

Web İçeriği Erişilebilirlik Yönergeleri (WCAG), Dünya Çapında Ağ Birliği (W3C) tarafından yayımlanır. W3C'nin güncel önerisi WCAG 2.2'dir; ilk olarak 5 Ekim 2023'te yayımlanmış, güncel metni 12 Aralık 2024 tarihlidir. WCAG 2.2, WCAG 2.1'e dokuz yeni başarı ölçütü eklemiş ve 4.1.1 Ayrıştırma ölçütünü kaldırmıştır. Yeni ölçütler; klavye odağının başka içerikle örtülmemesi, sürükleme hareketlerine alternatif sunulması, tıklama hedeflerinin asgari boyutu, yardım bağlantılarının tutarlı yerde bulunması, daha önce girilen bilginin yeniden istenmemesi ve erişilebilir kimlik doğrulama gibi konuları kapsar.

Avrupa Birliği'nde kamu sektörü internet siteleri ve mobil uygulamaları için 2016/2102 sayılı Web Erişilebilirliği Direktifi uygulanır. Avrupa Komisyonu'na göre Direktif kapsamında esas alınan uyumlaştırılmış standart EN 301 549 v3.2.1'dir ve bu standart büyük ölçüde WCAG 2.1'e dayanır. Bu tablo, WCAG 2.1 AA düzeyinin bugün yaygın kabul gören asgari hedef olduğunu, yeni bir site projesinde ise WCAG 2.2 ölçütlerinin de baştan dikkate alınmasının yerinde olacağını göstermektedir.

5378 sayılı Engelliler Hakkında Kanun, erişilebilirliği binaların, açık alanların, ulaşım ve bilgilendirme hizmetleri ile bilgi ve iletişim teknolojisinin engelliler tarafından güvenli ve bağımsız olarak ulaşılabilir ve kullanılabilir olması şeklinde tanımlar. Kanun'un 7. maddesi, bilgilendirme hizmetleri ile bilgi ve iletişim teknolojisinin engelliler için erişilebilir olmasının sağlanacağını hükme bağlar. Kamu internet sitelerinin erişilebilirliği bu genel hükmün doğrudan kapsamındadır.

Aile ve Sosyal Hizmetler Bakanlığının yürüttüğü Erişilebilirlik İzleme ve Denetleme Yönetmeliği ise kapsamını, 5378 sayılı Kanun'un geçici 2 ve 3. maddelerindeki umuma açık hizmet veren yapılar, açık alanlar ve toplu taşıma araçları olarak belirler. Denetim sonucunda uygun bulunanlara valilikçe Erişilebilirlik Belgesi verilir. Bakanlığın 2022'de tanıttığı ve Birleşmiş Milletler tarafından tasarlanan Erişilebilirlik Logosu da bu belgeyi alanlarca kullanılabilmektedir. Bakanlık logonun bilgi ve iletişim teknolojilerine erişimi de kapsadığını belirtse de, belgelendirme süreci yapılar, açık alanlar ve toplu taşıma araçları için tanımlanmıştır.

Bakanlık, web erişilebilirliği alanında da çalışma yürütmektedir. 2022'de duyurulan web erişilebilirlik standartları eğitimlerinde WCAG 2.1 ve KAMİS Erişilebilirlik İlkeleri esas alınmış, 2020-2021 döneminde 850'den fazla kurumdan 3.342 kişinin bu eğitimlere katıldığı açıklanmıştır.

Siber Güvenlik Başkanlığının Bilgi ve İletişim Güvenliği Rehberi (Sürüm 1.1, Mart 2026), kamu internet sitelerinin teknik güvenliği için doğrudan uygulanabilecek tedbirler içerir.

• 3.2.5.1: Uygulama, güvenlik güncellemeleri ve yamaları yapılmış bileşenlerden oluşmalıdır.
• 3.2.5.2: İstemci tarafındaki kaynakların güvenliği için X-Frame-Options ve Content-Security-Policy gibi güvenli HTTP başlıkları kullanılmalıdır.
• 3.2.9.1: Kritik veri veya işlev içeren tüm bağlantılar, bilinen zafiyet içermeyen güvenilir bir SSL/TLS sürümüyle yapılmalıdır.
• 3.2.9.3 (2. seviye): Web sayfalarına yapılan bağlantıların ve kullanılan kaynakların güvenliği için HSTS kullanılmalıdır.
• 5.3.1.4: Varsayılan hata ve kurulum sayfaları kaldırılmalı, web sunucu teknolojisi hakkında bilgi veren HTTP başlıkları gizlenmelidir.
• 3.1.3.3: Güvenlik açıklarının zamanında tespiti için zafiyet ve yama yönetimi politikaları tanımlanmalı, değişiklikler kontrollü biçimde yapılmalıdır.

Bu tedbirler, site yayına alındıktan sonra da sürdürülmesi gereken bir işletme sorumluluğu doğurur. İçerik yönetim sistemi, eklentiler ve sunucu yazılımı için güncelleme takvimi, güvenlik bildirimlerinin kimin tarafından izleneceği ve hizmet alımı yapılıyorsa yüklenicinin güncelleme yükümlülüğü sözleşmede açıkça belirlenmelidir.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 10. maddesi, kişisel verilerin elde edilmesi sırasında veri sorumlusunun kimliği, işleme amacı, aktarım yapılan taraflar, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları konusunda bilgi verilmesini zorunlu tutar. İletişim formları, e-hizmet bağlantıları ve bülten kayıtları bulunan bir kamu sitesinde aydınlatma metni, verinin toplandığı her noktadan erişilebilir olmalıdır. 12. madde ise veri güvenliği için gerekli teknik ve idari tedbirlerin alınmasını öngörür.

Kişisel Verileri Koruma Kurumu, Temmuz 2025 tarihli Çerez Uygulamaları Hakkında Rehber'de iki ölçüt önerir: çerezin yalnızca iletişimin elektronik haberleşme şebekesi üzerinden sağlanması amacıyla kullanılması ve kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekli olması. Bu ölçütlerin dışında kalan çerezler için açık rıza gerekebilir. Rehber, siteye girişte çıkan çerez yönetim panelinde kabul et, reddet ve tercihler seçeneklerinin renk, büyüklük ve punto bakımından eşit derecede sunulmasını iyi uygulama örneği olarak gösterir ve bu panelde aydınlatmanın da yapılması gerektiğini hatırlatır.

Ölçüm, harita, video veya yazı tipi gibi hizmetlerin üçüncü taraf sunuculardan yüklenmesi, ziyaretçiye ait verinin bu taraflara ve kimi durumlarda yurt dışına aktarılmasına yol açabilir. Bu nedenle sitede kullanılan her dış hizmet, çerez envanterinde ve aydınlatma metninde ayrıca değerlendirilmeli; yurt dışına aktarım söz konusuysa KVKK'nın 9. maddesindeki şartlar gözetilmelidir.

• Erişilebilirliği yalnızca sonradan eklenen bir araç çubuğuyla sağlamaya çalışmak; ölçütler sayfa yapısında ve içerikte karşılanmalıdır.
• Çerez panelinde reddet seçeneğini gizlemek veya önceden işaretli tercihler sunmak.
• Yayına alınan sitenin güncellemelerini sorumlusu ve takvimi belirlenmeden bırakmak.