Müşterilerle konuşan bir sistemi, bir denetçiye gösterilebilir durumda teslim ediyoruz ve bunu anketten değil, koddan doğruluyoruz.

Doğrudan konuya girelim. Yeni bir analize hoş geldiniz, bugün özellikle Moldova Cumhuriyeti’ndeki yeni düzenlemeler bağlamında iş dünyası için büyük bir zorluğu ele alıyoruz. Bugünkü mutlak odağımız, uyumu doğrudan koddan nasıl doğrularız, sonsuz kâğıt yığınlarından değil. Çok sık olarak, gizlilik söz konusu olduğunda herkes sitede yayımlanan hukuki belgelere bakıyor, ama sürpriz, bu belgeler sistemin teknik gerçekliğini neredeyse hiçbir zaman yansıtmıyor; bu yüzden bugün tam olarak altyapıdan saf gerçeği nasıl çıkarabileceğimizi inceliyoruz. Bölüm 1. Beyan edilen uyum yanılsaması. Ya da başka bir deyişle, resmî olarak kâğıt üzerinde ne beyan ediyoruz ve pratikte gerçekte ne yapıyoruz. Biraz düşünün, kimse bakmıyorken bir site arka planda aslında ne yapıyor. Bir sanal asistan ya da bir çevrim içi mağaza, dürüst olalım, teknik ekip muhtemelen yayınlanmasından iki yıl sonra tamamen unutmuş olduğu türlü köşelerden verileri sızdırıyor.

Onlarca üçüncü taraf araç, analiz betikleri, pazarlama kodları, tüm bunlar arka planda sessizce çalışıyor; kaputun altına teknik bir göz atılmadan, tam olarak kimin ne veri çektiğini ya da nereye gönderdiğini bilmek basitçe imkânsız. İşte tuzak burada. Bir yanda teori var, yıllardır değişmeyen ve çoğu zaman bir şablona dayanan o statik gizlilik politikası. Öte yanda ise? Evet, öte yanda gerçeklik var. Kod canlı, son derece dinamik, sürekli güncelleniyor ve arka planda veri çekiyor. Teori ile pratik arasındaki bu kopuş görünmezdir, ta ki sert bir denetim anına ya da, çok daha kötüsü, artık kimsenin odadaki fili görmezden gelemediği bir güvenlik ihlaline kadar. 2. bölüme geçiyoruz, MISA’ya ve yani 195/2024 Sayılı Kanun’a; 23 Ağustos 2026 itibarıyla doğrudan ve oldukça sert bir etkisi var.

Pratikte burada Avrupa yükümlülüklerinden, Moldova Cumhuriyeti’nde yerel ve sıkı kurallar biçiminde getirilen yükümlülüklerden söz ediyoruz; peki para cezaları için üst sınır? 2 milyon lei. Evet, doğru duydunuz: 2 milyon. Bu yaptırımlar özellikle kayıtsızlığı caydırmak için tasarlanmış. Teknik olarak doğru çalışmayan zavallı bir çerez banner’ı artık basit bir tasarım hatası değil. Bu, devasa bir hukuki ve finansal zafiyettir. Yasa çok açık ve pek affetmiyor. Her zaman sabit tutar ile ciro yüzdesi arasındaki en yüksek değeri uygular. Temel yükümlülükler için yaptırımlar 1 milyon lei ya da cironun %1’ine ulaşır. Ama dikkat, temel unsurlar, yani rıza ile ilgili her şey, insanların hakları ve veri aktarımları otomatik olarak üst banda geçer: en fazla 2 milyon lei ya da %2. Buradan akılda kalması gereken fikir şu: rıza tarafındaki her teknik hata, en yüksek seviyede hiç taviz verilmeden cezalandırılır.

Bu da bizi üçüncü bölüme, koddan doğrulamaya ya da benim demeyi sevdiğim gibi, mutlak teknik gerçeğin çıkarılmasına getiriyor. O devasa cezalar göz önüne alındığında, artık insanların hafızasına ya da aceleyle işaretlenmiş anketlere güvenemeyiz. Çözüm mühendislikte, ve süreç üç demir gibi sağlam adımdan oluşuyor. Adım 1. Kaynağı okuyoruz. Belleğe tam olarak neyin girdiğini net görmek için sunucuyu sorguluyoruz. Adım 2. Son derece önemli. Çerezlerde reddet butonuna basıyoruz ve ağ trafiğini yaklaşık 3 saniye dinliyoruz. Eğer arka plandaki araçlar veri emmeye devam ediyorsa, açıkça bir sorun var demektir. Ve 3. adım. Bu tartışmasız teknik kanıtlara sıkı sıkıya dayanarak ünlü İşleme Faaliyetleri Sicili’ni hazırlıyoruz. Böylece belge gerçeğe bağlanmış olur. Tüm bu hikâyeyi standartlaştırmak için, GDP Scan MD tarayıcısı gibi teknik araçlar, maksimumu 1 olan sabit bir matematiksel skor kullanır.

Ama burada altın bir kural var, gerçekten sert bir kural. Tek bir kritik unsurun çökmesi, nihai skoru anında 0,49’a kilitler. Bam, uyumsuz. Yani dünyanın en güzel ve en iyi yazılmış gizlilik politikasına sahip olabilirsiniz; ama bir tracker ziyaretçi kabul etmeden önce çalışmaya başlarsa, testten kalırsınız. Belgeler, kötü yazılmış bir kodu basitçe kurtaramaz. 4. bölüme geçiyoruz. Kendi platformları üzerindeki gerçek vaka. Radikal şeffaflığa sahip teknik bir denetim. Bunun çalıştığını göstermek için metodolojinin arkasındaki ekip, kendi aracını tam kendi siteleri üzerinde test etmeye karar verdi. Ve ne oldu dersiniz? Yıllar boyunca, kamuya açık sayfalarında türlü türlü fantastik kurumsal iddia birikmişti. 180 günlük bir denetim günlüğü, kesinlikle tüm veri tabanlarında şifreleme, yaklaşık 14 alt işleyici. Son derece profesyonel duyuluyordu, değil mi? Sadece bunlar orada ataletle kalmıştı.

Birincil koddan doğrudan çıkarılmış bir birincil belgeniz yoksa? Çıkarılır! Kapsamlı bir temizlik yaptılar. Eski testler ya da alakasız yedeklemeler hakkında şişirilmiş bir sürü cümle tamamen kayboldu. Sebep? Basit. Kontrolde kanıtlayamayacağınız vaatlerle dolu bir dossier yerine, daha kısa, dürüst ve %100 gerçek olgulara dayanan bir uyum sayfasına sahip olmak çok, çok daha güvenlidir. Ha, bir de bu temizlik dışında, özdenetim AI tabanlı akıllı chatbots’larla ilgili ilginç bir şeyi açığa çıkardı. Onlarla birlikte üç büyük risk geliyor. 1. Elbette, ziyaretçilerin oraya tamamen istenmeden bıraktığı her türlü hassas veriyi kaydediyorlar. 2. Bu metinlerin kaçınılmaz olarak üçüncü taraf bir model sağlayıcısına aktarılması, genelde başka bir ülkedeki bir sağlayıcıya. Ve 3. En kritik yön, dikkat edin. Sayfanın yalnızca açılmasıyla, kişi bir tıklama yapmadan önce tarayıcı belleğine yazılması.

Tek çözüm ne? Koda girip modelin yüklenmesini, ziyaretçi gerçekten sohbet başlat düğmesine basmaya karar verene kadar engellemek. 5. bölüme de geliyoruz, teknik ve hukuki sınırlar. Mühendisliğin nereye kadar gittiği ve legal uzmanların işini yapmasına nerede alan bırakmamız gerektiği. Kod içindeki metodolojinin hayati olduğu tamamen açık, ama kendimizi kandırmayalım, her şeyi tek başına çözmüyor. Teknik araç, somut şeylerle ilgilenir. Altyapıyı envanterler, koda bakar ve sistemin nasıl davrandığına dair açık kanıtlar çıkarır. Ancak, dikkat, bu bir hukuki görüş değildir. Teknik bir araç, bir sözleşmedeki hukuki dayanakları belirleyemez ve yasaları yorumlamaz. Bu kısım yalnızca avukatların alanıdır. Kısacası, teknoloji, beton gibi, kanıtlardan oluşan son derece sağlam bir temel döker, sonra hukukçular gelir ve bunun üzerine hukuki geçerliliği kurar. Bu ayrım, meşhur 30. madde, İşleme Faaliyetleri Kaydı hakkında olağanüstü bir şeyi gün yüzüne çıkarır.

Size bir sır vereyim, koddan gerçekten üretilmiş canlı bir kayıt, ilk taramada asla kusursuz görünmez. Neverificat olarak işaretlenmiş, insan ve hukuki bir karar gerektiren o satırlar, işte bunlar bir organizasyonun gerçek şeffaflığını gösterir. İlk günden kusursuz, eksiksiz ve tek bir açık hata olmadan görünen her kayıt, neredeyse tüm durumlarda ucuz bir yanılsamadır; gerçek bir yazılımın gerçek karmaşıklığını tamamen görmezden gelen bir şablondan doldurulmuş basit bir fiştir. Yani, anlattığım her şeyin ardından çizgiyi çekince, kâğıda yazılanla makinenin gerçekte yaptığı arasındaki bu devasa farkı görünce, sizin organizasyonunuzda doğrulama süreci nasıl görünüyor? Uyumluluk, sitenin bodrumunda bir yerlerde unutulmuş tozlu belgelere mi, yoksa doğrudan aktif koddan çıkarılan tartışılmaz kesinliklere mi dayanıyor? Teknik bir doğrulamaya geçmek, 195/2024 sayılı Kanun’dan kurtulmak için kâğıt üzerinde atılan bir tikten ibaret değil. İnsanların verilerine gerçekten saygı duyduğunuzun en üst güvencesidir. Güvenliği düşünme biçimimizi basitçe dönüştüren bir bakış açısı değişikliği.