KVKK web sitesi uyumu: aydınlatma metni ve çerez bildirimi

KVKK siteniz için geçerli mi?

6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016’da Resmî Gazete’de yayımlandı. Kişisel veri işleyen her işletme “veri sorumlusu” sayılıyor; şirketin büyüklüğü bunu değiştirmiyor. Sitenizde şunlardan biri varsa Kanun sizi ilgilendiriyor:

• Ad ve telefon alan iletişim, teklif ya da randevu formu
• Google Analytics, Google Ads etiketi veya Meta Pixel
• Üyelik, e-bülten ya da sipariş formu
• Mesajları ve numaraları kaydeden bir chatbot veya WhatsApp eklentisi

Sitenin dili de fark etmiyor. Türkiye’de faaliyet gösteren bir işletmenin İngilizce ya da Farsça sitesi de aynı kurallara tabi.

1. Aydınlatma metni

KVKK madde 10’a göre kişisel veriyi elde ettiğiniz anda kişiye şunları söylemeniz gerekiyor:

1. Veri sorumlusunun kim olduğu ve varsa temsilcisi
2. Verileri hangi amaçla işlediğiniz
3. Verileri kimlere ve hangi amaçla aktarabileceğiniz
4. Verileri hangi yöntemle ve hangi hukuki sebeple topladığınız
5. Kişinin madde 11’deki hakları

“Elde etme sırasında” ifadesi pratikte şu anlama geliyor: aydınlatma metninin bağlantısı formun hemen yanında durmalı, yalnızca altbilgide değil. Aydınlatma Yükümlülüğü Tebliği genel ve muğlak ifadeleri kabul etmiyor ve aydınlatmayı yaptığınızı ispat etme yükünü size veriyor. “Verileriniz yasal amaçlarla işlenebilir” gibi bir cümle yeterli olmaz.

Formun hemen altına kısa bir not koyup tam metne bağlantı vermek yeterli. Örneğin: “Gönderdiğiniz ad ve telefon numarasını yalnızca talebinize dönmek için kullanıyoruz. Ayrıntılar KVKK Aydınlatma Metni’nde.” Tam metin ise madde 10’daki beş başlığı sizin işletmenize göre doldurur: hangi formdan hangi veriyi aldığınız, e-posta ya da CRM servisiniz gibi verinin gittiği yerler ve ne kadar süre sakladığınız.

Sık yapılan hata: tek kutucukla her şeyi onaylatmak

“KVKK metnini okudum, verilerimin işlenmesini kabul ediyorum” kutucuğu iki ayrı işi birleştiriyor. Aydınlatma için onay gerekmez; metni sunmanız yeterli. Tebliğ, açık rızaya dayanan işlemlerde aydınlatma ile açık rızanın ayrı ayrı yapılmasını istiyor. Bir teklif formuna cevap vermek için de çoğu zaman rızaya ihtiyacınız yok: hukuki sebep, madde 5/2-c’deki “sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması”.

2. Açık rıza: ayrı ve isteğe bağlı

Açık rızayı yalnızca başka bir hukuki sebebiniz olmadığında istersiniz. Kampanya mesajı göndermek, reklam çerezi kullanmak ya da bir müşterinin fotoğrafını referans olarak yayınlamak tipik örnekler. Geçerli bir rızanın özellikleri:

• Belirli bir konuya ilişkin, genel değil
• Ziyaretçi kendisi işaretliyor; kutu baştan boş geliyor
• Hizmet almanın ya da formu göndermenin şartı değil
• Geri almak, vermek kadar kolay

3. Çerez politikası ve çerez bandı

Kişisel Verileri Koruma Kurumu “Çerez Uygulamaları Hakkında Rehber”i 2022’de yayımladı ve Temmuz 2025’te güncelledi. Bir işletme sitesi için özeti:

• Sepet, dil tercihi ya da güvenlik gibi kesinlikle gerekli çerezler için rıza gerekmez.
• Google Analytics, Google Ads ve Meta Pixel gibi üçüncü taraf analitik ve reklam çerezleri, ziyaretçi onay vermeden yerleştirilmemeli.
• Rehber, yalnızca kendi sitenizin kitle ve performans ölçümünü yapan birinci taraf analitiği bazı koşullarla rızasız değerlendirebiliyor. IP maskeleme ve anonimleştirme öneriliyor.
• “Kabul et”, “Reddet” ve “Tercihler” düğmelerinin renk, boyut ve punto bakımından eşit sunulmasını iyi uygulama olarak gösteriyor.
• Rıza gerektiren çerezler panelde baştan kapalı gelmeli; siteye girmek onay sayılmaz.
• Ziyaretçi tercihini sonradan değiştirebilmeli, örneğin altbilgideki “Çerez ayarları” bağlantısıyla.

Çerez bantlarında sık gördüğümüz hatalar

• Yalnızca “Tamam” ya da “Anladım” düğmesi olan, reddetme imkânı vermeyen bant
• Google Analytics etiketinin bant görünmeden, sayfa açılır açılmaz çalışması
• “Reddet” seçeneğini ikinci bir ekranın içine saklamak
• Bant kapandıktan sonra tercihi değiştirecek bir bağlantı bırakmamak

Çerez politikası sayfası her çerezi sağlayıcısı, amacı ve saklama süresiyle listeler. Google reklamları kullanıyorsanız çerez bandıyla birlikte Google Consent Mode v2’yi de kurun; etiketler ziyaretçinin seçimine göre çalışır. Bizim sitemizdeki örnek: çerez politikası. Web tasarım hizmetimizde KVKK uyumlu çerez bildirimini ve aydınlatma metni sayfasını her siteye baştan ekliyoruz.

4. İlgili kişinin başvuru yolu

Verisini işlediğiniz herkes madde 11’e göre hangi verilerini işlediğinizi sorabilir, düzeltilmesini ya da silinmesini isteyebilir ve kimlere aktardığınızı öğrenebilir. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e göre başvuru yazılı olarak, KEP adresiyle, güvenli elektronik imza ya da mobil imzayla, kişinin daha önce size bildirdiği ve sisteminizde kayıtlı e-posta adresinden veya bu amaçla geliştirilmiş bir yazılımla yapılabilir.

Başvuruyu en geç 30 gün içinde sonuçlandırmanız gerekiyor ve cevap kural olarak ücretsiz. İşlem ayrıca bir maliyet doğuruyorsa Kurulun tarifesindeki ücreti alabilirsiniz. Kurum 2026’da yayımladığı bir duyuruda telefonla ya da yüz yüze verilen cevabın yeterli olmadığını, cevabın yazılı veya elektronik ortamda verilmesi gerektiğini hatırlattı. Başvuru yöntemini ve gereken bilgileri anlatan sade bir sayfa iki tarafın da işini kolaylaştırır; örnek olarak KVKK başvuru sayfamıza bakabilirsiniz.

5. Verilerin yurt dışına aktarılması

Siteniz yurt dışındaki bir sunucuda duruyorsa ya da Google Analytics, Google Workspace gibi servisler kullanıyorsanız veriler Türkiye dışına aktarılıyor. 7499 sayılı Kanunla değişen madde 9, 1 Haziran 2024’ten beri şu yollardan birini istiyor:

• Hedef ülke hakkında Kurulun yeterlilik kararı
• Uygun güvenceler; örneğin imzalandıktan sonra beş iş günü içinde Kuruma bildirilen standart sözleşme
• Arızi, tekrar etmeyen aktarımlarda, olası riskler anlatılarak alınan açık rıza

Aydınlatma metninizde verilerin hangi ülkeye ve hangi yolla aktarıldığını yazın.

6. VERBİS kaydı

VERBİS, veri sorumluları siciline kayıt sistemi. Ekim 2026 itibarıyla geçerli Kurul kararına göre yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan işletmeler, ana faaliyetleri özel nitelikli kişisel veri işlemek değilse kayıttan muaf. Ana faaliyeti sağlık verisi gibi özel nitelikli veri olan bir klinik için muafiyet sınırı daha düşük: 10’dan az çalışan ve 10 milyon TL’den az bilanço. Bu eşikler zaman zaman değişiyor; durumunuzu mali müşavirinizle kontrol edin.

7. Kampanya mesajları: SMS, e-posta ve WhatsApp

Ticari elektronik iletiler 6563 sayılı Kanuna tabi ve tüketiciye göndermeden önce onay almanız gerekiyor. Onayları İleti Yönetim Sistemi’ne (İYS) kaydediyorsunuz: İYS dışında aldığınız bir onayı üç iş günü içinde sisteme girmezseniz o onay geçersiz sayılıyor. Esnaf ve tacirlere önceden onay almadan ileti gönderebilirsiniz, ama ret durumlarını yine İYS üzerinden kontrol etmeniz gerekiyor. Sitenizdeki bülten kutucuğunu bu yüzden ayrı ve boş bırakın. Form kayıtlarını CRM’e ya da WhatsApp’a aktaran bir yapay zeka otomasyonu kullanıyorsanız, onay bilgisinin o sisteme de taşındığını kontrol edin.

Online satış yapıyorsanız

E-ticaret sitesinde yukarıdakilere ek olarak şu sayfalar gerekiyor:

iyzico ve PayTR gibi ödeme altyapıları hesabınızı açmadan önce genellikle bu sayfaları sitenizde arıyor. Sayfalar eksikse başvurunuz bekliyor. Hangi altyapının işinize uyduğunu iyzico, PayTR ve sanal POS karşılaştırmamızda anlattık.

Kontrol listesi: sitenizdeki yasal sayfalar

İdari para cezaları

Kurul, Kanuna aykırılıklar için idari para cezası veriyor ve tutarlar her yıl yeniden değerleme oranıyla artıyor. Kurumun açıkladığı 2026 tutarlarıyla aydınlatma yükümlülüğüne uymamanın cezası 85.437 TL ile 1.709.200 TL arasında. VERBİS yükümlülüğüne aykırılık 341.809 TL’den, veri güvenliği yükümlülüğüne aykırılık 256.357 TL’den başlıyor. Küçük bir işletme için bu sayfaları doğru hazırlatmanın maliyeti, tek bir cezanın alt sınırından düşük kalıyor.

Özet

Tanıtım amaçlı bir işletme sitesi için dört sayfa yeterli: aydınlatma metni, bantla birlikte çerez politikası, KVKK başvuru sayfası ve kullanım koşulları. Online satış yapıyorsanız mesafeli satış sayfalarını ekleyin. Dördünün örneğini bu sitenin altbilgisinde görebilirsiniz: Gizlilik ve KVKK, Çerez politikası, KVKK başvurusu ve Kullanım koşulları. Hangi sayfaların sizin sitenizde eksik olduğunu birlikte kontrol etmek için bize yazın; daha önce yaptığımız işleri referanslar sayfamızda görebilirsiniz.

Sık sorulan sorular