Sitenizde bir iletişim formu, bir Google Analytics kodu ya da bir WhatsApp butonu varsa, kişisel veri işliyorsunuz demektir. KVKK uyumlu web sitesi artık büyük şirketlere özgü bir lüks değil; küçük bir işletmenin sitesi de aynı kurallara tabi.
Kişisel Verileri Koruma Kurumu, Temmuz 2025’te Çerez Uygulamaları Hakkında Rehber’in güncel sürümünü yayımladı; 2024’te ise 6698 sayılı Kanun’da özel nitelikli veriler ve yurt dışına aktarım konusunda önemli değişiklikler yürürlüğe girdi. Bu yazıda bir web sitesinin KVKK açısından nerelerde risk taşıdığını, aydınlatma metni ile açık rızanın farkını, doğru bir çerez bandının nasıl görünmesi gerektiğini ve teknik tarafta neleri düzeltmeniz gerektiğini adım adım anlatıyoruz.
Web sitesi hangi kişisel verileri işler?
KVKK’ya uyumun ilk adımı, sitenizin hangi noktalarda veri topladığını dürüstçe listelemektir. Çoğu işletme yalnızca iletişim formunu düşünür; oysa kişisel veri sandığınızdan çok daha fazla yerde işlenir:
- Formlar: iletişim, teklif, randevu, iş başvurusu, bülten aboneliği. Ad, e-posta, telefon, hatta CV gibi kapsamlı veriler.
- Çerezler ve izleme kodları: Google Analytics, Meta pikseli, Google Ads dönüşüm etiketi, ısı haritası araçları. Bunlar çevrim içi tanımlayıcılar ve davranış verisi toplar.
- Sunucu kayıtları: IP adresi, tarayıcı bilgisi, erişim zamanı. 5651 sayılı Kanun kapsamında tutulan trafik kayıtları da bu gruptadır.
- Üçüncü taraf eklentiler: gömülü YouTube videosu, Google Haritalar, canlı destek ve WhatsApp widget’ları, sosyal medya paylaşım butonları.
- Üyelik ve e-ticaret: hesap bilgileri, adres, sipariş geçmişi. Ödeme kartı verisi ise genellikle doğrudan ödeme kuruluşunda işlenir.
Bu listeyi çıkardığınızda, her veri için üç soruyu yanıtlayın: Neden topluyorum, hangi hukuki sebebe dayanıyorum ve ne kadar süre saklıyorum? Bu cevaplar, birazdan anlatacağımız aydınlatma metninin ve çerez politikasının iskeletini oluşturur.
Aydınlatma metni ile açık rıza aynı şey değil
Web sitelerinde en sık rastlanan hata, aydınlatma metni ile açık rızanın tek bir onay kutusunda birleştirilmesidir. “KVKK metnini okudum ve kabul ediyorum” ifadesi iki ayrı yükümlülüğü karıştırır.
Aydınlatma metni: her durumda zorunlu
Kanun’un 10. maddesine göre veri toplarken kişiyi bilgilendirmeniz gerekir: veri sorumlusunun kimliği, işleme amaçları, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ile hukuki sebebi ve kişinin 11. maddedeki hakları. Aydınlatma bir bilgilendirmedir; kişiden onay istemez. Bu yüzden “okudum, kabul ediyorum” kutusu yerine formun hemen altında, açıkça görünen bir bağlantı yeterlidir.
Açık rıza: yalnızca başka sebep yoksa
Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onaydır. Veri sorumlusu önce sözleşmenin kurulması, hukuki yükümlülük veya meşru menfaat gibi diğer işleme şartlarından birinin uygun olup olmadığına bakmalı; hiçbiri yoksa açık rızaya başvurmalıdır. Örneğin teklif formuna yazan birine dönüş yapmak için açık rıza gerekmez; ama aynı kişiye kampanya e-postası göndermek için ayrı bir onay gerekir.
| Durum | Aydınlatma | Açık rıza |
|---|---|---|
| İletişim formuna yanıt vermek | Gerekli | Genellikle gerekmez |
| Bülten ve kampanya e-postası | Gerekli | Ayrı onay gerekli (İYS kaydı ile birlikte) |
| Zorunlu (oturum, sepet, güvenlik) çerezleri | Gerekli | Gerekmez |
| Reklam ve yeniden pazarlama çerezleri | Gerekli | Gerekli |
| İş başvurusunda sağlık bilgisi gibi özel nitelikli veri | Gerekli | Duruma göre; 2024 değişikliğiyle şartlar genişledi |
Açık rıza hizmetin ön şartı yapılamaz. Bülten onayı vermeyen birinin iletişim formunu gönderememesi, rızayı özgür olmaktan çıkarır. Onay kutuları da varsayılan olarak boş gelmelidir.
KVKK çerez rehberine göre doğru çerez bandı
KVKK’nın Temmuz 2025 tarihli Çerez Uygulamaları Hakkında Rehber’i, web sitesi sahipleri için en somut yol haritasıdır. Rehberin temel mesajı şudur: her çerez açık rıza gerektirmez, ama rıza gerektiren çerezler kullanıcı onay vermeden çalışmamalıdır.
Hangi çerezler rıza olmadan kullanılabilir?
Rehber, oturum ve form girdisi çerezleri, kimlik doğrulama, kullanıcı merkezli güvenlik, yük dengeleme, dil gibi arayüz tercihleri ve sepet çerezleri gibi örnekleri açık rıza dışındaki işleme şartları kapsamında değerlendiriyor. Birinci taraf analitik çerezlerin de, yalnızca sitenin işleyişini ölçmekle sınırlı kalması, IP maskeleme gibi önlemlerle verinin azaltılması ve farklı siteler arasında çapraz takip yapılmaması koşuluyla bu kapsamda düşünülebileceğini belirtiyor. Reklam, yeniden pazarlama ve üçüncü taraf takip çerezleri ise açık rıza gerektirir.
İyi bir çerez yönetim paneli nasıl olmalı?
- Eşit butonlar: Rehber, siteye girildiğinde açılan panelde “Kabul et”, “Reddet” ve “Tercihler” butonlarının renk, büyüklük ve punto açısından eşit sunulmasını iyi uygulama örneği olarak gösteriyor. Reddetmeyi gri ve küçük bir bağlantıya gömmek bu ilkeye aykırıdır.
- Varsayılan kapalı: Açık rızaya dayanan çerez kategorileri tercihler ekranında ilk anda pasif gelmeli.
- Önce rıza, sonra kod: Reklam pikselleri ve takip etiketleri kullanıcı onay verene kadar yüklenmemeli. Sadece bant göstermek, arka planda her şeyi çalıştırırken uyum sağlamaz.
- Geri alınabilir rıza: Kullanıcı tercihini sonradan kolayca değiştirebilmeli; rehber, sayfanın köşesinde duran küçük bir ikon veya bandı iyi örnek olarak anıyor.
- Çerez duvarı yok: Siteye girişi tüm çerezlerin kabulüne bağlayan “çerez duvarı” uygulamaları özgür iradeyi sakatlayabilir ve geçerli rıza sayılmayabilir.
- Rıza yorgunluğu: Her ziyarette yeniden sormak yerine tercihin, çerezin ömrüyle orantılı aralıklarla hatırlatılması öneriliyor.
Çerez politikası ise panelden bağlantı verilen ayrı bir sayfadır: kullanılan çerezlerin listesi, amacı, süresi, birinci mi üçüncü taraf mı olduğu ve nasıl yönetileceği burada yer alır. Rehber ayrıca “siteyi kullanarak çerezleri kabul etmiş sayılırsınız” türü ifadelerin geçerli rıza oluşturmayacağını vurguluyor.
Çerez bandı bir dekor değil, bir anahtardır: kullanıcı “evet” demeden kapı açılmamalı.
İletişim formu, bülten ve ticari ileti izinleri
Formlar KVKK uyumlu web sitesi tasarımında en görünür kısımdır ve doğru kurgulandığında kullanıcı deneyimini bozmaz. Önerdiğimiz yapı şu şekildedir:
- 1. Adım — Formun hemen altına “Kişisel verileriniz, Aydınlatma Metni kapsamında işlenmektedir.” gibi kısa bir cümle ve metne bağlantı koyun. Onay kutusu zorunlu değildir.
- 2. Adım — Pazarlama izni gerekiyorsa ayrı, boş gelen ve isteğe bağlı bir kutu ekleyin. Formun gönderilmesi bu kutuya bağlı olmasın.
- 3. Adım — Ticari elektronik ileti göndermek istiyorsanız 6563 sayılı Kanun ve İleti Yönetim Sistemi (İYS) yükümlülüklerini de unutmayın; alınan onayların İYS’ye kaydedilmesi gerekir.
- 4. Adım — Form verilerinin nereye gittiğini belirleyin: e-posta kutusu, CRM, Google Sheets ya da yurt dışında barındırılan bir form aracı. Bu, aşağıda anlatacağımız yurt dışı aktarım konusunu doğrudan ilgilendirir.
- 5. Adım — Saklama süresi belirleyin. İki yıl önce gelen ve teklife dönüşmemiş form kayıtlarını süresiz tutmanın bir gerekçesi yoksa periyodik olarak silin veya anonimleştirin.
Kişilerin KVKK 11. maddesindeki haklarını kullanabilmesi için bir başvuru yöntemi de sunmalısınız. Başvurular en geç 30 gün içinde yanıtlanmalıdır; sitede bir başvuru formu veya açık bir e-posta adresi bu süreci kolaylaştırır.
2024 değişiklikleri: yurt dışı aktarım ve yabancı servisler
7499 sayılı Kanun’la yapılan ve 1 Haziran 2024’te yürürlüğe giren değişiklikler, web siteleri için özellikle yurt dışına veri aktarımı konusunda önemlidir. Yurt dışında barındırılan bir hosting, e-posta servisi, analitik aracı, form servisi veya CRM kullanıyorsanız, verileriniz yurt dışına aktarılıyor olabilir.
Yeni düzende aktarım; bir işleme şartının bulunması ve hakkında yeterlilik kararı verilmiş bir ülkeye aktarım ya da Kurum’un ilan ettiği standart sözleşme gibi uygun güvencelerden birinin sağlanması ile yapılabiliyor. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum’a bildirilmesi gerekiyor. Eski düzende kullanılan açık rıza ile aktarım seçeneği ise geçiş süreci olan 1 Eylül 2024’ten sonra tek başına dayanak olmaktan çıktı; arızi aktarımlar için açık rıza dar bir istisna olarak kaldı.
Aynı değişiklikle özel nitelikli verilerin işlenme şartları da genişletildi. İş başvurusu formunda sağlık bilgisi isteyen veya bir klinik için randevu formu tasarlayan siteler bu konuyu ayrıca değerlendirmelidir; çünkü özel nitelikli verilerde Kurul’un belirlediği ek güvenlik önlemleri de geçerlidir.
KVKK için teknik ve idari güvenlik önlemleri
KVKK’nın 12. maddesi, veri sorumlusuna verilerin hukuka aykırı erişime karşı korunması için uygun teknik ve idari tedbirleri alma yükümlülüğü yükler. Web sitesi açısından bunun karşılığı somut ve ölçülebilir adımlardır:
- HTTPS her sayfada: Geçerli bir SSL sertifikası ve HTTP’den HTTPS’e kalıcı yönlendirme. Ayrıntılar için web sitesi güvenliği ve SSL rehberimize göz atabilirsiniz.
- Güncel yazılım: CMS, eklenti ve kütüphanelerin düzenli güncellenmesi; kullanılmayan eklentilerin kaldırılması.
- Yetki yönetimi: Yönetim paneline güçlü parola ve iki adımlı doğrulama; form kayıtlarına yalnızca gereken kişilerin erişmesi.
- Yedekleme ve kayıt: Düzenli, şifreli yedekler ve panel erişimlerinin loglanması.
- Veri ihlali planı: Bir sızıntı fark edildiğinde Kurul’a en kısa sürede ve en geç 72 saat içinde bildirim yapılması gerekir. Kimin ne yapacağını önceden yazmak, kriz anında zaman kazandırır.
Bu önlemler yalnızca KVKK için değil, sitenizin itibarı ve arama görünürlüğü için de önemlidir. Güvenliği ihlal edilmiş bir site hem müşteri güvenini hem de Google sıralamasını kaybedebilir.
VERBİS kaydı gerekir mi, cezalar ne kadar?
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), her işletme için zorunlu değildir. Kurul kararlarına göre, ana faaliyeti özel nitelikli veri işleme olmayan ve yıllık çalışan sayısı 50’den, yıllık mali bilanço toplamı 100 milyon TL’den az olan veri sorumluları kayıttan muaftır. Kurum’un 1 Ekim 2025 tarihli duyurusuyla, ana faaliyeti özel nitelikli veri işleme olsa bile yıllık çalışan sayısı 10’dan ve mali bilançosu 10 milyon TL’den az olanlar da istisna kapsamına alındı.
İdari para cezaları her yıl yeniden değerleme oranıyla güncellenir ve Kurum güncel tabloyu sitesinde yayımlar. 2026 yılı için aydınlatma yükümlülüğüne aykırılıkta alt sınır yaklaşık 85 bin TL, üst sınır yaklaşık 1,7 milyon TL düzeyindedir; veri güvenliği ve VERBİS ihlallerinde üst sınır 17 milyon TL’yi aşar. Rakamların kesin hâli için Kurum’un resmî tablosuna bakmanızı öneririz.
- Sitedeki tüm veri toplama noktaları listelendi mi?
- Her formun altında aydınlatma metni bağlantısı var mı?
- Pazarlama onayı ayrı, isteğe bağlı ve boş gelen bir kutu mu?
- Çerez panelinde Kabul et / Reddet / Tercihler eşit görünüyor mu?
- Reklam ve takip kodları rıza alınmadan yüklenmiyor mu?
- Yurt dışındaki servisler ve aktarım dayanağı belirlendi mi?
- Başvuru kanalı ve veri ihlali müdahale planı hazır mı?
Sık sorulan sorular
Küçük bir işletmenin web sitesi için KVKK zorunlu mu?
Evet. KVKK, kişisel veri işleyen tüm gerçek ve tüzel kişiler için geçerlidir. Küçük işletmeler VERBİS kaydından muaf olabilir, ancak aydınlatma, veri güvenliği ve ilgili kişi başvurularına yanıt verme yükümlülükleri devam eder.
İletişim formu için açık rıza almak gerekir mi?
Genellikle hayır. Talebe dönüş yapmak için veri işlemek çoğu zaman sözleşmenin kurulmasına hazırlık veya meşru menfaat kapsamında değerlendirilir; aydınlatma metni yeterlidir. Pazarlama amaçlı iletişim içinse ayrı ve isteğe bağlı bir onay gerekir.
Google Analytics kullanmak için çerez onayı gerekir mi?
KVKK’nın çerez rehberi, yalnızca sitenin işleyişini ölçmeye yönelik, verisi azaltılmış ve çapraz takip yapmayan birinci taraf analitiği açık rıza dışındaki şartlar kapsamında değerlendirebiliyor. Reklam özellikleri, yeniden pazarlama veya üçüncü taraf takip içeren kurulumlarda ise açık rıza alınması gerekir.
Çerez bandında Reddet butonu olmak zorunda mı?
Kurum’un 2025 rehberi, Kabul et, Reddet ve Tercihler butonlarının eşit büyüklük, renk ve puntoda sunulmasını iyi uygulama örneği olarak gösteriyor. Reddetmenin kabul etmek kadar kolay olması, rızanın özgür iradeye dayandığını göstermenin en güvenli yoludur.
KVKK aydınlatma metni hazır şablondan kopyalanabilir mi?
Önerilmez. Aydınlatma metni, sizin gerçekte hangi veriyi hangi amaçla ve hangi servislerle işlediğinizi anlatmalıdır. Başka bir şirketin metnini kopyalamak, gerçeği yansıtmayan ve yanıltıcı bir bilgilendirmeye yol açabilir.
Son söz
KVKK uyumlu bir web sitesi, uzun hukuk metinleriyle dolu bir site değil; ne topladığını bilen, gereksizini toplamayan, kullanıcıya gerçek bir seçim sunan ve verileri güvenle saklayan bir sitedir. Bu yaklaşım, ziyaretçinin güvenini de artırır. Hukuki metinlerin içeriği için bir uzmanla çalışmanızı öneririz; çerez paneli, form akışları, etiketlerin rızaya göre yüklenmesi ve sunucu güvenliği gibi teknik tarafta ise web çözümlerimizle yanınızdayız. Yeni bir site planlıyorsanız kurumsal web sitesi rehberimize de göz atabilir, mevcut sitenizin teknik KVKK kontrolü için bizimle iletişime geçebilirsiniz.