Если на сайте есть контактная форма, код Google Analytics или кнопка WhatsApp, значит, вы обрабатываете персональные данные. Сайт в соответствии с KVKK — больше не роскошь крупных компаний; сайт небольшого бизнеса подчиняется тем же правилам.
В июле 2025 года Ведомство по защите персональных данных опубликовало обновлённую версию Руководства по использованию cookie, а в 2024 году вступили в силу важные изменения Закона № 6698 об особых категориях данных и трансграничной передаче. В этой статье пошагово рассказываем, где сайт несёт риски с точки зрения KVKK, чем уведомление о конфиденциальности отличается от явного согласия, как должен выглядеть правильный cookie-баннер и что нужно исправить на технической стороне.
Какие персональные данные обрабатывает сайт?
Первый шаг к соответствию KVKK — честно перечислить, в каких местах сайт собирает данные. Большинство компаний думают только о контактной форме, хотя персональные данные обрабатываются гораздо в большем числе мест, чем кажется:
- Формы: обратная связь, запрос предложения, запись, отклик на вакансию, подписка на рассылку. Имя, e-mail, телефон и даже такие объёмные данные, как резюме.
- Cookie и коды отслеживания: Google Analytics, пиксель Meta, тег конверсий Google Ads, инструменты тепловых карт. Они собирают онлайн-идентификаторы и поведенческие данные.
- Серверные логи: IP-адрес, данные браузера, время доступа. Сюда же относятся журналы трафика, которые ведутся по Закону № 5651.
- Сторонние плагины: встроенные видео YouTube, Google Карты, виджеты онлайн-чата и WhatsApp, кнопки «поделиться» в соцсетях.
- Регистрация и e-commerce: данные аккаунта, адрес, история заказов. Данные платёжных карт обычно обрабатываются напрямую в платёжной организации.
Составив этот список, ответьте для каждого вида данных на три вопроса: зачем я их собираю, на каком правовом основании и как долго храню? Ответы станут каркасом уведомления о конфиденциальности и политики cookie, о которых пойдёт речь ниже.
Уведомление о конфиденциальности и явное согласие — не одно и то же
Самая частая ошибка на сайтах — объединение уведомления и явного согласия в одном чекбоксе. Фраза «Я прочитал(а) текст KVKK и принимаю его» смешивает две разные обязанности.
Уведомление: обязательно всегда
Согласно статье 10 Закона, при сборе данных нужно проинформировать человека: кто является оператором данных, цели обработки, кому и с какой целью данные могут передаваться, способ сбора и правовое основание, а также права человека по статье 11. Уведомление — это информирование; согласия оно не требует. Поэтому вместо чекбокса «прочитал, принимаю» достаточно хорошо заметной ссылки прямо под формой.
Явное согласие: только если нет другого основания
Явное согласие — это конкретное, информированное и добровольное разрешение. Оператор сначала должен проверить, подходит ли одно из других оснований обработки — заключение договора, юридическая обязанность или законный интерес; и лишь если ни одно не подходит, обращаться к явному согласию. Например, чтобы ответить человеку, заполнившему форму запроса, явное согласие не нужно; а чтобы отправлять ему промо-письма — нужно отдельное согласие.
| Ситуация | Уведомление | Явное согласие |
|---|---|---|
| Ответ на контактную форму | Нужно | Обычно не нужно |
| Рассылка и промо-письма | Нужно | Нужно отдельное согласие (вместе с регистрацией в İYS) |
| Обязательные cookie (сессия, корзина, безопасность) | Нужно | Не нужно |
| Рекламные и ремаркетинговые cookie | Нужно | Нужно |
| Особые категории данных, например сведения о здоровье при отклике на вакансию | Нужно | Зависит от ситуации; поправка 2024 года расширила основания |
Явное согласие нельзя делать условием услуги. Если человек, не давший согласия на рассылку, не может отправить контактную форму, согласие перестаёт быть добровольным. Чекбоксы также по умолчанию должны быть пустыми.
Правильный cookie-баннер по руководству KVKK
Руководство по использованию cookie KVKK от июля 2025 года — самая конкретная дорожная карта для владельцев сайтов. Его главная мысль: не всякий cookie требует явного согласия, но cookie, требующие согласия, не должны работать, пока пользователь его не дал.
Какие cookie можно использовать без согласия?
Руководство относит к основаниям, отличным от явного согласия, такие примеры, как cookie сессии и ввода в формы, аутентификации, пользовательской безопасности, балансировки нагрузки, настроек интерфейса вроде языка и cookie корзины. Отмечается, что сюда могут относиться и аналитические cookie первой стороны — при условии, что они ограничены измерением работы сайта, данные сокращены мерами вроде маскировки IP и нет межсайтового отслеживания. Рекламные, ремаркетинговые и сторонние отслеживающие cookie требуют явного согласия.
Какой должна быть хорошая панель управления cookie?
- Равные кнопки: руководство приводит как пример хорошей практики панель, где кнопки «Принять», «Отклонить» и «Настройки» одинаковы по цвету, размеру и шрифту. Прятать отказ в маленькую серую ссылку — противоречит этому принципу.
- Выключено по умолчанию: категории cookie, основанные на явном согласии, должны изначально быть неактивными на экране настроек.
- Сначала согласие, потом код: рекламные пиксели и теги отслеживания не должны загружаться до согласия пользователя. Просто показать баннер, запустив всё в фоне, — это не соответствие.
- Отзываемое согласие: пользователь должен легко изменить выбор позже; руководство приводит как хороший пример небольшую иконку или полоску в углу страницы.
- Без cookie-стены: «cookie-стены», открывающие доступ к сайту только при принятии всех cookie, могут нарушать свободу воли и не считаться действительным согласием.
- Усталость от согласий: вместо вопроса при каждом визите рекомендуется напоминать с интервалом, соразмерным сроку жизни cookie.
Политика cookie — отдельная страница со ссылкой из панели: здесь указываются список используемых cookie, их цель, срок, первая или третья сторона и способ управления ими. Руководство также подчёркивает, что фразы вида «используя сайт, вы соглашаетесь с cookie» не образуют действительного согласия.
Cookie-баннер — не декорация, а замок: пока пользователь не сказал «да», дверь не должна открываться.
Контактная форма, рассылка и согласия на коммерческие сообщения
Формы — самая заметная часть дизайна сайта в соответствии с KVKK, и при правильной настройке они не портят пользовательский опыт. Мы рекомендуем такую структуру:
- Шаг 1 — Прямо под формой разместите короткую фразу вроде «Ваши персональные данные обрабатываются в соответствии с Уведомлением о конфиденциальности» и ссылку на текст. Чекбокс не обязателен.
- Шаг 2 — Если нужно маркетинговое согласие, добавьте отдельный, пустой по умолчанию и необязательный чекбокс. Отправка формы не должна от него зависеть.
- Шаг 3 — Если вы хотите отправлять коммерческие электронные сообщения, не забудьте об обязанностях по Закону № 6563 и Системе управления сообщениями (İYS); полученные согласия нужно регистрировать в İYS.
- Шаг 4 — Определите, куда попадают данные форм: почтовый ящик, CRM, Google Sheets или сервис форм с зарубежным хостингом. Это напрямую касается темы трансграничной передачи, о которой ниже.
- Шаг 5 — Установите срок хранения. Если нет причин бессрочно хранить заявки двухлетней давности, не ставшие сделками, периодически удаляйте или анонимизируйте их.
Чтобы люди могли воспользоваться правами по статье 11 KVKK, нужно также предоставить способ подачи запроса. Отвечать на запросы нужно не позднее 30 дней; форма запроса на сайте или понятный адрес e-mail упрощают этот процесс.
Изменения 2024 года: трансграничная передача и иностранные сервисы
Изменения, внесённые Законом № 7499 и вступившие в силу 1 июня 2024 года, особенно важны для сайтов в части трансграничной передачи данных. Если вы используете зарубежный хостинг, почтовый сервис, аналитику, сервис форм или CRM, ваши данные могут передаваться за границу.
По новым правилам передача возможна при наличии основания обработки и передаче в страну, по которой принято решение об адекватности, либо при одной из надлежащих гарантий, например стандартном договоре, утверждённом Ведомством. О подписании стандартного договора нужно уведомить Ведомство в течение пяти рабочих дней. Вариант передачи на основании явного согласия из старого режима после переходного периода, закончившегося 1 сентября 2024 года, перестал быть самостоятельным основанием; явное согласие осталось узким исключением для разовых передач.
Той же поправкой были расширены основания обработки особых категорий данных. Сайтам, запрашивающим сведения о здоровье в форме отклика на вакансию или проектирующим форму записи для клиники, стоит оценить это отдельно: для особых категорий действуют и дополнительные меры безопасности, установленные Советом.
Технические и организационные меры безопасности по KVKK
Статья 12 KVKK обязывает оператора принимать надлежащие технические и организационные меры для защиты данных от неправомерного доступа. Для сайта это означает конкретные и измеримые шаги:
- HTTPS на всех страницах: действующий SSL-сертификат и постоянный редирект с HTTP на HTTPS. Подробнее — в нашем руководстве по безопасности сайта и SSL.
- Актуальное ПО: регулярное обновление CMS, плагинов и библиотек; удаление неиспользуемых плагинов.
- Управление доступом: надёжный пароль и двухфакторная аутентификация для админ-панели; доступ к заявкам из форм — только у тех, кому он нужен.
- Бэкапы и журналы: регулярные зашифрованные резервные копии и логирование входов в панель.
- План на случай утечки: при обнаружении утечки нужно уведомить Совет как можно скорее и не позднее 72 часов. Заранее расписанные роли экономят время в кризис.
Эти меры важны не только для KVKK, но и для репутации сайта и его видимости в поиске. Взломанный сайт может потерять и доверие клиентов, и позиции в Google.
Нужна ли регистрация в VERBİS и каковы штрафы?
VERBİS (Реестр операторов данных) обязателен не для каждой компании. По решениям Совета от регистрации освобождены операторы, основная деятельность которых не связана с обработкой особых категорий данных, с годовой численностью сотрудников менее 50 и годовым балансом менее 100 миллионов TL. Объявлением Ведомства от 1 октября 2025 года под исключение попали и те, у кого менее 10 сотрудников и баланс менее 10 миллионов TL, даже если их основная деятельность — обработка особых категорий данных.
Административные штрафы ежегодно индексируются по коэффициенту переоценки, и Ведомство публикует актуальную таблицу на своём сайте. На 2026 год за нарушение обязанности уведомления нижний предел составляет около 85 тыс. TL, верхний — около 1,7 млн TL; за нарушения в сфере безопасности данных и VERBİS верхний предел превышает 17 млн TL. Точные суммы рекомендуем сверять с официальной таблицей Ведомства.
- Перечислены ли все точки сбора данных на сайте?
- Есть ли под каждой формой ссылка на уведомление о конфиденциальности?
- Маркетинговое согласие — отдельный, необязательный и пустой по умолчанию чекбокс?
- Выглядят ли кнопки «Принять / Отклонить / Настройки» в cookie-панели одинаково?
- Не загружаются ли рекламные и отслеживающие коды без согласия?
- Определены ли зарубежные сервисы и основание передачи?
- Готовы ли канал для запросов и план реагирования на утечку?
Частые вопросы
Обязателен ли KVKK для сайта небольшой компании?
Да. KVKK распространяется на всех физических и юридических лиц, обрабатывающих персональные данные. Малый бизнес может быть освобождён от регистрации в VERBİS, но обязанности по уведомлению, безопасности данных и ответам на запросы субъектов сохраняются.
Нужно ли явное согласие для контактной формы?
Обычно нет. Обработка данных для ответа на запрос, как правило, рассматривается как подготовка к заключению договора или законный интерес; достаточно уведомления. Для маркетинговых коммуникаций нужно отдельное и необязательное согласие.
Нужно ли согласие на cookie для Google Analytics?
Руководство KVKK по cookie может относить к основаниям, отличным от явного согласия, аналитику первой стороны, предназначенную только для измерения работы сайта, с сокращёнными данными и без межсайтового отслеживания. Для настроек с рекламными функциями, ремаркетингом или сторонним отслеживанием необходимо явное согласие.
Обязательна ли кнопка «Отклонить» в cookie-баннере?
Руководство Ведомства 2025 года приводит как пример хорошей практики кнопки «Принять», «Отклонить» и «Настройки» одинакового размера, цвета и шрифта. Когда отказаться так же легко, как согласиться, — это самый надёжный способ показать, что согласие добровольное.
Можно ли скопировать уведомление KVKK из готового шаблона?
Не рекомендуется. Уведомление должно описывать, какие данные вы на самом деле обрабатываете, с какой целью и с помощью каких сервисов. Копирование текста другой компании может привести к недостоверному и вводящему в заблуждение информированию.
В заключение
Сайт в соответствии с KVKK — это не сайт, переполненный длинными юридическими текстами, а сайт, который знает, что собирает, не собирает лишнего, даёт пользователю реальный выбор и надёжно хранит данные. Такой подход повышает и доверие посетителей. По содержанию юридических текстов рекомендуем работать со специалистом; а в технической части — cookie-панель, процессы форм, загрузка тегов по согласию и безопасность сервера — мы готовы помочь нашими веб-решениями. Если вы планируете новый сайт, загляните в наше руководство по корпоративным сайтам, а для технической проверки текущего сайта на соответствие KVKK свяжитесь с нами.