只要您的网站上有联系表单、Google Analytics 代码或 WhatsApp 按钮，就意味着您在处理个人数据。符合 KVKK 的网站早已不是大公司独享的奢侈品；小企业的网站同样受这些规则约束。
土耳其个人数据保护局于 2025 年 7 月发布了《Cookie 使用指南》的最新版本；2024 年，第 6698 号法律中关于特殊类别数据和跨境传输的重要修订也已生效。本文将逐步讲解网站在 KVKK 方面的风险点、告知文本与明示同意的区别、合规的 Cookie 横幅应该是什么样子，以及技术层面需要修正哪些地方。
网站会处理哪些个人数据？
符合 KVKK 的第一步，是如实列出网站在哪些环节收集数据。大多数企业只想到联系表单，但实际上处理个人数据的地方远比您想象的多：
- 表单：联系、报价、预约、求职申请、订阅简报。包括姓名、邮箱、电话，甚至简历这类全面的数据。
- Cookie 与追踪代码：Google Analytics、Meta 像素、Google Ads 转化代码、热力图工具。它们会收集在线标识符和行为数据。
- 服务器日志：IP 地址、浏览器信息、访问时间。依据第 5651 号法律保存的流量记录也属于此类。
- 第三方插件：嵌入的 YouTube 视频、Google 地图、在线客服和 WhatsApp 小组件、社交媒体分享按钮。
- 会员与电商：账户信息、地址、订单历史。银行卡数据通常直接由支付机构处理。
列出清单后，针对每项数据回答三个问题：为什么收集？依据的是哪项法律理由？保存多长时间？这些答案构成了下文将介绍的告知文本和 Cookie 政策的框架。
告知文本与明示同意不是一回事
网站上最常见的错误，是把告知文本和明示同意合并在一个勾选框里。“我已阅读并同意 KVKK 文本”这种表述混淆了两项不同的义务。
告知文本：任何情况下都必须提供
根据该法第 10 条，收集数据时必须告知当事人：数据控制者的身份、处理目的、数据可能被传输给谁以及传输目的、收集方式和法律依据，以及当事人在第 11 条下享有的权利。告知是一种信息提供，无需当事人同意。因此，与其设置“我已阅读并同意”的勾选框，不如在表单正下方放一个清晰可见的链接。
明示同意：仅在没有其他依据时使用
明示同意是针对特定事项、基于充分告知、出于自由意志作出的同意。数据控制者应先考察是否适用其他处理条件，如订立合同、法定义务或正当利益；只有在都不适用时才诉诸明示同意。例如，回复填写报价表单的人不需要明示同意；但要向同一个人发送促销邮件，则需要单独取得同意。
| 情况 | 告知 | 明示同意 |
|---|---|---|
| 回复联系表单 | 需要 | 通常不需要 |
| 简报与促销邮件 | 需要 | 需要单独同意（并登记到 İYS） |
| 必要类 Cookie（会话、购物车、安全） | 需要 | 不需要 |
| 广告与再营销 Cookie | 需要 | 需要 |
| 求职申请中的健康信息等特殊类别数据 | 需要 | 视情况而定；2024 年修订后条件有所放宽 |
明示同意不得作为提供服务的前提条件。不同意订阅简报就无法提交联系表单，会使同意失去自由性。勾选框也必须默认为未勾选。
依据 KVKK Cookie 指南设置合规的 Cookie 横幅
KVKK 2025 年 7 月发布的《Cookie 使用指南》是网站所有者最具体的行动指南。该指南的核心信息是：并非所有 Cookie 都需要明示同意，但需要同意的 Cookie 在用户同意之前不得运行。
哪些 Cookie 无需同意即可使用？
指南将会话和表单输入 Cookie、身份验证、以用户为中心的安全、负载均衡、语言等界面偏好以及购物车 Cookie 等，归入明示同意以外的处理条件范围。指南还指出，第一方分析 Cookie 如果仅限于衡量网站运行情况、通过 IP 匿名化等措施减少数据，且不进行跨站追踪，也可考虑纳入此范围。而广告、再营销和第三方追踪 Cookie 则需要明示同意。
好的 Cookie 管理面板应该是什么样？
- 按钮平等：指南将进入网站时弹出的面板中，“接受”“拒绝”和“偏好设置”按钮在颜色、大小和字号上平等呈现，列为良好实践的示例。把拒绝选项藏在灰色的小链接里，违背了这一原则。
- 默认关闭：基于明示同意的 Cookie 类别，在偏好设置界面中应默认处于关闭状态。
- 先同意，后加载代码：在用户同意之前，不应加载广告像素和追踪代码。只显示横幅、后台却照常运行一切，并不算合规。
- 可撤回的同意：用户应能在之后轻松更改偏好；指南将固定在页面角落的小图标或横条列为良好示例。
- 不设 Cookie 墙：把进入网站与接受全部 Cookie 绑定的“Cookie 墙”做法，可能损害自由意志，不被视为有效同意。
- 同意疲劳：建议不要每次访问都重新询问，而是按与 Cookie 有效期相称的间隔进行提醒。
Cookie 政策则是从面板链接过去的独立页面：其中列出所使用的 Cookie、用途、有效期、属于第一方还是第三方，以及如何管理。指南还强调，“使用本网站即视为您同意 Cookie”之类的表述不构成有效同意。
Cookie 横幅不是装饰，而是一把钥匙：用户没说“同意”，门就不该打开。
联系表单、简报与商业信息许可
表单是符合 KVKK 的网站设计中最显眼的部分，只要设计得当，并不会影响用户体验。我们建议的结构如下：
- 第 1 步 —在表单正下方放一句简短说明，例如“您的个人数据将依据《告知文本》进行处理。”，并附上文本链接。勾选框并非必需。
- 第 2 步 —如需营销许可，请单独添加一个默认未勾选、可自愿选择的勾选框。表单能否提交不应取决于这个勾选框。
- 第 3 步 —如果要发送商业电子信息，别忘了第 6563 号法律和信息管理系统（İYS）的相关义务；取得的同意必须登记到 İYS。
- 第 4 步 —确定表单数据的去向：邮箱、CRM、Google Sheets，还是托管在境外的表单工具。这与下文介绍的跨境传输问题直接相关。
- 第 5 步 —设定保存期限。两年前收到、未转化为订单的表单记录，如果没有无限期保存的理由，请定期删除或匿名化。
您还应提供一种申请渠道，让当事人能够行使 KVKK 第 11 条规定的权利。申请必须在 30 天内答复；在网站上设置申请表单或公开邮箱地址，能让这一流程更顺畅。
2024 年修订：跨境传输与境外服务
依据第 7499 号法律进行、并于 2024 年 6 月 1 日生效的修订，对网站而言在数据跨境传输方面尤为重要。如果您使用托管在境外的主机、邮件服务、分析工具、表单服务或 CRM，您的数据可能正在被传输到境外。
在新制度下，跨境传输须满足某项处理条件，并且传输至已获充分性认定的国家，或具备监管机构公布的标准合同等适当保障措施之一。标准合同须在签署后五个工作日内通知监管机构。旧制度下基于明示同意进行传输的方式，在 2024 年 9 月 1 日过渡期结束后已不能单独作为依据；明示同意仅作为偶发性传输的狭窄例外保留下来。
同一次修订还放宽了特殊类别数据的处理条件。在求职表单中索要健康信息，或为诊所设计预约表单的网站，应单独评估这一问题；因为特殊类别数据还须遵守委员会规定的额外安全措施。
符合 KVKK 的技术与管理安全措施
KVKK 第 12 条要求数据控制者采取适当的技术和管理措施，保护数据免遭非法访问。对网站而言，这意味着一系列具体、可衡量的步骤：
- 每个页面都使用 HTTPS：有效的 SSL 证书，以及从 HTTP 到 HTTPS 的永久重定向。详情请参阅 我们的网站安全与 SSL 指南。
- 保持软件更新：定期更新 CMS、插件和代码库；删除不用的插件。
- 权限管理：管理后台使用强密码和两步验证；表单记录仅限必要人员访问。
- 备份与日志：定期进行加密备份，并记录后台访问日志。
- 数据泄露预案：发现泄露后，必须尽快、最迟在 72 小时内通知委员会。事先写明谁负责做什么，能在危机时刻节省时间。
这些措施不仅关乎 KVKK，对网站的声誉和搜索可见度也很重要。遭到入侵的网站可能同时失去客户信任和 Google 排名。
需要进行 VERBİS 登记吗？罚款有多少？
VERBİS（数据控制者登记信息系统）并非对所有企业都是强制性的。根据委员会的决定，主要业务不涉及处理特殊类别数据、年度员工人数少于 50 人且年度资产负债表总额低于 1 亿 TL 的数据控制者，可免于登记。根据监管机构 2025 年 10 月 1 日的公告，即使主要业务涉及处理特殊类别数据，年度员工人数少于 10 人且资产负债表低于 1000 万 TL 的企业，也被纳入豁免范围。
行政罚款每年按重估率调整，监管机构会在其网站上公布最新标准。2026 年，违反告知义务的罚款下限约为 8.5 万 TL，上限约为 170 万 TL；违反数据安全和 VERBİS 规定的罚款上限超过 1700 万 TL。确切金额请以监管机构的官方表格为准。
- 是否已列出网站上所有的数据收集点？
- 每个表单下方是否都有告知文本链接？
- 营销同意是否为单独、可选且默认未勾选的勾选框？
- Cookie 面板中的“接受 / 拒绝 / 偏好设置”是否同等醒目？
- 广告和追踪代码是否在取得同意前不加载？
- 是否已明确境外服务及跨境传输依据？
- 申请渠道和数据泄露应对预案是否已准备就绪？
常见问题
小企业的网站也必须遵守 KVKK 吗？
是的。KVKK 适用于所有处理个人数据的自然人和法人。小企业可能免于 VERBİS 登记，但告知、数据安全和答复当事人申请等义务依然存在。
联系表单需要取得明示同意吗？
通常不需要。为回复咨询而处理数据，大多可归入订立合同的准备工作或正当利益范围；提供告知文本即可。但如果用于营销沟通，则需要单独、自愿的同意。
使用 Google Analytics 需要 Cookie 同意吗？
KVKK 的 Cookie 指南认为，仅用于衡量网站运行情况、经过数据最小化且不进行跨站追踪的第一方分析，可归入明示同意以外的条件范围。而包含广告功能、再营销或第三方追踪的配置，则需要取得明示同意。
Cookie 横幅必须有“拒绝”按钮吗？
监管机构 2025 年的指南将“接受”“拒绝”和“偏好设置”按钮以相同大小、颜色和字号呈现，列为良好实践的示例。让拒绝与接受同样容易，是证明同意出于自由意志的最稳妥方式。
KVKK 告知文本可以照搬现成模板吗？
不建议这样做。告知文本应说明您实际处理哪些数据、出于什么目的、使用哪些服务。照搬其他公司的文本，可能导致与实际不符、具有误导性的告知。
结语
符合 KVKK 的网站，不是一个塞满冗长法律文本的网站，而是一个清楚自己收集了什么、不收集多余数据、为用户提供真正选择并安全保存数据的网站。这种做法也能增强访客的信任。法律文本的内容，我们建议您与专业人士合作；而在 Cookie 面板、表单流程、按同意加载代码以及服务器安全等技术层面， 我们的网站解决方案 将为您提供支持。如果您正在规划新网站，也可以看看 企业网站指南 ；如需对现有网站进行 KVKK 技术检查，欢迎 与我们联系.