Kısaca özet
- Web sitesi KVKK uyumu, formu, üyeliği, çerezi ya da analitiği olan her sitede ziyaretçiye 6698 sayılı Kanun’un 10. maddesine göre aydınlatma metni sunulmasıyla başlar.
- Aydınlatma metni veri sorumlusunun kimliğini, işleme amacını, verinin kimlere aktarılacağını, toplama yöntemini ve hukuki sebebini ve ilgili kişinin haklarını söyler.
- Aydınlatma ile açık rıza ayrı işlemlerdir; Aydınlatma Tebliği açık rızaya dayanan işlemede ikisinin ayrı ayrı yapılmasını istiyor.
- KVKK’nın Çerez Uygulamaları Hakkında Rehberi, kesinlikle gerekli olmayan çerezler için açık rıza mekanizmasını ve eşit görünürlükte “kabul et”, “reddet” ve “tercihler” düğmelerini iyi uygulama olarak gösteriyor.
- Siteyi kullanmaya devam etmek çerez onayı sayılmaz; rıza aktif bir olumlu eylemle verilir.
- VERBİS kaydında istisna eşiği, Kurul’un 2023 kararıyla yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan, ana faaliyeti özel nitelikli veri işleme olmayan veri sorumlularıdır.
Siteniz yayında, iletişim formu çalışıyor, analitik kodu ekli, belki bir de bülten aboneliği var. Bir müşteriniz “aydınlatma metniniz nerede?” diye sordu ya da ajansınız çerez bandı eklemeyi önerdi. Web sitesi KVKK tarafında çoğu işletmenin ilk sorusu şudur: bu metinler gerçekten gerekli mi, yoksa büyük şirketlerin işi mi? Kısa cevap, kişisel veri toplayan her sitenin aydınlatma yükümlülüğü taşıdığıdır. Bu yazı hukuki tavsiye değildir; hangi metinlerin gerektiğini anlamanıza yardım eder, metinlerin kendisini hukuk danışmanınızla hazırlayın ve güncel mevzuatı kontrol edin.
Web Sitesi KVKK Kapsamına Ne Zaman Girer
6698 sayılı Kişisel Verilerin Korunması Kanunu, kimliği belirli ya da belirlenebilir bir kişiye ait her bilgiyi kişisel veri sayar. Bir web sitesi şu işlerden birini yapıyorsa kişisel veri işliyordur: iletişim formuyla ad, e-posta ya da telefon almak, üyelik ve sipariş almak, bülten aboneliği toplamak, ziyaretçinin cihazına kişiyi tanımaya yarayan çerez yerleştirmek, IP adresi ve davranış verisi toplayan analitik ya da reklam kodu çalıştırmak.
Hiç form, çerez veya üçüncü taraf kodu olmayan, yalnız bilgi veren statik bir sayfa istisnadır; ama bugün bu tanıma uyan kurumsal site nadirdir. Barındırma sunucusunun erişim kayıtlarında da IP adresleri tutulur. Bu nedenle web sitesi KVKK sorusu çoğu zaman “gerekli mi” değil, “hangi metin, hangi rıza” sorusudur.
Bilgi
Kanunun metni Mevzuat Bilgi Sistemi’nde güncel hâliyle yer alıyor. Kanun 2 Mart 2024 tarihli 7499 sayılı Kanun’la değişti; yurt dışına aktarımı düzenleyen 9. madde ve özel nitelikli verileri düzenleyen 6. madde bu değişiklikten etkilendi.
Aydınlatma Metninde Neler Yer Alır
Kanun’un 10. maddesine göre kişisel veri elde edilirken ilgili kişiye beş konuda bilgi verilir. Usulün ayrıntısı, 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete’de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile düzenlendi.
| Madde 10 başlığı | Web sitesinde karşılığı | Sık yapılan hata |
|---|---|---|
| Veri sorumlusunun kimliği | Şirket unvanı, adresi, iletişim kanalı | Yalnız marka adı yazmak |
| İşleme amacı | Talebe yanıt verme, sipariş ifası, bülten gönderimi | “Hizmetlerimizi geliştirmek” gibi genel ifade |
| Kimlere ve hangi amaçla aktarılabileceği | Kargo, ödeme kuruluşu, barındırma ve e-posta sağlayıcısı, analitik hizmeti | Yurt dışındaki hizmet sağlayıcılarını atlamak |
| Toplama yöntemi ve hukuki sebep | Form, çerez, sunucu kayıtları; sözleşme, hukuki yükümlülük, açık rıza | Her işlemeyi açık rızaya dayandırmak |
| İlgili kişinin hakları | Kanun’un 11. maddesindeki haklar ve başvuru yolu | Başvuru adresi vermemek |
Aydınlatma metni, verinin toplandığı yerde görülebilir olmalıdır. Pratikte bu, formun hemen altında metne giden bir bağlantı ve sitenin alt kısmında kalıcı bir sayfa demektir. Formdaki “okudum” onay kutusu aydınlatmanın yapıldığını gösterir; açık rıza yerine geçmez.
Dikkat
Aydınlatma metnine “siteyi kullanarak bu metni kabul etmiş sayılırsınız” gibi bir cümle eklemek, aydınlatma ile açık rızayı birleştirir. Kurum’un çerez rehberinde aktarılan bir Kurul değerlendirmesinde bu kalıp mevzuata uygun bulunmuyor; Aydınlatma Tebliği’nin 5. maddesine göre açık rızaya dayanan işlemede aydınlatma ve açık rıza ayrı ayrı yapılmalıdır.
Açık Rıza Ne Zaman Gerekir
Kanun’un 5. maddesi açık rızayı genel kural koyar, ama hemen ardından rıza aranmayan şartları sayar: kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğü, meşru menfaat gibi. Sipariş veren müşterinin teslimat adresi sözleşmenin ifası için işlenir; buna açık rıza istenmez. Bülten gönderimi, reklam amaçlı profil çıkarma ya da verinin pazarlama için üçüncü kişiyle paylaşılması ise genellikle açık rıza gerektirir.
Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen bir beyandır. Önceden işaretlenmiş kutu, hizmetin ön koşulu olarak dayatılan onay ya da tek bir kutuyla birden çok amaca verilen izin bu unsurları karşılamaz.
Çerez Politikası ve Çerez Bandı Nasıl Kurgulanır
KVKK, çerezleri 6698 sayılı Kanun çerçevesinde ele alan Çerez Uygulamaları Hakkında Rehber yayımladı; incelenen baskı KVKK Yayınları No 69, Temmuz 2025 tarihlidir. Rehberin site sahibini ilgilendiren başlıca noktaları şunlar:
Kesinlikle gerekli çerezler. Oturum açma, sepet, form doldurma ve gizlilik tercihinin hatırlanması gibi kullanıcının açıkça talep ettiği hizmet için zorunlu çerezler genel olarak açık rıza dışındaki işleme şartlarına dayanabilir. Sitenin güvenliği için kullanılan çerezler de rehberde bu gruba örnek gösteriliyor.
Reklam ve takip çerezleri. Davranışsal reklamcılık için kullanılan çerezler açık rıza gerektirir. Rıza kullanım koşullarına ya da gizlilik bildirimine iliştirilemez.
Çerez bandı. Rehber, siteye girildiğinde açılan panelde renk, büyüklük ve punto açısından eşit “kabul et”, “reddet” ve “tercihler” düğmelerinin sunulmasını iyi uygulama örneği olarak veriyor; farklı amaçlar için ayrı ayrı rıza alınmasını öneriyor. Bantta çerezlerin amacı ve birinci ya da üçüncü taraf olduğu kısaca belirtilmelidir.
Analitik ve işlevsel çerezlerin hangi hukuki sebebe dayanacağı, çerezin gerçekte ne yaptığına göre veri sorumlusunca değerlendirilir. Pratik yol, sitedeki bütün çerezleri listeleyip her birini bir amaca bağlamaktır. Analitik ve reklam kodlarını site başlığına nasıl eklediğinizi bilmek, çerez bandının bu kodları rıza verilmeden çalıştırmamasını sağlamak için gereklidir; bu kısım WordPress siteye kod ekleme kartında anlatılıyor.
Örnek senaryo
Sekiz kişilik bir diş kliniğinin sitesinde randevu formu, bir analitik kodu ve sosyal medya reklam pikseli var. Form altında aydınlatma metni bağlantısı bulunuyor ama açık rıza kutusu aynı metne bağlanmış ve önceden işaretli. Klinik, avukatıyla birlikte düzeni değiştiriyor: form altındaki bağlantı yalnız aydınlatma için kalıyor, sağlık verisi niteliğindeki şikâyet alanı için ayrı ve işaretsiz bir rıza kutusu ekleniyor, reklam pikseli yalnız ziyaretçi çerez bandında “kabul et” dedikten sonra yükleniyor. Klinik sağlık verisi işlediği için VERBİS istisnasının kendisine uygulanıp uygulanmadığını da ayrıca değerlendiriyor.
VERBİS Kaydı Her Site Sahibi İçin Gerekli mi
VERBİS, Veri Sorumluları Sicil Bilgi Sistemi’dir. Her site sahibi kayıt olmak zorunda değildir. Kurul’un 6 Temmuz 2023 tarihli ve 2023/1154 sayılı kararıyla güncellenen istisnaya göre, Kurum’un duyurusunda belirtildiği gibi yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları kayıttan istisnadır. Sağlık, biyometrik veri gibi özel nitelikli veri işlemeyi ana faaliyet olarak yürütenler için kriterler farklıdır; güncel durumu Kurum duyurularından takip edin.
VERBİS istisnası aydınlatma yükümlülüğünü ortadan kaldırmaz. Küçük bir işletme VERBİS’e kayıt olmak zorunda olmasa da sitesinde aydınlatma metni sunmak zorundadır.
Web Sitesi KVKK Uyumunda Hosting Nerede Devreye Girer
Kanun’un 12. maddesi veri sorumlusundan, verinin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun teknik ve idari tedbirleri almasını ister. Web sitesi KVKK tarafında bu tedbirlerin bir kısmı barındırma katmanındadır: SSL ile şifreli bağlantı, güncel PHP ve yazılım sürümleri, düzenli yedek, panele güçlü parola ve iki adımlı doğrulama, sunucu kayıtlarına erişimin sınırlanması. Bu önlemlerin site tarafındaki listesi web sitesi güvenliği önlemleri yazısında toplanıyor.
Sunucunun hangi ülkede olduğu da aydınlatma metnini etkiler. Veriniz yurt dışındaki bir sunucuda tutuluyorsa bu bir aktarım olarak değerlendirilebilir ve 9. maddedeki şartlar gündeme gelir. Barındırma yerinin bu yönünü yurt dışı hosting mi Türkiye hosting mi yazısı ele alıyor; hosting seçiminin diğer ölçütleri hosting nasıl seçilir rehberinde.
Sonuç
Formu, çerezi ya da analitiği olan her site için aydınlatma metni gereklidir; zorunlu olmayan çerezler ve pazarlama işlemleri için açık rıza ayrıca alınır. Çerez bandında kabul ve ret eşit sunulur, siteyi kullanmak rıza sayılmaz. VERBİS kaydı ise eşiğe bağlıdır ve aydınlatma yükümlülüğünü kaldırmaz. Web sitesi KVKK uyumunu hukuk danışmanınızla birlikte kurun.
Kontrol Listesi, Sitenizde Kişisel Veri
- Sitede veri toplayan her noktayı listeleyin: formlar, üyelik, sipariş, bülten, yorum.
- Sitenin yerleştirdiği bütün çerezleri ve üçüncü taraf kodlarını çıkarın, her birine amaç yazın.
- Aydınlatma metnini madde 10’daki beş başlığa göre hazırlatın ve her formun altına bağlayın.
- Açık rıza gereken işlemler için ayrı, önceden işaretlenmemiş onay kutuları kullanın.
- Çerez bandında kabul, ret ve tercih düğmelerini eşit görünürlükte sunun.
- Reklam ve takip kodlarının rıza verilmeden yüklenmediğini tarayıcıda kontrol edin.
- Sunucunun bulunduğu ülkeyi ve veriyi aktardığınız hizmet sağlayıcılarını metne yansıtın.
Sıkça sorulan sorular
Küçük bir kurumsal site için web sitesi KVKK metinleri gerçekten gerekli mi?
Sitede iletişim formu, bülten kaydı, çerez ya da analitik kodu varsa kişisel veri işleniyordur ve aydınlatma yükümlülüğü doğar. İşletmenin küçük olması VERBİS kaydında istisna sağlayabilir, ama aydınlatma metni için bir büyüklük sınırı yoktur. Hiç veri toplamayan, çerez kullanmayan statik bir sayfa bu yükün dışında kalabilir.
Aydınlatma metni ile gizlilik politikası aynı şey mi?
Aynı değildir, ama bir sitede birlikte bulunabilir. Aydınlatma metni Kanun’un 10. maddesindeki başlıkları karşılayan yasal bir bilgilendirmedir. Gizlilik politikası daha genel bir belgedir ve güvenlik önlemleri, saklama süreleri gibi konuları da anlatabilir. Önemli olan, 10. maddedeki bilgilerin eksiksiz ve kolay ulaşılır biçimde verilmesidir.
Çerez bandı olmadan analitik kullanılabilir mi?
Çerezin ne yaptığına bağlıdır. Rehber, kesinlikle gerekli çerezlerin açık rıza dışındaki şartlara dayanabileceğini, reklam ve takip amaçlı çerezlerin ise açık rıza gerektirdiğini söylüyor. Analitik aracınızın veriyi hangi amaçla ve kiminle paylaştığını inceleyip hukuk danışmanınızla değerlendirin; emin değilseniz rıza bandı arkasında çalıştırmak daha temkinli yoldur.
Aydınlatma yükümlülüğüne uymamanın yaptırımı var mı?
Kanun’un 18. maddesi aydınlatma yükümlülüğünü yerine getirmeyenler için idari para cezası öngörüyor. Tutarlar her yıl yeniden değerleme oranıyla güncellendiği için burada rakam verilmedi. Güncel tutarı Kurum’un duyurularından ve hukuk danışmanınızdan teyit edin.
Hazır aydınlatma metni şablonu kullanmak yeterli mi?
Şablon başlangıç noktası olabilir, ama metnin sizin gerçek işlemenizi anlatması gerekir. Hangi formun hangi veriyi topladığı, hangi hizmet sağlayıcılarına aktarıldığı ve sunucunun nerede olduğu siteden siteye değişir. Başka bir siteden kopyalanmış metin, sizin kullanmadığınız araçları anlatır ve kullandıklarınızı atlar.
Narhost’ta
Web hosting paketlerimizde ücretsiz SSL, PHP 5.6 ile 8.4 arasında sürüm seçimi, iki adımlı doğrulama destekli cPanel ve haftalık yedekleme bulunur.