KVKK açısından web sitenizde ne bulunmalı?

İletişim formunuz var mı? O zaman kişisel veri işliyorsunuz ve bu yazı sizi ilgilendiriyor.

Konu sıkıcı ama pahalı. Kişisel Verileri Koruma Kurumu'nun yayımladığı karar özetleri arasında, sırf sitesinde çerez aydınlatması ve açık rıza düzeni bulunmadığı için yaptırım uygulanan firmalar var. Aşağıda bir kurumsal sitede pratikte ne yapılması gerektiğini yazdık.

Bir not: burada yazılanlar hukuki danışmanlık değil, uygulamada karşılaştığımız gereksinimlerin özeti. Metinlerin son hali için avukatınızla çalışın.

Kim veri sorumlusu sayılıyor?

Sitenizde ziyaretçiden ad, e-posta, telefon gibi bilgiler topluyorsanız ya da ziyaretçi davranışını izleyen araçlar çalıştırıyorsanız, veri sorumlusu sizsiniz. Siteyi yapan ajans değil, verinin amacını ve yöntemini belirleyen firma sorumludur.

Ajans bu tabloda veri işleyen konumunda olur. Aranızda bir sözleşme olması, her iki tarafın da lehine.

Aydınlatma metni ile açık rıza aynı şey mi?

Hayır ve bu ayrım son dönemde daha da keskinleşti.

Aydınlatma yükümlülüğü, Kanun'un 10. maddesinden gelen bağımsız bir ödevdir. Veriyi hangi hukuki sebebe dayanarak işlerseniz işleyin, ilgili kişiye kim olduğunuzu, veriyi hangi amaçla işlediğinizi, kimlere aktarabileceğinizi ve haklarını bildirmek zorundasınız. Açık rızaya dayanmasanız bile bu yükümlülük ortadan kalkmaz.

Açık rıza ise ayrı bir konu: belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay. Yalnızca başka bir işleme şartı yoksa devreye girer.

Kurul'un 18 Şubat 2026 tarihli ilke kararı bu ikisinin ayrı başlıklar altında, ayrı metinler olarak düzenlenmesi gerektiğini ortaya koydu. Yani tek bir kutucukta "Aydınlatma metnini okudum, kabul ediyorum" biçiminde birleştirilmiş onaylar uygun görülmüyor. Sitenizde böyle bir kutucuk varsa düzeltilmesi gereken yer orası.

İletişim formunda ne olmalı?

Pratik tarafına gelelim. Kurumsal bir sitedeki teklif formu için ihtiyaç duyulanlar:

Form alanlarının yanında ya da hemen altında, aydınlatma metnine ulaşan görünür bir bağlantı. Veri toplanmadan önce erişilebilir olmalı; gönderdikten sonra gösterilen metin geç kalmış sayılır.

Formda yalnızca amaç için gerekli alanlar. Kanun'un temel ilkelerinden biri veri minimizasyonu. Teklif vermek için T.C. kimlik numarasına ihtiyacınız yoksa o alanı sormayın.

Pazarlama amaçlı iletişim isteniyorsa ayrı bir onay kutusu. "Kampanyalardan haberdar olmak istiyorum" onayı, teklif talebinin içine gömülmemeli; ticari elektronik ileti göndermek ayrıca İYS kaydı gerektiriyor.

Önceden işaretli kutucuk kullanmayın. Kullanıcının hiçbir şey yapmadan onay vermiş sayıldığı düzenler, özgür irade şartını karşılamıyor.

Çerezlerde kural ne?

Kurul'un çerez rehberinden çıkan temel ayrım şu: sitenin çalışması için zorunlu çerezler rıza gerektirmez, diğerleri gerektirir.

Zorunlu sayılanlar oturum yönetimi, güvenlik ve sepet gibi işlevler. Analitik, reklam ve hedefleme çerezleri ise açık rızaya tabi. Bunun somut sonucu: ziyaretçi seçimini yapana kadar bu çerezlerin çalışmaması gerekir.

Sahada en sık gördüğümüz hata burada. Sitede bir çerez bandı var ama analitik kodu sayfa açılır açılmaz çalışıyor; bant sadece dekoratif. Bu düzen bir uyum sağlamıyor.

Doğru kurgu şöyle çalışır:

• Reddetmek kabul etmek kadar kolay olmalı. "Kabul et" butonunun yanında aynı görünürlükte bir "Reddet" seçeneği bulunmalı.
• Kategori bazında seçim yapılabilmeli. Ziyaretçi analitiği kabul edip reklamı reddedebilmeli.
• Seçim sonradan değiştirilebilmeli. Bu bağlantı genelde sayfa altına konur.
• Çerez listesi yayımlanmalı: çerezin adı, amacı, süresi ve sağlayıcısı.

Son madde en çok atlanan kısım. Bu liste elle yazılabilir ama site her değiştiğinde güncellenmesi gerekir; bu yüzden hangi araçların çalıştığını bilmek şart. Kendi çerez politikamızı örnek olarak inceleyebilirsiniz.

VERBİS kaydı gerekli mi?

VERBİS, veri sorumluları siciline kayıt sistemidir. Her firma için zorunlu değil; zorunluluk, çalışan sayısı, yıllık mali bilanço ve işlenen verinin niteliği gibi ölçütlere bağlı. Ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumluları için eşikler farklı işliyor.

Kendi durumunuzu tahminle değil, Kurum'un sitesindeki güncel kriterlerden kontrol edin. Kayıt zorunluysa sicil numaranız yasal metinlerinizde yer almalı.

Yaptırım ne?

Aydınlatma yükümlülüğünün yerine getirilmemesi ve veri güvenliğine ilişkin yükümlülüklerin ihlali, Kanun'un 18. maddesi kapsamında idari para cezasına tabi. Alt ve üst sınırlar her yıl yeniden değerleme oranıyla güncellendiği için burada rakam yazmıyoruz; güncel tutarları Kurum'un yayımladığı duyurulardan takip edin.

Parasal tarafın yanında, sıkça gözden kaçan bir risk daha var: veri ihlali bildirimleri Kurum tarafından kamuya açık biçimde yayımlanıyor. Firma adınız o listede görünüyor.

Güvenlik tarafını ihmal etmeyin

Uyum sadece metin yazmaktan ibaret değil. Kanun, işlenen verinin korunması için idari ve teknik tedbir alınmasını da istiyor. Bir kurumsal sitede bunun karşılığı:

Formdan gelen kayıtların şifreli bağlantı üzerinden alınması, panele erişimin sınırlı sayıda kişide olması, ayrılan çalışanların hesaplarının kapatılması, yedeklerin korunması ve kayıtların gereğinden uzun süre saklanmaması. Son madde önemli: 2019'da gelmiş bir teklif formunun hâlâ veritabanında durmasının bir gerekçesi olmalı.

Teknik tarafı bakım ve güvenlik yazımızda ayrıntılandırdık.

Kontrol listesi

Sitenizde şunlar var mı, hızlıca bakın:

1. Erişilebilir bir aydınlatma metni
2. Aydınlatmadan ayrı düzenlenmiş açık rıza metni (rıza alınıyorsa)
3. Formda veri toplanmadan önce görünen bilgilendirme bağlantısı
4. Reddetme seçeneği eşit görünürlükte olan çerez bandı
5. Seçim yapılana kadar çalışmayan analitik ve reklam kodları
6. Yayımlanmış çerez listesi
7. Gerekiyorsa VERBİS sicil numarası
8. Ticari ileti gönderiliyorsa ayrı onay ve İYS kaydı

Maddelerin çoğu bir günlük iş, ama sırf kimse sormadığı için yıllarca eksik kalıyor. Kendi yasal metinlerimizin kapsamını KVKK sayfamızda görebilir, sitenizdeki durumu konuşmak için bize yazabilirsiniz.