Sitenizde bir iletişim formu, ziyaretçi istatistiği tutan bir araç ya da gömülü bir harita varsa, siteniz üzerinden kişisel veri işleniyor olabilir. Bu da 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında bazı yükümlülükler doğurur.
Bu yazıda web sitenizde hangi metinlerin ve ayarların gerektiğini, KVKK Kurumu'nun rehberlerine ve Kurul kararlarına dayanarak sade bir dille anlatıyoruz. Amacımız hukuki görüş vermek değil, hukukçunuzla konuşurken neleri sormanız gerektiğini bilmenizi sağlamak.
Önce sitenizde hangi verilerin toplandığını çıkarın
Hukukçunuzun ilk soracağı şey, sitenizin hangi veriyi nereden aldığıdır. Bu listeyi web tasarımcınızla birlikte hazırlayın:
- Formlar: İletişim, teklif, randevu ya da iş başvurusu formlarında istenen ad, telefon, e-posta gibi bilgiler
- Üyelik ve sipariş: E-ticaret sitelerinde adres, fatura ve sipariş bilgileri
- Çerezler ve analiz araçları: Ziyaretçinin cihazı, tarayıcısı ve sitede ne yaptığıyla ilgili veriler
- Gömülü içerikler: Harita, video ve sosyal medya eklentileri
- Canlı destek, bülten ve kampanya kayıtları
Her aracın hangi şirkete ait olduğunu ve verinin yurt dışına gidip gitmediğini de not edin. Bu bilgi, aşağıda anlatacağımız yurt dışına aktarım konusunda gerekecek.
Aydınlatma metni: veri toplanıyorsa her durumda gerekir
KVKK'ya göre kişisel veri elde edilirken ilgili kişi bilgilendirilmelidir. Buna aydınlatma yükümlülüğü denir. Aydınlatma Yükümlülüğü Tebliği'ne göre bu yükümlülük, hangi hukuki sebebe dayanılırsa dayanılsın yerine getirilir ve kişinin talep etmesine bağlı değildir. Yerine getirildiğini ispat etmek de veri sorumlusuna, yani size düşer.
Aydınlatma metninde en az şunlar bulunmalı:
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçla işleneceği
- Verilerin kimlere ve hangi amaçla aktarılabileceği
- Verilerin toplanma yöntemi ve hukuki sebebi
- İlgili kişinin KVKK'nın 11. maddesinde sayılan hakları
Tebliğ, metnin anlaşılır, açık ve sade bir dille yazılmasını, amaçların belirli olmasını ve genel, muğlak ifadelere yer verilmemesini de istiyor. KVKK'nın çerez rehberi ayrıca, karmaşık ve pek çok konuyu bir arada anlatan gizlilik bildirimlerinin aydınlatma yükümlülüğünü yerine getirdiği şeklinde yorumlanamayacağını belirtiyor.
Pratikte: Aydınlatma metnini sitenin alt kısmından ulaşılan ayrı bir sayfada yayınlayın ve her formun hemen yanına bu sayfanın bağlantısını koyun.
Açık rıza: her form için gerekmez
Açık rıza, Kanun'daki diğer veri işleme şartlarından hiçbiri yoksa başvurulan bir hukuki sebeptir. Kişisel Verileri Koruma Kurulu'nun 2026 yılında yayımladığı bir ilke kararına ilişkin duyuruda, uygulamada sık görülen şu hatalar sayılıyor:
- Aydınlatma metni ile açık rıza metnini tek bir metinde birleştirmek
- Aydınlatma metnini onaya bağlamak, örneğin "okudum, kabul ediyorum" kutusu koymak
- Başka şirketlerin metinlerini birebir kopyalamak
- Muğlak, karmaşık ve yanıltıcı ifadeler kullanmak
Karara göre aydınlatma her durumda ve onaya bağlanmadan yapılmalı. Kişiden en fazla metni okuyup bilgi edindiğine dair bir geri bildirim alınabilir. Açık rıza gerçekten gerekiyorsa aydınlatmadan ayrı, farklı başlıklı bir metinle istenmeli. Kurum, başka bir işleme şartı varken açık rıza istenmesini de kişiyi yanıltan bir uygulama olarak değerlendiriyor.
Hangi formun hangi hukuki sebebe dayanacağına hukukçunuzla birlikte karar verin. E-posta ya da SMS ile kampanya gönderecekseniz ticari elektronik ileti mevzuatındaki onay kuralları da ayrıca devreye girer.
Çerezler: hangileri için rıza gerekir?
KVKK Kurumu'nun Temmuz 2025'te yayımladığı Çerez Uygulamaları Hakkında Rehber, çerezleri kullanım amacına göre değerlendiriyor. Rehberin yaklaşımı özetle şöyle:
| Çerez türü | Ne işe yarar? | Rehbere göre açık rıza |
|---|---|---|
| Oturum ve sepet çerezleri | Giriş yapılmasını, sepetin kaybolmamasını sağlar | Kesinlikle gerekliyse aranmaz |
| Güvenlik çerezleri | Sitenin kötüye kullanımını engeller | Kesinlikle gerekliyse aranmaz |
| Çerez tercihini hatırlayan çerez | Ziyaretçinin seçimini hatırlar | Aranmaz |
| Birinci taraf analitik çerezler | Ziyaret ve performans istatistiği üretir | Rehberdeki koşullar sağlanırsa aranmayabilir |
| Davranışsal reklam çerezleri | Ziyaretçiyi reklam amacıyla izler | Aranır |
| Sosyal eklenti takip çerezleri | Ziyaretçiyi sosyal ağlar adına izler | Aranır |
Analitik çerezlerdeki koşullar önemli. Rehbere göre birinci taraf analitik çerezler, amacı sitenin kendi ölçümüyle sınırlıysa, sadece anonim istatistik üretiyorsa ve ziyaretçiyi farklı siteler arasında takip etmiyorsa bu kapsamda değerlendirilebilir. Çerez ömrünün makul tutulması ve verilerin üçüncü taraflara iletilmemesi de önerilen tedbirler arasında. Kullandığınız analiz aracı verileri başka bir şirkete ya da yurt dışına gönderiyorsa, durumu hukukçunuzla ayrıca değerlendirin.
Çerez paneli nasıl kurulmalı?
Rehbere göre dikkat edilecek başlıca noktalar şunlar:
- Rıza, çerez yerleşmeden önce alınmalı. Rıza gerektiren çerezler ziyaretçi seçim yapmadan çalışmamalı.
- Siteye girmek rıza sayılmaz. Açık rıza aktif bir eylemle verilir.
- Seçenekler eşit sunulmalı. Panelde "kabul et", "reddet" ve "tercihler" düğmelerinin renk, büyüklük ve yazı boyutu bakımından eşit olması iyi uygulama örneği olarak gösteriliyor.
- Rıza gerektiren çerezler panelde kapalı gelmeli. Önceden işaretlenmiş seçenek olmamalı.
- Rıza kolayca geri alınabilmeli. Sayfanın köşesinde duran küçük bir simgeyle tercihlerin değiştirilebilmesi iyi örnek sayılıyor.
- Çerez duvarı kurulmamalı. Tüm çerezleri kabul etmeyen ziyaretçiye içeriği göstermemek özgür iradeyi sakatlayabilir ve alınan rıza geçerli olmayabilir.
- Reklam çerezleri için rıza, kullanım koşullarının ya da gizlilik bildiriminin içine iliştirilemez.
Çerez politikasında neler olmalı?
Çerezler için yapılan aydınlatma da yukarıdaki unsurları taşımalı. Rehber buna ek olarak her çerezin adının, kullanım amacının, kullanım süresinin ve birinci ya da üçüncü taraf olup olmadığının açıkça yazılmasını tavsiye ediyor. Metinde ziyaretçinin tercihlerini nasıl değiştirebileceği de anlatılmalı ve çerez panelinde bu metne bir bağlantı bulunmalı.
Rehber, siteyi ziyaret eden kişinin kişisel verilerinin işlendiği konusunda siteye giriş aşamasında bilgilendirilmesini de bekliyor. Yani sadece zorunlu çerezler kullanılsa bile, çerezlerle kişisel veri işleniyorsa bilgilendirme yapılmalı.
Yurt dışındaki hizmetler
Sık kullanılan analiz, reklam, harita ve video araçlarının bir kısmı yurt dışında yerleşik şirketlere aittir. Rehbere göre bu şirketlerin çerezleri aracılığıyla yurt dışına veri aktarılıyorsa, aktarımın KVKK'nın 9. maddesine ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun yapılması gerekir. Bu kurallar 2024'te yapılan değişikliklerle yeniden düzenlendi. Sitenizdeki üçüncü taraf hizmetlerin listesini hukukçunuza mutlaka verin.
Web tasarımcınızdan isteyecekleriniz
Metinleri hukukçu hazırlar, ama bu metinlerin sitede doğru çalışması teknik bir iştir:
- Sitede çalışan tüm çerezlerin ve üçüncü taraf hizmetlerin listesi
- Rıza verilmeden reklam ve takip kodlarının çalışmadığının kontrolü
- Eşit düğmeli bir çerez paneli ve tercihleri değiştirmek için her sayfada ulaşılabilen bir simge
- Her formun yanında aydınlatma metni bağlantısı
- Formlardan, amaç için gerekmeyen alanların çıkarılması
Son madde KVKK'nın genel ilkelerinden birine dayanır: veriler işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. E-ticaret siteniz varsa başka yasal belgeler de gerekir. Bunları internetten satış için gerekli belgeler yazımızda ele alıyoruz.
Sık yapılan hatalar
- Başka bir sitenin KVKK metnini kopyalayıp şirket adını değiştirmek
- Aydınlatma metnine "okudum, onaylıyorum" kutusu koymak
- Sadece "kabul et" düğmesi olan, reddetme seçeneği sunmayan bir çerez bandı kullanmak
- Çerez bandı gösterip rıza gelmeden analiz ve reklam kodlarını çalıştırmak
- Her şeyi "gizlilik politikası" adıyla tek, uzun ve karmaşık bir metne sıkıştırmak
- Sitede yeni bir araç kullanmaya başlayıp metinleri güncellememek
Sık sorulan sorular
Web sitesinde KVKK metni zorunlu mu?
Siteniz aracılığıyla form, üyelik ya da çerez gibi yollarla kişisel veri işliyorsanız aydınlatma yükümlülüğünüz vardır. Hangi metinlerin gerektiği, sitenizde hangi verilerin hangi amaçla işlendiğine bağlıdır. Bu değerlendirmeyi bir hukukçuyla yapmanız en doğrusudur.
Aydınlatma metni ile açık rıza metni aynı şey mi?
Hayır. Aydınlatma metni kişiyi bilgilendirir ve her durumda, onaya bağlanmadan sunulur. Açık rıza ise sadece başka bir işleme şartı olmadığında istenir ve aydınlatma metninden ayrı, farklı başlıklı bir metinle alınır.
Çerez bandı zorunlu mu?
Rıza gerektiren çerezler kullanıyorsanız, bu çerezler yerleşmeden önce ziyaretçinin açık rızasını almanız gerekir. KVKK'nın rehberi bunun için siteye girişte eşit düğmeli bir panel göstermeyi iyi uygulama olarak anlatıyor. Sadece zorunlu çerezler kullanıyorsanız rıza aranmasa da ziyaretçiyi bilgilendirmeniz gerekir.
İnternetteki hazır KVKK metnini kullanabilir miyim?
Önerilmez. Kurul'un ilke kararına ilişkin duyuruda başka veri sorumlularının metinlerinin birebir kullanılması hatalı uygulamalar arasında sayılıyor ve metinlerin her işletmenin kendi işleyişine göre düzenlenmesi isteniyor. Hazır bir şablon fikir verebilir, ama sitenizi tek başına uyumlu hale getirmez.
VERBİS kaydı yaptırmam gerekir mi?
Bazı veri sorumlularının Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yükümlülüğü vardır, bazıları ise Kurul kararlarıyla bu yükümlülükten muaf tutulur. Muafiyet kriterleri zaman içinde değişebildiği için güncel durumu muhasebecinize ya da hukukçunuza sorun.
Kısacası
Web sitenizde kişisel veri işleniyorsa aydınlatma her durumda gerekir, açık rıza ise sadece gerçekten gerektiğinde ve ayrı bir metinle istenir. Rıza gerektiren çerezler ziyaretçi seçim yapmadan çalışmamalı, reddetmek de kabul etmek kadar kolay olmalıdır. Metinleri hukukçunuz hazırlar; çerez panelinin, form bağlantılarının ve kodların doğru çalışması ise sitenin teknik kurulumuna bağlıdır. Bu teknik kısmı birlikte ele almak isterseniz web tasarım hizmetimize göz atabilirsiniz.