Web Sitesi KVKK Uyumu: Hangi Metinler Zorunlu?

Doğru soru “hangi metin lazım” değil#

Çoğu işletme KVKK uyumunu metin toplayarak çözmeye çalışır. Bir yerden aydınlatma metni bulunur, altına çerez politikası eklenir, sayfanın altına iki bağlantı konur ve iş bitmiş sayılır. Sıralama tersinden işler. Önce sitenizin hangi veriyi, hangi anda ve ne amaçla topladığını yazın; zorunlu metin listesi bu envanterden kendiliğinden çıkar.

Pratikte beş senaryo var ve çoğu site bunlardan birine oturur. Aşağıdaki tablo her senaryoda gerçekten gereken metinleri gösterir. “Gerekli” sütunundaki her satırın bir karşılığı olmalı; olmayan veriyi beyan eden metin de en az eksik metin kadar sorunludur.

Son satırdaki iki belge KVKK’dan değil, 6502 sayılı Tüketicinin Korunması Hakkında Kanun ve Mesafeli Sözleşmeler Yönetmeliği’nden doğar. İki mevzuatı karıştırmayın. Bir e-ticaret sitesinde kusursuz bir aydınlatma metni olabilir, yine de ön bilgilendirme formu eksik olduğu için ceza gelebilir.

Aydınlatma metni neleri içermek zorunda?#

Aydınlatma yükümlülüğü 6698 sayılı kanunun 10. maddesinden doğar. Kurumun yayımladığı usul ve esaslar tebliği ise metnin içeriğini kalem kalem belirler. Genel geçer cümlelerle geçiştirilemez.

En yaygın hata son satırdan bir önceki: her işleme faaliyetini açık rızaya dayandırmak. Açık rıza, kanunun tanımına göre belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen rızadır. Hizmetin şartı hâline getirilemez. Bir iletişim formunda toplanan ad ve e-posta zaten sözleşme öncesi görüşme için gereklidir; buna ayrıca rıza kutucuğu koymak, hukuken daha zayıf bir zemine geçmek demektir. Rıza her an geri alınabilir, geri alındığında işleme durur.

Kendi gizlilik politikamız bu yapıyı izler: hangi verinin hangi maddeye dayanarak işlendiği tek tek yazılıdır ve sunucu günlükleri için 30 günlük bir süre belirtilmiştir. Süreyi yazmak zor değildir, ama çoğu metinde yoktur.

Çerez onayı gerçekten ne zaman zorunlu?#

Kurum’un Çerez Uygulamaları Hakkında Rehberi ayrımı nettir. Çerez, hizmetin sunulabilmesi için kesinlikle gerekliyse onay aranmaz. Oturum çerezi, alışveriş sepeti, yük dengeleme ve güvenlik çerezleri bu gruba girer. Bunun dışındaki her şey için açık rıza gerekir ve rıza alınmadan çerez yazılmamalıdır.

Son satır teoride kalan bir seçenek değil. Bu sitede ziyaret istatistiğini kendi sunucumuzda çalışan açık kaynaklı Umami ile ölçüyoruz. Tarayıcıya çerez yazılmıyor, IP saklanmıyor, hiçbir üçüncü tarafa veri gitmiyor. Geriye gösterilecek bir tercih kalmıyor, bu yüzden sitede onay bandı da yok; ayrıntısı çerez politikası sayfasında duruyor. Kaybettiğimiz tek şey kullanıcı bazlı ayrıntılı davranış raporu oldu. Hangi sayfanın okunduğunu, ziyaretçinin nereden geldiğini ve hangi içeriğin dönüşüm getirdiğini bu kurulumla da görebiliyoruz.

Buradan ilk “yaptırmayın” tavsiyesi çıkıyor. Kurumsal tanıtım sitenizde üçüncü taraf analitik yoksa, çerez onay bandı kurdurmayın. Banner, dönüşüm oranını düşürür, sayfa açılışını yavaşlatır ve Core Web Vitals tarafında düzen kaymasına yol açar. Ölçüm ihtiyacınızı çerezsiz bir araçla karşılayın, banner sorununu baştan ortadan kaldırın.

Net görüşümüz şu: 2026’da Türkiye’deki kurumsal tanıtım sitelerinin çoğu için doğru kurulum, Google Analytics’i çerezsiz bir ölçümle değiştirmek ve onay bandını hiç koymamaktır. Reklam yürüten e-ticaret siteleri için tablo farklıdır; orada piksel zorunludur, dolayısıyla düzgün bir onay mekanizması da zorunludur.

Onay bandı kuracaksanız doğru kurun#

Banner gerçekten gerekiyorsa, kötü kurulmuş bir banner hiç olmamasından daha risklidir. Çalışmayan bir onay mekanizması, rıza aldığınızı iddia edip almadığınızı belgeler.

• Çerezler onay verilmeden yüklenmemelidir. Sayfa açılışında piksel çalışıp sonra banner göstermek, onayı anlamsız kılar.
• Reddetmek kabul etmek kadar kolay olmalıdır. Tek tıkla kabul, üç tıkla ret olan tasarım özgür iradeyi zayıflatır.
• Kategori bazlı seçim sunulmalı ve seçim saklanmalıdır.
• Onayın geri alınabileceği kalıcı bir bağlantı bulunmalıdır.
• Verilen onayın tarihi ve kapsamı kayıt altına alınmalıdır.
• Banner, içeriği kapatan ve kapatılamayan bir katman olmamalıdır.

VERBİS kaydı kimler için zorunlu?#

VERBİS, Kurumun tuttuğu Veri Sorumluları Sicilidir. Kayıt, veri sorumlusunun hangi veriyi hangi amaçla işlediğini beyan etmesi anlamına gelir. Kurul, çalışan sayısı ve yıllık mali bilanço toplamı belirli eşiklerin altında kalan işletmeleri bu yükümlülükten istisna tutmuştur; ana faaliyet konusu özel nitelikli kişisel veri işlemek olanlar ise ölçeğine bakılmaksızın kapsamdadır. Eşik değerleri Kurul kararlarıyla güncellenebiliyor, bu yüzden buraya sabit bir rakam yazmıyoruz. Güncel eşiği kvkk.gov.tr üzerinden kontrol edin.

İkinci “yaptırmayın” tavsiyesi burada. On kişilik bir ajans ya da danışmanlık şirketiyseniz, sağlık veya biyometrik veri işlemiyorsanız ve yalnızca iletişim formu topluyorsanız, VERBİS kaydı için danışmanlık satın almadan önce istisna kapsamında olup olmadığınızı kontrol edin. Çoğu durumda kayıt gerekmez. Gereken şey, düzgün bir aydınlatma metni ve gerçekten uygulanan bir saklama süresidir.

İstisna kapsamında olmak diğer yükümlülükleri silmez. Aydınlatma, veri güvenliği, ilgili kişi başvurularını 30 gün içinde yanıtlama ve ihlal bildirimi herkes için geçerlidir. Başvuruların geleceği kanal da önceden belli olmalıdır. Sitede yazan e-posta adresini kimse okumuyorsa, istisna kapsamında olmanız işinize yaramaz.

Kayıt gerekiyorsa beyan edilecek bilgiler zaten veri envanterinden gelir: işlenen veri kategorileri, amaçlar, alıcı grupları, azami saklama süreleri ve alınan idari ve teknik tedbirler. Envanteri çıkarmadan VERBİS ekranını doldurmaya çalışmak, en çok vakit kaybettiren sıralama hatasıdır.

İhlal olduğunda saat işlemeye başlar#

Kurul kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmakla yükümlüdür. İlgili kişilere de makul olan en kısa sürede haber verilir. Bu süre kâğıt üzerinde uzun görünür. Uygulamada değildir.

Gerçek bir senaryo: bir müşterimizin iletişim formu gönderimleri yanlış yapılandırılmış bir ortam değişkeni yüzünden dizin listelemesi açık bir klasöre yazılmıştı. Sorunu üç hafta sonra bir ziyaretçi bildirdi. İhlalin fark edilmesi değil, “kim fark edecek” sorusunun cevapsız olması asıl problemdi. Sunucu günlükleri kimse tarafından okunmuyordu, uyarı kurulmamıştı, sorumlu kişi tanımlı değildi. 72 saatlik süre, ihlali öğrendiğiniz andan işler; öğrenmeyi geciktiren bir yapı kurmak sizi korumaz.

Bunun için pahalı bir sisteme gerek yok. Form gönderimlerinin nereye yazıldığını belgeleyin, erişim yetkisi olan kişileri listeleyin, bir kişiyi sorumlu atayın ve yılda bir kez bu listeyi gözden geçirin.

Sık yapılan diğer hatalar#

• Hazır metin kopyalamak. Başka bir sitenin aydınlatma metni, sizin işlemediğiniz veriyi beyan eder ve işlediğinizi gizler.
• Formda onay kutusu olmaması. Aydınlatmanın sunulduğu, form gönderilmeden önce görülebilir olmalıdır.
• Reklam ve sosyal medya araçlarının aydınlatmada hiç anılmaması. Dijital reklam yönetimi veya sosyal medya yönetimi yürütülen bir sitede piksel ve dönüşüm etiketleri vardır; metinde bunlar yazılmalıdır.
• Formdan gelen verinin nereye aktığının bilinmemesi. Veri bir CRM sistemine düşüyorsa, o sistem de aydınlatma metninde aktarım olarak görünmelidir.
• Yurt dışı aktarımın atlanması. Barındırma, e-posta ve analitik sağlayıcınız yurt dışındaysa aktarım rejimi devreye girer; kurallar güncellendiği için kendi durumunuzu Kurum kaynaklarından doğrulayın.
• Metnin bir kez yazılıp unutulması. Siteye yeni bir form ya da araç eklendiğinde metin de güncellenmelidir.

Nereden başlanır?#

Bir hafta sonunda bitirilebilecek sıra şudur. Önce sitenizdeki tüm form, çerez ve üçüncü taraf betiğini listeleyin. Sonra her biri için hangi veriyi topladığınızı, neden topladığınızı ve ne kadar sakladığınızı yazın. Ardından bu listeden aydınlatma metnini üretin; tersini değil. Son adımda gereksiz olanı kaldırın, çünkü toplamadığınız veri korunması gerekmeyen veridir.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Eşikler, süreler ve Kurul kararları değişir; kendi durumunuz için bir hukukçuya danışın ve güncel metinleri kvkk.gov.tr üzerinden doğrulayın. Yeni bir site planlıyorsanız bu kalemleri baştan dahil etmek en ucuz yoldur; SEO uyumlu web sitesi kurulumlarımızda metin altyapısı ve çerezsiz ölçüm standart olarak gelir, bütçe aralıkları için web sitesi fiyatları yazısına bakabilirsiniz. Ekibimiz ve çalışma biçimimiz hakkımızda sayfasında, mevcut sitenizin durumunu konuşmak için iletişim sayfasındayız.