Web Siteniz KVKK'ya Uyumlu mu? Şirketler İçin Kontrol Listesi

Kısaca: Sitenizde iletişim formu, bülten kaydı, analitik aracı veya reklam pikseli varsa 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında kişisel veri işliyorsunuz. Asgari olarak şunlar gerekir: veriyi topladığınız anda size özgü bir aydınlatma, zorunlu olmayan çerezler için önceden ve aktif bir eylemle alınan açık rıza, saklama süresi ve silme düzeni, uygun güvenlik tedbirleri ve yurt dışına giden veriler için 2024'te değişen kurallara uygun bir dayanak. Bu yazı teknik bir kontrol listesidir, hukuki görüş değildir; metinlerin son kontrolünü bir hukukçuya yaptırın.

KVKK konusunda şirketlerin başını en çok ağrıtan şey, mevzuatın kendisi değil kulaktan dolma bilgiler. Aşağıda, web siteleri üzerinde çalışırken en sık duyduğumuz yanlış inanışları ve resmî kaynakların her biri hakkında ne söylediğini topladık. Sonda, sitenizi kendiniz tarayabileceğiniz bir kontrol tablosu var.

Dayandığımız kaynaklar: 6698 sayılı Kanun'un güncel metni, Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehber'i (ilk sürüm Haziran 2022, kvkk.gov.tr'deki güncel sürüm Temmuz 2025), Aydınlatma Yükümlülüğü Tebliği ve 10 Temmuz 2024'te yayımlanan Yurt Dışına Aktarım Yönetmeliği.

"Bizde kişisel veri işlenmiyor"

Bu, en yaygın ve en riskli varsayım. Kanun kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlar; işleme de veriyi elde etmekten saklamaya ve aktarmaya kadar her işlemi kapsar. İletişim formu, bülten kaydı, ziyaretçi istatistiği veya yorum alanı varsa kişisel veri işliyorsunuz demektir.

Kişisel veri yalnızca kimlik numarası değildir; ad, e-posta ve telefonun yanında, belirli koşullarda IP adresi ve çerez kimlikleri gibi kişiyi dolaylı olarak belirlenebilir kılan bilgiler de kapsama girebilir. Çerez Rehberi de analitik araçlarda kimlik belirleme riskini azaltmak için IP maskelemeyi örnek tedbir olarak anar.

"İnternetten bir aydınlatma metni bulup koyduk, tamamdır"

Şablon metin, uyumlu olduğunuzu değil konuyu ciddiye almadığınızı gösterir. Kanun'un 10. maddesine göre veriyi elde ettiğiniz sırada şunları söylemeniz gerekir: veri sorumlusunun kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile kişinin 11. maddedeki hakları. Başka bir şirketin faaliyetini anlatan metin, sizin faaliyetinizi meşrulaştırmaz.

Çerez Rehberi iki noktanın altını çizer: aydınlatma kolay erişilebilir olmalıdır ve pek çok başka konuyu içeren karmaşık bir "Gizlilik Bildirimi" yükümlülüğü yerine getirmiş sayılmaz. İşleme açık rızaya dayanıyorsa aydınlatma ile açık rıza ayrı ayrı alınmalıdır.

"Çerez bildirimi koyduk, sorun kalmadı"

Burada iki ayrı hata var. Birincisi: "siteyi kullanmaya devam ederek çerezleri kabul etmiş olursunuz" ifadesi rıza değildir. Çerez Rehberi, açık rızanın aktif ve olumlayıcı bir eylemle alınması gerektiğini, siteye girmenin rıza anlamına gelmediğini yazar ve tam bu cümleyi "kötü örnek" olarak gösterir.

İkincisi ve daha sık atlananı: açık rızaya tabi çerezler — reklam ve davranışsal hedefleme çerezleri başta olmak üzere — kullanıcı onay vermeden çalışmamalıdır. Rehber, rızanın çerez yerleştirilmeden önce alınmasını ve bu çerezlerin tercih panelinde varsayılan olarak kapalı gelmesini ister. Çoğu sitede ise bildirim ekranda dururken izleme kodları çoktan çalışmış oluyor.

Rehberin iyi uygulama örneği: girişte bir panel; renk, büyüklük ve punto bakımından eşit "Kabul et", "Reddet" ve "Tercihler" butonları; kolayca geri alınabilen ve her ziyarette yeniden sorulmayan bir tercih. Kabul butonu büyük ve renkliyken ret seçeneği menü arkasına gizlenmişse kurgu kusurludur.

Bir incelik: Rehber, yalnızca sitenin kendi trafiğini ölçen, anonim istatistik üreten, siteler arası takip yapmayan ve veriyi üçüncü taraflara iletmeyen birinci taraf analitik çerezlerin açık rıza gerektirmeyebileceğini değerlendirir. Bu dar bir istisnadır; veriyi başka bir şirkete gönderen yaygın analitik araçlarının bu kapsama girip girmediğini kendi kurulumunuz özelinde bir hukukçuyla değerlendirin.

"Müşteri bize yazdıysa e-posta gönderebiliriz"

Kampanya duyurusu için çoğu durumda hayır. Ticari elektronik iletiler ayrıca 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun'a tabidir ve 6. maddeye göre alıcının önceden onayıyla gönderilebilir. Aynı madde iki istisna tanır: iletişim bilgisini veren alıcıya, aldığı mal veya hizmetin değişikliği, kullanımı ve bakımıyla ilgili iletiler için ayrıca onay aranmaz; esnaf ve tacirlere de önceden onaysız ileti gönderilebilir.

Pratik kural: iletişim amacıyla veri toplamak ile ticari ileti izni almak iki ayrı şeydir ve formda ayrı ele alınmalıdır. İkincisi tamamen isteğe bağlı olmalı, onay kutusu önceden işaretli gelmemelidir.

"Veriyi saklamakta bir sakınca yok, belki lazım olur"

Kanun bunun tam tersini söyler: 4. maddeye göre veri, mevzuatta öngörülen veya amaç için gerekli olan süre kadar saklanır; 7. maddeye göre işlenme sebebi ortadan kalkınca silinir, yok edilir veya anonim hâle getirilir. Üç yıl önceki bir teklif talebinin hâlâ veritabanınızda durması "belki lazım olur" ile savunulamaz.

Her veri türü için saklama süresi belirleyin, yazılı hâle getirin ve süresi dolan kayıtlar için bir silme mekanizması kurun. Kendiliğinden silinmeyen bir sistem, er ya da geç uyumsuz hâle gelir.

"Sitemiz HTTPS, güvenlik tamam"

HTTPS gereklidir ama yeterli değildir. Kanun'un 12. maddesi, hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak için "gerekli her türlü teknik ve idari tedbiri" ister ve veriyi sizin adınıza işleyen tedarikçilerle (barındırma, e-posta, CRM) birlikte sorumlu olduğunuzu söyler. Bir web sitesinde asgari gördüğümüz tedbirler: şifreli bağlantı, güçlü ve mümkünse iki aşamalı kimlik doğrulama, yönetim paneline sınırlı erişim, yetki ayrımı, güncel yazılım ve test edilmiş yedekleme.

Sık atlanan iki ayrıntı: yedeğin hangi ülkede tutulduğu da bu kapsamdadır, çünkü yedek de kişisel veri içerir. Veriler yetkisiz kişilerce ele geçirilirse 12. madde bunu en kısa sürede ilgili kişilere ve Kurul'a bildirmenizi şart koşar; bildirimi kimin yapacağını olaydan önce belirleyin.

"Google Analytics kullanıyoruz, o Google'ın sorumluluğu"

Siteye eklediğiniz her dış betik ziyaretçi verisini başka bir şirkete taşır ve sorumluluk sitenin sahibindedir. Çerez Rehberi, üçüncü taraf çerezlerinde hem site sahibinin hem de üçüncü tarafın kullanıcıyı bilgilendirmek ve rıza almakla yükümlü olduğunu belirtir. Bu araçlar aydınlatma metninizde anılmalı, yurt dışına aktarım varsa ayrıca ele alınmalıdır.

Uygulamada en sık rastladığımız uyumsuzluk kaynağı da budur: yıllar içinde eklenmiş, artık kimsenin hatırlamadığı izleme betikleri. Sitenizde çalışan üçüncü taraf araçların listesini çıkaramıyorsanız, ilk iş budur.

Yurt dışına aktarım: 2024'te ne değişti?

Sunucunuz, e-posta servisiniz, form aracınız veya analitik sağlayıcınız Türkiye dışındaysa yurt dışına veri aktarıyor olabilirsiniz. Kanun'un 9. maddesi 7499 sayılı Kanun'la değişti ve yeni hükümler 1 Haziran 2024'te yürürlüğe girdi. Sistem kademelidir:

1. Yeterlilik kararı: Kurul'un, aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş için verip Resmî Gazete'de yayımladığı karar.
2. Uygun güvenceler: Yeterlilik kararı yoksa standart sözleşme, Kurul onaylı bağlayıcı şirket kuralları veya Kurul izniyle yazılı taahhütname gibi bir güvence. Standart sözleşme, imzadan itibaren beş iş günü içinde Kurum'a bildirilir; bildirmemek için Kanun'a ayrı bir idari para cezası eklendi.
3. Arızi aktarım: İkisi de yoksa ve aktarım düzenli değilse sınırlı hâller; örneğin olası riskler konusunda bilgilendirilmiş kişinin açık rızası veya kişiyle yapılan sözleşmenin ifası için zorunluluk.

Pratik sonucu: her gün çalışan bir analitik veya pazarlama aracının düzenli aktarımını "arızi" sayıp yalnızca açık rızaya dayandırmak, yeni sistemle uyumlu görünmüyor. Hangi aracın hangi dayanakla aktarım yaptığını hukukçunuzla netleştirin.

VERBİS'e kayıt olmamız gerekiyor mu?

Kanun'un 16. maddesi Veri Sorumluları Sicili'ne (VERBİS) kaydı şart koşar, ancak Kurul istisna getirebilir. Kurum'un duyurusuna göre 2023/1154 sayılı kararla, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan, ana faaliyeti özel nitelikli kişisel veri işleme olmayan veri sorumluları kayıttan istisnadır. 2025/1572 sayılı kararla, ana faaliyeti özel nitelikli veri işleme olup çalışanı 10'dan ve bilançosu 10 milyon TL'den az olanlar da istisnaya alındı.

İstisnalar Kurul kararlarıyla güncellenebildiği için güncel durumu kvkk.gov.tr'deki "Veri Sorumluları Siciline Kayıt İstisnaları" sayfasından kontrol edin. VERBİS istisnası, aydınlatma, güvenlik, saklama ve başvuruları yanıtlama yükümlülüklerinden muafiyet anlamına gelmez.

"Bu bir kere halledilir, biter"

KVKK uyumu bir belge işi değil, sitenizin yaşayan bir parçasıdır. Her yeni form, entegrasyon ve pazarlama aracı listeyi yeniden gündeme getirir. Ziyaretçilerin haklarını kullanarak yaptığı başvuruları da 13. madde gereği en geç otuz gün içinde, kural olarak ücretsiz sonuçlandırmanız gerekir; başvurunun hangi kanaldan geleceği ve kimin yanıtlayacağı belli olmalıdır.

Kontrol listesi

Bizim rolümüz, hukukçunun rolü

Hukuki metinlerin hazırlanması ve hangi hukuki sebebe dayanılacağı bir hukukçunun işidir; bu yazı hukuki görüş yerine geçmez. Bizim işimiz, o metinlerde verilen sözleri sitenizin gerçekten yerine getirmesidir: çerezlerin gerçekten rızadan sonra çalışması, formların doğru metne bağlanması, eski kayıtların gerçekten silinmesi. Kurumsal web sitesi ve e-ticaret projelerimizde bu altyapıyı baştan kuruyoruz; sitenize bir yapay zeka asistanı veya chatbot eklemeyi düşünüyorsanız aynı sorular orada da geçerlidir.

İlgili yazılar: Sorumlu Yapay Zeka: Veri Güvenliği, Halüsinasyon ve KVKK Uyumu, e-ticaret sitesi açarken yapılan 8 yaygın hata ve WhatsApp chatbot kurulum rehberimiz.

Bu maddeleri kendi siteniz üzerinde gözden geçirmek isterseniz teknik tarafını birlikte inceleyebiliriz.