KVKK'ya Uygun Web Sitesi İçin Neler Gerekir?

KVKK'ya uygun bir web sitesi için beş temel başlık gerekir: kişisel veri toplanan her noktada aydınlatma metni, açık rızanın gerektiği durumlarda ayrı ve özgür iradeyle alınan bir onay, zorunlu olmayan çerezleri kullanıcı onay verene kadar çalıştırmayan bir çerez yönetimi, yalnızca gerekli veriyi toplayan güvenli formlar ve verilerin ne kadar süre saklanacağını belirleyen kurallar. Bu başlıkların dayanağı 6698 sayılı Kişisel Verilerin Korunması Kanunu ve Kişisel Verileri Koruma Kurumu'nun yayımladığı rehberlerdir.

Bu yazı, resmi kaynaklarda yer alan ilkeleri bir web sitesinin pratik ihtiyaçlarına çevirmek amacıyla hazırlanmıştır ve hukuki görüş yerine geçmez. Metinlerinizi hazırlarken ve veri işleme süreçlerinizi tanımlarken bir hukuk danışmanından destek almanızı öneririz.

Aydınlatma metni ile açık rıza arasındaki fark nedir?

Bu iki kavram sıkça karıştırılır, ancak farklı yükümlülüklerdir.

Aydınlatma metni bir bilgilendirmedir. Kanun'un 10. maddesine göre veri sorumlusu, kişisel veriler elde edilirken ilgili kişiye kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve 11. maddede sayılan haklarını bildirmekle yükümlüdür. Aydınlatma, veri hangi hukuki sebebe dayanırsa dayansın yapılır. Kurum'un bu konudaki usul ve esasları açıklayan Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi iyi uygulama örnekleri sunar.

Açık rıza ise bir onaydır. Kurum'un açık rıza açıklamasında belirtildiği gibi açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Kanun'un 5. maddesi, açık rıza aranmaksızın veri işlenebilecek durumları da sayar: örneğin bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati.

Pratikteki sonuç şudur: her formda aydınlatma yapılır, ama her form için açık rıza istenmez. Bir teklif formunda, talebi yanıtlamak için gereken iletişim bilgisi sözleşme öncesi ilişkiye dayanabilir. Aynı formda pazarlama iletisi gönderme izni ise ayrı bir onay kutusuyla istenmelidir.

Çerez bildirimi nasıl olmalı?

Kurum, Temmuz 2025'te güncellenen Çerez Uygulamaları Hakkında Rehber ile web sitelerindeki çerez kullanımına ilişkin değerlendirmelerini paylaşmıştır. Rehberden bir web sitesi için öne çıkan noktalar şunlardır:

• Zorunlu çerezler ayrı değerlendirilir. Kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekli olan çerezler, açık rıza dışındaki işleme şartlarına dayanabilir. Rehber, bu çerezlerin pazarlama amacıyla kullanılmaması gerektiğini vurgular.
• Diğer çerezler için açık rıza gerekebilir. İşlevsellik, analitik ve reklam gibi amaçlarla kullanılan ve kesinlikle gerekli olmayan çerezlerde genellikle açık rızaya dayanılması gerekir.
• Seçenekler eşit sunulmalıdır. Rehber, siteye girildiğinde çıkan bir yönetim panelinde "kabul et", "reddet" ve "tercihler" seçeneklerinin renk, büyüklük ve punto açısından eşit sunulmasını iyi uygulama örneği olarak gösterir.
• Açık rıza gerektiren çerezler başlangıçta kapalı gelmelidir. Rehbere göre bu çerezlerin yönetim panelinde ilk etapta pasif biçimde gelmesi önemlidir.
• Panelde aydınlatma da yer almalıdır. Rehber, çerez yönetim paneline çerezler yoluyla kişisel veri işlenmesine dair bir açıklama ya da gerekirse aydınlatma metnine bir bağlantı konulmasını doğru uygulama örneği olarak gösterir.
• Rıza her girişte yeniden istenmemelidir. Rehbere göre rızanın çok sık istenmesi rıza yorgunluğuna yol açabilir; tercihin çerezin ömrüyle orantılı aralıklarla hatırlatılması uygun görülür.
• Rıza başka metinlere iliştirilemez. Rehber, çevrim içi reklamcılık çerezleri için açık rızanın kullanım koşulları veya gizlilik bildirimi gibi belgelerin içine iliştirilerek alınamayacağını belirtir.
• Rıza kolayca geri alınabilmelidir. Rıza yönetim panelinin sayfanın bir köşesinde küçük bir ikon ya da bant olarak erişilebilir kalması iyi örnek olarak değerlendirilir.

Teknik açıdan bu, analitik ve reklam etiketlerinin kullanıcı onay verene kadar hiç yüklenmemesi anlamına gelir. Bir bandın görünmesi yeterli değildir; arka planda etiketlerin gerçekten beklediği test edilmelidir.

İletişim formu hangi veriyi toplamalı?

Kanun'un 4. maddesi, kişisel verilerin belirli, açık ve meşru amaçlar için ve bu amaçla bağlantılı, sınırlı ve ölçülü olarak işlenmesini ister. Bir web formunda bu ilke şu sorulara dönüşür:

• Bu alan talebi yanıtlamak için gerçekten gerekli mi? Bir iletişim formu için ad, e-posta veya telefon ve mesaj alanı çoğu zaman yeterlidir. Doğum tarihi ya da adres gibi alanlar ancak somut bir amaç varsa eklenmelidir.
• Zorunlu alanlar asgari mi? Yalnızca talebin yanıtlanması için şart olan alanlar zorunlu olmalıdır.
• Özel nitelikli veri isteniyor mu? Kanun'un 6. maddesi sağlık, biyometrik veri ve benzeri bilgileri özel nitelikli kişisel veri olarak tanımlar ve bu veriler için ayrı şartlar öngörür. Genel amaçlı formlarda bu tür veriler istenmemelidir.
• Aydınlatma metni formun yanında mı? Form gönderilmeden önce aydınlatma metnine ulaşılabilmelidir.
• Pazarlama izni ayrı mı? Bülten veya kampanya iletisi için onay, işaretlenmemiş ayrı bir kutuyla istenmelidir. 6563 sayılı Kanun'un 6. maddesine göre ticari elektronik iletiler alıcılara ancak önceden onayları alınmak kaydıyla gönderilebilir; bu onayların İYS kurallarına göre yönetilmesi gerekir.

Form ve site güvenliği nasıl sağlanır?

Kanun'un 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin eden teknik ve idari tedbirleri almasını ister. Aynı madde, verilerin başka bir kişi tarafından işlenmesi halinde veri sorumlusunun bu kişiyle birlikte müştereken sorumlu olduğunu belirtir. Bu da barındırma firmanızın, form servisinizin ve e-posta altyapınızın seçimini doğrudan ilgilendirir. Bir web sitesi için uygulamada şu tedbirler öne çıkar:

• Tüm sayfaların SSL sertifikası ile şifreli bağlantı üzerinden sunulması.
• Form verilerinin herkese açık bir klasörde ya da şifresiz e-postalarla dolaşmaması.
• Yönetim paneline erişimin kişiye özel hesaplarla ve güçlü kimlik doğrulamayla sınırlandırılması.
• Yazılımın, eklentilerin ve sunucunun güncel tutulması, düzenli yedek alınması.
• Veriyi işleyen hizmet sağlayıcılarla yazılı sözleşme yapılması.

Verileri yurt dışındaki sunucularda işleyen araçlar kullanıyorsanız (bazı analitik, form ve e-posta servisleri gibi), Kanun'un yurt dışına aktarımı düzenleyen 9. maddesinin de değerlendirilmesi gerekir. Bu konu teknik olduğu kadar hukuki bir karardır.

Veriler ne kadar süre saklanmalı?

Kanun'un 4. maddesi, verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini öngörür. 7. madde ise işlenmesini gerektiren sebepler ortadan kalktığında verilerin resen veya ilgili kişinin talebi üzerine silinmesini, yok edilmesini veya anonim hale getirilmesini düzenler. Web sitesi açısından bu şu adımlara karşılık gelir:

1. Sitenin topladığı her veri türünü listeleyin: form başvuruları, bülten aboneleri, sipariş bilgileri, sunucu kayıtları.
2. Her biri için saklama amacını ve süresini belirleyin.
3. Sürenin dolduğu kayıtları silen ya da anonimleştiren bir rutin kurun; mümkünse bunu otomatikleştirin.
4. İlgili kişilerin Kanun'un 11. maddesindeki haklarını kullanabilmesi için sitede net bir başvuru yolu gösterin.

KVKK kontrol listesi

• Veri toplanan her noktada aydınlatma metnine bağlantı var.
• Açık rıza gereken işlemler ayrı ve işaretlenmemiş onay kutularıyla isteniyor.
• Zorunlu olmayan çerezler onay verilene kadar çalışmıyor; kabul ve ret seçenekleri eşit sunuluyor.
• Formlarda yalnızca gerekli alanlar var.
• Site şifreli bağlantıyla sunuluyor, yönetim erişimleri kişiye özel.
• Saklama süreleri tanımlı, silme rutini çalışıyor.
• İlgili kişi başvuruları için bir iletişim yolu belirtilmiş.

Bu listenin teknik tarafını, yani çerez yönetimi, form yapısı, şifreli bağlantı ve barındırma güvenliğini, sitenin ilk tasarımından itibaren ele alıyoruz. Yaklaşımımızı web sitesi hizmetimiz sayfasında, yeni bir site projesinde dikkat edilecek diğer konuları ise web sitesi yaptırırken dikkat edilmesi gerekenler yazımızda bulabilirsiniz.

Sitenizin çerez, form ve güvenlik altyapısını gözden geçirmek isterseniz sitenizi bize anlatın, teknik tarafı birlikte değerlendirelim.

Sık sorulan sorular

Her web sitesinde çerez bandı gerekir mi?

Yalnızca kesinlikle gerekli çerezleri kullanan bir site, Kurum rehberine göre açık rıza dışındaki şartlara dayanabilir. Analitik veya reklam çerezi kullanılıyorsa açık rıza ve bunu yönetecek bir panel gerekir. Her durumda çerezlere ilişkin aydınlatma yapılmalıdır.

İletişim formu için açık rıza almam gerekir mi?

Talebi yanıtlamak için gereken veriler çoğu zaman açık rıza dışındaki şartlara dayanabilir; aydınlatma ise her durumda yapılır. Pazarlama iletisi gibi ayrı amaçlar için ayrı onay alınmalıdır. Kendi durumunuz için bir hukuk danışmanına başvurmanızı öneririz.

Hazır bir aydınlatma metni kullanabilir miyim?

Aydınlatma metni, sizin gerçekte hangi veriyi hangi amaçla işlediğinizi yansıtmalıdır. Başka bir siteden alınan metin, sizin süreçlerinizle örtüşmeyebilir.

KVKK uyumu yalnızca teknik bir iş mi?

Hayır. Çerez yönetimi, form güvenliği ve saklama rutinleri teknik olarak kurulur; ancak hangi verinin hangi hukuki sebeple işleneceği hukuki bir karardır ve iki tarafın birlikte çalışmasını gerektirir.