Web sitelerinde KVKK ve çerez politikası uyumu: 6698 sayılı kanun, açık rıza ve idari para cezaları

Bir web sitesi açmak yalnızca tasarım ve kodlamadan ibaret değildir. Sitenizi ziyaret eden her kullanıcıdan IP adresi, çerez verisi, iletişim formu bilgisi veya analitik kaydı topladığınız anda hukuken bir veri sorumlusu hâline gelirsiniz.

Türkiye'de yürürlükte olan 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Kişisel Verileri Koruma Kurulu'nun yayımladığı Çerez Uygulamaları Hakkında Rehber, web sitelerinde gelişigüzel veri toplanmasının önüne geçer. Gerekli aydınlatma ve açık rıza süreçlerini işletmeyen firmalar ciddi idari para cezalarıyla karşılaşabilir.

Web siteleri neden KVKK kapsamındadır?

Bir web sitesinin ziyaretçisiyle kurduğu en temel etkileşimler bile kanun nezdinde "kişisel veri işleme" sayılır:

İletişim ve teklif formları: Ad, soyad, telefon numarası, e-posta adresi.
Sunucu kayıtları (loglar): Ziyaretçinin IP adresi, tarayıcı bilgisi, bağlantı zaman damgası (5651 sayılı kanun gereği tutulması gerekse de KVKK kapsamında kişisel veridir).
Pazarlama ve analitik çerezleri: Google Analytics, Meta Pixel veya yeniden hedefleme (retargeting) etiketlerinin tarayıcıya bıraktığı takip kodları.

Unsur	Uyumsuz web sitesi	KVKK ve çerez rehberine uyumlu web sitesi
Çerez uyarısı	"Sitemizi kullanarak çerezleri kabul edersiniz" yazan pasif banner	Kategorilere ayrılmış (zorunlu, analitik, pazarlama) seçim hakkı sunan aktif panel
Açık rıza	Sayfaya girer girmez tüm takip piksellerinin otomatik yüklenmesi	Kullanıcı onay verene kadar pazarlama/analitik kodlarının engellenmesi
Aydınlatma metni	Kopyala-yapıştır genel taslaklar	Veri sorumlusunun unvanı, işleme amacı ve hakların (madde 11) açıkça yazıldığı güncel metin
İletişim formları	Onaysız doğrudan gönderilen formlar	Aydınlatma metnine bağlantı ve ticari ileti için ayrı açık rıza kutusu

Önce envanter: sitede veri nereden toplanıyor?

İletişim formu, teklif formu, üyelik, sipariş, bülten aboneliği, canlı destek, randevu sistemi. Ayrıca görünmeyenler: ziyaret istatistikleri, reklam pikselleri, harita ve video yerleştirmeleri. Her biri ayrı bir veri akışı; aydınlatma metni bu listeden yazılır.

Bir web sitesinde bulunması gereken 3 temel katman

1. KVKK aydınlatma metni (madde 10)

Aydınlatma yükümlülüğü açık rızadan bağımsızdır; veri işlenen her noktada kullanıcıya sunulmalıdır. Metinde şunlar yer almalıdır:

Veri sorumlusunun kimliği (ticaret unvanı, MERSİS/vergi no, iletişim adresi),
Kişisel verilerin hangi amaçla işlendiği,
Verilerin kimlere ve hangi amaçla aktarılabileceği,
Veri toplamanın yöntemi ve hukuki sebebi (kanuni zorunluluk, sözleşmenin ifası veya açık rıza),
İlgili kişinin hakları (KVKK madde 11 uyarınca bilgi talep etme, düzeltme, silme).

2. Kademeli ve aktif çerez yönetimi

Kurul'un çerez rehberine göre:

Sitenin çalışması için teknik olarak zorunlu çerezler (oturum çerezleri, sepet bilgisi) için rıza gerekmez; ancak bilgilendirme yapılmalıdır.
Analitik ve reklam çerezleri (Google Analytics, Meta Pixel vb.): Kullanıcı açıkça onay vermeden önce çalıştırılmamalıdır.
Önceden işaretlenmiş kutucuklar veya "kapat" çarpısına basınca kabul edilmiş sayan tasarımlar geçerli rıza sayılmaz.

3. Ticari elektronik ileti ve form onayları

İletişim veya bülten formlarında KVKK aydınlatması ile "kampanya, bülten ve pazarlama SMS/e-postası alma" onayı birbirine bağlanamaz. Pazarlama izni ayrı bir kutucukla, bağımsız açık rıza olarak alınmalıdır.

Teknik tarafta

Formlar HTTPS üzerinden gönderilmeli.
Form gönderimlerinin nereye gittiği bilinmeli: e-postaya mı düşüyor, bir veritabanına mı yazılıyor, üçüncü bir servise mi gidiyor?
Yönetim paneline erişim kısıtlı ve iki adımlı olmalı; yedekler şifreli ve erişimi sınırlı yerlerde tutulmalı.
Saklama süresi: Bir yıl önce gelen iletişim formları hâlâ bir yerde duruyor mu? Gereksiz veri saklamamak hem yasal hem güvenlik açısından en iyisi.
Gereksiz takip kodları kaldırılmalı; her eklenen kod yeni bir veri paylaşımı demek.

Bizim sitemizde ne yaptık?

İletişim formumuz yazdığınız bilgileri yalnızca e-posta olarak bize iletiyor, ayrıca bir veritabanında saklamıyor. Ziyaret istatistiklerimiz çerezsiz; IP adresi saklanmıyor ve üçüncü taraf bir ölçüm servisi kullanmıyoruz. Ayrıntılar gizlilik sayfamızda.

Az veri toplamak, KVKK uyumunun en kolay yoludur. Formunuzda gerçekten kullanmadığınız alan varsa silin.

Yaptırımlar: ihmalin bedeli nedir?

6698 sayılı kanunun 18. maddesindeki idari para cezaları her yıl yeniden değerleme oranıyla güncellenir:

Aydınlatma yükümlülüğünü yerine getirmemek (madde 18/1-a): Yüz binlerce liraya varan idari para cezası.
Veri güvenliğine ilişkin yükümlülükleri ihlal (madde 18/1-b): Üst sınırı milyonlarca lirayı bulan cezalar.
Kurul kararlarına uymamak (madde 18/1-c): Kararlar tebliğ edildiği hâlde sitenin düzeltilmemesi durumunda ek ceza.

Arama motorları ve yapay zekâ (GEO) açısından güven

Google, içerik kalitesini değerlendirirken E-E-A-T (deneyim, uzmanlık, otorite, güvenilirlik) ilkesine bakar.

Alt bilgi alanında geçerli bir aydınlatma metni, çerez politikası, açık şirket künyesi ve veri sorumlusu bilgisi bulunan siteler hem kullanıcıya hem de değerlendirme yapan sistemlere "gerçek, hesap verebilir bir işletme" izlenimi verir. Bu bilgilerin eksikliği güvenilirlik değerlendirmesini zayıflatır.

Sıkça sorulan sorular

Hazır bir siteden KVKK metni kopyalayıp sitemize koyabilir miyiz?

Hayır. Her web sitesinin kullandığı araçlar, sunucu altyapısı, analiz yazılımları ve veri işleme amaçları farklıdır. Kopyalanan metinde adı geçen araç sitenizde yoksa veya sitenizde olup metinde yazmayan bir takip kodu varsa, aydınlatma yükümlülüğü yerine getirilmemiş sayılır.

Yurt dışı kaynaklı analiz araçları (Google Analytics vb.) kullanmak yurt dışına veri aktarımı sayılır mı?

Evet. Sunucuları Türkiye dışında bulunan araçlar üzerinden ziyaretçi verisi toplanması KVKK madde 9 kapsamında yurt dışına kişisel veri aktarımıdır. Standart sözleşme gibi kanunda sayılan mekanizmalardan birine dayanılması gerekir.

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. Sitenizin teknik tarafını birlikte kurmak için web siteleri sayfasına bakabilirsiniz.

İlgili yazılar: E-ticaret ve hizmet sitelerinde yasal zorunluluklar: ETBİS, MERSİS, mesafeli satış ve tüketici mevzuatı, SSL sertifikası (HTTPS) ve web güvenliği: "Güvenli değil" uyarısının ciroya ve sıralamaya etkisi, Kurumsal e-posta altyapısı (info@ ve @gmail.com): prestij, spam filtreleri ve güvenli iletişim rehberi.