Web sitesi KVKK metinleri: küçük işletme için rehber

Not: Bu yazı hukuki tavsiye değildir. Web siteleri yaparken edindiğim pratik bilgiyi ve Kişisel Verileri Koruma Kurumu'nun (KVKK) yayımladığı resmî metinleri özetliyorum. Metinlerin hukuki sorumluluğu veri sorumlusu olan işletmededir; özellikle sağlık verisi işleyen veya yurt dışına veri aktaran işletmelerin bir hukukçuyla çalışmasını öneririm. Bilgiler Eylül 2026 itibarıyladır.

Önce siteniz hangi verileri topluyor, ona bakın

KVKK metinleri şablondan kopyalanacak bir form değil, sitenizin gerçekte ne yaptığını anlatan metinlerdir. O yüzden ilk adım, sitedeki her özelliğin hangi veriyi topladığını listelemektir. Aşağıdaki tablo küçük işletme sitelerinde en sık karşılaştığım durumları özetliyor.

1. Aydınlatma metni: her sitede gerekli

6698 sayılı Kanun'un (yeni sekmede açılır) 10. maddesi, kişisel veri elde edilirken kişiye bilgi verilmesini zorunlu tutuyor. Buna aydınlatma yükümlülüğü deniyor ve hukuki sebep ne olursa olsun geçerli. Bir aydınlatma metninde en az şunlar bulunmalı:

• Veri sorumlusunun kimliği (işletmenin adı veya unvanı) ve iletişim bilgisi.
• Verilerin hangi amaçla işlendiği.
• Verilerin kimlere ve hangi amaçla aktarılabileceği (barındırma, e-posta, muhasebe gibi hizmet sağlayıcılar dahil).
• Verilerin toplanma yöntemi ve hukuki sebebi.
• Kanun'un 11. maddesindeki haklar ve başvurunun nasıl yapılacağı.

Kurum'un Aydınlatma Yükümlülüğü Tebliği (yeni sekmede açılır) (10.03.2018, RG 30356) bu metnin nasıl yazılacağına dair önemli kurallar koyuyor: bildirim anlaşılır, açık ve sade bir dille yapılmalı, amaçlar belirli olmalı, “ve benzeri amaçlarla” gibi muğlak ifadeler kullanılmamalı, hukuki sebep açıkça belirtilmeli ve aktarılan alıcı grupları yazılmalı. Pratikte bu, iki sayfalık hukuk dili yerine sitenizin gerçekte ne yaptığını düz cümlelerle anlatmak demek.

Somut bir örnek görmek isterseniz, bu sitenin KVKK sayfası hangi veriyi neden topladığımı, hangi sağlayıcılara aktarıldığını ve ne kadar süre saklandığını bu yaklaşımla anlatıyor.

2. Açık rıza: ne zaman gerekir, ne zaman gerekmez?

Sitelerde en sık gördüğüm hata, iletişim formunun altına “Kişisel verilerimin işlenmesine açık rıza veriyorum” kutusu koymak. Bu iyi niyetli ama çoğu zaman yanlış bir yaklaşım. Teklif isteyen birine dönmek için veri işlemek, Kanun'un 5. maddesindeki “sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması” gibi başka bir şarta zaten dayanır.

KVKK'nın Çerez Uygulamaları Hakkında Rehberi (yeni sekmede açılır) bunu açıkça söylüyor: işleme açık rıza dışındaki şartlardan birine dayanıyorsa, ilgili kişiden açık rıza alınmasına gerek yoktur ve veri sorumlusu önce diğer şartlardan birinin uygulanıp uygulanmadığını değerlendirmelidir. Tebliğ de açık rızaya dayalı işlemlerde aydınlatma ile açık rızanın ayrı ayrı yapılmasını istiyor; yani ikisini tek bir metinde veya tek kutuda birleştirmemek gerekir.

• Formda: Kutu gerekiyorsa “Aydınlatma metnini okudum” gibi bir teyit olsun; rıza istemeyin.
• Pazarlama izni: Bülten veya kampanya mesajı göndermek istiyorsanız ayrı ve işaretsiz bir onay kutusu kullanın. Ticari elektronik iletiler için ayrıca 6563 sayılı Kanun'un kuralları geçerlidir.
• Zorunlu olmayan çerezler: Reklam ve üçüncü taraf analiz çerezleri için açık rıza, çerezler yüklenmeden önce alınmalı.

3. Çerez politikası ve çerez paneli

KVKK'nın çerez rehberi ilk olarak Haziran 2022'de yayımlandı; Kurum sitesindeki güncel PDF Temmuz 2025 baskısı. Rehber çerezleri kabaca dört gruba ayırıyor: kesinlikle gerekli (zorunlu), işlevsel, performans-analitik ve reklam/pazarlama. Rıza gerektirmeyen çerezler için iki kriter tanımlıyor: çerezin yalnızca iletişimin sağlanması için kullanılması (Kriter A) veya kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekli olması (Kriter B).

Küçük işletmeler için önemli bir ayrıntı: Rehber, amacı yalnızca sitenin kendi kitlesini ölçmek olan birinci taraf analitik çerezlerin, sınırlı ve ölçülü kullanılırsa, IP maskeleme gibi yöntemlerle anonimleştirilirse ve farklı siteler arasında takip yapılmazsa Kriter B kapsamında değerlendirilebileceğini belirtiyor. Yani çerezsiz veya anonim bir ziyaret sayacı kullanmak, çerez paneli yükünü ciddi biçimde azaltabilir. Üçüncü taraf reklam ve takip araçları ise bu kapsamda değil.

• Çerez politikası, sitede kullanılan çerezleri türü, amacı ve süresiyle listelemeli.
• Rehber; “Kabul et”, “Reddet” ve “Tercihler” butonlarının renk, büyüklük ve punto açısından eşit sunulmasını iyi uygulama örneği olarak gösteriyor.
• Zorunlu olmayan çerezler, kullanıcı kabul etmeden yüklenmemeli.
• Verilen rıza kolayca geri alınabilmeli; rehber, tercih panelinin sayfanın bir köşesinde küçük bir simge olarak erişilebilir kalmasını iyi örnek sayıyor.
• Rehber, kullanıcıdan her girişte yeniden rıza istenmemesini, tercihin çerezin ömrüyle orantılı aralıklarla hatırlatılmasını öneriyor.

4. Yurt dışına aktarım (KVKK m.9)

Sitenizin barındırması, form e-postaları veya analiz aracı yurt dışındaki bir sağlayıcıda çalışıyorsa, kişisel veriler yurt dışına aktarılıyor olabilir. 7499 sayılı Kanun'la değişen 9. madde 1 Haziran 2024'te yürürlüğe girdi (yeni sekmede açılır). Yeni düzen kabaca üç basamaklı:

1. Aktarılan ülke için Kurul'un bir yeterlilik kararı varsa aktarım buna dayanabilir.
2. Yoksa uygun güvenceler gerekir. Küçük işletmeler için en olası yol, Kurul'un yayımladığı standart sözleşme. İmzalanan standart sözleşme beş iş günü içinde Kurum'a bildirilmelidir (yeni sekmede açılır).
3. Bunlar da yoksa, açık rıza (olası riskler anlatılarak) veya sözleşmenin ifası gibi arızi hallerden birine dayanılabilir; bunlar sınırlı ve istisnai durumlar.

Bu konu küçük bir işletme için karmaşık gelebilir. En azından yapılması gereken, aydınlatma metninde hangi sağlayıcıların (barındırma, e-posta, analiz) hangi ülkede olduğunu dürüstçe yazmak ve hangi aktarım yoluna dayanıldığını bir hukukçuyla netleştirmektir.

5. VERBİS: kaydolmanız gerekiyor mu?

VERBİS, veri sorumluları siciline kayıt sistemi. Çoğu küçük işletme kayıttan muaf, ama iki farklı eşik var:

Önemli olan şu: VERBİS muafiyeti aydınlatma yükümlülüğünü kaldırmaz. Kayıttan muaf olsanız da sitenizde aydınlatma metni bulunmalı.

6. Sağlık verisi ve özel nitelikli veriler

Sağlık, biyometrik veri veya din gibi bilgiler Kanun'da özel nitelikli sayılıyor ve daha sıkı kurallara tabi. Klinik, güzellik merkezi veya diyetisyen sitelerinde randevu formuna “şikâyetiniz nedir?” gibi serbest bir alan koymak, farkında olmadan sağlık verisi toplamak anlamına gelir. Veri minimizasyonu burada en güvenli yol: formda yalnızca ad, telefon ve uygun gün gibi randevu için gerçekten gereken bilgileri isteyin. Klinikler için ayrıca geçerli olan tanıtım kurallarını klinik web sitesi ve Sağlıkta Tanıtım Yönetmeliği yazısında anlattım.

Küçük işletme sitesi için KVKK kontrol listesi

1. Sitedeki her formu, aracı ve üçüncü taraf kodu (harita, video, analiz, reklam pikseli) listeleyin.
2. Gerçekten gerekmeyen veriyi toplamayın; formdaki alanları azaltın.
3. Sade dille yazılmış, sitenize özel bir aydınlatma metni yayımlayın ve her formdan bağlantı verin.
4. Zorunlu olmayan çerez kullanıyorsanız çerez politikası ve eşit butonlu bir tercih paneli ekleyin; çerezler rızadan önce yüklenmesin.
5. Açık rızayı yalnızca gerçekten gereken işlemler için ve ayrı olarak isteyin.
6. Yurt dışındaki sağlayıcıları aydınlatma metninde belirtin ve aktarım yolunu netleştirin.
7. Verileri ne kadar süre saklayacağınıza karar verin ve bu süreyi uygulayın.
8. VERBİS eşiğinizi yılda bir kontrol edin.

Benim paketlerimde KVKK aydınlatma metni şablonu her pakete dahil; son hukuki onay işletmenindir. Paket içeriklerine fiyatlar sayfasından bakabilirsiniz. Web sitesi yaptırırken sözleşmede KVKK sorumluluğunun nasıl yazılacağını da web sitesi yaptırırken dikkat edilmesi gerekenler yazısında bulabilirsiniz.