KVKK uyumlu web sitesi: aydınlatma, çerez onayı ve yurt dışına aktarım

Kısa cevap: Bir web sitesinin KVKK'ya uygun sayılması için ziyaretçiye veri toplanmadan önce anlaşılır bir aydınlatma metni sunulmalı, açık rıza yalnızca gerçekten rızaya dayanan işlemler için ve ayrı bir metinle alınmalı, zorunlu olmayan çerezler kullanıcı onay vermeden çalıştırılmamalı, yurt dışındaki sunucu ve servislere giden veriler KVKK'nın 9. maddesine göre güvence altına alınmalı ve olası bir veri ihlali 72 saat içinde Kurul'a bildirilebilecek şekilde hazırlık yapılmalıdır.

Bu rehber; kurumsal siteler, teklif ve randevu formu olan hizmet siteleri ve küçük mağazalar için yazıldı. Ekim 2026 itibarıyla yürürlükteki Kanun metnine, Kurul kararlarına ve Kurum rehberlerine dayanıyor; genel bilgi niteliğindedir ve hukuki danışmanlığın yerini tutmaz.

Bir web sitesi hangi kişisel verileri işler?

Basit bir tanıtım sitesi bile çoğu zaman sanıldığından fazla veri işler:

• Sunucu kayıtları: Her ziyarette IP adresi, tarayıcı bilgisi ve görüntülenen sayfa sunucu loglarına yazılır.
• Formlar: İletişim, teklif, randevu ve iş başvurusu formlarındaki ad, telefon, e-posta ve mesaj içeriği.
• Çerezler ve benzeri teknolojiler: Oturum çerezleri, analiz araçları, reklam pikselleri.
• Üçüncü taraf içerikler: Harici yazı tipleri, gömülü harita ve videolar, sohbet balonları, CAPTCHA servisleri. Bunların çoğu sayfa açılır açılmaz ziyaretçinin IP adresini başka bir şirketin sunucusuna iletir.

Bu verilerin veri sorumlusu site sahibi işletmedir. Barındırma firması, ajans veya form servisi gibi taraflar çoğunlukla veri işleyen konumundadır. KVKK md. 12'ye göre veriler veri sorumlusu adına başka biri tarafından işleniyorsa, veri sorumlusu güvenlik tedbirlerinden bu kişilerle birlikte müştereken sorumludur. Yani "sitemizi ajans yaptı" demek sorumluluğu ortadan kaldırmaz.

Aydınlatma metni ile açık rızayı karıştırmayın

KVKK'nın 10. maddesi, veriler elde edilirken ilgili kişiye veri sorumlusunun kimliğinin, işleme amaçlarının, verilerin kimlere ve hangi amaçla aktarılabileceğinin, toplama yöntemi ile hukuki sebebin ve Kanun'daki haklarının bildirilmesini ister. Bu aydınlatma bir bilgilendirmedir; ziyaretçiden onay almanızı gerektirmez.

Açık rıza ise Kanun'un 5. maddesindeki işleme şartlarından yalnızca biridir. Bir web sitesindeki işlemlerin önemli bölümü başka şartlara dayanabilir: Teklif talebine dönüş yapmak bir sözleşmenin kurulmasıyla doğrudan ilgilidir, fatura bilgilerini saklamak hukuki yükümlülüktür, sunucu loglarıyla sistemi korumak meşru menfaat kapsamında değerlendirilebilir. Bu durumlarda açık rıza istemek gereksizdir, hatta yanıltıcıdır.

Kişisel Verileri Koruma Kurulu, 24 Mart 2026'da Resmî Gazete'de yayımlanan 2026/347 sayılı ilke kararıyla bu konudaki yaygın hataları tek tek saydı. Kararın web sitelerini doğrudan ilgilendiren noktaları:

• Aydınlatma, hangi hukuki sebebe dayanılırsa dayanılsın, veri işlemeye başlamadan önce yapılmalı.
• İşleme açık rızaya dayanıyorsa aydınlatma metni ve açık rıza metni farklı başlıklar altında, ayrı metinler olarak düzenlenmeli; aynı sayfadaysalar alt alta yer almalı ve her biri için ayrı beyan alınmalı.
• İşleme açık rıza dışındaki bir sebebe dayanıyorsa ziyaretçiye ayrıca açık rıza metni sunulmamalı.
• Aydınlatma metni için onay veya rıza istenmemeli; "okudum ve kabul ediyorum" yerine metnin okunduğunu gösteren "okudum ve anladım" gibi bir geri bildirim yeterli.
• Başka bir veri sorumlusunun metni birebir kopyalanmamalı; metin açık, sade ve gereksiz uzunlukta olmamalı. Örneğin Kanun'un 11. maddesindeki hakları tek tek saymak yerine "Kanun'un 11. maddesi kapsamındaki haklarınız" ifadesi kullanılabilir.

Kurul, bu hususlara uyulmamasını Kanun'un 12. maddesindeki idari ve teknik tedbir eksikliği olarak değerlendireceğini belirtiyor. Aynı ayrım 2018 tarihli Aydınlatma Tebliği'nin 5. maddesinde de yer alıyordu; ilke kararı uygulamadaki karışıklığı gidermeyi amaçlıyor.

İletişim formu ve bülten kaydı nasıl kurgulanmalı?

Formlar, sitedeki en somut veri toplama noktasıdır. KVKK açısından sağlıklı bir form şu özellikleri taşır:

• Yalnızca gereken alanlar: Teklif için doğum tarihi veya T.C. kimlik numarası istemeyin. Her ek alan saklama ve güvenlik yükünüzü artırır.
• Gönder butonunun yanında aydınlatma bağlantısı: "Kişisel verileriniz aydınlatma metnimizde açıklanan amaçlarla işlenir" gibi kısa bir cümle ve bağlantı yeterlidir; aydınlatma için onay kutusu gerekmez.
• Pazarlama izni ayrı ve isteğe bağlı: Bülten veya kampanya iletisi göndermek istiyorsanız bu, ayrı ve önceden işaretlenmemiş bir kutuyla sorulmalı, onay İYS'ye kaydedilmelidir. Ayrıntılar için e-ticaret sitesi açmanın yasal gereklilikleri yazımızdaki İYS bölümüne bakabilirsiniz.
• Şifreli iletim ve sınırlı saklama: Form HTTPS üzerinden gönderilmeli; gelen talepler işi bittiğinde ve yasal saklama süreleri dolduğunda silinmeli.
• Üçüncü taraf araçlara dikkat: Harici bir form servisi veya CAPTCHA kullanıyorsanız veriler o şirketin sunucularına gider; bu da aydınlatma metninde ve gerekiyorsa yurt dışına aktarım değerlendirmesinde yer almalıdır.

Hassas sektörlerde ek dikkat gerekir. Sağlık, din, sendika üyeliği veya biyometrik veri gibi özel nitelikli kişisel veriler KVKK md. 6'daki sıkı şartlara tabidir. Bir muayenehane sitesinin randevu formunda şikâyet ayrıntısı yerine yalnızca iletişim bilgisi istemek, riski baştan azaltır.

Çerez onayı: KVKK Çerez Rehberi ne diyor?

Kurum'un ilk kez Haziran 2022'de yayımlayıp Temmuz 2025'te güncellediği Çerez Uygulamaları Hakkında Rehber, çerezleri işlevlerine göre ayırır. Oturum yönetimi, sepet, güvenlik ve yük dengeleme gibi, iletişimin teknik olarak gerçekleşmesi ya da kullanıcının açıkça talep ettiği hizmetin sunulması için kesinlikle gerekli olan zorunlu çerezler açık rıza olmadan kullanılabilir. Analitik, kişiselleştirme, reklam ve yeniden pazarlama çerezleri ise kullanıcının açık rızasına dayanmalıdır.

Uygulamada bu, bir çerez banner'ının şu kurallara uyması demektir:

• Önce onay, sonra çerez: Zorunlu olmayan betikler kullanıcı tercihini yapmadan yüklenmemeli. Banner'ı göstermek yetmez; arka plandaki analiz kodu da beklemelidir.
• Reddetmek, kabul etmek kadar kolay: "Tümünü reddet" seçeneği, "Tümünü kabul et" ile aynı düzeyde ve görünürlükte sunulmalı, ikinci bir ekrana saklanmamalı.
• Önceden işaretli kutu yok: Analitik ve pazarlama kategorileri varsayılan olarak kapalı gelmeli.
• Gezinmek onay sayılmaz: Sayfayı kaydırmak veya banner'ı kapatmak açık rıza değildir. Siteye erişimi tamamen onaya bağlayan "çerez duvarı" uygulamaları da özgür irade açısından sorunludur.
• Amaç bazında seçim: Farklı amaçlar için ayrı onay verilebilmeli.
• Kolay geri alma: Sitenin altında kalıcı bir "Çerez tercihleri" bağlantısı bulunmalı; tercih değiştiğinde ilgili çerezler durdurulmalı.

Google Analytics ve Consent Mode

Google Analytics gibi bir analiz aracını kullanmak tek başına KVKK'ya aykırı değildir; ancak analitik çerezler onaya bağlanmalıdır. Google'ın Consent Mode özelliği iki şekilde kurulabilir. Temel modda Google etiketleri, kullanıcı banner'la etkileşime girene kadar hiç yüklenmez ve Google'a veri gitmez. Gelişmiş modda ise etiketler sayfa açılırken yüklenir ve onay verilmediği sürece çerez kullanmadan ölçüm sinyalleri gönderir. Çerezsiz sinyaller de Google sunucularına bir ağ isteği olarak ulaştığı için, KVKK açısından en temkinli seçenek temel moddur.

Daha da iyisi, gereksiz üçüncü taraf bağlantılarını hiç kurmamaktır. Yazı tiplerini ve betikleri sitenin kendi sunucusundan yüklemek, haritayı veya videoyu ancak kullanıcı tıkladığında açmak, banner'daki kategori sayısını ve yurt dışına giden veri miktarını belirgin biçimde azaltır. Kendi projelerimizde tercih ettiğimiz yaklaşım da budur.

Sunucu yurt dışındaysa: KVKK md. 9 ve standart sözleşme

Sitenizin barındırıldığı sunucu, form e-postalarının geçtiği servis, CDN veya analiz aracı Türkiye dışındaysa ziyaretçi verileri yurt dışına aktarılıyor demektir. KVKK'nın 9. maddesi, 7499 sayılı Kanun'la değiştirilerek 1 Haziran 2024'ten itibaren yeni bir sisteme geçti; uygulama ayrıntıları 10 Temmuz 2024'te yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te düzenlendi. Sıralama şöyle:

1. Yeterlilik kararı: Kurul'un aktarım yapılacak ülke, ülkedeki sektör veya uluslararası kuruluş için Resmî Gazete'de yayımladığı bir yeterlilik kararı varsa, KVKK md. 5 veya 6'daki bir işleme şartının bulunması kaydıyla aktarım yapılabilir.
2. Uygun güvenceler: Yeterlilik kararı yoksa, ilgili kişinin aktarılan ülkede de haklarını kullanabilmesi kaydıyla şu güvencelerden biri gerekir: kamu kurumları arasındaki anlaşma ve Kurul izni, Kurul onaylı bağlayıcı şirket kuralları, Kurul'un ilan ettiği standart sözleşme ya da yazılı taahhütname ve Kurul izni.
3. Arızi aktarım: Bunların hiçbiri sağlanamıyorsa, yalnızca arızi nitelikte olmak kaydıyla sınırlı istisnalara, örneğin riskler anlatılarak alınan açık rızaya, dayanılabilir.

Bağlayıcı şirket kuralları ve taahhütname Kurul onayı gerektirdiğinden, bir KOBİ sitesi için çoğu zaman en uygulanabilir yol standart sözleşmedir. Yönetmeliğe göre Kurul'un ilan ettiği metin hiçbir değişiklik yapılmadan kullanılır, taraflarca imzalanır ve imzaların tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirilir; bildirim fiziki olarak, KEP ile ya da Kurum'un çevrim içi Standart Sözleşme Bildirim Modülü üzerinden yapılabilir. Bildirime imzalayanların yetkisini gösteren belgeler ve yabancı dildeki belgelerin noter onaylı çevirisi eklenir. Bildirimin yapılmaması, KVKK md. 18 uyarınca veri sorumlusu veya veri işleyen için idari para cezası nedenidir.

Barındırma için "arızi aktarım" yoluna güvenmeyin: Yönetmelik arızi aktarımı düzenli olmayan, tek veya birkaç sefer gerçekleşen ve olağan faaliyet akışı içinde bulunmayan aktarımlar olarak tanımlıyor. Her gün çalışan bir site sunucusu bu tanıma uymaz; ziyaretçiden "verilerimin yurt dışına aktarılmasına rıza veriyorum" onayı toplamak bu nedenle sağlam bir çözüm değildir.

Şeffaflık adına kendi durumumuzu da paylaşalım: Novitas olarak projeleri Almanya'daki Hetzner veri merkezlerinde barındırıyor, isteyen müşterilerimiz için Türkiye'de barındırma seçeneği sunuyoruz. Türkiye'deki bir işletmenin sitesi Almanya'da çalışacaksa aktarım mekanizmasını proje başında birlikte netleştiriyoruz. Altyapı tarafını sunucu altyapısı hizmetimizde, güvenlik yaklaşımımızı güvenlik ve veri koruma sayfamızda anlatıyoruz.

VERBİS kaydı ve veri ihlali bildirimi

VERBİS'e kimler kaydolmalı?

KVKK md. 16'ya göre kişisel veri işleyenler Veri Sorumluları Sicili'ne (VERBİS) kaydolmakla yükümlüdür; ancak Kurul objektif kriterlerle istisna getirebilir. Güncel istisna, 4 Eylül 2025 tarihli ve 2025/1572 sayılı Kurul kararıyla (RG 01.10.2025, sayı 33034) şu hale geldi:

• Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan, ana faaliyeti özel nitelikli kişisel veri işlemek olmayan veri sorumluları kayıttan muaftır.
• Ana faaliyeti özel nitelikli veri işlemek olanlarda, örneğin sağlık hizmeti sunanlarda, eşik daha düşüktür: yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az.

Kurul'un 25 Aralık 2025 tarihli ve 2025/2393 sayılı kararına göre bilanço esasına göre defter tutanlarda iki kriter birlikte aranır; bilanço esasına göre defter tutmayanlarda yalnızca çalışan sayısına bakılır. VERBİS kaydından muaf olsanız da aydınlatma, veri güvenliği ve diğer KVKK yükümlülükleri aynen geçerlidir.

Veri ihlalinde 72 saat

KVKK md. 12/5, işlenen verilerin kanuni olmayan yollarla başkalarınca elde edilmesi halinde durumun "en kısa sürede" ilgililere ve Kurul'a bildirilmesini ister. Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı bu süreyi ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlar; etkilenen kişilere ise makul olan en kısa sürede bildirim yapılır. Haklı bir nedenle 72 saat içinde bildirim yapılamazsa gecikmenin gerekçesi de açıklanır. Kurul aynı kararda bir veri ihlali müdahale planı hazırlanmasını ve belirli aralıklarla gözden geçirilmesini istiyor.

Web sitesi açısından bu, kimin hangi kayıtlara erişebildiğinin, yedeklerin ve sunucu loglarının önceden bilinmesi demektir. Saldırıya uğramış bir form veri tabanını üç gün içinde değerlendirebilmek ancak hazırlıkla mümkündür.

KVKK uyumlu web sitesi için kontrol listesi

1. Sitede hangi kişisel verilerin hangi araçlarla toplandığını ve nereye gittiğini gösteren bir envanter var: formlar, çerezler, gömülü içerikler, sunucu ve servis konumları.
2. Aydınlatma metni sade, siteye özel ve güncel; her veri toplama noktasından bağlantıyla ulaşılıyor.
3. Açık rıza yalnızca gerçekten rızaya dayanan işlemler için ve aydınlatmadan ayrı bir metinle alınıyor; aydınlatma için "kabul ediyorum" kutusu kullanılmıyor.
4. Formlarda yalnızca gerekli alanlar var; pazarlama izni ayrı, boş ve isteğe bağlı bir kutuyla soruluyor.
5. Zorunlu olmayan çerezler onaydan önce yüklenmiyor; "Reddet" ile "Kabul et" aynı düzeyde.
6. Çerez tercihleri her sayfadan değiştirilebiliyor ve bir çerez politikası yayında.
7. Yazı tipleri ve betikler mümkün olduğunca kendi sunucudan yükleniyor; harita ve videolar tıklamayla açılıyor.
8. Yurt dışındaki her sunucu ve servis için md. 9 mekanizması belirlendi; standart sözleşmeler beş iş günü içinde Kurum'a bildirildi.
9. VERBİS yükümlülüğü güncel eşiklere göre kontrol edildi.
10. İlgili kişi başvuruları için bir iletişim kanalı var; başvurular KVKK md. 13'e göre en geç 30 gün içinde ücretsiz yanıtlanıyor.
11. Veri ihlali müdahale planı yazılı; 72 saatlik bildirim sürecini kimin yöneteceği belli.

Örnek olarak kendi sitemizin KVKK aydınlatma metnine ve çerez politikasına göz atabilirsiniz. Yeni bir site planlıyor ya da mevcut sitenizi bu listeye göre gözden geçirmek istiyorsanız, web tasarım hizmetimiz kapsamında KVKK gereksinimlerini tasarımın ilk gününden ele alıyoruz.

Sık sorulan sorular

Kaynaklar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu (7499 sayılı Kanun değişiklikleri işlenmiş güncel metin) – mevzuat.gov.tr, erişim: Ekim 2026
2. Kişisel Verileri Koruma Kurulu – Açık rıza ve aydınlatma metinlerinin ayrı düzenlenmesi hakkında ilke kararı (2026/347) – RG 24.03.2026/33203; erişim: Ekim 2026
3. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ – RG 10.03.2018/30356; erişim: Ekim 2026
4. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik – RG 10.07.2024; erişim: Ekim 2026
5. Kişisel Verileri Koruma Kurulu – VERBİS istisnasına ilişkin 2025/1572 sayılı karar – RG 01.10.2025/33034; erişim: Ekim 2026
6. Türk Eczacıları Birliği – VERBİS değişikliklerine ilişkin 12.01.2026 tarihli KVKK kamuoyu duyurusu (2025/2393 sayılı karar) – KVKK duyurusunu aktaran resmi yazı; erişim: Ekim 2026
7. KVKK – Veri İhlali Bildirimi (2019/10 sayılı Kurul kararı) – erişim: Ekim 2026
8. KVKK – Çerez Uygulamaları Hakkında Rehber – güncel sürüm Temmuz 2025 (KVKK Yayınları No: 69; ilk yayın Haziran 2022); erişim: Ekim 2026
9. Google for Developers – Consent mode overview – erişim: Ekim 2026

Bu yazı genel bilgilendirme amaçlıdır; hukuki, mali veya vergisel danışmanlık yerine geçmez. Mevzuat ve rakamlar yayın tarihindeki durumu yansıtır.