Web sitesi için aydınlatma metni nasıl yazılır? Bölüm bölüm iskelet.

Aydınlatma metni, sitenin hangi kişisel veriyi kimin adına, hangi amaçla ve hangi hukuki sebeple işlediğini, kime aktardığını ve ziyaretçinin haklarını anlatır. Aydınlatma Tebliği beş asgari unsur sayar; iyi bir metin bu unsurları sitenin gerçekte yaptığı işlemeye göre, sade dille ve işleme başlamadan önce sunar.

«Aydınlatma metni örneği» aramasının sonunda bulunan metni kopyalamak cazip ama riskli: Kurul 2026/347 sayılı ilke kararında başka bir veri sorumlusunun metninin birebir kullanılmaması, metnin kendi faaliyete göre hazırlanması gerektiğini yazdı. Bu rehber doldurulacak bir şablon değil, bölüm bölüm bir iskelet veriyor ve her bölümün nereden geldiğini gösteriyor. Buradaki bilgiler hukuki görüş değildir; metnin son hâlini bir avukatla doğrulayın.

Aydınlatma metni kimin için zorunlu?

Kişisel veri işleyen herkes için. Kanunun 10. maddesi veri elde edilirken ilgili kişinin aydınlatılmasını ister; Aydınlatma Tebliği bunun açık rızaya ya da başka bir işleme şartına dayalı her işlemede yapılacağını ve ilgili kişinin talebine bağlı olmadığını söyler. Veri Sorumluları Siciline (VERBİS) kayıttan muaf olmak bu yükümlülüğü kaldırmaz.

Bir web sitesinde işleme, iletişim formundan çok önce, ilk istekte başlar: sunucu ziyaretçinin IP adresini görür, çerezler ve tarayıcı kayıtları devreye girer. Kurumun çerez rehberi bu yüzden aydınlatmanın siteye giriş aşamasında yapılmasını ister. Aydınlatmanın yapıldığını ispat yükü de veri sorumlusundadır.

Metinde hangi bölümler olmalı?

Tebliğin 4. maddesi asgari içeriği sayar: veri sorumlusunun ve varsa temsilcisinin kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, ilgili kişinin 11. maddedeki hakları. Bir web sitesi için bunu şu iskelete çevirmek metni somut tutar:

• Veri sorumlusu · kimlik ve iletişim bilgisi; varsa temsilci
• Hangi veri · sitenin gerçekte topladıkları: form alanları, sunucu kayıtları, çerezler
• Amaç · her veri grubu için belirli ve açık amaç
• Hukuki sebep · Kanunun 5. ya da 6. maddesindeki şartın adıyla
• Toplama yöntemi · otomatik (sunucu, çerez) mi, otomatik olmayan (form) mı
• Aktarım · alıcı grupları ve aktarım amacı; yurt dışı varsa nereye ve hangi dayanakla
• Saklama · ne kadar tutulur, süre dolunca ne olur
• Haklar ve başvuru · 11. madde hakları ve başvuru kanalı

«Hangi veri» ve «saklama» satırları Tebliğin asgari listesinde yok; ama metni sitenin gerçek davranışına bağlar ve ziyaretçinin ilk sorusunu cevaplar. Çerezlerin ayrıntısı ayrı bir bölümde ya da sayfada durabilir: çerez politikası nasıl hazırlanır.

Hukuki sebep nasıl yazılır?

Tebliğe göre hukuki sebep açıkça belirtilir: verinin Kanunun 5. ve 6. maddelerindeki şartlardan hangisine dayanılarak işlendiği söylenir. Amaç da belirli, açık ve meşru olmalıdır; genel ve muğlak ifadelerden, ileride başka amaçlar için de işleneceği izlenimi veren cümlelerden kaçınılır. «Kişisel verileriniz mevzuata uygun olarak işlenmektedir» bu yüzden bir hukuki sebep değildir.

Kanunun 5. maddesi açık rıza dışındaki şartları sayar: kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin bilgiyi kendisinin alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati. Metinde her veri grubu için cümlenin kalıbı aynıdır: hangi veri, hangi amaçla, hangi şarta dayanarak. Hangi şartın sizin işlemenize uyduğu ise hukuki bir değerlendirmedir.

Açık rıza metni neden ayrı olmalı?

Kurul 2026/347 sayılı ilke kararında, açık rızaya dayanan işlemede aydınlatma ve açık rıza metinlerinin farklı başlıklar altında ayrı metinler olarak düzenlenmesini istedi; aynı sayfada duracaklarsa alt alta ve her biri için ayrı beyanla. Başka bir işleme şartına dayanılıyorsa yalnız aydınlatma yapılır ve ayrıca açık rıza metni sunulmaz. Kurul aydınlatmanın okunduğuna dair geri bildirim alınmasını uygun görür; aydınlatma metnindeki ifadeler için onay ya da rıza istenmesini ise uygun görmez.

Bu ayrımın neden önemli olduğunu 2023/692 sayılı karar gösteriyor. Bir sağlık kuruluşunun sitesindeki randevu formunda, tanıtım için açık rıza kutusu işaretlenmeden randevu alınamıyordu. Kurul, başka işleme şartları varken açık rızaya dayanmayı aldatıcı ve hakkın kötüye kullanımı niteliğinde buldu, 300.000 TL ceza verdi ve metindeki «onay veriyorum» ifadesinin çıkarılmasını istedi.

Formdaki kutu ne demeli?

Kutu kullanacaksanız aydınlatmanın okunduğunu teyit etsin, rıza istemesin: «Aydınlatma metnini okudum ve anladım» gibi. Teyidi, o anki metnin sürümüyle birlikte kaydetmek ispat yükünü karşılamanın pratik yoludur. Pazarlama ya da bülten izni ayrı bir kutu ve ayrı bir eylem olmalı; iletişim formunun gönderilmesine bağlanmamalı. Kurul 2024/1361 sayılı kararda formda pazarlama amaçlı kullanıma alınan onayın belirli bir konuya ilişkin olmadığını ve özgür iradeyle verilmediğini değerlendirdi; 2025/1072 sayılı ilke kararında da farklı onayların tek bir eylemle alınmamasını istedi.

Yurt dışına aktarım nasıl yazılır?

Barındırma, form, e-posta ya da analitik hizmetiniz yurt dışındaysa veri yurt dışına aktarılıyor demektir. 2024’ten beri Kanunun 9. maddesi bir sıra kurar: yeterlilik kararı, yoksa uygun güvence, ikisi de yoksa yalnız arızi hâller. Kurum’un sayfasına göre Kurul henüz hiçbir ülke için yeterlilik kararı vermedi; pratikte kullanılan güvence standart sözleşmedir ve imzadan sonra beş iş günü içinde Kuruma bildirilir.

Metinde alıcı grubu, aktarım amacı ve dayanak açıkça yazılır. Tersi de geçerli: 2026/347 sayılı karara göre yurt dışına aktarım yapılmıyorsa aktarım izlenimi veren ifadeler kullanılmamalıdır.

Haklar ve başvuru bölümü nasıl yazılır?

İlke kararına göre Kanunun 11. maddesinin tamamını metne kopyalamak gerekmez; «Kanunun 11. maddesi kapsamındaki haklarınız» gibi kısa bir ifade yeterlidir. Asıl önemli olan başvurunun nasıl yapılacağıdır. Başvuru Tebliğine göre başvuru yazılı olarak, kayıtlı elektronik posta (KEP), güvenli elektronik imza, mobil imza, ilgili kişinin daha önce bildirdiği ve veri sorumlusunun sisteminde kayıtlı e-posta adresi ya da bu amaçla geliştirilmiş bir yazılım üzerinden yapılabilir.

Cevap en geç 30 gün içinde, kural olarak ücretsiz verilir; yazılı cevapta on sayfayı aşan her sayfa için 1 TL alınabilir. Kurum 1 Ekim 2026’da, telefonla ya da yüz yüze verilen cevabın Kanunun istediği cevap sayılmadığını, cevabın yazılı ya da elektronik ortamda verilmesi gerektiğini hatırlattı.

Ceza alan sitelerin ortak hatası ne?

Üç karar aynı şeyi gösteriyor: metin ile sitenin davranışı ayrışmış. 2022/1358 sayılı kararda çok sayıda çerez için aydınlatma yapılmamış ve zorunlu olmayan çerezler için rıza alınmamıştı (300.000 TL). 2023/692’de rıza, hizmetin ön şartı yapılmıştı (300.000 TL). 2024/1361’de kesinlikle gerekli olmayan bir analitik çerez ilk girişte rızasız kullanılıyor, formda pazarlama onayı alınıyordu (250.000 TL ve aydınlatma eksikliği için 15.000 TL). Aydınlatma yükümlülüğüne aykırılığın 2026’daki ceza aralığı 85.437 TL ile 1.709.200 TL arasındadır.

Metin ne zaman güncellenir?

Tebliğe göre işleme amacı değişirse yeni amaç için aydınlatma, işlemeden önce ayrıca yapılır. Pratikte forma yeni bir alan, siteye yeni bir araç ya da yeni bir hizmet sağlayıcı geldiğinde metin de güncellenmelidir. Metnin başına güncelleme tarihini yazmak, ziyaretçiye ve size hangi sürümün geçerli olduğunu söyler. Metni sitenin davranışıyla nasıl eşit tuttuğumuzu KVKK uyumlu web sitesi yazımızda anlattık.

Sitenizin gerçekte hangi veriyi işlediğini birlikte çıkarmak isterseniz bize yazın; metnin hukuki son kontrolü avukatınızda kalır.

Bu soruların cevabını kendi sitenizde görmek isterseniz kurumsal web tasarım tasarımı, kodu ve teknik SEO’yu aynı elden, ölçülebilir bir bütçeyle teslim eder.