KVKK uyumlu web sitesi nasıl tasarlanır?

Hangi kurallar geçerli?

Çekirdek, 2016 tarihli 6698 sayılı Kanun. 7499 sayılı Kanunla özel nitelikli kişisel veriler ve yurt dışına aktarım hükümleri değişti; değişiklikler 1 Haziran 2024’te yürürlüğe girdi. Kanunun yanında bir web sitesini doğrudan ilgilendiren ikincil düzenlemeler ve Kişisel Verileri Koruma Kurumunun rehberleri var:

• Aydınlatma Yükümlülüğü Tebliği (2018) — aydınlatma metninin içeriği ve usulü
• Veri Sorumlusuna Başvuru Tebliği (2018) — başvuru kanalları ve süresi
• Silme, Yok Etme veya Anonim Hale Getirme Yönetmeliği (2017) — saklama ve imha
• Yurt Dışına Aktarım Yönetmeliği (2024) — standart sözleşme ve bildirim
• Çerez Uygulamaları Hakkında Rehber (Temmuz 2025) — çerezler ve rıza ekranı
• Kişisel Veri Güvenliği Rehberi (Nisan 2025) — teknik ve idari tedbirler
• Kurul İlke Kararı 2026/347 — aydınlatma ve açık rıza metinleri ayrı
• Kurul Kararı 2019/10 — veri ihlalinin 72 saat içinde bildirilmesi

Komşu kurallar da var. Bülten ya da kampanya e-postası gönderen site, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanuna ve İleti Yönetim Sistemi (İYS) kurallarına da uyar. Sipariş alan ya da sözleşme kuran site, 2022 tarihli elektronik ticaret yönetmeliğine göre ticaret unvanını, MERSİS numarasını, adresini ve KEP adresini «iletişim» başlığı altında gösterir. Elektronik Haberleşme Kanununun cihaza erişim için rıza şartı ise Kurumun çerez rehberine göre yalnız haberleşme işletmecilerini bağlar; sıradan bir web sitesi için geçerli kural KVKK’dır.

Bir not: 2026–2028 Orta Vadeli Program, KVKK’nın AB Genel Veri Koruma Tüzüğü (GDPR) ile uyumlaştırılmasını 2026’nın üçüncü çeyreğinde tamamlamayı hedefliyordu. Ekim 2026 itibarıyla bu yönde yasalaşmış bir değişiklik yok. Hangi metnin hangi durumda gerektiğini web sitesinde olması gerekenler rehberinde ayrıca topladık.

Önce envanter: siteniz gerçekte ne işliyor?

Bir şablondan kopyalanan aydınlatma metni çoğu zaman sitenin yapmadığı şeyleri anlatır, yaptıklarını ise atlar. Doğru sıra tersidir: önce sitenin gerçekte ne işlediğini çıkarırsınız, metni sonra yazarsınız.

Bakılacak yerler şunlar: sunucu ve barındırma günlükleri (IP adresi, tarayıcı bilgisi, istenen sayfa), formlar, analitik ve reklam etiketleri, gömülü video, harita ve sosyal medya içeriği, başka sunucudan yüklenen yazı tipleri ve betikler, sohbet eklentileri, bot doğrulama (captcha), içerik dağıtım ağı ve tarayıcıda tutulan kayıtlar: çerezler, yerel depolama, oturum depolaması.

Tarayıcı tarafını görmek için teknik bilgi gerekmez. Masaüstü tarayıcıda siteyi açın, sayfaya sağ tıklayıp «İncele»yi seçin. «Uygulama» (Application) sekmesi çerezleri ve depolamayı, «Ağ» (Network) sekmesi sayfanın hangi sunuculara istek gönderdiğini gösterir. Aynı kontrolü bir formu doldurduktan sonra tekrarlayın; bazı araçlar yalnız etkileşimden sonra yüklenir.

Kurumun çerez rehberi yalnız kişisel veri işleyen çerezleri kapsar; yerel depolama ve piksel gibi teknikler için ayrıca yönlendirme yapmaz. AB kuralları daha geniştir: Avrupa Veri Koruma Kurulunun (EDPB) 2/2023 sayılı rehberine göre cihazda tutulan her kayıt, yerel depolama dahil, ePrivacy kuralının kapsamındadır. Envanteri bu yüzden çerezle sınırlamayın.

Aydınlatma metni: neler yazılır?

KVKK’nın 10. maddesi, kişisel veri elde edilirken ilgili kişinin bilgilendirilmesini ister. Aydınlatma Tebliğinin 4. maddesi asgari içeriği sayar: veri sorumlusunun kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, ilgili kişinin 11. maddedeki hakları.

Tebliğin 5. maddesi metnin nasıl yazılacağını da söyler: hukuki sebep Kanundaki şartın adıyla yazılır, genel ve muğlak ifade kullanılmaz, dil sade ve anlaşılır olur, metin eksik, yanıltıcı ya da yanlış bilgi içermez. Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır.

Zamanlama da önemli. Kurul 2020/173 sayılı kararında ve çerez rehberinde, ziyaretle birlikte veri işlenmeye başladığı için aydınlatmanın siteye giriş aşamasında yapılması gerektiğini belirtir. Başka konuları da içeren karmaşık bir «gizlilik bildirimi» aydınlatma yerine geçmez.

Açık rıza: ne zaman gerekir, ne zaman istenmez?

En sık hata, her şey için rıza istemektir. KVKK’da sözleşmenin kurulması, hukuki yükümlülük ya da meşru menfaat gibi 5. maddedeki başka bir şart varsa açık rızaya başvurulmaz. Kurul, 2026/347 sayılı ilke kararında aydınlatma ve açık rıza metinlerinin ayrı düzenlenmesini istedi: açık rıza dışında bir sebebe dayanan işleme için rıza metni sunulmaz; yalnız aydınlatma yapılır ve istenirse metnin okunduğuna dair geri bildirim alınır.

Zorunlu onay kutusu bu yüzden risklidir. 2023/692 sayılı kararda, başka bir hukuki sebep varken zorunlu bir kutuyla rıza alınması dürüstlük kuralına aykırı bulundu ve 300.000 TL idari para cezası verildi. 2024/1361 sayılı kararda iletişim formunda verilerin reklam ve pazarlama için kullanılmasına onay da alınıyordu; Kurul bu rızanın belirli bir konuya ilişkin olmadığını ve özgür iradeyle verilmediğini değerlendirdi.

Çerezler: bilgi bandı mı, rıza paneli mi?

Kurumun çerez rehberi çerezleri amaçlarına göre ayırır. İletişimin kurulması için gereken çerezler ile kullanıcının açıkça istediği bir hizmet için kesinlikle gerekli çerezler (oturum, sepet, güvenlik, kullanıcının seçtiği arayüz tercihi gibi) açık rıza gerektirmez. Reklam, kişiselleştirme ve üçüncü taraf analitik çerezleri ise açık rıza ister; Rehber yalnız sitenin kendi kitlesini ölçen, anonim istatistik üreten ve siteler arası izleme yapmayan birinci taraf analitik çerezlerini rızasız kabul eder.

Rehber iki yönde de uyarır. Yalnız zorunlu çerez kullanan bir sitenin rıza istemesini kötü örnek olarak gösterir: ortada olmayan bir seçimi soruyormuş gibi yapmak hukuka ve dürüstlük kuralına uygun değildir. Rıza gereken yerde ise ilk katmanda «Kabul et», «Reddet» ve «Tercihler» seçenekleri renk, büyüklük ve punto bakımından eşit sunulur; rıza gerektiren çerezler ilk girişte kapalıdır; siteyi kullanmayı rızaya bağlayan bir «çerez duvarı» kurulmaz; rızayı geri almak, vermek kadar kolaydır.

Kurul bu konuda yaptırım da uyguluyor. 2022/1358 sayılı kararda zorunlu olmayan çerezler için rıza alınmadığı için 300.000 TL ceza verildi. 2024/1361 sayılı kararda ilk girişte rıza mekanizması olmadan kesinlikle gerekli olmayan bir analitik çerez kullanıldığı için 250.000 TL, aydınlatma eksikliği için 15.000 TL ceza verildi. Üçüncü taraf bir hizmetin bıraktığı çerezden site sahibi de sorumludur.

Rehberin Temmuz 2025 sürümünü 2022 sürümüyle karşılaştırdığımızda tek esaslı fark yurt dışına aktarım bölümünde: yurt dışındaki bir çerez sağlayıcısına aktarım artık açık rızayla değil, Kanunun 9. maddesindeki aktarım kurallarıyla değerlendiriliyor.

Formlar ve bülten

İletişim formu bir sitede en çok veri toplanan yerdir. Yalnız gerçekten gereken alanları isteyin; zorunlu telefon ya da unvan alanı ek bir işleme sebebi ister. Formun yanına aydınlatma metnine giden bir bağ koyun. Kutu kullanacaksanız «kabul ediyorum» değil «okudum, anladım» teyidi olsun; teyidi metnin o anki sürümüyle birlikte kaydetmek, ispat yükünü karşılamanın pratik yoludur. Serbest metin alanına sağlık gibi özel nitelikli bir bilginin yazılabileceğini düşünerek, bunun paylaşılmamasını rica eden bir cümle ekleyin.

Bülten ya da kampanya e-postası ayrı bir kurala tabidir. 6563 sayılı Kanuna göre ticari elektronik ileti ancak önceden onay alınarak gönderilir. Yönetmeliğe göre onay kutusu önceden işaretli olamaz, onay mal ya da hizmetin ön şartı yapılamaz ve İYS dışında alınan onay üç iş günü içinde İYS’ye kaydedilmezse geçersiz sayılır. Tacir ve esnafa onaysız gönderim mümkündür; ama adreslerin İYS’ye kaydedilmesi ve ret durumunun İYS’den kontrol edilmesi gerekir.

Kurul iki uyarı daha yaptı. 2025/1072 sayılı ilke kararına göre sözleşme onayı, veri işleme izni ve ticari ileti onayı tek bir eylemle alınmaz. 21 Temmuz 2026 tarihli duyuruya göre başkasından elde edilen iletişim bilgileri reklam ve pazarlama için doğrudan bir hukuki dayanak sağlamaz; satın alınmış bir adres listesi bu yüzden çözüm değildir.

Üçüncü taraf araçlar ve yurt dışına aktarım

Analitik, harita, video, sohbet, captcha ve barındırma hizmetlerinin çoğu yurt dışındadır; siteniz bu araçları yüklediğinde ziyaretçinin en azından IP adresi o sağlayıcıya gider. 2024 değişikliğinden sonra Kanunun 9. maddesi bir sıra kurar: aktarılacak ülke için yeterlilik kararı, yoksa uygun güvence, ikisi de yoksa yalnız arızi hâller için sayılan istisnalar.

Kurul Ekim 2026 itibarıyla hiçbir ülke için yeterlilik kararı vermedi. Pratikte en sık kullanılan güvence, Kurulun ilan ettiği standart sözleşmedir; sözleşme imzalandıktan sonra beş iş günü içinde Kuruma bildirilir. Bildirimi yapmamanın 2026’daki cezası 90.308 TL ile 1.806.177 TL arasındadır. Arızi istisnalar adının söylediği gibi tekil durumlar içindir; sürekli bir barındırma ilişkisini karşılamaz.

Tasarımda aktarımı azaltmanın yolları bellidir: yazı tiplerini ve betikleri kendi sunucunuzda barındırmak, video ve haritayı ziyaretçi tıklayınca yüklemek, ölçümü çerezsiz ve mümkünse kendi sunucunuzda kurmak. AB’den bir emsal: Münih bölge mahkemesi 2022’de Google Fonts’un Google sunucusundan yüklenmesini ziyaretçinin IP adresinin izinsiz aktarımı saydı ve yazı tipinin sitenin kendi sunucusundan sunulabileceğini belirtti.

Güvenlik, saklama ve veri ihlali

Kanunun 12. maddesi uygun güvenlik düzeyi için teknik ve idari tedbir ister. Kurumun Nisan 2025’te yenilenen Kişisel Veri Güvenliği Rehberi bunları tablolar: şifreli bağlantı, yetki ve erişim yönetimi, günlük kayıtları, yedekleme, güncel yazılım, sızma testi, veri sorumlusu ile veri işleyen arasındaki sözleşmeler ve risk analizi bunların başında gelir.

Web’e özgü bir örnek: 2023/1796 sayılı kararda bir şirketin sitesinde yapılan sistem değişikliğinden sonra, önbellek yapılandırması yüzünden üyelerin ad, soyad, üyelik ve telefon bilgileri herkesin erişimine açıldı. Kurul değişikliğin canlıya alınmadan önce yeterince test edilmediğini tespit etti ve 200.000 TL ceza verdi. Güncellemeyi yayından önce test etmek de bir güvenlik tedbiridir.

Veri ihlali olursa Kurul, 2019/10 sayılı kararıyla bildirimin ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılmasını istiyor; Kurum 20 Ocak 2026 tarihli duyurusunda bu kuralı yineledi. Etkilenen kişilere de makul en kısa sürede bilgi verilir.

Saklama süresi de tasarımın parçasıdır: form mesajları, sunucu günlükleri ve yedekler ne kadar gerekiyorsa o kadar tutulur. Silme yönetmeliğine göre saklama ve imha politikası hazırlamak yalnız VERBİS’e kayıt yükümlüsü veri sorumlularına zorunludur; ama süresi dolan veriyi silme yükümlülüğü herkes için geçerlidir. Periyodik imha aralığı altı ayı geçemez; ilgili kişinin silme talebi en geç 30 günde sonuçlandırılır.

İlgili kişinin başvurusu

Kanunun 11. maddesi ilgili kişiye verisinin işlenip işlenmediğini öğrenme, düzeltilmesini ya da silinmesini isteme gibi haklar tanır. Başvuru Tebliğine göre başvuru yazılı olarak, kayıtlı elektronik posta (KEP), güvenli elektronik imza ya da mobil imzayla veya ilgili kişinin daha önce bildirdiği ve veri sorumlusunun sisteminde kayıtlı e-posta adresinden yapılabilir. Cevap en geç 30 gün içinde ve kural olarak ücretsiz verilir.

Kurum 1 Ekim 2026’da bir hatırlatma yaptı: başvuruya telefonla ya da yüz yüze verilen cevap, Kanunun istediği cevap sayılmaz; cevap yazılı ya da elektronik ortamda verilir. Cevap gelmezse ya da yetersizse ilgili kişi Kurula şikâyette bulunabilir. Sitedeki karşılığı basittir: aydınlatma metni başvurunun nasıl ve hangi adrese yapılacağını açıkça yazar.

VERBİS ve 2026 ceza tutarları

Veri Sorumluları Siciline (VERBİS) kayıt herkes için zorunlu değil. Kurul kararına göre yıllık çalışan sayısı 50’den, yıllık mali bilanço toplamı 100 milyon TL’den az olan veri sorumluları kayıttan muaftır; ana faaliyeti özel nitelikli veri işlemek olanlar için bu eşikler 10 çalışan ve 10 milyon TL’dir. Muafiyet yalnız kayıttan muafiyettir; aydınlatma, güvenlik ve diğer yükümlülükler sürer.

İdari para cezaları her yıl yeniden değerleme oranıyla artar; Kanun metnindeki 5.000–100.000 TL gibi rakamlar artık güncel değildir. 2026 için geçerli tutarlar:

1. Aydınlatma yükümlülüğü (md. 10) · 85.437 – 1.709.200 TL
2. Veri güvenliği (md. 12) · 256.357 – 17.092.242 TL
3. Kurul kararlarına uymama (md. 15) · 427.263 – 17.092.242 TL
4. VERBİS kayıt ve bildirim (md. 16) · 341.809 – 17.092.242 TL
5. Yurt dışı aktarım bildirimi (md. 9/5) · 90.308 – 1.806.177 TL

Ziyaretçiniz AB’den geliyorsa

Site Almanca ya da İngilizce içerikle AB’deki kişilere hizmet sunuyorsa GDPR’ın 3(2). maddesi devreye girebilir. O zaman iki fark öne çıkar. Birincisi hukuki dayanak: GDPR’da rıza, sözleşme ve meşru menfaat aynı listede eşit dayanaklardır; KVKK’da açık rıza kuraldır, diğer şartlar istisna olarak sayılır. İkincisi cihaz erişimi: ePrivacy Direktifinin 5(3). maddesi ve Almanya’da TDDDG’nin 25. paragrafı, yalnız çerezleri değil cihazda tutulan her kaydı, kesinlikle gerekli olmadıkça rızaya bağlar. Almanya’daki veri koruma makamlarının ortak yönergesi, kabul ve ret seçeneklerinin eşdeğer etkide sunulmasını ister.

Aktarım tarafında AB, Türkiye’yi yeterli koruma sağlayan ülkeler arasında saymıyor; AB’den Türkiye’ye aktarım için de uygun güvence gerekiyor. AB–ABD Veri Gizliliği Çerçevesi ise yürürlükte: AB Genel Mahkemesi 3 Eylül 2025’te ona karşı açılan iptal davasını reddetti, temyiz süreci devam ediyor.

Gündemdeki büyük değişiklik, Avrupa Komisyonunun Kasım 2025’te önerdiği «Digital Omnibus» paketi. Öneri çerez kurallarını GDPR’a taşımayı, tek tıkla reddi ve tarayıcıdan gelen otomatik rıza sinyallerini getiriyor. Ekim 2026 itibarıyla öneri Avrupa Parlamentosunda komite aşamasında; AB Konseyinin pozisyonu ise çerez kurallarını ePrivacy Direktifinde bırakıyor. Bugün geçerli olan yukarıdaki kurallardır.

Bu sitede ne yaptık

Bu sitede rıza ekranı yok, çünkü rıza gerektiren bir işleme yok. Bunu bir beyan olarak değil, ölçüm olarak tutuyoruz:

1. Birinci taraf çerez · 0 — sayfa yanıtlarında çerez başlığı yok
2. İlk yüklemede üçüncü taraf istek · 0 — yazı tipleri ve betikler kendi sunucumuzda
3. Analitik ve reklam etiketi · yok
4. Bot doğrulaması (hCaptcha) · yalnız iletişim formuna dokununca yüklenir

Girişte rıza dili taşımayan bir bilgi bandı var: ziyaretle neyin, neden işlendiğini söyler ve aydınlatma metnine bağlanır; «Anladım»a basılınca 12 ay görünmez, metin değişirse yeniden çıkar. Çerez ve tarayıcı depolama politikamız sitenin tarayıcıda tuttuğu her kaydı adıyla, amacıyla ve süresiyle listeler. Test süitimiz kodun yazdığı her depolama anahtarını bu tabloyla üç dilde karşılaştırır; kod yeni bir anahtar yazar da tablo onu anmazsa test kırmızı verir.

Okuma kolaylıkları (son okunan yazıyı ve okunan rehberleri işaretlemek) varsayılan olarak kapalıdır ve ziyaretçi açarsa çalışır; yazılarda kurşun kalemle işaretleme yalnız «İşaretle»ye basınca kaydedilir. İletişim formunda zorunlu rıza kutusu yok; «Aydınlatma metnini okudum ve anladım» teyidi var ve teyit, metnin o anki sürümüyle birlikte mesaja eklenir. Form sunucumuzdan geçerken ziyaretçinin IP adresi form hizmetine iletilmez ve sunucu çağrı günlükleri kapalıdır.

Müşteri projelerinde izlediğimiz yol

Bir projede KVKK işini metin yazarak değil, ölçerek başlatıyoruz:

1. Envanter — her sayfa türünü ve temel akışları tarayıcıda açıp tutulan her kaydı ve giden her isteği listeliyoruz
2. Veri akışı — her kaydın ve isteğin amacını, alıcısını, ülkesini ve süresini çıkarıyoruz
3. Tasarım — gereksiz işlemeyi kaldırıyoruz: yerel yazı tipi, tıklayınca yüklenen içerik, çerezsiz ölçüm
4. Metin — aydınlatma metninin ve çerez tablosunun teknik içeriğini ölçülene göre hazırlıyoruz; hukuki son kontrol avukatınızda
5. Test — metin ile sitenin davranışını karşılaştıran testi projeye ekliyoruz

Kontrol listesi

1. Envanter · sunucu, form, üçüncü taraf, tarayıcı depolaması — formu doldurduktan sonra da
2. Aydınlatma · kimlik, amaç, alıcılar, yöntem, hukuki sebep, haklar — girişte erişilebilir
3. Rıza · yalnız gereken işleme için, aydınlatmadan ayrı metinde
4. Çerez · zorunlu olanlar için bilgi, diğerleri için eşit seçenekli rıza
5. Form · gerekli alan, zorunlu rıza kutusu yok, teyit ve metin sürümü kaydı
6. Bülten · ayrı onay, önceden işaretsiz kutu, İYS kaydı
7. Üçüncü taraf · yurt dışı aktarım için güvence ve bildirim
8. Güvenlik · şifreli bağlantı, güncel yazılım, test edilmiş yayın, yedek
9. Saklama · süre, imha, 72 saatlik ihlal planı
10. Başvuru · kanal, 30 gün, yazılı cevap

KVKK’ya uyum bir kez yazılıp bırakılan bir metin değil; site değiştikçe yeniden ölçülen bir durum. Bu yazı 30 Ekim 2026 itibarıyla yürürlükteki düzenlemelerle yazıldı; ceza tutarları her yıl değişir, AB’deki süreç sürüyor. Hukuki görüş değildir; kendi siteniz için bir avukatla doğrulayın. Sitenizin ne işlediğini birlikte ölçmek isterseniz bize yazın.