KVKK ve işletme web sitesi: aydınlatma, açık rıza, çerezler ve VERBİS

Bir web sitesi, işletmenin vitrini olduğu kadar bir veri toplama noktasıdır da. İletişim formuna yazılan ad ve telefon numarası, randevu sistemine girilen e-posta adresi, ziyaretçinin tarayıcısına yerleştirilen bir çerez: Bunların hepsi 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında kişisel veridir. Kanunun güncel metni mevzuat.gov.tr üzerinde yayımlanıyor; uygulamaya yön veren rehberler ve Kurul kararları ise Kişisel Verileri Koruma Kurumu sitesinde.

İyi haber şu: Esnaf ve KOBİ’ler için yükümlülüklerin çoğu açık ve uygulanabilir. Aşağıda bir işletme web sitesinin karşılaması gereken temel noktaları, doğrudan Kanun ve Kurum yayınlarına dayanarak özetliyoruz. Bu yazı hukuki danışmanlığın yerini tutmaz; özel durumlar için bir uzmana danışmanızı öneririz.

Aydınlatma metni: ilk ve vazgeçilmez adım

KVKK’nın 10. maddesi, kişisel veriler elde edilirken veri sorumlusunun ilgili kişiyi bilgilendirmesini zorunlu kılar. Aydınlatma metninde en az şunlar yer almalıdır:

• Veri sorumlusunun ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• Verilerin kimlere ve hangi amaçla aktarılabileceği,
• Veri toplamanın yöntemi ve hukuki sebebi,
• Kanunun 11. maddesinde sayılan haklar.

11. madde, herkesin veri sorumlusuna başvurarak verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme, yalnızca otomatik sistemlerle yapılan analizlerin aleyhine sonuçlarına itiraz etme gibi haklarını sayar. 13. madde ise bu başvuruların en geç otuz gün içinde ve kural olarak ücretsiz sonuçlandırılmasını öngörür.

Pratikte bu, web sitenizde kolayca bulunan, sade Türkçeyle yazılmış ve sitenin gerçekte ne yaptığını anlatan bir aydınlatma metni demektir. Başka bir siteden kopyalanmış, işletmenizin hiç kullanmadığı hizmetleri anlatan bir metin, aydınlatma yükümlülüğünü karşılamaz.

İletişim formu ve WhatsApp: her şey için açık rıza gerekmez

Yaygın bir yanlış, sitedeki her forma bir “açık rıza” kutucuğu eklemektir. KVKK’nın 5. maddesi, açık rıza dışında da veri işleme şartları sayar; örneğin bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması ya da veri sorumlusunun meşru menfaati (ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla).

Bir müşteri fiyat sormak veya randevu almak için formu doldurduğunda, ona dönüş yapmak çoğu zaman bu şartlardan birine dayanabilir. Kurum’un Çerez Uygulamaları Hakkında Rehberi, aktardığı bir Kurul kararında, açık rıza dışında bir işleme şartı varken açık rıza istenmesinin dürüstlük kuralına aykırılık olarak yorumlanacağını belirtir. Aynı rehber, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’e atıfla, açık rızaya dayalı işlemede aydınlatma ile açık rızanın ayrı ayrı alınması gerektiğini hatırlatır.

Açık rıza ise Kanunda “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanır. Tek bir genel kutucukla “tüm verilerimin işlenmesini kabul ediyorum” demek bu tanımı karşılamaz.

Sitenizdeki WhatsApp butonu da bir veri akışı başlatır: Müşteri numarası ve mesaj içeriği, kullandığınız mesajlaşma hizmetine gider. Bu hizmetin verileri nerede işlediğini sağlayıcının belgelerinden kontrol edin. Yurt dışına aktarım kuralları, 7499 sayılı Kanun ile değiştirilen ve Kurum’un Kişisel Verilerin Yurt Dışına Aktarılması Rehberi’ne göre 1 Haziran 2024’te yürürlüğe giren yeni 9. maddede düzenlenir. Kampanya ve tanıtım mesajları ise ayrıca 6563 sayılı Kanun ve İleti Yönetim Sistemi kurallarına tabidir; bu konuyu ayrı bir yazıda ele alıyoruz.

Çerezler: Kurum rehberi ne diyor?

Kurum’un çerez rehberinin güncel sürümü Temmuz 2025 tarihli (KVKK Yayınları No: 69). Rehber, açık rıza gerektirmeyebilecek çerezleri iki ölçütle tarif eder:

• Kriter A: Çerezin yalnızca iletişimin elektronik haberleşme şebekesi üzerinden sağlanması amacıyla kullanılması.
• Kriter B: Çerez kullanımının, kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekli olması.

Rehber; kimlik doğrulama, kullanıcı girdisi (örneğin sepet), kullanıcı merkezli güvenlik çerezlerini Kriter B kapsamında örnekler. Dikkat çekici bir nokta: Amacı yalnızca sitenin işleyişini ve günlük yönetimini ölçmekle sınırlı birinci taraf analitik çerezlerin de Kriter B kapsamında değerlendirilebileceği düşünülmektedir; rehber bu durumda verilerin sınırlı tutulmasını ve gerekmeyen verilerin anonimleştirilmesini tavsiye eder.

Buna karşılık davranışsal reklamcılık çerezleri ve sosyal ağ eklentilerinin takip çerezleri açık rıza gerektirir. Rehberin açık rıza için öne çıkardığı noktalar:

• Rıza aktif, olumlayıcı bir eylemle alınmalıdır; siteye girmiş olmak rıza sayılmaz.
• Açık rıza gerektiren çerezler panelde ilk açılışta pasif gelmelidir.
• “Kabul et”, “Reddet” ve “Tercihler” butonlarının renk, büyüklük ve punto açısından eşit sunulması iyi uygulama örneği olarak gösterilir.
• Rıza geri alınabilir olmalı; çerez paneline sonradan kolayca ulaşılabilmelidir.
• Reklam çerezleri için rıza, kullanım koşulları veya gizlilik bildirimi gibi belgelere iliştirilerek alınamaz.

Sitenize eklediğiniz her hazır bileşen, örneğin harita, video ya da sosyal medya akışı, kendi çerezlerini getirebilir. Bu yüzden ilk iş, sitenizin gerçekte hangi çerezleri yerleştirdiğini listelemektir.

VERBİS: kimler kayıt olmak zorunda değil?

KVKK’nın 16. maddesi, veri sorumlularının Veri Sorumluları Siciline (VERBİS) kaydolmasını öngörür; Kurul ise istisna belirleyebilir. Kurum’un yayımladığı güncel kriterler şöyle:

• Kurul’un 06/07/2023 tarihli ve 2023/1154 sayılı kararı ile, yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan ve ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan gerçek veya tüzel kişi veri sorumluları kayıttan istisnadır. Bu kararla bilanço eşiği 25 milyon TL’den 100 milyon TL’ye yükseltildi.
• Kurul’un 04.09.2025 tarihli ve 2025/1572 sayılı kararıyla, ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumlularından yıllık çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon TL’den az olanlar da istisna kapsamına alındı (Kurum duyurusu). Sağlık verisi Kanunun 6. maddesine göre özel nitelikli veridir; bu nedenle klinik ve muayenehaneler için bu ikinci kriter önemlidir.
• Kurum’un uygulama esaslarına ilişkin duyurusuna göre, 25.12.2025 tarihli ve 2025/2393 sayılı Kurul kararıyla bilanço esasına göre defter tutan veri sorumluları için çalışan sayısı ve bilanço toplamı birlikte, bilanço esasına göre defter tutmayanlar için ise bilanço bilgisi bulunmadığından yalnızca yıllık çalışan sayısı esas alınır.

Kurum’un Sorularla VERBİS belgesi önemli bir uyarı yapar: Sicile kayıttan istisna olmak, Kanun hükümlerinden istisna olmak anlamına gelmez. Aydınlatma, veri güvenliği ve başvuruları yanıtlama yükümlülükleri, VERBİS’e kayıt gerekmese de devam eder.

Kısa kontrol listesi

1. Veri envanteri çıkarın: Sitede hangi formlar, hangi çerezler, hangi üçüncü taraf hizmetleri var?
2. Aydınlatma metnini güncelleyin: 10. maddedeki başlıkların tamamını, sitenizin gerçek işleyişine göre yazın.
3. Her işlem için hukuki sebebi belirleyin: Açık rızayı yalnızca gerçekten gereken yerde, ayrı ve anlaşılır biçimde isteyin.
4. Çerez panelini rehbere göre kurun: Eşit butonlar, pasif başlayan tercihler, sonradan erişilebilir ayarlar.
5. VERBİS durumunuzu kontrol edin: Çalışan sayınızı, bilanço toplamınızı ve ana faaliyetinizi Kurum kriterleriyle karşılaştırın.
6. Başvuru sürecini hazırlayın: Gelen bir talebi otuz gün içinde kimin, nasıl yanıtlayacağını önceden belirleyin.

KVKK uyumu bir kerelik bir metin değil, sitenizle birlikte güncellenen bir düzendir. Sitenize yeni bir form, harita ya da ödeme adımı eklediğinizde aydınlatma metnine ve çerez paneline de bir göz atmak, işin büyük kısmını çözer.

mekyn, yapay zekâ ile işletmeler için web siteleri oluşturur; sitenin aydınlatma metni ve çerez ayarlarını işletmenin gerçek kullanımına göre gözden geçirmek ise her durumda işletmenin sorumluluğunda kalır.