KVKK Uyumlu Web Sitesi İçin 2026 Kontrol Listesi

KVKK uyumlu bir web sitesi için 2026'da kontrol etmeniz gereken başlıca unsurlar şunlardır: işletmenize özel bir aydınlatma metni, aydınlatmadan ayrı tutulan açık rıza süreçleri, zorunlu ve isteğe bağlı çerezleri ayıran bir çerez yönetim paneli, veri minimizasyonuna uygun formlar, yurt dışına veri aktaran araçların değerlendirilmesi, tanımlı saklama süreleri, çalışan bir ilgili kişi başvuru kanalı ve ticari iletiler için İYS uyumu. Gerekiyorsa VERBİS kaydı da bu listenin parçasıdır.

6698 sayılı Kişisel Verilerin Korunması Kanunu, web sitelerini doğrudan hedef alan bir düzenleme değildir; ancak bir web sitesi iletişim formu, üyelik, sipariş, çerezler ve analitik araçlar aracılığıyla neredeyse her zaman kişisel veri işler. Bu nedenle tasarım ve geliştirme sürecinde KVKK'yı sonradan eklenen bir metin olarak değil, sitenin mimarisine yerleşen bir ilke olarak ele almak gerekir.

Web sitesinde KVKK aydınlatma metni nasıl olmalı?

Aydınlatma yükümlülüğü, kişisel veri toplanırken ilgili kişiye kim olduğunuzu, verileri hangi amaçla işlediğinizi, kimlere ve hangi amaçla aktarabileceğinizi, verilerin toplanma yöntemini ve hukuki sebebini ve Kanun kapsamındaki haklarını anlatmanızı gerektirir. Web sitesinde bu bilgi, verinin toplandığı anda kolayca erişilebilir olmalıdır.

• Metin, işletmenizin gerçek veri işleme faaliyetlerini yansıtmalı; başka bir siteden kopyalanmış genel ifadeler içermemelidir.
• İletişim formu, üyelik ve sipariş gibi farklı süreçler için ayrı ve sürece özgü aydınlatma yapılması daha anlaşılırdır.
• Form gönderim butonunun yakınında aydınlatma metnine bağlantı verilmelidir.
• Dil sade ve anlaşılır olmalı; hukuki terimler gerektiğinde açıklanmalıdır.

Sık yapılan bir hata, aydınlatma metnini “okudum, onaylıyorum” kutusuyla birleştirmektir. Aydınlatma bir bilgilendirmedir, onay gerektirmez. Kullanıcıdan metni okuduğunu onaylamasını istemek, açık rıza ile aydınlatmanın karıştırılmasına yol açar.

Açık rıza ne zaman gerekir ve nasıl alınmalı?

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Her veri işleme faaliyeti açık rıza gerektirmez. Sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi başka işleme şartları varsa, açık rıza istemek hem gereksizdir hem de yanıltıcı olabilir. Açık rıza ise genellikle pazarlama amaçlı çerezler, kişiselleştirilmiş reklam veya Kanun'daki diğer şartlara dayanmayan işlemeler için gündeme gelir.

• Açık rıza kutuları önceden işaretli olmamalıdır.
• Rıza, bir hizmetin veya üyeliğin ön koşulu hâline getirilmemelidir.
• Farklı amaçlar için tek bir toplu onay yerine ayrı onaylar alınmalıdır.
• Kullanıcı verdiği rızayı aynı kolaylıkla geri alabilmelidir.
• Rızanın ne zaman ve hangi metinle alındığı kayıt altında tutulmalıdır.

KVKK'ya uygun çerez yönetimi nasıl yapılır?

Kişisel Verileri Koruma Kurumu'nun çerez uygulamalarına ilişkin rehberi, çerezlerin amaçlarına göre ayrıştırılmasını ve zorunlu olmayan çerezler için kullanıcının gerçek bir seçim yapabilmesini öngörür. Pratikte bu, çerez bannerının yalnızca bilgilendirme yapan bir şerit olmaktan çıkıp işlevsel bir onay yönetim aracına dönüşmesi anlamına gelir.

Çerez kategorileri nasıl ayrılmalı?

• Zorunlu çerezler: Sitenin çalışması için gereken oturum, güvenlik ve sepet çerezleri. Genellikle açık rıza gerektirmez, ancak aydınlatma kapsamında açıklanmalıdır.
• Analitik çerezler: Ziyaret istatistiklerini ölçen araçlar. Kullanıcının onayı olmadan çalıştırılmamalıdır.
• Pazarlama çerezleri: Reklam, yeniden hedefleme ve sosyal medya pikselleri. Açık rıza alınmadan yüklenmemelidir.
• İşlevsel çerezler: Dil tercihi, gömülü video gibi deneyimi zenginleştiren ancak zorunlu olmayan çerezler; niteliğine göre değerlendirilmelidir.

Teknik açıdan en kritik nokta, onay verilmeden önce analitik ve pazarlama betiklerinin hiç yüklenmemesidir. Banner gösterip arka planda tüm izleme kodlarını çalıştırmak, uyumlu görünen ama uyumlu olmayan bir yapı yaratır. “Kabul et” ve “Reddet” seçenekleri eşit görünürlükte sunulmalı, kullanıcı tercihlerini daha sonra değiştirebileceği kalıcı bir bağlantı sitede yer almalıdır.

İletişim formlarında hangi veriler toplanmalı?

KVKK'nın temel ilkelerinden biri, verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasıdır. Bir iletişim formunda ad, e-posta ve mesaj çoğu zaman yeterlidir. T.C. kimlik numarası, doğum tarihi veya açık adres gibi alanlar gerçek bir ihtiyaç yoksa formdan çıkarılmalıdır. Her ek alan, hem dönüşüm oranını düşürür hem de korumanız gereken veri miktarını artırır.

Formlardan gelen verilerin nereye gittiği de önemlidir. Veriler bir e-posta kutusuna, CRM'e veya üçüncü taraf bir form servisine aktarılıyorsa, bu sistemlerin erişim yetkileri, güvenliği ve sunucu konumu ayrıca değerlendirilmelidir. Özel nitelikli kişisel veriler (sağlık, biyometrik veri gibi) toplanıyorsa çok daha sıkı kurallar geçerlidir ve mutlaka hukuki destek alınmalıdır.

VERBİS kaydı kimler için zorunlu?

VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'dir. Kayıt yükümlülüğü, Kurul kararlarıyla belirlenen çalışan sayısı ve yıllık mali bilanço eşiklerine, yurt dışında yerleşik olup Türkiye'de veri işleme durumuna ve ana faaliyetin özel nitelikli kişisel veri işlemek olup olmamasına göre değişir. Eşiklerin altında kalan birçok küçük işletme kayıttan muaf olabilir; ancak muafiyet, KVKK'nın diğer yükümlülüklerinden muaf olmak anlamına gelmez.

Kayıt yükümlülüğünüz olup olmadığını belirlemek için güncel Kurul kararlarını takip etmeniz veya bir hukuk danışmanından görüş almanız gerekir. Kayıt yükümlüsüyseniz, kişisel veri saklama ve imha politikası hazırlamak da genellikle bu sürecin bir parçasıdır.

Google Analytics ve CDN kullanmak yurt dışına veri aktarımı mı?

Web sitelerinde kullanılan birçok hizmet, sunucuları Türkiye dışında bulunan şirketler tarafından sağlanır. Analitik araçları, içerik dağıtım ağları (CDN), barındırma hizmetleri, e-posta pazarlama platformları ve canlı destek yazılımları, IP adresi gibi kişisel verileri yurt dışına aktarabilir. 2024 yılında yapılan değişikliklerle yurt dışına aktarım rejimi yeniden düzenlenmiş; yeterlilik kararı, uygun güvenceler (örneğin Kurul'un yayımladığı standart sözleşmeler) ve belirli istisnai haller gibi yollar tanımlanmıştır.

Pratikte yapılması gereken ilk adım, sitenizde çalışan tüm üçüncü taraf hizmetlerin bir envanterini çıkarmaktır. Ardından her hizmet için verinin nereye aktarıldığı, hangi hukuki mekanizmaya dayanıldığı ve standart sözleşme kullanılıyorsa Kurum'a bildirim gibi yükümlülüklerin yerine getirilip getirilmediği değerlendirilmelidir. Mümkün olan yerlerde IP anonimleştirme, sunucu taraflı etiketleme veya Türkiye ya da yeterli korumaya sahip bölgelerde barındırma gibi teknik önlemler riski azaltır.

Kişisel veriler ne kadar süre saklanmalı?

Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklanabilir. Bir iletişim formu mesajını yıllarca saklamak için genellikle geçerli bir neden yoktur. Her veri kategorisi için bir saklama süresi belirlemek, süresi dolan verileri silmek, yok etmek veya anonim hâle getirmek ve bu işlemleri kayıt altına almak gerekir. Bu süreç, web sitesinin veritabanında, form servislerinde ve yedeklerde birlikte uygulanmalıdır.

İlgili kişi başvuruları ve İYS için ne yapılmalı?

Kullanıcılar; verilerinin işlenip işlenmediğini öğrenme, düzeltme, silme ve itiraz gibi haklara sahiptir. Sitenizde bu hakların nasıl kullanılacağını açıklayan bir başvuru yöntemi ve başvuruları takip eden bir iç süreç bulunmalıdır. Kanun, başvuruların en geç otuz gün içinde sonuçlandırılmasını öngörür; bu nedenle başvuruların hangi e-posta veya kanala geldiğinin ve kimin yanıtlayacağının önceden belli olması önemlidir.

E-bülten, kampanya SMS'i veya pazarlama e-postası gönderiyorsanız, KVKK'nın yanında 6563 sayılı Kanun kapsamındaki ticari elektronik ileti kuralları da devreye girer. Alıcılardan önceden onay alınması, onayların İleti Yönetim Sistemi'ne (İYS) kaydedilmesi ve her iletide kolay bir ret seçeneği sunulması gerekir. Bülten formunuzdaki onay kutusunun da önceden işaretli olmaması ve İYS ile senkronize çalışması gerekir.

KVKK uyumlu web sitesi kontrol listesi

1. Sürece özel, güncel ve anlaşılır bir aydınlatma metni yayınlayın ve formların yanına bağlantı verin.
2. Açık rızayı aydınlatmadan ayırın, önceden işaretli kutu kullanmayın ve rızayı hizmet koşuluna bağlamayın.
3. Çerezleri kategorilere ayırın; onay öncesinde analitik ve pazarlama betiklerini yüklemeyin.
4. Formlarda yalnızca gerekli alanları bırakın ve verilerin aktarıldığı sistemleri belgeleyin.
5. VERBİS yükümlülüğünüzü güncel Kurul kararlarına göre değerlendirin.
6. Yurt dışına veri aktaran tüm hizmetleri listeleyin ve hukuki dayanağını belirleyin.
7. Her veri kategorisi için saklama süresi tanımlayın ve imha sürecini işletin.
8. İlgili kişi başvuru kanalını yayınlayın ve iç yanıt sürecini belirleyin.
9. Ticari iletiler için onay toplayın ve İYS kayıtlarını güncel tutun.

KVKK uyumu bir kerelik bir proje değil, sitenin yaşam döngüsü boyunca sürdürülen bir disiplindir. Yeni bir analitik aracı, form veya entegrasyon eklendiğinde bu liste yeniden gözden geçirilmelidir. Mikro Dijital olarak web projelerinde çerez yönetimi, form mimarisi ve üçüncü taraf entegrasyonlarını hukuk danışmanlarınızın belirlediği çerçeveye uygun şekilde teknik olarak hayata geçiriyoruz.