KVKK Uyumlu Web Sitesi Nasıl Olur?

Sitenizin topladığı veriler sandığınızdan fazla

“Bizim sitede kişisel veri yok ki, sadece tanıtım sitesi” cümlesini çok duyuyoruz. Sonra birlikte bakınca liste uzuyor.

İletişim formu ad, telefon, e-posta topluyor; bu belli. Ama sunucu her ziyaretçinin IP adresini kayıt dosyalarına yazıyor. Google Analytics ya da benzeri bir ölçüm aracı çerez bırakıyor. Ana sayfaya gömülü YouTube videosu, iletişim sayfasındaki Google Haritalar, köşedeki sohbet penceresi, Facebook ya da Instagram akışı… Bunların her biri ziyaretçinin tarayıcısından üçüncü bir firmaya veri gönderiyor, çoğu zaman ziyaretçi daha hiçbir şeye tıklamadan.

Kendi sitemizi yeniden yaparken iletişim sayfasına harita gömmedik; yerine işletme profilimize bir bağlantı koyduk. Biraz hız için, biraz da tam bu yüzden: gömülü bir harita, ziyaretçi istemeden Google’a veri gönderiyor ve çerez bırakıyor. KVKK uyumu bazen bir metin yazmaktan çok, neyi siteye koymayacağınıza karar vermekle başlıyor. (Hız tarafını merak ediyorsanız hızlı açılan web sitesi yazısında anlattım.)

Çerezler: Bandı koymak yetmiyor

Kişisel Verileri Koruma Kurumu’nun Çerez Uygulamaları Hakkında Rehberi (ilk hâli 2022, güncellemesi Temmuz 2025) çerezleri kabaca ikiye ayırıyor. Sitenin çalışması için gerçekten şart olan çerezler (oturum, sepet, güvenlik, ziyaretçinin çerez tercihini hatırlamak gibi) açık rıza gerektirmiyor. Analiz, kişiselleştirme ve reklam çerezleri ise ziyaretçinin önceden, bilerek ve özgürce verdiği onaya bağlı.

Sahada gördüğümüz en yaygın hata şu: sitede güzel bir çerez bandı var, “Kabul et” düğmesi kocaman, ama arka planda Google Analytics ve reklam pikselleri bant görünmeden önce çalışmaya başlamış bile. Yani bant dekoratif. Doğru kurulumda zorunlu olmayan hiçbir kod, ziyaretçi onay vermeden yüklenmez; ziyaretçi reddederse de hiç yüklenmez.

Bir de tasarım tarafı var. “Kabul et” büyük ve renkli, “Reddet” ise üç tık içeride gri küçük bir yazıysa, bu da sorunlu. Rehberin ruhu, reddetmenin kabul etmek kadar kolay olması. Önceden işaretlenmiş kutular ya da “siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız” cümlesi geçerli rıza yerine geçmiyor. Bunlar bir de sayfanın kaymasına yol açmayacak şekilde kurulmalı; sayfanın üstüne geç inip içeriği aşağı iten bant hem ziyaretçiyi hem Google’ı rahatsız ediyor.

Google Analytics kullanmanın kendisi yasak değil. Önemli olan onu ziyaretçinin onayına bağlamak, aydınlatma metninde anlatmak ve verinin yurt dışına gittiğini hesaba katmak. Ölçüm kurulumunu GA4 rehberimizde anlattık; onay modu (consent mode) ayarı da orada konuşulması gereken bir konu.

Formlar: Aydınlatma ayrı, açık rıza ayrı

İletişim formlarının altında sık gördüğümüz bir kutu var: “KVKK metnini okudum, kişisel verilerimin işlenmesine açık rıza veriyorum.” Ve bu kutu işaretlenmeden form gönderilemiyor. İyi niyetle konmuş ama iki ayrı şeyi birbirine karıştırıyor.

Aydınlatma, ziyaretçiyi bilgilendirmektir: hangi veriyi, ne amaçla, ne kadar süre tutacağınızı, kimlerle paylaşacağınızı ve haklarını anlatırsınız. Bunun için onay almanız gerekmiyor; metne erişilebilir olması yeterli. Açık rıza ise ancak işleme gerçekten rızaya dayanıyorsa gereken, isteğe bağlı bir onay. Ziyaretçinin “bana fiyat teklifi gönderin” talebine cevap vermek için zaten bir hukuki sebebiniz var; bunu rızaya bağlamak, hatta rızayı hizmetin şartı yapmak, rızanın özgürce verilmesi ilkesiyle çelişiyor.

Pratikte iyi bir form şöyle görünüyor: gönder düğmesinin yanında aydınlatma metnine bir bağlantı; altında, işaretlenmeden gelen ve işaretlenmesi zorunlu olmayan ayrı bir kutu, örneğin “Kampanya ve duyurulardan e-posta ile haberdar olmak istiyorum.” Bu ikinci kutu aynı zamanda ticari elektronik ileti onayı; toplu e-posta ya da SMS gönderecekseniz bu onayların İleti Yönetim Sistemi’ne (İYS) kaydedilmesi de ayrıca gerekiyor.

Örnek vaka: Bir fizik tedavi merkezinin formu

Diyelim ki bir fizik tedavi merkezi web sitesine randevu formu koydu. Formda ad, telefon ve bir de “şikâyetinizi kısaca yazın” alanı var. İnsanlar o alana “bel fıtığım var, MR sonucum ekte” gibi şeyler yazıyor. İşte o an form, sağlık verisi yani özel nitelikli kişisel veri toplamaya başladı.

Bu merkez için birkaç şey değişiyor. Özel nitelikli verinin korunması için daha sıkı önlemler gerekiyor; formdan gelen bilgilerin şifresiz bir e-postayla herkesin baktığı genel bir kutuya düşmesi iyi bir fikir değil. VERBİS tarafında da durum farklı: ana faaliyeti özel nitelikli veri işlemek olan veri sorumluları için Kurul’un 4 Eylül 2025 tarihli kararıyla yeni bir eşik getirildi; yıllık çalışan sayısı 10’dan ve yıllık mali bilanço toplamı 10 milyon TL’den az olanlar kayıttan muaf, üstündekiler kayıt olmak zorunda. Belki de en basit çözüm, forma serbest metin alanı koymamak: “Uygun gün ve saat” ile telefon yeter, gerisi telefonda konuşulur. Daha az veri, daha az risk.

Yurt dışına aktarım: Fark etmeden yapılanlar

Siteniz Türkiye’deki bir sunucuda olabilir, ama formunuz yurt dışındaki bir e-posta servisinden geçiyorsa, bülteniniz yurt dışındaki bir gönderim platformunu kullanıyorsa ya da analiz ve reklam kodlarınız yabancı firmalara veri gönderiyorsa, kişisel veriyi yurt dışına aktarıyorsunuz demektir.

7499 sayılı Kanun’la yapılan değişiklik (12 Mart 2024’te Resmî Gazete’de yayımlandı, yurt dışı aktarım hükümleri 1 Haziran 2024’ten beri yürürlükte) bu alanı baştan düzenledi. Artık yeterlilik kararı yoksa uygun güvencelerden biri, çoğu durumda Kurul’un yayımladığı standart sözleşme kullanılıyor ve imzalanan standart sözleşmenin 5 iş günü içinde Kurum’a bildirilmesi gerekiyor. Bu bildirimi yapmamanın da 2026 için ayrı bir cezası var: 90.308 TL ile 1.806.177 TL arası. Hangi hizmetin hangi güvenceyle kullanılacağı tamamen hukuki bir değerlendirme; biz teknik tarafta “sitede hangi servise ne gidiyor” listesini çıkarıp avukatınıza veriyoruz.

Güvenlik: Metin ne derse desin, sızıntı sızıntıdır

KVKK’nın 12. maddesi veri sorumlusundan veriyi korumak için gerekli teknik ve idari tedbirleri almasını istiyor. Web sitesinde bunun karşılığı çok somut: SSL sertifikası (bugün zaten olmazsa olmaz, neden önemli olduğunu burada anlattık), güncel tutulan yazılım ve eklentiler, güçlü şifre ve iki adımlı doğrulama, herkesin yönetici olmadığı bir yetki yapısı, düzenli ve şifreli yedek.

Sık gördüğümüz zayıflıklardan biri, form verilerinin yıllardır veritabanında birikmesi. Beş yıl önce teklif isteyen birinin telefonu hâlâ orada, hiç silinmemiş, sitenin eski bir eklentisinde açık var… Saklama süresini belirleyip eski kayıtları düzenli silmek hem KVKK’nın “gerektiği kadar sakla” ilkesine uyuyor hem de bir saldırıda kaybedeceğiniz şeyi küçültüyor. Daha geniş kontrol listesi için web sitesi güvenliği yazımıza bakabilirsiniz.

2026 KVKK idari para cezaları

Kişisel Verileri Koruma Kurumu, ceza tutarlarını her yıl yeniden değerleme oranında güncelliyor. Kurum’un 2026 tablosuna göre tutarlar şöyle:

VERBİS konusunda genel kural da hatırlatmaya değer: yıllık çalışan sayısı 50’den ve yıllık mali bilanço toplamı 100 milyon TL’den az olan ve ana faaliyeti özel nitelikli veri işlemek olmayan veri sorumluları kayıttan muaf. Muaf olmak, aydınlatma ve güvenlik yükümlülüklerinden muaf olmak anlamına gelmiyor; bu ayrım sık karıştırılıyor. Kanunun tam metni Mevzuat Bilgi Sistemi’nde, VERBİS kaydı verbis.kvkk.gov.tr adresinde.

Peki GDPR ve WHOIS ne oldu?

Bu yazının 2018’deki ilk hâli tam da bu konuyu anlatıyordu: Avrupa Birliği’nin Genel Veri Koruma Tüzüğü (GDPR) 25 Mayıs 2018’de yürürlüğe girerken, alan adı sahiplerinin ad, adres ve telefonlarını herkese açık gösteren WHOIS sisteminin ne olacağı belirsizdi. Sonuçta olan şu oldu: kayıt kuruluşlarının çoğu kişisel bilgileri gizlemeye başladı, WHOIS sorgularında “REDACTED FOR PRIVACY” yazısı sıradan hâle geldi.

Hikâyenin son perdesi 2025’te yaşandı. ICANN, .com, .net gibi genel uzantılarda 28 Ocak 2025’ten itibaren eski WHOIS protokolünü emekliye ayırdı ve yerine RDAP’ı (Registration Data Access Protocol) koydu (ICANN duyurusu). RDAP, kimin hangi veriye erişebileceğini katmanlı şekilde yönetebiliyor; yani 2018’de konuşulan “akredite kişiler daha fazlasını görsün” fikri teknik olarak mümkün hâle geldi. Avrupa’daki bir müşteriye hizmet veriyor ya da AB’deki kişilerin verisini işliyorsanız KVKK’nın yanında GDPR’ı da hesaba katmanız gerektiğini de ekleyeyim; iki düzenleme benzer ama birebir aynı değil.

Kontrol listesi: Sitenizi bu gözle bir kez gezin

• Sitenin altında aydınlatma metni, gizlilik politikası ve çerez politikası bağlantıları var mı, metinler güncel mi?
• Çerez bandı görünmeden önce analiz ya da reklam kodu çalışıyor mu? (Tarayıcının geliştirici araçlarında görülebilir.)
• “Reddet” seçeneği “Kabul et” kadar kolay mı? Tercih sonradan değiştirilebiliyor mu?
• Formlarda aydınlatma bağlantısı var mı; açık rıza kutusu ayrı ve isteğe bağlı mı?
• Formda gereğinden fazla veri isteniyor mu (TC kimlik no, doğum tarihi, serbest metin alanı)?
• Form verileri nereye gidiyor, kaç yıl saklanıyor, kim erişebiliyor?
• Yurt dışındaki hangi servislere veri gidiyor; bunlar avukatınızla değerlendirildi mi?
• SSL, güncellemeler, yedek ve yönetici hesapları düzenli kontrol ediliyor mu?

EFORWEB bu işin neresinde?

Açık söyleyeyim: KVKK aydınlatma metni, gizlilik ve çerez politikası, mesafeli satış sözleşmesi gibi yasal metinleri biz hazırlamıyoruz; bunlar firmanızın sorumluluğunda ve bir avukatın işi. Bizim işimiz, avukatınızdan gelen metinleri siteye doğru yerleştirmek, çerez onay bandını gerçekten çalışacak şekilde kurmak, formları ve güvenlik ayarlarını metinlerle uyumlu hâle getirmek ve sitede hangi verinin nereye gittiğini avukatınız için listelemek. Web tasarım projelerimizde bu kurulum işin bir parçası.