KVKK Uyumlu Web Sitesi: Çerez Banner'ı, Aydınlatma Metni ve Form Yükümlülükleri (2026 Kontrol Listesi)

Kısaca: Bir web sitesi çoğu zaman farkında olmadan kişisel veri işler: iletişim formundaki ad ve e-posta, çerezler, analitik ve reklam araçları, sohbet kutuları, harita ve video gömüleri. KVKK açısından temel yükümlülükler dört başlıktadır: (1) Aydınlatma: ziyaretçiye verisinin kim tarafından, neden ve nasıl işlendiğini söylemek; (2) Hukuki sebep ve açık rıza: zorunlu olmayan çerezler ve pazarlama için önceden ve serbestçe verilmiş onay; (3) Güvenlik ve veri minimizasyonu: yalnızca gerekli veriyi toplamak ve korumak; (4) Yurt dışı aktarım kuralları: yurt dışı sunuculu araçlar kullanıyorsanız. KVKK'nın çerez rehberi; “kabul et”, “reddet” ve “tercihler” seçeneklerinin eşit sunulmasını, önceden işaretli kutuların kullanılmamasını ve sadece siteye girmenin onay sayılmamasını öngörür. Bu yazı hukuki danışmanlık değildir; kendi durumunuz için avukatınızdan destek alın.

Son güncelleme: Eylül 2026

KVKK web siteniz için neden önemli?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veriyi işleyen herkes için geçerlidir. Web siteniz bir kurumsal tanıtım sitesi de olsa, iletişim formu, bülten aboneliği, çerezler ve analitik araçları sayesinde kişisel veri toplar. Bu yüzden “sadece tanıtım sitesi” olmak sizi kapsam dışında bırakmaz. Kişisel Verileri Koruma Kurumu (KVKK) da web siteleri için özel bir Çerez Uygulamaları Hakkında Rehber yayımlamıştır (Haziran 2022).

Uyum yalnızca ceza riskini azaltmaz; ziyaretçinin ve müşterinin size güvenini de güçlendirir. Kurumsal bilgilerinin, iletişim yollarının ve gizlilik metinlerinin açık olduğu bir site, daha güvenilir görünür.

1. Web sitenizde hangi kişisel veriler işleniyor? (Envanter)

İlk adım, sitenizin neyi topladığını netleştirmektir. Aşağıdaki tablo tipik bir kurumsal sitede karşılaşılan veri noktalarını gösterir:

Bu envanteri çıkarmak, sonraki adımların (aydınlatma metni, çerez tercihi, VERBİS) temelidir.

2. Aydınlatma metni

Veri sorumlusu, kişisel veri elde edilirken ilgili kişiyi bilgilendirmekle yükümlüdür. Aydınlatma metni temel olarak şunları içermelidir:

• Veri sorumlusunun kimliği (unvan, adres, iletişim),
• Kişisel verilerin hangi amaçla işleneceği,
• İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği,
• Verinin toplanma yöntemi ve hukuki sebebi,
• İlgili kişinin hakları ve bunları nasıl kullanabileceği.

KVKK'nın çerez rehberi, zorunlu çerezler için bile aydınlatma yapılması gerektiğini vurgular; dili açık ve sade olmalı. Uygulamada:

• Sitenizin altbilgisinde (footer) Gizlilik / Aydınlatma Metni ve Çerez Politikası bağlantıları bulunsun.
• İletişim ve teklif formlarında gönder düğmesinin yakınında aydınlatma metnine bağlantı verin (“Kişisel verileriniz [Aydınlatma Metni]'nde açıklandığı şekilde işlenir” gibi).
• Aydınlatma metnini formların ne işlediğine göre yazın. Genel geçer, kimseye özgü olmayan, kopyala-yapıştır metinler yetersiz kalır.

3. Çerez yönetimi: KVKK rehberi ne diyor?

KVKK'nın çerez rehberine ve rehberi yorumlayan hukuk kaynaklarına göre (örnek özet) temel ilkeler şunlardır:

Teknik uygulamada sık görülen 6 hata

1. Çerez banner'ı var ama analitik ve reklam betikleri onay beklemeden yükleniyor. Banner sadece süs kalır. Betikler, kullanıcı onay verene kadar yüklenmemelidir.
2. “Reddet” düğmesi yok veya gizli. “Kabul et” büyük ve renkli, “Reddet” soluk bağlantı ise rehberdeki eşit sunum ilkesine aykırıdır.
3. Kaydırma ya da devam etmeyle onay alınması. Aktif bir eylem gerekir.
4. Onay kaydını tutmamak. Kullanıcının ne zaman ve neye onay verdiğini ispatlayabilmek için tercihinizi kaydedin.
5. Onayı geri çekmenin zor olması. Kullanıcı tercihini sonradan aynı kolaylıkla değiştirebilmeli (altbilgide “Çerez Tercihleri” bağlantısı).
6. Çerez politikası ile gerçekte kullanılan çerezlerin uyuşmaması. Politikadaki liste, sitenizdeki gerçek çerezlerle (tarayıcı geliştirici araçlarından kontrol edin) aynı olmalı.

Next.js gibi modern altyapılarda çerez onayı sonrası betik yükleme mantığı geliştirme aşamasında kurgulanmalıdır: onay durumunu saklayın, analitik ve reklam betiklerini yalnızca onaydan sonra Script bileşeniyle yükleyin ve onay geri çekilirse ilgili çerezleri temizleyin.

4. Açık rıza ve diğer hukuki sebepler

Her veri işleme için açık rıza gerekmez. KVKK'da açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle verilen onaydır. Bazı işlemler ise başka hukuki sebeplere dayanır: bir sözleşmenin kurulması veya ifası için gerekli veriler, hukuki yükümlülük, veri sorumlusunun meşru menfaati gibi. Örneğin bir teklif formunda talebi yanıtlamak için ad ve e-postayı işlemek, açık rıza yerine başka bir hukuki sebebe dayanabilir; ama aynı formu pazarlama listesine ekleme için ayrı bir onay gerekir.

Pratik kurallar:

• Onayları birleştirmeyin. “Formu göndererek pazarlama iletilerini kabul ediyorum” gibi paket onaylar geçersiz sayılabilir; pazarlama onayı ayrı ve isteğe bağlı olsun.
• Onay kutusunu önceden işaretlemeyin.
• Ticari elektronik ileti (e-posta, SMS, arama) için ayrıca 6563 sayılı Kanun ve İleti Yönetim Sistemi (İYS) kuralları geçerlidir. Bültenler için onay ve iptal (çık) bağlantısı gerekir.
• Verinin gerekli olanla sınırlı olması ilkesi (veri minimizasyonu): Form alanlarını gerçekten ihtiyacınız olan bilgilerle sınırlayın; “doğum tarihi”, “TC kimlik no” gibi alanları gerekmedikçe istemeyin.

5. Yurt dışı aktarım: Google Analytics, bulut ve e-posta araçları

Sitenizde kullandığınız pek çok araç verileri yurt dışındaki sunucularda işler (analitik, reklam etiketleri, e-posta pazarlama hizmetleri, bulut barındırma). KVKK, yurt dışına aktarım rejimini 1 Haziran 2024'te değiştirdi. KVKK'nın açıklamasına göre sistem üç basamaklıdır:

1. Yeterlilik kararı: Kurum'un aktarım yapılacak ülke için yeterli koruma bulunduğuna karar vermesi. Kurum'un sayfasına göre henüz ilan edilmiş bir yeterlilik kararı bulunmamaktadır.
2. Uygun güvenceler: Örneğin Kurum tarafından ilan edilen standart sözleşme (Kurul'a bildirimle), bağlayıcı şirket kuralları, taahhütname.
3. İstisnai haller: Sınırlı sayıdaki özel durumlar.

Bu, web siteniz için şu anlama gelir: Kullandığınız her yurt dışı hizmet sağlayıcı için hangi mekanizmayla aktarım yapıldığını bilmeniz gerekir. Sağlayıcılarınızla yapılan sözleşmelerde standart sözleşme veya diğer güvencelerin bulunup bulunmadığını kontrol edin. Mümkünse yurt içi veya AB'deki barındırma ve minimum veri toplayan araçları tercih edin. Kişisel veri işlemeyen ya da anonimleştirilmiş çalışan analitik çözümleri yükümlülüğünüzü azaltabilir; yine de her durumda hukuki değerlendirme yapın.

6. Güvenlik yükümlülükleri

KVKK, veri sorumlusuna uygun düzeyde güvenlik önlemi alma yükümlülüğü getirir. Web sitesi açısından temel başlıklar:

• HTTPS her sayfada zorunlu tutulsun; formlar şifreli iletilsin.
• Yönetim panellerinde güçlü parola, iki adımlı doğrulama ve yetki ayrımı kullanın.
• Formlardan gelen verinin kime, hangi sistemlere gittiğini bilin; e-posta kutularında saklanan başvuruları düzenli silin.
• Yedekleme ve güncelleme: Kullanılan altyapının ve eklentilerin güncelliğini koruyun.
• Veri ihlali senaryosu: Kişisel verilerin ele geçirilmesi durumunda Kurul'a ve etkilenen kişilere bildirim süreçlerini (Kurul kararlarında öngörülen kısa süreler) önceden hazırlayın.
• Erişim kayıtları: Kimin hangi veriye eriştiğini izleyin.

7. İlgili kişi başvurusu ve saklama süreleri

Ziyaretçiler ve müşteriler; verilerinin işlenip işlenmediğini öğrenme, düzeltme, silme gibi haklara sahiptir. Sitenizde bu hakların nasıl kullanılacağını (başvuru e-postası, form veya KEP adresi) açıkça belirtin ve başvuruları kanunda öngörülen sürede (en geç 30 gün) yanıtlayacak bir iç süreç kurun. Her veri türü için saklama süresi belirleyin: teklif formu başvurularını sonsuza kadar saklamak yerine belirli bir sürenin sonunda silin veya anonimleştirin.

8. VERBİS kaydı gerekli mi?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), belirli eşiklerin üzerindeki veri sorumlularının kayıt yaptırması gereken sistemdir. 2026 için hukuk kaynaklarının aktardığı çerçeve şöyledir: Ana faaliyet konusu özel nitelikli kişisel veri işlemek olmayan veri sorumluları için çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az ise kayıt yükümlülüğünden istisna vardır; ana faaliyeti sağlık gibi özel nitelikli veri işlemek olanlar için daha düşük eşikler uygulanır. Bu eşikler Kurul kararlarıyla değiştiği için KVKK'nın duyurularından güncel durumu doğrulayın. Unutmayın: VERBİS'ten muaf olmak, aydınlatma, güvenlik ve başvuru yönetimi gibi diğer yükümlülüklerden muaf olmak anlamına gelmez.

9. Yapay zekâ araçları kullanıyorsanız

Sitenizde bir yapay zekâ sohbet botu, öneri motoru veya içerik aracı kullanıyorsanız, KVKK'nın 24 Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi ilgili başlıkları ele alır: şeffaflık ve aydınlatma, hukuki sebep, veri minimizasyonu, veri sorumlusu ve işleyen rollerinin belirlenmesi, yurt dışı aktarım ve güvenlik önlemleri. Chatbot'unuzun hangi verileri kaydettiğini, nerede işlediğini ve kullanıcıya nasıl bildirdiğinizi belgeleyin. Bu konudaki teknik tarafı AI chatbot rehberimizde ve WhatsApp chatbot yazımızda ele aldık.

Web sitesi KVKK kontrol listesi (22 madde)

Belgeler

• Aydınlatma metni hazır ve altbilgide bağlantılı
• Çerez politikası, gerçekte kullanılan çerezlerle uyumlu
• Açık rıza metinleri (gerekiyorsa) ayrı ve net
• Veri saklama ve imha politikası
• İlgili kişi başvuru yöntemi yayımlanmış

Çerez ve betikler

• Çerez banner'ında “Kabul et / Reddet / Tercihler” eşit sunulmuş
• Onay kutuları önceden işaretli değil
• Analitik ve reklam betikleri onaydan önce yüklenmiyor
• Onay kaydı tutuluyor, tercih kolayca değiştirilebiliyor
• Gömülü videolar ve haritalar için onay/gizlilik ayarı düşünülmüş

Formlar ve iletişim

• Formlarda aydınlatma metni bağlantısı var
• Pazarlama onayı ayrı ve isteğe bağlı
• Yalnızca gerekli alanlar isteniyor
• Bülten için İYS/onay ve çık bağlantısı

Güvenlik ve süreç

• HTTPS her yerde
• Yönetim panelinde güçlü parola ve iki adımlı doğrulama
• Başvuru verileri güvenli sistemde ve saklama süresiyle
• Yurt dışı hizmet sağlayıcılar için aktarım mekanizması doğrulanmış
• VERBİS yükümlülüğü değerlendirilmiş
• Veri ihlali müdahale planı
• Çalışanlara kısa KVKK eğitimi
• Yılda en az bir kez gözden geçirme

Aktaş Digital ne yapıyor?

Web sitelerini ve uygulamalarını KVKK gereklilikleri dikkate alınarak tasarlıyoruz: çerez tercih yönetimi, formlarda aydınlatma bağlantısı ve ayrı onay kutuları, üçüncü taraf betiklerin onaydan sonra yüklenmesi, veri minimizasyonu ve güvenli barındırma. Hukuki metinlerin içeriğini avukatınızla birlikte hazırlamanızı, teknik uygulamasını ise bizim kurmamızı öneriyoruz. Sağlık, hukuk ve muhasebe gibi hassas verilerle çalışan sektörlerde bu uygunluk daha da önemlidir: özel klinik sitesi, avukatlık ve hukuk bürosu sitesi ve muhasebe ve mali müşavirlik sitesi çözümlerimize göz atabilirsiniz. Mevcut sitenizin KVKK açısından teknik incelemesi için teklif formundan bize yazın.

Sık Sorulan Sorular

Küçük bir tanıtım sitesi için de çerez banner'ı gerekir mi?

Siteniz zorunlu olmayan çerezler (analitik, reklam, üçüncü taraf gömüleri) kullanıyorsa evet; onay ve tercih yönetimi gerekir. Yalnızca zorunlu çerez kullanıyorsanız açık rıza gerekmez ama aydınlatma yapılmalıdır. Hangi çerezlerin kullanıldığını tarayıcı geliştirici araçlarıyla kontrol edin.

Google Analytics kullanmak KVKK'ya aykırı mı?

Tek başına aykırı değildir; ancak çoğu durumda açık rıza, aydınlatma ve yurt dışına aktarım değerlendirmesi gerektirir. Aktarım mekanizmasının (ör. standart sözleşme) doğrulanması ve kullanıcıya bildirilmesi önemlidir. Kişisel veri işlemeyen alternatifler de değerlendirilebilir.

İletişim formundan gelen e-postaları saklayabilir miyim?

Evet, talebi yanıtlamak ve ilişkinin gereği için gerekli süre boyunca; ancak sınırsız saklamak yerine bir saklama süresi belirleyip sonunda silin veya anonimleştirin. Bu kayıtları pazarlama için kullanmak istiyorsanız ayrı onay alın.

Aydınlatma metnini şablondan kopyalayabilir miyim?

Şablon başlangıç olabilir ama metin sizin gerçek veri işleme faaliyetlerinizi (hangi veriler, hangi amaçlar, hangi aktarımlar) yansıtmalıdır. Genel geçer bir metin, denetimde yetersiz kalabilir; avukat veya uzmanla gözden geçirin.

KVKK'ya uymazsam ne olur?

Kurul, şikâyet veya re'sen inceleme sonucunda idari para cezası verebilir; cezalar her yıl yeniden değerleme oranıyla güncellendiği için güncel tutarlar için KVKK duyurularına bakın. Ceza dışında itibar kaybı ve müşteri güveni riski de vardır.

Yapay zekâ chatbot'u eklemek yeni bir yükümlülük getirir mi?

Chatbot, kişisel veri işliyorsa (ad, e-posta, konuşma içeriği) aydınlatma, hukuki sebep ve güvenlik yükümlülükleri geçerlidir; verinin yurt dışında işlenmesi durumunda aktarım rejimi de devreye girer. KVKK'nın üretken yapay zekâ rehberi bu konularda yol gösterir.

Sonuç

KVKK uyumu bir “belge klasörü” işi olmaktan çok, sitenizin gerçekte ne yaptığını bilmek ve bunu ziyaretçiye dürüstçe anlatmaktır. Envanteri çıkarın, aydınlatma ve çerez yönetimini eşit ve net kurun, betikleri onaydan sonra yükleyin, yurt dışı araçlarınızın aktarım mekanizmasını doğrulayın ve süreci yılda bir gözden geçirin. Bugün yapabileceğiniz ilk iş: Tarayıcı geliştirici araçlarında sitenizi açıp onay vermeden hangi çerezlerin ve üçüncü taraf isteklerinin yüklendiğine bakmak.