KVKK Aydınlatma Metni Web Sitesi İçin Nasıl Hazırlanır?

Özet

Web siteniz üzerinden kişisel veri topluyorsanız (iletişim formu, üyelik, sipariş, çerez, canlı destek) aydınlatma metni yayınlamak zorunludur. Aydınlatma yükümlülüğü 6698 sayılı Kanun’un 10. maddesinden doğar ve kullanıcının rızasına bağlı değildir: veri işlediğiniz her durumda yerine getirilir.

Metnin şablon olarak kopyalanması işe yaramaz. Aydınlatma metni, sitenizin gerçekte hangi veriyi hangi amaçla topladığını anlatır. Envanteri çıkarmadan yazılan metin, denetimde ilk düşen belgedir.

Aydınlatma metni ile açık rıza aynı şey değil

Bu ikisinin karıştırılması, uyum çalışmalarında gördüğümüz en yaygın hata. Farkı netleştirelim.

Aydınlatma, tek taraflı bir bilgilendirmedir. Kullanıcıdan onay almazsınız, ona ne yaptığınızı anlatırsınız. Her veri işleme faaliyetinde zorunludur, hukuki sebep ne olursa olsun.

Açık rıza, Kanun’un 5. maddesindeki işleme şartlarından yalnızca biridir. Maddenin ikinci fıkrası, açık rıza aranmaksızın veri işlenebilecek hâlleri ayrıca sayar: sözleşmenin ifası, hukuki yükümlülük, meşru menfaat gibi. Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olması gerekir. “Genel” rıza alınamaz.

Pratik sonuç şu: bir sipariş formunda müşterinin adresini işlemek için açık rızaya ihtiyacınız yoktur, çünkü sözleşmenin ifası hukuki sebebi zaten var. Ama aynı adresi sonradan kampanya göndermek için kullanacaksanız, bu ayrı bir amaçtır ve ayrı bir hukuki sebep gerektirir. Aynı sipariş akışında ön bilgilendirme ve mesafeli satış sözleşmesi gibi e-ticaretin zorunlu metinleri ayrıca devreye girer.

Bir başka kritik nokta: aydınlatma ile açık rıza ayrı ayrı yerine getirilmeli. Tek bir onay kutusunda “Aydınlatma metnini okudum ve açık rıza veriyorum” demek, rızayı bilgilendirmenin içine gömer ve geçersiz kılar. İki ayrı kutu, iki ayrı metin.

Açık rıza hizmet şartına da bağlanamaz. Ürün satın alabilmek için pazarlama iznini zorunlu tutan bir form, “özgür irade” şartını karşılamaz.

Metinde bulunması gerekenler

Kanun’un 10. maddesi asgari içeriği sayar. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ise bunu nasıl yazacağınızı düzenler.

Metinde şunlar bulunmalı:

1. Veri sorumlusunun kimliği: ticaret unvanı, adres, MERSİS numarası, varsa temsilcisi
2. İşlenen kişisel veri kategorileri: kimlik, iletişim, işlem güvenliği, müşteri işlem gibi
3. İşleme amaçları: her amaç ayrı ayrı, “faaliyetlerin yürütülmesi” gibi muğlak ifade olmadan
4. Hukuki sebep: hangi veri hangi maddeye dayanıyor, açıkça
5. Toplama yöntemi: web formu, çerez, log kaydı, telefon
6. Aktarılan taraflar ve aktarım amacı: kargo firması, e-fatura entegratörü, bulut sağlayıcı
7. İlgili kişinin hakları: Kanun’un 11. maddesindeki haklar ve başvuru kanalı
8. Yurt dışına aktarım varsa bunun hangi mekanizmayla yapıldığı

Tebliğ, genel ve belirsiz ifadeleri açıkça yasaklar. “Şirketimizin meşru menfaatleri doğrultusunda” cümlesi tek başına hukuki sebep sayılmaz; hangi menfaat, hangi veri için, yazılmalıdır.

Dil de önemli: anlaşılır, açık ve sade olmalı. Avukat için değil, formu dolduran kişi için yazıyorsunuz.

Önce veri envanteri, sonra metin

Metni yazmadan önce sitenizin ne topladığını listeleyin. Bu tabloyu doldurmadan yazılan her metin tahmine dayanır.

Veri kategorisi	Nereden geliyor	İşleme amacı	Hukuki sebep	Saklama süresi	Aktarılan taraf
Ad, soyad, e-posta	İletişim formu	Talebi yanıtlamak	Meşru menfaat	Talep kapanışı + 2 yıl	E-posta sağlayıcı
Ad, adres, telefon	Sipariş	Teslimat	Sözleşmenin ifası	Yasal saklama süresi	Kargo, e-fatura
IP, tarayıcı, oturum	Sunucu logu	Güvenlik	Hukuki yükümlülük	2 yıl	Hosting sağlayıcı
Davranış verisi	Analitik çerez	Ölçümleme	Açık rıza	Araç ayarına göre	Analitik sağlayıcı
E-posta	Bülten formu	Ticari ileti	Açık rıza + İYS	İzin geri alınana dek	İYS, e-posta aracı

Bu tabloyu çıkarırken beklemediğiniz şeyler bulursunuz. Tema ile birlikte gelen bir yazı tipi CDN’i, kimsenin hatırlamadığı bir ısı haritası scripti, form eklentisinin veritabanına kaydettiği eski kayıtlar. Envanter çalışmasının asıl faydası metin değil, bu temizlik.

Metin nerede yayınlanmalı?

Tek bir sayfaya koyup unutmak yetmez. Aydınlatma, veri toplandığı anda yapılmalıdır.

Katmanlı yaklaşım en pratiği:

• Footer’da kalıcı link: “Kişisel Verilerin Korunması” ya da “Aydınlatma Metni” başlığıyla, her sayfada erişilebilir
• Her formun yanında kısa bilgilendirme: bir iki cümle özet ve tam metne link. “Formu göndererek verdiğiniz bilgiler talebinizi yanıtlamak için işlenir. Detay için Aydınlatma Metni.”
• Ayrı amaçlar için ayrı metin: çalışan adayı, müşteri, ziyaretçi, tedarikçi aynı metinde anlatılmaz. Site ziyaretçisine iş başvurusu aydınlatması okutmanın anlamı yok.
• Çerez aydınlatması ayrı: çerez politikası ile genel aydınlatma metni birbirinin yerine geçmez.

Onay kutuları ön işaretli gelmemeli. Ön işaretli kutu, irade beyanı sayılmaz.

VERBİS kaydı gerekiyor mu?

Veri Sorumluları Sicil Bilgi Sistemi kaydı, her işletme için zorunlu değil. Kurul kararlarıyla belirlenen eşiklerin altında kalan, ana faaliyeti özel nitelikli kişisel veri işlemek olmayan veri sorumluları kayıttan istisna tutuldu.

Eşikler çalışan sayısı ve yıllık mali bilanço toplamı üzerinden tanımlanıyor. Bu rakamlar Kurul kararlarıyla güncellenebildiği için burada sayı vermek yerine şunu söyleyelim: kayıt yükümlülüğünüzü kvkk.gov.tr üzerinden güncel duyurulardan teyit edin, mali müşavirinize bilanço büyüklüğünü sorun.

Şu üç durumda eşik aranmaz:

• Ana faaliyet konusu özel nitelikli kişisel veri işlemek olanlar (sağlık kuruluşları tipik örnek; klinik web sitesi kurulumlarında bu başlık baştan planlanır)
• Yurt dışında yerleşik veri sorumluları
• Kamu kurum ve kuruluşları

VERBİS’e kayıt olsanız da olmasanız da, kişisel veri işleme envanteri hazırlama ve aydınlatma yükümlülüğü devam eder. Kayıt muafiyeti, uyum muafiyeti değildir.

Teknik uyum: metnin arkasındaki iş

Aydınlatma metni yazmak işin yarısı. Diğer yarısı sitenin metinde yazdığı gibi davranması.

Form verileri nereye gidiyor? Çoğu WordPress sitesinde form eklentisi, gönderilen her mesajı veritabanına da kaydeder. Metninizde “e-posta ile iletilir” yazıyorsa ama kayıtlar üç yıldır veritabanında duruyorsa, uyumsuzluk var. Saklama süresi dolan kayıtları silen bir mekanizma kurun.

Yurt dışına aktarım. Sunucunuz yurt dışındaysa, e-posta servisiniz ya da analitik aracınız yurt dışı merkezliyse, veri yurt dışına aktarılıyor demektir. 2024’te yürürlüğe giren düzenlemeyle birlikte aktarım için yeterlilik kararı, uygun güvenceler (standart sözleşme gibi) veya istisna hükümleri devreye giriyor. Standart sözleşme imzalandığında Kuruma bildirim yükümlülüğü de var. Bu, hukuk ve altyapı kararının birlikte alınması gereken bir konu.

Veri güvenliği tedbirleri. HTTPS zorunlu, yönetim paneline iki faktörlü giriş, düzenli yedekleme, erişim yetkilerinin kişi bazında tanımlanması, log tutulması. Kurul’un yayımladığı rehberler bu tedbirleri teknik ve idari başlıklar altında sayıyor.

Ticari elektronik ileti ayrı bir rejim. Bülten gönderiyorsanız İleti Yönetim Sistemi (İYS) kaydı ve onay yükümlülüğü, KVKK’dan bağımsız olarak 6563 sayılı Kanun’dan doğar. KVKK metni bunu kapsamaz.

Veri ihlali bildirimi. Sızıntı durumunda Kurula bildirim süresi kısadır. Kimin, hangi kanaldan bildireceğini önceden yazılı hale getirin. İhlal anında “kim arayacak” diye tartışmak, süreyi yakan şeydir.

Sıkça sorulanlar

Sadece iletişim formu olan tanıtım sitesi için de gerekli mi? Evet. Ad ve e-posta topluyorsanız kişisel veri işliyorsunuz demektir. Metin kısa olabilir ama var olmalı.

Aydınlatma metnini avukat mı yazmalı? Metnin hukuki denetimi avukatın işi. Ancak envanteri çıkarmak teknik bir çalışma; geliştiricinizle avukatınız aynı tabloya bakmalı, aksi halde metin siteyle örtüşmez. Kendi hukuk bürosu web sitesini kuran avukatlar için de aynı envanter çalışması geçerli.

Metni ne zaman güncellemeliyim? Yeni bir araç eklediğinizde, yeni bir veri topladığınızda ya da aktarım yaptığınız taraf değiştiğinde. Sitenize canlı destek widget’ı eklemek envanteri değiştirir.

Aynı metin hem KVKK hem GDPR için kullanılabilir mi? Yaklaşımlar yakın ama içerik gereksinimleri birebir aynı değil. Avrupa’daki kullanıcılara hizmet veriyorsanız iki rejimi ayrı ayrı ele almak daha güvenli.

Cezası ne kadar? İdari para cezaları Kanun’un 18. maddesinde tanımlı ve her yıl yeniden değerleme oranıyla güncelleniyor. Güncel tutarları Kurumun yayımladığı tebliğden takip edin.

---

Sitenizin veri envanterini çıkarıp form akışlarını, çerez yapısını ve saklama sürelerini metinlerle uyumlu hale getirmek istiyorsanız web geliştirme hizmetlerimiz kapsamında teknik tarafı üstleniyoruz. Metinlerin hukuki içeriğini bir avukatla hazırlamanızı öneririz; biz sitenin o metinde yazdığı gibi çalışmasını sağlarız.