Web Sitesi KVKK ve Çerez Politikası: Zorunlu Yasal Metinler

Kısa yanıt: Kişisel veri işleyen her web sitesinde KVKK aydınlatma metni bulunması zorunludur; tek bir iletişim formu bile bu yükümlülüğü doğurur. Zorunlu olmayan çerezler (analitik, reklam, pixel) kullanılıyorsa ayrıca çerez politikası ve bu çerezler çalışmadan ÖNCE rıza soran bir çerez banner'ı gerekir.

Web sitesi KVKK aydınlatma metni zorunlu mu?

Web sitesi KVKK aydınlatma metni, kişisel veri işleyen her site için zorunludur. Sitenizde iletişim formu, teklif formu, üyelik, yorum alanı, e-bülten kaydı, canlı destek ya da sipariş süreci varsa kişisel veri işliyorsunuz demektir ve 6698 sayılı Kanun'un 10. maddesi gereği ziyaretçiyi veri işlemenin başladığı anda bilgilendirmekle yükümlüsünüz.

Aydınlatma yükümlülüğü rızaya bağlı değildir. Yani "ben nasılsa onay istemiyorum" demek yükümlülüğü ortadan kaldırmaz; veri hangi hukuki sebeple işlenirse işlensin, kim olduğunuzu ve veriyi ne için işlediğinizi anlatmak zorundasınız.

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Şirketinizin veri işleme süreçleri özelinde metin hazırlarken bir hukukçuyla çalışmanızı öneririz.

KVKK aydınlatma metni nedir, içinde ne olmalı?

KVKK aydınlatma metni, bir işletmenin kişisel verileri kimin, hangi amaçla, hangi hukuki sebeple işlediğini ve ilgili kişinin haklarını anlatan bilgilendirme belgesidir. Sözleşme değildir, imzalanmaz; okunması ve erişilebilir olması yeterlidir.

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'e göre metinde şu başlıklar bulunmalıdır:

• Veri sorumlusunun ve varsa temsilcisinin kimliği (ticari unvan, adres, iletişim bilgisi)
• Kişisel verilerin hangi amaçla işleneceği
• Verilerin kimlere ve hangi amaçla aktarılabileceği (ör. hosting sağlayıcısı, e-posta servisi, kargo firması)
• Verilerin toplanma yöntemi ve hukuki sebebi
• İlgili kişinin Kanun'un 11. maddesindeki hakları ve bu haklarını nasıl kullanacağı

Metnin genel geçer bir şablondan kopyalanması en sık görülen hatadır. Kendi sitenizde hangi formun hangi veriyi topladığını yazmıyorsanız, metin sizi değil başka bir şirketi anlatıyor demektir.

Çerez politikası ve çerez banner'ı zorunlu mu?

Çerez politikası, zorunlu olmayan çerez kullanan siteler için zorunludur. Yalnızca oturum yönetimi, sepet, dil tercihi gibi sitenin çalışması için gerekli çerezleri kullanıyorsanız rıza almanız gerekmez; ancak yine de hangi çerezleri kullandığınızı açıklamanız beklenir.

Google Analytics, Meta Pixel, Google Ads yeniden pazarlama, ısı haritası araçları ve benzeri analitik/reklam çerezleri ise zorunlu değildir. Bunlar için ziyaretçinin açık rızası gerekir ve rıza alınmadan bu çerezlerin çalıştırılmaması esastır. Kurul'un çerez uygulamalarına ilişkin rehberi de "önce rıza, sonra çerez" yaklaşımını benimser.

Uygulamada doğru kurgu şudur: banner açıldığında yalnızca zorunlu çerezler çalışır, ziyaretçi "Tümünü kabul et" veya "Tercihleri yönet" ile seçim yapar, reddetmek kabul etmek kadar kolay olur ve verdiği rıza aynı kolaylıkla geri alınabilir. Sitenizin bu kurguya uyup uymadığı, banner'a hiç dokunmadan sayfayı açıp o sırada hangi çerezlerin yüklendiğine bakılarak test edilir. Analitik çerezler daha ilk saniyede görünüyorsa rıza mekanizması yalnızca görsel olarak vardır.

Aydınlatma metni ile açık rıza arasındaki fark nedir?

İkisi birbirinin yerine geçmez. Aydınlatma bilgilendirmedir ve her durumda gerekir; açık rıza ise yalnızca başka bir hukuki sebep bulunmadığında istenen özel bir onaydır.

Sık yapılan hata, aydınlatma metnini onay kutusuna bağlamaktır: "Aydınlatma metnini okudum, kabul ediyorum" ifadesi iki farklı işlemi tek kutuda birleştirir. Doğrusu, aydınlatmayı link olarak sunmak, ticari elektronik ileti veya pazarlama izni gibi rıza gerektiren konular için ayrı ve boş bir kutu koymaktır.

Web sitesinde bulunması gereken yasal metinler nelerdir?

Site türüne göre gereken metin seti değişir. Aşağıdaki tablo, Türkiye'de faaliyet gösteren siteler için tipik bir yol haritasıdır.

E-ticaret tarafında KVKK'ya ek olarak Mesafeli Sözleşmeler Yönetmeliği ve ETBİS kaydı gibi ayrı yükümlülükler devreye girer. Yeni bir mağaza kurarken bu metinlerin altyapıyla birlikte planlanması, sonradan sayfa eklemekten daha az iş çıkarır; e-ticaret sitesi kurulumunda yasal sayfa yapısını baştan kurgulamak bu yüzden önemlidir.

Çerez politikası nasıl hazırlanır?

Çerez politikası, kopyalanacak bir metin değil, sitenizin gerçekte ne yüklediğinin envanteridir. Sağlıklı bir hazırlık şöyle ilerler:

1. Envanter çıkarın. Tarayıcının geliştirici araçlarında sitenizi temiz bir oturumda açın; hangi çerezlerin ve üçüncü taraf betiklerinin yüklendiğini listeleyin.
2. Sınıflandırın. Her çerezi zorunlu, işlevsel, analitik veya reklam olarak etiketleyin. Sağlayıcı adını ve saklama süresini not edin.
3. Gereksizleri kaldırın. Artık kullanmadığınız eski pixel ve takip kodları çoğu sitede hâlâ çalışır durumdadır; en kolay uyum adımı bunları silmektir.
4. Rıza mekanizmasını kurun. Zorunlu olmayan çerezleri, rıza gelene kadar yüklemeyecek şekilde koşullu çalıştırın.
5. Metni yazın. Çerez tablosunu, amaçları, sürelerini ve rızayı geri alma yolunu politikaya işleyin.
6. Kaydı tutun ve güncelleyin. Rıza kayıtlarını saklayın; yeni bir araç eklediğinizde politikayı da güncelleyin.

Bu adımların ilk üçü aslında teknik bir denetimdir; envanter çıkarılmadan yazılan politika, sitenin gerçekte yüklediği çerezlerle uyuşmaz ve ilk incelemede fark edilir.

KVKK metni olmayan siteye ceza var mı?

Evet, aydınlatma yükümlülüğünü yerine getirmemek Kanun'un 18. maddesi kapsamında idari para cezası sebebidir. Ceza tutarları her yıl yeniden değerleme oranıyla güncellendiği için burada sabit bir rakam vermiyoruz; güncel alt ve üst sınırları kvkk.gov.tr üzerinden doğrulamanız gerekir.

Pratikte süreç genellikle bir ziyaretçi ya da eski çalışan şikâyetiyle başlar. Kurul, sitenizi inceler; aydınlatma metninin varlığı, çerez banner'ının rıza öncesi davranışı ve veri güvenliği tedbirleri birlikte değerlendirilir. Bu nedenle metin yazmak tek başına yeterli değildir: SSL, güncel altyapı ve yedekleme gibi teknik güvenlik tedbirleri de uyumun parçasıdır.

Yasal metinler siteye nasıl yerleştirilmeli?

Metnin var olması yetmez; ilgili kişinin veriyi verdiği anda ona ulaşabilmesi gerekir. Bu yüzden yerleşim, metnin içeriği kadar önemlidir.

• Her form alanının hemen yanında bağlantı verin. İletişim formu, teklif formu ve e-bülten kutusunun altında aydınlatma metnine giden bir link bulunmalıdır.
• Ayrı ve kalıcı sayfalar açın. Aydınlatma metni, çerez politikası, gizlilik politikası ve kullanım koşulları tek bir sayfaya sıkıştırılmamalı; her biri kendi adresinde yayımlanmalıdır.
• Footer'da toplayın. Sitenin her sayfasından erişilebilir bir yasal metinler bloğu, hem ziyaretçi hem de denetim açısından en pratik çözümdür.
• Çerez tercihlerini sonradan değiştirilebilir yapın. Ziyaretçinin rızasını geri alabilmesi için footer'da kalıcı bir "Çerez tercihleri" bağlantısı bırakın.
• Güncelleme tarihi yazın. Metnin en altına son güncelleme tarihi eklemek, sürüm takibini kolaylaştırır.
• Sürümleri saklayın. Metni değiştirdiğinizde eski hâlini arşivleyin; geçmiş bir veri işleme faaliyetinin hangi metne dayandığını göstermeniz gerekebilir.

Bu yerleşim mantığı, sayfa yapısı baştan doğru kurulduğunda ek iş çıkarmaz. Kurumsal web sitesi projelerinde yasal metin sayfalarını menü ve footer planına ilk aşamada dahil etmek, siteyi yayına aldıktan sonra yapılan düzeltmelerden çok daha hızlı ilerler.

En sık yapılan uyum hataları

• Başka bir şirketin metnini isim değiştirmeden kopyalamak; ticari unvan ve adres alanlarının boş ya da yanlış kalması.
• Çerez banner'ında yalnızca "Kabul et" butonu bulunması, reddetme seçeneğinin olmaması.
• Banner açılmadan Analytics ve reklam pixel'lerinin çalışmaya başlaması.
• Aydınlatma metnini ve açık rızayı tek onay kutusunda birleştirmek.
• Formda gerekmeyen veriyi istemek; T.C. kimlik numarası veya doğum tarihini gereksiz yere toplamak.
• Metinlere yalnızca footer'dan erişilebilmesi, form ekranında hiçbir bağlantı olmaması.
• Site yenilendiğinde metinlerin eski hâliyle taşınması ve yeni araçların politikaya eklenmemesi.

Bursa'da işletmeler için durum

Bursa'da özellikle üretim ve tedarik zinciri içinde çalışan firmalar, KVKK ile ilk kez kendi web siteleri üzerinden değil müşterilerinin denetim listeleri üzerinden tanışıyor. Nilüfer ve Osmangazi'deki mühendislik ve hizmet firmaları, kurumsal müşterilerinin tedarikçi değerlendirme formlarında "web sitenizde aydınlatma metni var mı, çerez rızası nasıl alınıyor?" sorularıyla karşılaşıyor.

İnegöl mobilya ve Kestel tekstil tarafında ise sorun genellikle e-ticarete geçişte ortaya çıkıyor: pazaryerinden kendi sitesine geçen üretici, ilk kez doğrudan müşteri verisi işlemeye başlıyor ve mesafeli satış sözleşmesi, iade koşulları, çerez rızası gibi başlıkların tamamıyla aynı anda ilgilenmek zorunda kalıyor.

İyi haber şu: bu metinlerin kurulumu bir kereye mahsus bir iştir ve site yenileme sürecine denk getirildiğinde ek maliyeti çok sınırlı kalır. Bursa'da web tasarım projelerinde yasal metin sayfalarını, çerez rıza kurgusunu ve form bilgilendirmelerini teslim paketinin parçası olarak planlamak, sonradan yapılan yamalardan hem daha ucuz hem daha tutarlı olur.

Sitenizin durumunu ölçerek başlayın

Uyum çalışmasının ilk adımı metin yazmak değil, sitenizin şu anda ne yaptığını görmektir. KVKK ve çerez kontrol aracımızla hangi çerezlerin rıza öncesinde yüklendiğini ve yasal sayfalarınızın erişilebilir olup olmadığını ücretsiz kontrol edebilirsiniz.

Sonuçları birlikte değerlendirmek ya da metinlerin site üzerinde doğru kurulması için Kod16 ekibiyle iletişime geçebilirsiniz. Metinlerin hukuki içeriğini hukukçunuzla hazırlayıp teknik uygulamasını bize bırakmanız da mümkündür.