Web Sitesinde KVKK: Aydınlatma Metni, Açık Rıza, Çerez Politikası, VERBİS ve İYS

KVKK'nın 10. maddesine göre kişisel veriyi elde eden işletme, veriyi aldığı sırada kişiyi bilgilendirmek zorundadır. Web sitesinde bu an formun gönderildiği, çerez kullanan sitelerde ise siteye girildiği andır. Aydınlatma Tebliği'ne göre bu yükümlülük kişinin talebine bağlı değildir ve ispatı işletmeye aittir.

Metinde bulunması gerekenler

• Veri sorumlusunun kimliği: unvan ya da ad soyad, adres ve iletişim bilgisi.
• Verilerin hangi amaçla işleneceği; belirli ve açık biçimde, muğlak ifadeler olmadan.
• Verilerin kimlere ve hangi amaçla aktarılabileceği; barındırma sağlayıcısı, muhasebe gibi alıcı grupları.
• Toplama yöntemi ve hukuki sebep: Kanun'un 5. veya 6. maddesindeki hangi şarta dayanıldığı. “5 ve 6. maddedeki şartlar kapsamında” gibi genel bir cümle yetmez.
• Kişinin Kanun'un 11. maddesindeki hakları ve başvuru adresi. Maddenin tamamını kopyalamak gerekmez.

Web formunda nasıl sunulur

KVKK'nın Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi katmanlı aydınlatmayı örnek verir: formun yanında kısa bir bilgi ve tam metne giden bir bağlantı. Bağlantı gönder düğmesinden önce görünmelidir. Randevu, teklif ve iş başvurusu gibi farklı amaçlı formlar varsa metin her amacı ayrı anlatır.

Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı (Resmî Gazete, 24 Mart 2026) sık görülen hataları sıraladı: başka işletmenin metnini birebir kullanmak, uzun ve karmaşık metinler, yurt dışına aktarım yokken varmış gibi yazmak.

KVKK'da açık rıza, işleme şartlarından yalnızca biridir. Kanun'un 5/2 maddesine göre şu durumlarda rıza aranmaz:

• Kanunlarda açıkça öngörülmesi.
• Hayatın veya beden bütünlüğünün korunması için zorunlu olması.
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması.
• İşletmenin hukuki yükümlülüğü için zorunlu olması.
• Bilginin kişinin kendisi tarafından alenileştirilmiş olması.
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.
• Kişinin temel haklarına zarar vermemek kaydıyla işletmenin meşru menfaati için zorunlu olması.

Randevu ya da teklif formunda kişi, kendisine dönüş yapılsın diye iletişim bilgisini verir. Bu işleme çoğu zaman sözleşmenin kurulmasıyla ilgili olma ya da meşru menfaat şartına dayandırılabilir; o durumda yalnızca aydınlatma yapılır.

Açık rıza gerektiren tipik durumlar: reklam çerezleri, müşteri ya da hasta fotoğrafını tanıtımda kullanmak, sağlık verisinin Kanun'daki diğer şartlara girmeyen amaçlarla işlenmesi ve bazı yurt dışı aktarımlar.

Geçerli bir açık rızanın şartları

• Belirli bir konuya ilişkin olmalı; “her türlü veri işleme” için verilen “battaniye rıza” geçersizdir.
• Bilgilendirmeye dayanmalı.
• Özgür iradeyle verilmeli: kutu önceden işaretli olmaz, rıza hizmetin ön şartı yapılmaz.
• Her zaman geri alınabilmeli.
• Aydınlatma ve açık rıza metni aynı sayfadaysa farklı başlıklar altında alt alta durur ve ayrı beyan alınır.

Sağlık verisi, KVKK'nın 6. maddesine göre özel nitelikli kişisel veridir. 7499 sayılı Kanunla değişen ve 1 Haziran 2024'te yürürlüğe giren 6/3 maddesine göre bu veriler ancak açık rıza ya da Kanun'da sayılan sınırlı şartlardan biri varsa işlenebilir. Sağlık hizmeti için önemli olan (e) bendidir: sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca tıbbi teşhis, tedavi ve bakım hizmetleri için gerekli olması.

KVKK'nın Şubat 2025 tarihli Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber'i, kişinin hangi klinikten randevu aldığı bilgisini bile sağlık verisine örnek gösterir ve özel sağlık işletmelerinin de (e) bendinden yararlanabileceğini belirtir. Yani bir diş kliniği web sitesinde yalnızca ad, telefon ve tedavi başlığı soran form da sağlık verisiyle temas eder.

• Formda yalnızca randevu için gerekeni sorun: ad soyad, telefon, tercih edilen gün, genel hizmet başlığı. Şikâyet ve hastalık geçmişi muayenede alınabilir.
• Not alanına, sağlık bilgisi paylaşmanın gerekmediğini söyleyen kısa bir uyarı ekleyin.
• (e) bendi teşhis ve tedaviyle sınırlıdır; form bilgisini kampanya ya da reklam hedeflemesi için kullanmak bu şarta girmez.
• Randevu sayfalarında reklam ölçüm kodu varsa, hangi tedavi sayfasından form gönderildiği bilgisinin bu araçlara gidip gitmediğini kontrol ettirin.
• Kanun'un 6/4 maddesi Kurul'un belirlediği yeterli önlemleri şart koşar. 2018/10 sayılı Kurul kararı; ayrı güvenlik politikası, çalışan eğitimi, gizlilik sözleşmesi, sınırlı erişim yetkisi, uzaktan erişimde iki kademeli doğrulama ve e-postayla aktarımda şifreleme sayar.

Randevu talebi alan bir sitenin form ve bildirim akışını online randevu sistemi sayfasında anlattık.

Temel kaynak, KVKK'nın Temmuz 2025 tarihli Çerez Uygulamaları Hakkında Rehber'idir. Rehber kendini yol gösterici bir doküman olarak tanımlar; ilkeleri Kanun'a ve Kurul kararlarına dayanır. Temel ayrım, çerezin kullanıcının talep ettiği hizmet için kesinlikle gerekli olup olmadığıdır.

Google Analytics üçüncü satıra, Meta Pixel ve Google reklam etiketleri son satıra girer. Rehber piksel teknolojileri için ayrıca yönlendirme yapmaz; bu kodlar reklam çerezi de yerleştirdiğinden onay paneline bağlanmaları temkinli yoldur.

Çerez penceresi nasıl olmalı

• Pencere siteye girişte çıkar; zorunlu olmayan çerezler onaydan önce çalışmaz.
• “Kabul et”, “Reddet” ve “Tercihler” düğmeleri renk, büyüklük ve punto bakımından eşittir. Rehber bunu iyi uygulama sayar; yalnızca “Kabul ediyorum” düğmesi olan bantları kötü örnek gösterir.
• Onay gerektiren seçenekler başlangıçta kapalıdır.
• Analiz, reklam ve işlevsellik için ayrı seçim yapılabilir.
• “Sitemizi kullanarak çerezlere izin vermiş olursunuz” yaklaşımı geçerli rıza sayılmaz; rıza aktif bir eylem ister.
• Tüm çerezler kabul edilmeden içerik göstermeyen çerez duvarları rızayı sakatlayabilir.
• Ziyaretçi kararını sonradan değiştirebilmeli; köşedeki küçük bir simge bunun için önerilir.
• Reklam çerezi rızası, kullanım koşulları ya da gizlilik bildirimi içine gömülemez.

Çerez politikasında neler yazar

Çerez politikası, çerezlere ilişkin aydınlatma metnidir. Rehberin ekinde örnek bir metin de vardır; sizin metniniz şunları içermelidir:

• Veri sorumlusunun kimliği.
• Çerez türleri ve amaçları.
• Her çerezin adı, süresi, birinci ya da üçüncü taraf olduğu.
• Her grubun hukuki sebebi.
• Varsa yurt dışına aktarım.
• Tercihlerin panelden ve tarayıcıdan nasıl değiştirileceği.
• 11. maddedeki haklar ve başvuru adresi.

Analiz ve reklam araçları ile yurt dışındaki form, e-posta veya bulut servisleri veriyi yurt dışına taşıyabilir. Bu aktarımlar Kanun'un 9. maddesine ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e tabidir; Çerez Rehberi bunu yurt dışındaki şirketlerin çerezleri için ayrıca hatırlatır.

7499 sayılı Kanunla 1 Haziran 2024'ten beri, işleme şartlarından birine ek olarak önce Kurul'un ilgili ülke için yeterlilik kararı aranır. Karar yoksa uygun güvencelerden biri gerekir; çoğu işletme için uygulanabilir yol Kurul'un ilan ettiği standart sözleşmedir. Sözleşme değiştirilmeden kullanılır ve imzadan itibaren beş iş günü içinde Kurum'a bildirilir.

İkisi de yoksa aktarım yalnızca arızi olabilir; Yönetmelik bunu düzenli olmayan, tek ya da birkaç seferlik aktarım diye tanımlar. Her ziyarette çalışan bir analiz aracı bu tanıma pek uymaz, bu yüzden yalnızca “yurt dışına aktarıma açık rıza veriyorum” kutusuna güvenmek risklidir.

Her aracın veriyi nereye gönderdiğini listeleyin, sağlayıcıya KVKK standart sözleşmesi sunup sunmadığını sorun ve aktarımı aydınlatma metnine doğru yazın.

KVKK'nın 16. maddesi kural olarak veri işleyen herkesi Veri Sorumluları Siciline (VERBİS) kaydolmakla yükümlü tutar, Kurul'a da istisna getirme yetkisi verir. Kurul'un 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararı (Resmî Gazete, 1 Ekim 2025) istisnayı ana faaliyeti özel nitelikli veri işleme olan küçük işletmelere de genişletti:

Çalışan sayısı, tamamlanmış yılın en az 7 ayında Muhtasar ve Prim Hizmet Beyannamesi'nde bildirilen sayıdır; bilanço, vergi beyannamesi ekindeki bilançonun aktif ya da pasif toplamıdır, ciro sayılmaz. Eşiği aşan işletme 30 gün içinde kayıt olur.

“Ana faaliyet” için işletmenin temel işinin bu veriye dayanıp dayanmadığına bakılır; Kurum ticaret sicili veya vergi levhasındaki NACE kodlarından yararlanır. Kararlar muayenehane, klinik ya da eczane gibi meslekleri tek tek saymaz. Temel işi hasta bilgisiyle yürüyen sağlık işletmelerinin 10 çalışan ve 10 milyon TL eşiğine tabi olması olasıdır; faaliyet kodunuzu mali müşavirinizle kontrol edin.

6563 sayılı Kanun'un 6. maddesine göre ticari elektronik iletiler ancak önceden onay alınarak gönderilebilir. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik bunu telefon, otomatik arama, e-posta ve kısa mesaj gibi araçlarla ticari amaçla gönderilen iletiler diye tanımlar; kutlama mesajları da kapsamdadır.

WhatsApp tanımda adıyla geçmez, ancak liste “gibi” ifadesiyle açık bırakılmıştır; WhatsApp'tan toplu kampanya mesajını da aynı kurallarla düşünmek temkinli yaklaşımdır.

İYS kaydı

Yönetmeliğin 5. maddesine göre ticari ileti göndermek isteyen herkes İleti Yönetim Sistemi'ne (İYS) kaydolur; İYS'de onayı olmayan alıcıya ileti gönderilemez. Web formu gibi İYS dışında alınan onaylar üç iş günü içinde İYS'ye kaydedilir, kaydedilmeyen onay geçersizdir.

Onay gerekmeyen durumlar

• Kişi iletişim için bilgisini verdiyse, aldığı mal veya hizmetin değişiklik, kullanım ve bakımına ilişkin iletiler.
• Üyelik, tahsilat, teslimat gibi bildirimler; bunlarda ürün veya hizmet tanıtılamaz.
• Esnaf ve tacirlere gönderilen iletiler. Yine de bu adresler gönderimden önce İYS'ye kaydedilir ve ret durumu kontrol edilir; ret varsa ileti gönderilemez.

Web formunda ileti onayı

• İleti onayı için ayrı bir kutu kullanın; aydınlatma ve KVKK açık rızası ile birleştirmeyin.
• Kutu önceden işaretli olamaz ve randevu talebi, ileti onayına bağlanamaz.
• Onayda olumlu irade beyanı, ad soyad ve iletişim adresi bulunur. İYS dışında elektronik ortamda alınan onayın bilgisi, ret imkânıyla birlikte 24 saat içinde kişiye iletilir.
• SMS, e-posta ve arama için ayrı seçenek sunmak pratiktir; ret, yapıldığı kanaldaki onayı kaldırır.
• Her iletide işletme bilgisi (tacirde MERSİS numarası ve unvan, esnafta ad soyad ile T.C. kimlik ya da vergi numarası) ve ücretsiz ret yolu bulunur; ret üç iş günü içinde uygulanır.
• Onay istemek için kişiye ticari ileti gönderilemez.

• Her formda, gönder düğmesinden önce görünen kısa bilgi ve aydınlatma metnine bağlantı.
• Sitenin gerçek amaçlarına, araçlarına ve aktarımlarına göre yazılmış aydınlatma metni.
• Aydınlatma için yalnızca “okudum” geri bildirimi; “kabul ediyorum” içeren tek kutu yok.
• Gerekiyorsa ayrı açık rıza metni ve işaretsiz ayrı kutu.
• Çerez politikası sayfası ve “Kabul et”, “Reddet”, “Tercihler” düğmeleri eşit görünen çerez paneli.
• Onaydan önce yüklenmeyen analiz ve reklam kodları; tercihi sonradan değiştirmek için bir bağlantı.
• Yurt dışına veri gönderen araçların listesi ve standart sözleşme bildirimleri.
• Kampanya gönderilecekse ayrı ve işaretsiz ileti onayı kutusu, İYS kaydı ve onayların üç iş günü içinde İYS'ye aktarılması.
• İlgili kişi başvuruları için bir adres ve 30 günlük cevap süresinin takibi.
• Çalışan sayısı ve bilançoya göre VERBİS durumunun her yıl kontrolü.
• Sağlık işletmelerinde formda en az veri ve 2018/10 sayılı karardaki önlemler.

Yeni bir site yaptırıyorsanız bu listeyi web tasarım sürecinin başında konuşun; form alanları ve ölçüm araçları baştan belli olduğunda metinler de doğru yazılır.

KVKK'nın 18. maddesindeki idari para cezaları her yıl yeniden değerleme oranında artırılır. Kurum'un 31 Aralık 2025'te yayımladığı tabloya göre 2026 tutarları:

2026/347 sayılı ilke kararı, metinlerin ayrı düzenlenmesini 12. maddedeki idari ve teknik tedbirlerden saydı ve uyulmadığında 18. madde uyarınca işlem yapılacağını duyurdu. Yani tek kutulu onay düzeni veri güvenliği cezası kapsamında da değerlendirilebilir.

Onaysız ticari ileti için 6563 sayılı Kanun'un 12. maddesindeki ceza 2026'da 2.859–14.309 TL'dir; ileti bir defada birden fazla kişiye gönderildiyse on katına kadar artırılır.