KVKK (Kişisel Verilerin Korunması Kanunu) 2016'dan beri yürürlükte; ancak sahada gördüğümüz tablo hâlâ düşündürücü: kurumsal web sitelerinin önemli bölümünde ya aydınlatma metni yok ya da başka bir siteden kopyalanmış, işletmeyle ilgisiz bir metin duruyor. Bu, iki yönlü bir risk. Kurul'un idari para cezaları her yıl yeniden değerleme oranıyla artıyor ve 2026 itibarıyla üst sınırlar milyonlarca lira seviyesinde; ceza bir yana, veri konusunda özensiz görünen bir site müşteri gözünde de güven kaybediyor. İyi haber: web sitesi tarafındaki uyum, sistematik ilerlerseniz karmaşık değil. İşte madde madde kontrol listeniz.
Önemli not: Bu yazı teknik tarafın rehberidir, hukuki danışmanlık değildir; metinlerinizin nihai halini bir KVKK uzmanına veya avukata onaylatmanızı öneririz.
1. Aydınlatma Metni: Kopyala-Yapıştır Değil
Sitenizde kişisel veri toplayan her nokta için (iletişim formu, üyelik, bülten, çerezler) ziyaretçiyi bilgilendiren bir aydınlatma metni bulunmalı: hangi veriyi, hangi amaçla, hangi hukuki sebebe dayanarak işlediğiniz ve kimlere aktardığınız açıkça yazılmalı. İnternetten kopyalanan metinler çoğu zaman sizin veri akışınızla örtüşmez ve denetimde işe yaramaz. Metni hazırlarken veri envanterinizden yola çıkın: hangi formda hangi alanları topluyorsanız metin de onları anlatmalı; envanterle metin çelişiyorsa denetimde ilk göze çarpan bu olur. Metin, footer'dan tek tıkla erişilebilir olmalı.
2. Form Onay Kutuları: Ayrık ve Boş
Teknik tarafın en sık hatası burada:
- Onay kutuları önceden işaretli gelemez; kullanıcı kendisi işaretlemeli.
- Aydınlatma metnini okuma ile ticari elektronik ileti (bülten, kampanya SMS'i) onayı aynı kutuda birleştirilemez; ayrı amaç, ayrı kutu.
- Form, zorunlu olmayan onaylar işaretlenmeden de gönderilebilmeli; hizmeti rızaya şartlamak rızayı geçersiz kılar.
3. Çerez Yönetimi: Banner Koymak Yetmez
Kurul'un 2022 tarihli çerez rehberinden beri beklenti net: zorunlu olmayan çerezler (analitik, pazarlama pikselleri) ziyaretçi onay vermeden çalışmamalı. Sahadaki sitelerin çoğunda banner var ama çerezler sayfa açılır açılmaz yükleniyor — bu, uyum değil dekor. Doğru kurulum: "Reddet" seçeneği "Kabul et" kadar kolay erişilir olmalı, tercihler sonradan değiştirilebilmeli ve onay kayıtları saklanmalı. Hazır çerez yönetim araçları bu akışı sunar; özel geliştirilen sitelerde ise onay katmanının tasarıma baştan dahil edilmesi gerekir.
4. Teknik Güvenlik Önlemleri
KVKK yalnızca metin işi değildir; kanun "uygun güvenlik düzeyini sağlamayı" da yükümlülük sayar:
- Tüm sitede HTTPS (sadece ödeme sayfasında değil).
- Form verilerinin şifreli iletimi ve yetkisiz erişime kapalı saklanması.
- Admin paneline güçlü parola ve iki faktörlü doğrulama.
- Düzenli güvenlik güncellemeleri ve yedekleme — güncellenmeyen altyapı, bilinen açıklar üzerinden veri sızdırmanın bir numaralı yoludur. Bu disiplin bakım ve teknik destek hizmetimizin çekirdeğidir.
5. Üçüncü Taraf Araç Envanteri
Google Analytics, Meta Pixel, canlı destek, YouTube gömme, harita… Her biri ziyaretçi verisini kendi sunucularına, çoğu zaman yurt dışına taşır. Yapmanız gereken: sitenizdeki tüm üçüncü taraf araçların envanterini çıkarmak, her birini aydınlatma metnine ve çerez onay mekanizmasına bağlamak, yurt dışı aktarım için kanunun öngördüğü şartları sağlamak. Kullanmadığınız aracı silmek, en ucuz uyum adımıdır.
6. Veri Saklama ve İmha
"Ne kadar süre saklıyoruz?" sorusunun cevabı sitenizde ve süreçlerinizde tanımlı olmalı. Beş yıl önceki kampanya formunun katılımcı listesi hâlâ e-posta kutunuzdaysa, amaçla sınırlılık ilkesini ihlal ediyorsunuz demektir. Form kayıtları için saklama süresi belirleyin ve süresi dolan veriyi düzenli imha eden bir rutin kurun.
7. Başvuru Kanalı
İlgili kişiler (müşterileriniz) verileri hakkında bilgi isteme, düzeltme ve silme talep etme hakkına sahiptir. Sitenizde bu başvurular için açık bir kanal (form veya e-posta adresi) bulunmalı; kanuni cevap süresi en geç 30 gündür ve talebi kim karşılayacak, içeride tanımlı olmalıdır.
Uyum Tek Seferlik Proje Değildir
KVKK uyumu bir kez yapılıp rafa kaldırılan bir iş değildir: siteye eklenen her yeni form, her yeni pazarlama aracı ve her kampanya veri envanterini değiştirir. Pratik önerimiz altı ayda bir "veri turu" yapmak — sitede veri toplayan noktaları, kullanılan üçüncü taraf araçları ve saklanan kayıtları gözden geçirmek. Ayrıca veri sorumlusu sıfatıyla VERBİS kayıt yükümlülüğünüz olup olmadığını (çalışan sayısı ve yıllık bilanço eşiklerine göre) kontrol etmeyi unutmayın; web sitesi uyumlu olsa bile sicil kaydı eksikse tablo tamamlanmış sayılmaz.
Bir veri ihlali yaşandığında ise süre kritiktir: Kurul'a bildirim için tanınan süre 72 saattir. "Bizde ihlal olmaz" varsayımı yerine, kimin neyi ne zaman bildireceğini tanımlayan basit bir müdahale planı hazırlamak, kriz anında panik yerine prosedür işletmenizi sağlar.
Hızlı Özdenetim
- Aydınlatma metnimiz bize özel mi, erişilebilir mi?
- Form kutucuklarımız boş ve amaca göre ayrık mı?
- Onay vermeden analitik/pazarlama çerezi yükleniyor mu? (Tarayıcının geliştirici araçlarından bakılabilir.)
- Sitenin tamamı HTTPS mi, panelde 2FA açık mı?
- Üçüncü taraf araç envanterimiz güncel mi?
- Saklama süreleri tanımlı mı, başvuru kanalı çalışıyor mu?
Bu listeyi mevcut sitenize uyguladığınızda eksikler netleşecektir. Sıfırdan site yaptırıyorsanız en ekonomik yol, uyumu sonradan yamamak yerine baştan kurmaktır; web tasarım projelerimizde çerez yönetimi, form onayları ve güvenlik katmanı standart olarak teslim edilir. Mevcut sitenizin KVKK karnesini merak ediyorsanız bize ulaşın; teknik tarafı birlikte gözden geçirelim.
