Web Sitesi İçin KVKK: Aydınlatma Metni, Çerez Politikası ve 2026'da Zorunlu Olanlar

Sitenizde bir iletişim formu, Google Analytics veya WhatsApp butonu varsa kişisel veri işliyorsunuz demektir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) sizi de kapsıyor. Küçük işletmelerin çoğu "biz sadece vitrin sitesiyiz" diye bu konuyu erteliyor; oysa 2026'da Kişisel Verileri Koruma Kurulu'nun verdiği para cezaları yüz binlerce liradan başlıyor.

Bu rehber, bir web sitesinin KVKK'ya uyumlu olması için gerçekten neyin zorunlu olduğunu, neyin abartı olduğunu ve nasıl 1 günde uyumlu hâle gelebileceğinizi anlatıyor.

Web Siteniz Kişisel Veri İşliyor mu? (Hızlı Test)

Aşağıdakilerden biri bile varsa cevap evettir:

• İletişim, teklif, randevu veya kayıt formu
• Bülten (e-posta) aboneliği
• Google Analytics, Meta Pixel, Hotjar gibi izleme kodları
• Canlı destek / chatbot
• Üyelik veya giriş sistemi
• Yorum bölümü
• IP adresi kaydeden herhangi bir sunucu logu (yani her site)

2026'da Web Sitesinde Zorunlu Olan 5 Şey

1. Aydınlatma Metni

Kanunun 10. maddesi, veri toplamadan önce ilgili kişiyi bilgilendirmeyi zorunlu kılar. Sitenizde ayrı bir sayfa olarak yayınlanmalı ve her formun altında bağlantısı bulunmalıdır. Metinde şunlar olmalı:

• Veri sorumlusunun kimliği (unvan, adres, iletişim)
• Hangi verilerin, hangi amaçla işlendiği
• Verilerin kimlere ve neden aktarıldığı (örneğin e-posta sağlayıcısı, analitik araçlar)
• Toplama yöntemi ve hukuki sebebi
• İlgili kişinin 11. maddedeki hakları ve başvuru yolu

Sık hata: İnternetten indirilen genel bir metni olduğu gibi yayınlamak. Metin, sitenizin gerçekte kullandığı araçlarla (form, analitik, chatbot) eşleşmelidir; aksi hâlde denetimde geçersiz sayılır.

2. Çerez Politikası ve Çerez Banner'ı

Kurul'un 2022'de yayımladığı Çerez Uygulamaları Rehberi'ne göre:

• Zorunlu çerezler (oturum, güvenlik, sepet) için onay gerekmez, bilgilendirme yeterlidir.
• Analitik, pazarlama ve kişiselleştirme çerezleri (Google Analytics, Meta Pixel, YouTube gömüsü) için açık rıza gerekir; bu çerezler kullanıcı "Kabul et" demeden çalışmamalıdır.

Yani banner'da yalnızca "Çerez kullanıyoruz, tamam" düğmesi olması yeterli değildir. Kullanıcı kategorilere göre seçim yapabilmeli, reddetmek kabul etmek kadar kolay olmalı (aynı büyüklükte düğme) ve onaylar kaydedilmelidir. Onay verilmeden Analytics'in yüklenmesi, Türkiye'de son dönemde verilen cezaların başlıca gerekçelerinden biridir.

3. Formlarda Açık Rıza Düzeni

İletişim formu için genellikle açık rıza gerekmez; "sözleşme kurulması" veya "meşru menfaat" hukuki sebebi yeterlidir ve aydınlatma metni bağlantısı koymak yeter. Ancak:

• Pazarlama e-postası / SMS göndermek için ayrı ve önceden işaretlenmemiş bir onay kutusu şarttır (ayrıca İYS — İleti Yönetim Sistemi kaydı gerekir).
• Sağlık verisi (klinik randevu formunda şikâyet alanı gibi) özel nitelikli veridir; açık rıza kutusu zorunludur.
• Tek bir "KVKK'yı okudum ve kabul ediyorum" kutusu ile hem aydınlatma hem rıza almak hatalıdır; aydınlatma kabul edilmez, okunur. Rıza ayrı alınır.

4. Gizlilik Politikası

Aydınlatma metniyle karıştırılır ama farklıdır: gizlilik politikası, sitenin genel veri işleme yaklaşımını, güvenlik önlemlerini ve üçüncü taraf hizmetleri açıklayan daha geniş bir belgedir. Yasal zorunluluk aydınlatma metnidir; gizlilik politikası ise güven ve şeffaflık için beklenir.

5. VERBİS Kaydı (herkes için değil)

Veri Sorumluları Sicili'ne kayıt; yıllık çalışan sayısı 50'den fazla veya yıllık mali bilanço toplamı 100 milyon ₺'den fazla olan işletmeler ile ana faaliyeti özel nitelikli veri işlemek olan işletmeler (örneğin sağlık kuruluşları) için zorunludur. Küçük bir kafe veya emlak ofisinin VERBİS'e kaydolması gerekmez; ama aydınlatma ve çerez yükümlülükleri yine geçerlidir.

KVKK Cezaları 2026

KVKK'nın 18. maddesindeki idari para cezaları her yıl yeniden değerleme oranıyla artıyor. 2026 itibarıyla aydınlatma yükümlülüğünün ihlali yüz binlerce liradan, veri güvenliği yükümlülüklerinin ihlali ise on milyonlarca liraya kadar cezalandırılabiliyor. Kurul'un karar özetlerine bakıldığında web siteleriyle ilgili en sık gerekçeler şunlar:

1. Rıza alınmadan analitik/pazarlama çerezi çalıştırmak
2. Aydınlatma metni olmadan form ile veri toplamak
3. Rıza olmadan pazarlama e-postası/SMS göndermek
4. Veri ihlalini 72 saat içinde Kurul'a bildirmemek

Güncel tutarları Kurum'un resmî sitesinden doğrulayın; bu yazıdaki ifadeler ölçek fikri vermek içindir.

1 Günde KVKK Uyumlu Web Sitesi: Kontrol Listesi

• Sitede kullanılan tüm araçları listeleyin (form, analitik, pixel, chatbot, gömülü video, harita)
• Bu listeye göre aydınlatma metnini yazın ve /kvkk-aydinlatma-metni gibi kalıcı bir adreste yayınlayın
• Her formun altına aydınlatma metni bağlantısı ekleyin
• Pazarlama izni için ayrı, boş onay kutusu ekleyin
• Çerez politikası sayfası oluşturun; hangi çerezin ne için kullanıldığını tablo hâlinde yazın
• Kategori seçimli, reddetmesi kolay bir çerez banner'ı kurun; onay verilmeden analitik ve pazarlama kodlarını yüklemeyin
• Onay kayıtlarını (tarih, seçim) saklayın
• Gizlilik politikası sayfası ekleyin
• SSL (https) aktif olsun; kişisel veri http üzerinden toplanamaz
• Footer'a "KVKK Aydınlatma", "Çerez Politikası" ve "Gizlilik Politikası" bağlantılarını koyun
• İlgili kişi başvurularını almak için bir e-posta adresi belirleyin ve 30 gün içinde yanıt sürecini tanımlayın
• Ekip içinde kim veriye erişiyorsa yazılı gizlilik taahhüdü alın

WhatsApp Butonu, Google Haritalar ve YouTube Gömüsü İçin Ne Gerekir?

• WhatsApp butonu: Tıklama sizi WhatsApp'a yönlendirir; site tarafında veri toplanmaz. Ancak konuşmada aldığınız kişisel verileri (ad, telefon) işlediğiniz için aydınlatma metninde WhatsApp'ı kanal olarak belirtmelisiniz.
• Google Haritalar gömüsü: Google'a IP verisi aktarır; çerez politikasında belirtilmeli, ideal olarak onaydan sonra yüklenmelidir.
• YouTube gömüsü: Pazarlama çerezi bırakır; "gizlilik gelişmiş mod" (youtube-nocookie) kullanın ya da onaydan sonra yükleyin.
• Google Analytics 4: Analitik çerez; onay olmadan çalışmamalı. Consent Mode ile onay öncesi çerez bırakmadan sınırlı ölçüm yapılabilir.

ComSuite ile KVKK Uyumu

ComSuite ile kurulan sitelerde SSL otomatik gelir, aydınlatma metni ve çerez politikası sayfaları hazır şablonla oluşturulur; Replio AI entegrasyonu ise kategori seçimli çerez yönetimi (KVKK/GDPR) ve onay kaydını canlı destek ile aynı uygulamada sunar. Mevcut sitenizin durumunu görmek için ücretsiz KVKK uyum testini çalıştırabilir, ayrıntılar için KVKK uyum rehberimize bakabilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır; hukuki danışmanlık yerine geçmez. Özel nitelikli veri işleyen işletmelerin (sağlık, hukuk, finans) bir KVKK danışmanı veya avukatla çalışması önerilir.