KVKK uyumu, modaya göre değil yasal zorunluluk olarak konuya yaklaşmak gerekir. Cezalar ciddi: 2024-2025 döneminde KVKK Kurumu, sadece web sitesi kaynaklı ihlaller için 350'den fazla işletmeye toplam 75 milyon TL'yi aşan idari para cezası verdi. Tek tek bakıldığında en küçük ihlal bile 50.000 TL taban cezayla başlıyor. Üstelik 2024'te yapılan yönetmelik değişiklikleriyle yurt dışına veri aktarımı ve çerez kullanımı için kurallar daha da netleşti. Türkiye'de faaliyet gösteren bir KOBİ, restoran, otel veya emlak ofisi için "biz küçüğüz, gözden kaçarız" stratejisi artık geçerli değil; çünkü cezaların büyük kısmı şikayet üzerine değil, otomatik denetim sonucu kesiliyor. Bu rehberde web sitenizin KVKK uyumlu olması için gereken üç temel belge, çerez yönetimi ve pratik adımları özetliyorum.
3 Temel Belge
1. Aydınlatma Metni
İşletmenin hangi verileri, neden, ne kadar süreyle topladığı ve sakladığı. Aydınlatma metni iletişim formu, sipariş formu, üyelik kaydı gibi her veri toplama noktasında ayrıca gösterilmek zorunda. Sitenin alt menüsüne tek bir link koymak yeterli değil; form alanlarının altında da link veya açılır metin olmalı.
2. Açık Rıza Metni
Pazarlama amaçlı veri kullanımı için ayrı, net rıza. Aydınlatma metnindeki "kabul ediyorum" kutucuğu açık rıza yerine geçmez; ayrı bir kutucuk olmalı ve önceden işaretli gelmemelidir.
3. Çerez Politikası
Hangi çerezler kullanılıyor, hangileri zorunlu, hangileri opsiyonel. Çerez Tebliği'ne göre her çerezin ad, amaç, süre ve sağlayıcı bilgisi listelenmek zorunda. Web sitesi içeriklerinde olması gerekenler yazımızda KVKK belgelerini hangi sayfaya nasıl yerleştireceğinizi de paylaştık.
Çerez Bildirimi (Banner) Tasarımı
Site açılışında belirmeli ve kullanıcının seçim yapana kadar zorunlu olmayan çerezler çalıştırılmamalı. Pratikte çoğu sitedeki en büyük hata: banner gösteriliyor ama Google Analytics ve Meta Pixel arka planda zaten çalışıyor. Bu, KVKK ihlali sayılır.
Net seçenekler:
- "Tümünü Kabul Et"
- "Sadece Zorunluları Kabul Et"
- "Tercihler" (detaylı seçim)
"Tümünü Kabul Et" ve "Reddet" butonları aynı görsel ağırlıkta olmalı; reddet butonunu küçük göstermek "dark pattern" kabul edilir ve cezayı tetikler.
Hangi Çerezler Açık Rıza İster?
- Reklam çerezleri (Google Ads, Meta Pixel)
- Sosyal medya çerezleri (Facebook, X, LinkedIn)
- Analitik çerezler (Google Analytics, Hotjar)
- Yeniden hedefleme (retargeting) çerezleri
Zorunlu olmayan tüm çerezler için kullanıcı izni şart. Sadece oturum yönetimi, sepet bilgisi, dil tercihi gibi teknik zorunlu çerezler için izin gerekmez ama bunların listesi de çerez politikasında belirtilmeli.
Veri İhlali Bildirimi
Bir veri ihlali (hack, sızıntı, yanlış e-posta) yaşandığında 72 saat içinde KVKK'ya bildirilmesi zorunludur. Bildirimde olayın kapsamı, etkilenen kişi sayısı, alınan önlemler net şekilde anlatılmalı. Geç bildirim, ihlalden ayrı olarak ek ceza getirir.
Ceza Aralıkları (2025 Güncel)
| İhlal Tipi | Asgari Ceza | Tipik Ceza | | --- | --- | --- | | Aydınlatma yükümlülüğü | 50.000 TL | 100.000-300.000 TL | | Açık rıza alınmaması | 50.000 TL | 200.000-500.000 TL | | Veri güvenliği eksikliği | 100.000 TL | 500.000-3.000.000 TL | | VERBİS kaydı yapılmaması | 100.000 TL | 200.000-1.000.000 TL | | Yurt dışı aktarım ihlali | 100.000 TL | 500.000-5.000.000 TL |
Tekrarlanan ihlallerde ceza miktarı katlanarak artıyor; üstelik tüzel kişiler için yıllık ciroya bağlı ek hesap da yapılıyor.
Pratik Adımlar
- Aydınlatma + açık rıza + çerez metinlerini avukatla hazırlatın (genel şablon kullanmayın).
- Çerez banner'ını kurun; zorunlu olmayan çerezler izin alınana kadar bloke edilsin.
- Form alanlarına "açık rıza" kutusu ekleyin; önceden işaretli olmasın.
- KVKK irtibat kişisi atayın ve iletişim bilgisini sitede yayınlayın.
- VERBİS kaydını yapın (yıllık cirosu ya da çalışan sayısına göre zorunlu olabilir).
- Yıllık denetim takvimi oluşturun; her yeni form/araç eklendiğinde belgeleri güncelleyin.
- Yurt dışı sunucu kullanan araçların (Mailchimp, HubSpot, AWS) KVKK uyumunu doğrulayın.
Sektörel Notlar
- Restoran ve QR menü: QR menü sistemi kullanılan masalarda dijital olarak alınan müşteri verisi (telefon, sipariş geçmişi) için ayrı aydınlatma gerekir.
- Otel: Otel rezervasyon sistemi içinde TC kimlik, pasaport bilgisi yer aldığı için KVKK + Kimlik Bildirme Kanunu birlikte değerlendirilmeli.
- Emlak: Emlak portföy CRM sistemlerinde portföy sahibi ve müşteri ayrı veri kategorileri; her biri ayrı aydınlatma gerektirir.
- Personel takip: PDKS sistemleri biyometrik veri (parmak izi, yüz) topluyorsa "özel nitelikli kişisel veri" kapsamında en sıkı koruma şart.
Sıkça Yapılan Hatalar
- Hazır şablon metin kullanmak: Sektöre özelleştirilmemiş şablonlar denetimde reddediliyor.
- Banner var ama izin alınmadan çerez yüklenmesi: En sık ceza nedeni.
- Açık rıza ve aydınlatmayı tek kutuda birleştirmek: İkisi ayrı belge ve ayrı işaretlenmeli.
- VERBİS kaydını "küçük işletmeyiz" diye atlamak: 50+ çalışan veya 100M TL ciro varsa zorunlu.
- Yurt dışı sunucudaki form servisini KVKK uyumsuz kullanmak: Yurt dışı aktarım kuralları çok katı.
- Veri ihlalini bildirmemek umuduyla saklamak: 72 saat geçince ceza ikiye katlanıyor.
Sonuç ve Sonraki Adım
KVKK uyumu, bir defalık iş değil sürekli takip edilen bir disiplindir. Web sitenizin teknik altyapısı kadar yasal altyapısı da düzenli denetim ister. Kurumsal web sitesi projelerimizde KVKK uyumlu çerez banner, aydınlatma sayfaları ve form altyapısı standart paket içinde gelir. Mevcut sitenizin KVKK uyum analizi için iletişime geçin ya da bölgesel hizmet sayfalarımızdan (hizmet bölgeleri) size en yakın çalışma alanını seçin. Yasal metinlerin avukat tarafından hazırlanmasını öneriyor, teknik altyapısını biz sağlıyoruz.
