"Formu doldurun, sizi arayalım" diyen her web sitesi kişisel veri toplar: ad, telefon, e-posta. 6698 sayılı Kişisel Verilerin Korunması Kanunu bu verinin alındığı anda ziyaretçiyi bilgilendirmenizi ister ve bu bilgilendirmenin adı KVKK aydınlatma metnidir. Ajans olarak yayına aldığımız sitelerde en sık gördüğümüz eksik, metnin hiç olmaması değil; başka bir siteden kopyalanmış, o işletmeyle ilgisi olmayan bir metnin footer'a iliştirilmiş olmasıdır.
Bu rehberde aydınlatma metninin ne olduğunu, hangi bölümleri içermesi gerektiğini, açık rızadan farkını ve sitenizin neresine koyacağınızı adım adım anlatıyoruz. Metni kendiniz hazırlamak isterseniz, yazının sonunda ücretsiz KVKK aydınlatma metni oluşturucu aracımızla 10 dakikada nasıl üreteceğinizi gösteriyoruz.
Özetle
- Aydınlatma metni, kişisel veri toplayan her veri sorumlusu için zorunludur; iletişim formu olan bir site de bu kapsamdadır.
- Metin en az beş bilgiyi içermelidir: veri sorumlusunun kimliği, işleme amacı, aktarılan taraflar, toplama yöntemi ve hukuki sebep, ilgili kişinin hakları.
- Aydınlatma bir bilgilendirmedir, açık rıza ise bir onaydır; ikisi aynı kutuda toplanamaz.
- Metin, verinin toplandığı anda görünür olmalıdır: form yanında kısa bilgilendirme, footer'da tam metin.
- 2026 yılı için aydınlatma yükümlülüğü ihlalinin idari para cezası 85.437 TL ile 1.709.200 TL arasındadır.
KVKK aydınlatma metni nedir?
KVKK aydınlatma metni, veri sorumlusunun kişisel veri toplarken ilgili kişiye kim olduğunu, veriyi neden ve nasıl işlediğini, kimlere aktardığını ve kişinin haklarını açıkladığı bilgilendirme metnidir. Dayanağı Kanun'un 10. maddesi ile 10 Mart 2018 tarihli Resmî Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'dir.
Buradaki kritik kelime veri sorumlusudur: kişisel verinin işleme amacını ve yöntemini belirleyen gerçek ya da tüzel kişi. Web sitesini kim yapmış olursa olsun, veri sorumlusu siteyi işleten işletmedir; sorumluluk ajansa ya da hosting firmasına devredilemez.
Hangi işletmeler için zorunlu?
Kişisel veri işleyen her işletme için zorunludur; ölçek, ciro veya çalışan sayısı şartı yoktur. Tek kişilik bir atölyenin sitesindeki iletişim formu da, bir zincir marketin e-ticaret sitesi de aynı yükümlülüğe tabidir. Yükümlülük VERBİS kaydından bağımsızdır: VERBİS'e kayıt zorunluluğu belirli eşiklere bağlıyken, aydınlatma yükümlülüğünün eşiği yoktur.
Yaptırım tarafı somuttur. Kişisel Verileri Koruma Kurulu'nun her yıl yeniden değerleme oranıyla güncellediği tutarlara göre, 2026 yılında aydınlatma yükümlülüğünü yerine getirmemenin idari para cezası 85.437 TL ile 1.709.200 TL arasındadır. Güncel tutarlar ve kararlar için Kişisel Verileri Koruma Kurumu'nun resmi sitesi tek kaynaktır.
Aydınlatma metninde hangi bilgiler bulunmalı?
Tebliğ'e göre bir aydınlatma metni en az beş başlığı kapsamalıdır. Aşağıdaki tablo her bölümde ne yazılacağını ve sahada en sık karşılaştığımız hatayı gösterir.
| Bölüm | Ne yazılmalı | Sık yapılan hata |
|---|---|---|
| Veri sorumlusunun kimliği | Ticari unvan, adres, e-posta; varsa MERSİS ve KEP | Sadece marka adı yazılması, tüzel kişiliğin belirsiz kalması |
| İşleme amacı | Her veri kategorisi için somut amaç (teklif hazırlama, sipariş teslimi) | "Yasal amaçlarla" gibi belirsiz ifadeler |
| Aktarılan taraflar ve amacı | Kargo, ödeme kuruluşu, hosting sağlayıcı, yurt dışı servisler | Google Analytics kullanılırken yurt dışı aktarımdan hiç söz edilmemesi |
| Toplama yöntemi ve hukuki sebep | Form, e-posta, telefon; Kanun'un 5. maddesindeki ilgili bent | Her şeyin açık rızaya bağlanması |
| İlgili kişinin hakları | 11. maddedeki haklar ve başvuru yolu | Başvuru adresinin yazılmaması |
Hukuki sebep kısmı en çok karıştırılan bölümdür. Bir teklif formu için verilen telefon numarası, sözleşmenin kurulması için gerekli olduğundan açık rızaya değil, Kanun'un 5. maddesinin 2. fıkrasının c bendine (m. 5/2-c) dayanır. Açık rıza yalnızca başka bir hukuki sebep bulunmayan durumlar için, örneğin pazarlama e-postaları için gerekir.
Aydınlatma metni ile açık rıza aynı şey mi?
Hayır; aydınlatma tek taraflı bir bilgilendirme, açık rıza ise ilgili kişinin belirli bir işleme için verdiği onaydır. Tebliğ, ikisinin ayrı yapılmasını açıkça ister. "Aydınlatma metnini okudum, kabul ediyorum" şeklindeki tek kutu bu nedenle hatalıdır: aydınlatma metni kabul edilecek bir şey değildir, okunması yeterlidir.
Doğru kurgu şöyledir: formun yanında "Kişisel verileriniz aydınlatma metni kapsamında işlenir" bilgisi ve metne bağlantı; pazarlama iletişimi istiyorsanız ayrıca, varsayılan olarak boş bırakılmış bir onay kutusu. Bu ayrımı kurmadan yayına alınan formların çoğu, ilk şikayette sorun çıkarır.
Metni sitenin neresine koymalısınız?
Verinin toplandığı yerde görünür olmalıdır; footer'daki bağlantı tek başına yeterli değildir. Kurul'un kabul ettiği katmanlı aydınlatma yaklaşımı pratikte şöyle uygulanır:
- Form gönder butonunun hemen yanında bir cümlelik kısa bilgilendirme ve tam metne bağlantı.
- Footer'da "KVKK Aydınlatma Metni" ve "Çerez Politikası" sayfaları; kendi sitemizdeki aydınlatma metni bu düzenin bir örneğidir.
- Çerez kullanılıyorsa ilk ziyarette çerez bildirimi ve zorunlu olmayan çerezler için onay.
Metin PDF olarak değil, arama motorlarının ve ekran okuyucuların erişebildiği düz sayfa olarak yayımlanmalıdır. Kurumsal web sitesi standartları yazımızda bu sayfaları olmazsa olmazlar listesine bu yüzden ekledik.
Çerez politikası ayrıca gerekli mi?
Analitik veya pazarlama çerezi kullanıyorsanız evet. Kurumun 2022'de yayımladığı Çerez Uygulamaları Rehberi, sitenin çalışması için zorunlu olmayan çerezlerin ancak bilgilendirme ve onayla çalıştırılabileceğini söyler. Google Analytics, Meta Pixel ve Google Ads dönüşüm izleme bu sınıfa girer.
Çerez politikası aydınlatma metninin yerine geçmez; onu tamamlar. Hangi çerezin hangi amaçla kullanıldığını, onayın nasıl yönetileceğini ve tarayıcıdan nasıl kapatılacağını açıklar. E-ticaret siteleri için bu ayrım daha da önemlidir; e-ticaret sitesi açma rehberimizde yasal gereklilikleri ayrı bir başlıkta topladık.
En sık yapılan 5 hata
- Kopyala-yapıştır metin: Başka bir sitenin metninde o sitenin unvanı, sektörü ve veri akışı vardır; sizinkiyle örtüşmez.
- Yurt dışı aktarımın atlanması: Sunucusu yurt dışında olan her servis (analitik, e-posta, bulut) aktarım demektir ve Kanun'un 9. maddesi kapsamındadır.
- Her şeyi açık rızaya bağlamak: Rıza geri alınabilir; sözleşme için zorunlu veriyi rızaya bağlamak, rıza geri alındığında hizmeti sürdürememeniz anlamına gelir.
- Başvuru kanalının belirsizliği: İlgili kişi 11. maddedeki haklarını nereye yazacağını bilmeli; başvurular en geç 30 gün içinde yanıtlanmalıdır.
- Güncellenmeyen metin: Yeni bir form, yeni bir ödeme sağlayıcı ya da yeni bir analitik aracı eklendiğinde metin de değişmelidir.
Metni 10 dakikada nasıl hazırlarsınız?
Şirket bilgilerinizi ve veri akışınızı seçerek KVKK aydınlatma metni oluşturucu ile Tebliğ'in beş başlığını karşılayan bir metin üretebilirsiniz. Araç, seçtiğiniz veri kategorileri, amaçlar, kanallar ve aktarım yapılan taraflara göre metni kurar; çerez seviyenize göre çerez politikasını da ekler. Çıktıyı Word olarak indirebilir ya da e-postanıza gönderebilirsiniz.
Aracın ürettiği metin genel bir şablondur. Sağlık verisi, biyometrik veri gibi özel nitelikli veri işliyorsanız ya da çalışan verisi için ayrı bir metin gerekiyorsa, çıktıyı bir hukukçuyla gözden geçirmenizi öneririz. Kanun metninin tamamına mevzuat.gov.tr üzerinden ulaşabilirsiniz.
Metni hazır olan ama sitesine doğru biçimde yerleştiremeyen işletmeler için aydınlatma metnini, çerez politikasını ve onay bandını web sitesi projelerinin standart parçası olarak kuruyoruz. Mevcut sitenize eklenmesini isterseniz teklif alın.
