Web Sitesi KVKK Uyumu: Çerez, Aydınlatma Metni ve Formlar

Web sitesi KVKK uyumu dört parçadan oluşur: ziyaretçiyi veri toplanırken bilgilendiren bir aydınlatma metni, zorunlu olmayan çerezler için önceden ve aktif onayla alınan açık rıza, formlarda ayrı tutulan pazarlama izni ve yurt dışındaki araçlara giden veriler için aktarım güvencesi. 2026'da ihlalin idari para cezası 85.437 TL ile 17.092.242 TL arasında değişiyor.

Bu yükümlülükler yalnızca büyük e-ticaret sitelerini ilgilendirmiyor. İletişim formu olan, Google Analytics ya da Meta Pixel çalıştıran her kurumsal site kişisel veri işliyor. Kişisel Verileri Koruma Kurumu'nun 2025 Faaliyet Raporu tabloyu netleştiriyor: Kuruma bir yılda 12.512 ihbar ve şikâyet ulaştı; Kurul 876 veri sorumlusuna toplam 352,5 milyon TL ceza kesti.

Kurum, Çerez Uygulamaları Hakkında Rehber'in güncel baskısını Temmuz 2025'te yayımladı. İnternetteki yazıların çoğu hâlâ 2022 sürümünü ve ezbere kuralları tekrar ediyor. Biz bu rehberi güncel baskıdan, Kurul kararlarından ve resmi ceza tablosundan doğrulayarak hazırladık.

Önemli not: Bu yazı site sahipleri için genel bilgilendirme amacı taşır, hukuki görüş değildir. Metinlerinizi yayına almadan önce bir KVKK danışmanına ya da avukata gösterin.

Bu rehberde neler var?

• Web sitesi KVKK kapsamına ne zaman girer?
• Üç ayrı metin: aydınlatma, çerez politikası, açık rıza
• Hangi çerez açık rıza ister, hangisi istemez?
• Çerez banner'ı nasıl kurulur? 7 kural
• Analytics ve piksel: yurt dışına aktarım boyutu
• Formlar: hangi onay ne zaman gerekir?
• Cezalar ve Kurul kararları: risk ne kadar gerçek?
• Yurt dışından ziyaretçi alan siteler: GDPR farkı
• Web sitesi KVKK kontrol listesi: 12 adım
• Sıkça Sorulan Sorular

Web sitesi KVKK kapsamına ne zaman girer?

Siteniz bir gerçek kişiyle ilişkilendirilebilen herhangi bir bilgiyi topluyorsa kapsamdasınız. İletişim formundaki ad ve telefon, bülten kaydındaki e-posta, çerezle atanan kullanıcı kimliği ve sunucu kayıtlarındaki IP adresi bu tanıma girer. Veriyi toplayan ve amacını belirleyen taraf olarak siz veri sorumlusu sayılırsınız.

Sitenin küçük olması bu durumu değiştirmez. Sık yapılan hata, VERBİS muafiyetini KVKK muafiyeti sanmaktır. Yıllık çalışan sayısı 50'den ve yıllık mali bilanço toplamı 100 milyon TL'den az olan, ana faaliyeti özel nitelikli veri işlemek olmayan işletmeler VERBİS kaydından muaftır. Aydınlatma, açık rıza ve veri güvenliği yükümlülükleri ise bu işletmeler için de aynen geçerlidir.

Bursa'da 15 kişilik bir makine üreticisinin sitesini düşünün. Sitede teklif formu, Google Analytics ve gömülü bir tanıtım videosu var. Bu şirket VERBİS'e kayıt olmak zorunda değildir. Yine de formu için aydınlatma yapmak, Analytics için açık rıza almak ve video gömmesini gözden geçirmek zorundadır.

Ajansın ya da hosting firmasının siteyi yönetmesi de sorumluluğu devretmez. Bu taraflar sizin adınıza hareket eden veri işleyen konumundadır. Web sitesi KVKK uyumunun hukuki muhatabı, sitenin sahibi olan şirkettir.

Pratikte şu dört soruya "evet" diyorsanız bu rehberin tamamı sizi ilgilendirir:

• Sitenizde iletişim, teklif ya da bülten formu var mı?
• Google Analytics, Meta Pixel, Hotjar gibi bir ölçüm veya reklam aracı çalışıyor mu?
• Sayfalarınıza YouTube videosu, harita ya da canlı destek penceresi gömülü mü?
• Form verileri e-postayla ya da bir CRM aracıyla ekibinize ulaşıyor mu?

Üç ayrı metin: aydınlatma, çerez politikası, açık rıza

Sitelerin çoğu bu üç kavramı tek bir "Gizlilik Politikası" sayfasına sıkıştırıyor. Çerez Rehberi bu pratiği açıkça yetersiz buluyor. İçinde pek çok başka konu bulunan karmaşık gizlilik bildirimleri, aydınlatma yükümlülüğünün yerine getirildiği anlamına gelmiyor.

Kanun'un 10. maddesine göre aydınlatma metni beş unsuru içerir. Bunlar veri sorumlusunun kimliği, işleme amacı, verinin kime ve hangi amaçla aktarılabileceği, toplama yöntemi ile hukuki sebebi ve ziyaretçinin 11. maddedeki haklarıdır. Yükümlülüğü yerine getirdiğinizi ispat etmek de size düşer.

En kritik kural şudur: aydınlatma ile açık rıza ayrı ayrı yürür. Aydınlatma Tebliği'nin 5. maddesi bunu açıkça düzenliyor. "Aydınlatma metnini okudum ve verilerimin işlenmesini kabul ediyorum" şeklindeki tek kutu, iki farklı işlemi birbirine karıştırır.

Kendi sitemizde de bu ayrımı uyguluyoruz. Çerez politikası ve KVKK aydınlatma metni ayrı sayfalarda durur; ziyaretçi bu metinlere her sayfanın altbilgisinden ulaşır. Web sitesi KVKK metinlerini hazırlarken bu yapıyı başlangıç noktası alabilirsiniz; içeriğin kendisi ise her işletmenin veri akışına göre değişir.

Hangi çerez açık rıza ister, hangisi istemez?

Rehber iki ölçüt tanımlıyor. Kriter A, çerezin yalnızca iletişimin şebeke üzerinden sağlanması için kullanılmasıdır. Kriter B, çerezin kullanıcının açıkça talep ettiği bir hizmet için kesinlikle gerekli olmasıdır. Bu iki ölçütten birini karşılayan çerezler açık rıza gerektirmez.

Tablodaki "koşullu" satırı, Türkçe kaynakların en çok düzleştirdiği noktadır. Rehber, birinci taraf analitik çerezlerin Kriter B kapsamında değerlendirilebileceğini söylüyor. Bunun koşulları var: çerez yalnızca anonim istatistik üretmeli ve ziyaretçiyi siteler arasında takip etmemelidir. Çerezin ömrü makul olmalı, veri üçüncü taraflara iletilmemelidir.

Google Analytics gibi araçlar bu koşulları kendiliğinden karşılamaz. Veri üçüncü bir tarafa ve yurt dışına gider. Kurul da 2022/229 sayılı kararında reklam, pazarlama ve performans amaçlı çerezlerin açık rızaya tabi olduğunu belirtti. Güvenli varsayım şudur: üçüncü taraf analitik ve reklam araçlarını rıza almadan çalıştırmayın.

Tersi de bir hatadır. Zorunlu çerezler için açık rıza istemek, Rehber'in ifadesiyle "hukuka ve dürüstlük kuralına uygun olma" ilkesiyle bağdaşmaz. Sepet çerezini rıza kutusuna bağlamak uyum değil, yanlış tasarımdır.

Çerez banner'ı nasıl kurulur? 7 kural

Rehber'in ekindeki iyi ve kötü örnekler, Kurum'un bir banner'da neye baktığını açıkça gösteriyor. Aşağıdaki yedi kural bu örneklerden ve Kurul kararlarından çıkıyor.

1. Üç butonu eşit sunun. "Hepsini Kabul Et", "Hepsini Reddet" ve "Tercihler" butonları ilk katmanda yer almalı; renk, büyüklük ve punto açısından eşit olmalıdır.
2. Varsayılanı kapalı tutun. Rıza gerektiren kategoriler panelde pasif gelmelidir. Kurul kararları bunu opt-in mekanizması olarak tanımlıyor: çerez, ziyaretçi onay verene kadar çalışmaz.
3. Script'i rızaya bağlayın. Banner görünürken Analytics ya da piksel arka planda çoktan yüklendiyse banner dekordan ibarettir. Etiketler, rıza durumu "verildi" olana kadar tetiklenmemelidir.
4. Zımni kabul cümlesini kaldırın. "Sitemizi kullanarak çerezleri kabul etmiş olursunuz" ifadesi Rehber'de kötü örnek olarak yer alıyor. Açık rıza aktif ve olumlayıcı bir eylem gerektirir.
5. Çerez duvarı kurmayın. Tüm çerezleri kabul etmeyen ziyaretçiyi içerikten mahrum bırakmak, rızanın özgür iradeyle verilmesini engeller.
6. Amaçları ayırın. Analitik, sosyal medya ve reklam farklı amaçlardır. Rehber her amaç için ayrı rıza alınmasını öneriyor.
7. Geri almayı kolaylaştırın. Sayfanın köşesinde duran küçük bir ikon ya da bant, ziyaretçinin tercihini her an değiştirmesini sağlar. Her ziyarette yeniden sormak ise "rıza yorgunluğu" yaratır; Rehber periyodik hatırlatmayı yeterli görüyor.

Butonların eşitliği neden bu kadar önemli? CHI 2020 konferansında yayımlanan bir araştırma, İngiltere'nin en popüler 10.000 sitesindeki 680 rıza penceresini inceledi. Bunların yalnızca %11,8'i asgari hukuki gereklilikleri karşılıyordu. Reddet butonunu ilk ekrandan kaldırmak ise rıza oranını 22-23 puan artırıyordu. Tasarım rızayı bu ölçüde yönlendirdiği için denetim makamları da tasarıma bakıyor.

Rıza kaydını da saklayın. Bir şikâyette rızayı gerçekten aldığınızı göstermeniz gerekir. Rıza aracınızın her tercih için tarihi, seçilen kategorileri ve o gün yayında olan banner metninin sürümünü kaydetmesini isteyin. Banner metnini ya da çerez listesini değiştirdiğinizde yeni bir sürüm numarası verin.

Hazır bir çerez eklentisi bu kuralların yalnızca arayüz kısmını çözer. Eklentinin sitenizdeki çerezleri doğru kategoriye koyması ve script'leri gerçekten engellemesi gerekir. Kurulumdan sonra tarayıcının geliştirici araçlarını açın ve "Reddet"e bastıktan sonra hangi çerezlerin kaldığına bakın.

Banner aynı zamanda bir tasarım ögesidir. Klavyeyle gezilebilmesi ve yeterli kontrast taşıması gerekir; ayrıntıları web erişilebilirliği rehberimizde bulabilirsiniz. Sonradan yüklenip sayfayı aşağı iten bir banner da düzen kaymasına yol açar.

Analytics ve piksel: yurt dışına aktarım boyutu

Çerez rızası işin yalnızca yarısıdır. Google Analytics, Meta Pixel ve benzeri araçların sunucuları yurt dışındadır. Rehber'in güncel baskısı bunu açıkça söylüyor: yurt dışında yerleşik şirketlerin çerezleriyle yapılan veri aktarımı, Kanun'un 9. maddesine ve 10 Temmuz 2024 tarihli aktarım yönetmeliğine uygun olmalıdır.

2024 değişikliğiyle aktarım rejimi yenilendi. Yeterlilik kararı bulunmayan ülkeler için en yaygın yol standart sözleşme imzalamaktır. Sözleşmeyi imzadan sonra beş iş günü içinde Kuruma bildirmeniz gerekir. Bu bildirimi yapmamanın 2026'daki cezası 90.308 TL ile 1.806.177 TL arasındadır.

Bu alan teknik olduğu kadar hukukidir; kararı danışmanınızla birlikte verin. Uygulamada üç yol öne çıkıyor:

• Rıza ve aktarım güvencesi: Üçüncü taraf araçları kullanmaya devam eder, rızayı doğru alır ve aktarım mekanizmasını hukuk danışmanınızla kurarsınız.
• Birinci taraf ölçüm: İstatistiği kendi sunucunuzda, anonim ve çerezsiz üreten bir analitik aracına geçersiniz. Böylece hem rıza hem aktarım yükü hafifler.
• Araç sadeleştirme: Kullanılmayan pikselleri, eski canlı destek kodlarını ve gömülü içerikleri siteden temizlersiniz. Kurumsal sitelerde çoğu zaman biten kampanyalardan kalma, kimsenin bakmadığı etiketler çalışmaya devam eder.

Gömülü içerikleri unutmayın. YouTube videosu, harita, canlı destek penceresi ve sosyal medya akışı da üçüncü taraf çerezi yerleştirebilir. Rehber, sosyal eklentilerin üye olmayan ziyaretçilere varsayılan olarak üçüncü taraf çerez yerleştirmemesi gerektiğini belirtiyor. En temiz çözüm tıklayınca yükleme yöntemidir: sayfada önce bir kapak görseli gösterirsiniz, ziyaretçi oynat düğmesine bastığında gerçek içerik yüklenir. Bu yöntem web sitesi KVKK tarafındaki rıza sorununu sadeleştirir ve açılış hızını da iyileştirir.

Google etiketlerini rıza durumuna bağlamanın teknik yolu Consent Mode'dur. Google bu sinyali Avrupa Ekonomik Alanı trafiği için zorunlu tutuyor. Türkiye trafiğinde Google böyle bir şart koşmuyor; yine de etiketleri rızaya bağlamanın en temiz yöntemi budur.

Her üçüncü taraf script'i aynı zamanda bir hız maliyetidir. Etiket temizliğinin kazancını ücretsiz site analizi aracımızla ölçebilirsiniz. Konunun performans tarafını web sitesi hızlandırma rehberimizde ayrıca anlattık.

Formlar: hangi onay ne zaman gerekir?

İletişim formları, web sitesi KVKK uyumunda en çok yanlış kurulan alandır. Sitelerin çoğu ya hiç bilgilendirme yapmıyor ya da gerekmediği hâlde açık rıza kutusu koyuyor. Formda üç farklı katman vardır ve her biri ayrı çalışır.

Aydınlatma bir onay değildir. Ziyaretçi teklif istediğinde talebini yanıtlamak için açık rızaya ihtiyacınız yoktur. Kanun'un 5. maddesi sözleşmenin kurulması ve meşru menfaat gibi sebepleri ayrıca sayar. Rehber de başka bir işleme şartı varken açık rıza alınmasına gerek bulunmadığını belirtiyor. Bu yüzden "kabul ediyorum" yerine görünür bir aydınlatma bağlantısı doğru tercihtir.

Pazarlama izni ayrı bir rejimdir. Bülten ya da kampanya göndermek 6563 sayılı Kanun'a tabidir. Ticari Elektronik İletiler Yönetmeliği'nin 7. maddesi iki net kural koyuyor. Onay kutusu önceden işaretli gelemez ve onayı hizmetin ön şartı yapamazsınız. Sistem dışında aldığınız onayları da üç iş günü içinde İleti Yönetim Sistemi'ne kaydetmeniz gerekir.

Form tasarımında veri minimizasyonu da önemlidir. Teklif formunda T.C. kimlik numarası ya da doğum tarihi istemeyin; ihtiyacınız olmayan her alan hem riski hem formu terk etme oranını artırır. Dönüşüm tarafını landing page rehberimizde ele aldık.

Saklama süresini de belirleyin. Kanun, veriyi işlendiği amaç için gerekli olan süre kadar tutmanızı ister. Sonuçlanmamış bir teklif talebini yıllarca e-posta kutusunda ve CRM'de bekletmek bu ilkeyle bağdaşmaz. Basit bir kural koyun: süreç kapandıktan belirli bir süre sonra kayıtları silin ya da anonimleştirin.

Formun arkası da kapsama girer. Verinin SSL üzerinden iletilmesi, kime e-posta olarak gittiği ve ne kadar süre saklandığı veri güvenliği yükümlülüğünün parçasıdır. Temel önlemler için web sitesi güvenliği rehberimize bakabilirsiniz.

Cezalar ve Kurul kararları: risk ne kadar gerçek?

Kurum, idari para cezalarını her yıl yeniden değerleme oranında artırıyor. 2026 için oran %25,49 oldu. Resmi ceza tablosuna göre güncel tutarlar şöyle:

Çerez ihlalini "en düşük ceza kalemi" sanmak yanıltıcıdır. Kurul, yayımladığı iki çerez kararında cezayı aydınlatma bendinden değil, üst sınırı on kat yüksek olan veri güvenliği bendinden verdi.

2022/229 sayılı kararda bir e-ticaret şirketi, zorunlu olmayan çerezleri rıza almadan çalıştırdığı için 800.000 TL ceza aldı. Kurul ayrıca opt-in mekanizması kurulmasına ve yurt dışına aktarımın Kanun'a uygun hâle getirilmesine hükmetti. 2022/1358 sayılı kararda ise çerezler için aydınlatma ve rıza metni sunmayan bir oyun platformu 300.000 TL ödedi.

Kurul bu cezaları 2022'nin sınırlarıyla kesti. Aynı bendin alt sınırı o yıl 40.179 TL iken bugün 256.357 TL'dir. Yani aynı ihlalin bugünkü karşılığı belirgin biçimde daha ağırdır.

Süreç çoğunlukla bir ziyaretçi başvurusuyla başlar. Kişi önce size başvurur ve otuz gün içinde yanıt vermeniz gerekir. Yanıt gelmezse ya da yetersiz kalırsa şikâyet Kurula taşınır. Sitede görünür bir başvuru kanalı bulundurmak, web sitesi KVKK sürecinin en ucuz sigortasıdır.

Yurt dışından ziyaretçi alan siteler: GDPR farkı

Siteniz Avrupa'daki ziyaretçilere mal ya da hizmet sunuyorsa KVKK'ya ek olarak GDPR ve ePrivacy kuralları da devreye girer. İngilizce ya da Almanca sayfalar açan ihracatçılar ve oteller bu gruptadır. Yapısal tarafı çok dilli web sitesi rehberimizde anlattık.

Avrupa'da yaptırım ölçeği farklıdır. Fransız veri koruma otoritesi CNIL, Eylül 2025'te Shein'e rıza alınmadan yerleştirilen çerezler nedeniyle 150 milyon avro ceza kesti. Gerekçe tanıdık: reklam çerezleri ziyaretçi seçim yapmadan yükleniyordu ve "Tümünü reddet" tıklandıktan sonra da okunmaya devam ediyordu.

"AB çerez banner'larını kaldırıyor" haberlerine de temkinli yaklaşın. Komisyon'un Kasım 2025 tarihli Dijital Omnibus teklifi hâlâ yasalaşmadı. Avrupa Parlamentosu'nun yasama takip sayfasına göre milletvekilleri taslak rapora 1.750'den fazla değişiklik önergesi sundu. Konsey müzakere yetkisini henüz onaylamadı. Sitenizi bugünkü kurallara göre kurun.

Web sitesi KVKK kontrol listesi: 12 adım

Aşağıdaki liste, yeni bir siteyi yayına alırken ya da mevcut siteyi gözden geçirirken izleyebileceğiniz sırayı verir. Teknik lansman adımlarını da SEO lansman kontrol listemizle birlikte yürütebilirsiniz.

• Sitedeki tüm çerezleri ve üçüncü taraf script'leri tarayıcı geliştirici araçlarıyla çıkarın.
• Her çerezi amaç, süre ve taraf bilgisiyle sınıflandırın: zorunlu, işlevsel, analitik, reklam.
• Kullanılmayan etiketleri, pikselleri ve gömülü içerikleri kaldırın.
• Banner'da üç butonu eşit sunun; rıza gerektiren kategorileri kapalı başlatın.
• "Reddet"e bastıktan sonra analitik ve reklam çerezlerinin gerçekten yüklenmediğini test edin.
• Rıza tercihini değiştirmek için kalıcı bir ikon ya da altbilgi bağlantısı ekleyin.
• Aydınlatma metnini ve çerez politikasını ayrı sayfalarda yayımlayın, altbilgiden bağlayın.
• Her formun yanına kısa aydınlatma notu ve bağlantı koyun.
• Pazarlama iznini ayrı, işaretsiz bir kutuyla alın ve İYS'ye kaydedin.
• Yurt dışındaki araçlar için aktarım mekanizmasını danışmanınızla belirleyin.
• Ajans, hosting ve e-posta sağlayıcınızla veri işleme hükümlerini sözleşmeye bağlayın.
• Yeni bir araç eklediğinizde ve en az yılda bir kez tüm listeyi yeniden gözden geçirin.

Bu listenin ilk altı maddesi teknik iştir ve ajansınızın sorumluluğundadır. Metinler ve aktarım kararları ise hukuki iştir. İki tarafın birlikte çalışmadığı projelerde genellikle kusursuz metinlerin yanında hiçbir şeyi engellemeyen bir banner ortaya çıkar.

Sıkça Sorulan Sorular

Web sitesinde çerez politikası zorunlu mu?

Kanun "çerez politikası" adında bir belge şartı koşmaz, ancak çerezle kişisel veri işleyen her site ziyaretçisini aydınlatmak zorundadır. Çerezleri tür, amaç, süre ve taraf bazında açıklayan ayrı bir sayfa, bu yükümlülüğü yerine getirmenin en açık yoludur. Zorunlu olmayan çerezler için ayrıca açık rıza almanız gerekir.

Küçük bir işletme sitesi de KVKK kapsamında mı?

Evet. KVKK'da çalışan sayısına ya da ciroya bağlı bir muafiyet yoktur; iletişim formu olan tek sayfalık bir site de kişisel veri işler. 50 çalışan ve 100 milyon TL bilanço eşiği yalnızca VERBİS kaydı için geçerlidir.

Google Analytics kullanmak için açık rıza şart mı?

Güvenli varsayım evettir. Çerez Rehberi yalnızca anonim istatistik üreten, veriyi üçüncü taraflara iletmeyen birinci taraf analitiği rıza dışında değerlendiriyor. Google Analytics veriyi üçüncü bir tarafa ve yurt dışına aktardığı için hem açık rıza hem de yurt dışı aktarım kuralları gündeme gelir.

İletişim formuna açık rıza kutusu koymalı mıyım?

Yalnızca talebi yanıtlamak için veri topluyorsanız hayır. Bu işleme, sözleşmenin kurulması ya da meşru menfaat gibi sebeplere dayanır ve açık rıza gerektirmez. Formun yanında görünür bir aydınlatma metni bağlantısı yeterlidir; pazarlama iletisi gönderecekseniz ayrı ve işaretsiz bir onay kutusu eklersiniz.

Çerez banner'ında "Reddet" butonu zorunlu mu?

Çerez Rehberi, "Hepsini Kabul Et", "Hepsini Reddet" ve "Tercihler" butonlarının ilk ekranda renk, büyüklük ve punto açısından eşit sunulmasını iyi uygulama olarak tanımlıyor. Yalnızca "Kabul Et" butonu içeren banner'lar Rehber'in ekinde kötü örnek olarak yer alıyor. Pratikte reddetme seçeneği sunmayan bir banner'la geçerli bir açık rıza alamazsınız.

Hazır bir çerez eklentisi kurmak yeterli mi?

Tek başına yeterli değildir. Eklenti arayüzü sağlar; çerezlerin doğru kategoriye atanması ve script'lerin rıza verilene kadar gerçekten engellenmesi ayrıca yapılandırma gerektirir. Kurulumdan sonra "Reddet"e basıp tarayıcıda hangi çerezlerin kaldığını kontrol edin.

KVKK'ya uymayan web sitesine ne kadar ceza kesilir?

2026'da aydınlatma yükümlülüğüne aykırılığın cezası 85.437 TL ile 1.709.200 TL arasındadır. Veri güvenliği yükümlülüklerine aykırılıkta aralık 256.357 TL ile 17.092.242 TL'dir. Kurul, yayımladığı çerez kararlarında 300.000 TL ve 800.000 TL'lik cezaları veri güvenliği bendinden verdi.

Web sitesi KVKK uyumu bir kerelik bir metin işi değildir. Sitenize eklenen her yeni araçla birlikte güncellenen, tasarım ve kod kararlarına gömülü bir rutindir. Banner'ın gerçekten engellediği, formların yalnızca gerekeni sorduğu ve metinlerin gerçek veri akışını anlattığı bir site hem ceza riskini hem ziyaretçinin güvensizliğini azaltır.

Web tasarım projelerimizde çerez yönetimini, form yapısını ve etiket mimarisini yayın öncesi kontrol listesinin parçası olarak kuruyoruz; hukuki metinler için müşterimizin danışmanıyla birlikte çalışıyoruz. Mevcut sitenizin çerez ve form yapısını birlikte gözden geçirmek için bizimle iletişime geçin.