İletişim Formu ve KVKK: Aydınlatma, Açık Rıza ve Doğru Form Tasarımı

Önce ayrım: aydınlatma her zaman, açık rıza bazen

Formla ilgili en yaygın hata, aydınlatma ile açık rızayı aynı şey sanmaktır. İkisi Kanunda ayrı kurumlardır:

• Aydınlatma (md. 10): Kişisel veriler elde edilirken veri sorumlusunun kimliğini, işleme amacını, kimlere aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve md. 11'deki hakları bildirmektir. Aydınlatma Tebliği md. 5/1-a'ya göre veri, açık rızaya veya başka bir işleme şartına dayansa da her durumda yapılır; md. 5/1-d'ye göre ilgili kişinin talep etmesine bağlı değildir.
• Açık rıza (md. 3/1-a, md. 5/1): Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Kanun md. 5/2'de sayılan şartlardan biri varsa açık rıza aranmaz.

Yani her formda aydınlatma gerekir; açık rıza kutusu ise yalnızca dayanabileceğiniz başka bir hukuki sebep yoksa gerekir. Aydınlatma Tebliği md. 5/1-f, işleme açık rızaya dayanıyorsa aydınlatma ile rızanın ayrı ayrı yapılmasını şart koşar.

Açık rıza ne zaman gerekmez? (md. 5/2)

Kanun md. 5/2, açık rıza aranmaksızın veri işlenebilecek hâlleri sayar. İletişim formu açısından öne çıkanlar şunlardır:

Tablodaki eşleştirmeler genel yönlendirmedir. Hangi şarta dayandığınıza kendi sürecinize bakarak siz karar verirsiniz ve bunu aydınlatma metninde yazmanız gerekir: Aydınlatma Tebliği md. 5/1-h, hukuki sebebin md. 5 ve md. 6'daki şartlardan hangisi olduğunun açıkça belirtilmesini ister.

Kurul'un yaklaşımı: rıza ön şart yapılamaz, aydınlatmayla birleştirilemez

İletişim formları için en öğretici örnek Kurul'un 08.08.2024 tarihli ve 2024/1361 sayılı karar özetidir. Kararda özel bir öğretim kurumunun sitesindeki bilgi talep formunda, form gönderilmeden önce işaretlenmesi gereken tek bir “yasal uyarı” kutusu vardı. Bu kutu hem iletişime geçilmesine hem de verilerin reklam, promosyon ve kampanyalar dahil her türlü bilgilendirme için kullanılmasına onayı kapsıyordu ve formda ayrıca aydınlatma metni bulunmuyordu.

Kurul'un tespitleri karar özetine göre şöyle:

• Birden fazla amacı tek onayda toplamak, açık rızanın “belirli bir konuya ilişkin olma” unsurunu karşılamaz.
• Reklam ve kampanya onayını bilgi talebinin ön şartı yapmak, rızanın “özgür iradeyle açıklanma” unsurunu zedeler ve md. 4'teki dürüstlük kuralıyla bağdaşmaz.
• Kurul, pazarlama amaçlı rızanın bilgi talebinden ayrılmasına ve hizmetin ön şartı olmaktan çıkarılmasına karar verdi. Aynı kararda çerez sorunlarıyla birlikte md. 18/1-b kapsamında idari para cezası, aydınlatma eksikliği için de md. 18/1-a kapsamında ayrı ceza uygulandı.

Kurul 2026'da bu çizgiyi genel bir kurala bağladı. Kurum'un 24 Mart 2026'da yayımladığı Kurul'un 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararına ilişkin duyuru kapsamında öne çıkan noktalar şunlardır:

• Aydınlatma, hukuki sebep ne olursa olsun veri işlenmeden önce yapılır.
• İşleme açık rızaya dayanıyorsa aydınlatma metni ile açık rıza metni farklı başlıklar altında ayrı metinler olarak düzenlenir; aynı sayfadaysalar alt alta, ayrı başlık ve ayrı beyanla sunulur.
• İşleme başka bir hukuki sebebe dayanıyorsa yalnızca aydınlatma yapılır, ayrıca açık rıza metni konmaz.
• Aydınlatma yapıldığına dair ilgili kişiden onay veya rıza istenmesi, Kurum'un ihlal örnekleri arasında sayılmıştır.
• Başka veri sorumlularının metinleri olduğu gibi kopyalanmamalı; metinler açık, sade ve kısa olmalıdır.

Form tasarımı: adım adım

1. Yalnızca gereken alanları sorun (md. 4)

Kanun md. 4/2-ç, verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Bir iletişim formu için çoğu zaman ad ve bir iletişim kanalı (e-posta veya telefon) ile mesaj yeterlidir. T.C. kimlik numarası, doğum tarihi, açık adres gibi alanları “ileride lazım olur” diye eklemeyin. Telefonu zorunlu tutmanız gerçekten gerekmiyorsa isteğe bağlı yapın.

Serbest metin kutusu ayrı bir risk taşır: ziyaretçi kendi sağlık durumunu veya başka özel nitelikli kişisel verisini yazabilir (md. 6). Bunu tamamen engelleyemezsiniz, ancak form açıklamasında gereksiz kişisel bilgi paylaşılmamasını rica edebilir ve böyle mesajlara erişimi sınırlı tutabilirsiniz. Sağlık gibi özel nitelikli veri toplamanın sitenizin amacı olduğu durumlar ayrı bir değerlendirme ve hukuki destek gerektirir.

2. Aydınlatma bağlantısını gönder düğmesinin yanına koyun

Md. 10 bilginin “elde edilmesi sırasında” verilmesini ister. Sayfanın en altındaki genel bir bağlantı bu şartı zayıflatır. Gönder düğmesinin hemen üstüne kısa bir cümle ve bu forma özgü aydınlatma metnine (veya genel metnin iletişim formu bölümüne) bağlantı koyun. Aydınlatma Tebliği md. 5/1-e'ye göre aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır; bu yüzden metnin hangi sürümünün ne zamandan beri yayında olduğunu kayıt altında tutun.

3. Kutuyu yalnızca açık rıza gereken ayrı amaç için kullanın

Bülten veya kampanya e-postası göndermek istiyorsanız ayrı, önceden işaretlenmemiş ve formun gönderilmesi için zorunlu olmayan bir kutu kullanın. Kutu işaretlenmeden de form gönderilebilmelidir. Ticari e-posta için 6563 sayılı Kanun ve İYS kuralları ayrıca uygulanır; ayrıntılar İYS ve ticari e-posta kuralları yazısında.

Aşağıdaki HTML yalnızca yapıyı göstermek için bir örnektir; metinleri kendi işleme faaliyetinize göre uyarlayın:

<form action="/iletisim" method="post">
  <label>Ad Soyad <input name="ad" required></label>
  <label>E-posta <input type="email" name="eposta" required></label>
  <label>Mesajınız <textarea name="mesaj" required></textarea></label>

  <!-- Aydınlatma: kutu yok, yalnızca bilgi ve bağlantı -->
  <p>Bu formla ilettiğiniz bilgiler talebinize cevap vermek amacıyla işlenir.
     Ayrıntılar: <a href="/aydinlatma#iletisim-formu">Aydınlatma metni</a></p>

  <!-- Ayrı amaç: isteğe bağlı, önceden işaretlenmemiş -->
  <label>
    <input type="checkbox" name="bulten_rizasi" value="1">
    Kampanya ve duyuru e-postaları almak istiyorum (isteğe bağlı).
    <a href="/acik-riza#bulten">Açık rıza metni</a>
  </label>

  <button type="submit">Gönder</button>
</form>

Sunucu tarafında kutu işaretlenmediyse bülten listesine hiçbir kayıt eklenmemeli; işaretlendiyse onayın tarihi, metnin sürümü ve gönderen bilgisi ayrı bir kayıt olarak saklanmalıdır. Kutunun işaretli olup olmamasına göre formun reddedilmesi, rızayı fiilen ön şarta dönüştürür.

4. Formu HTTPS üzerinden gönderin

Kanun md. 12/1, veri sorumlusunun kişisel verilere hukuka aykırı erişimi önlemek için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almasını ister. Form verisinin şifresiz HTTP ile gönderilmesi, bu düzeyle bağdaştırılması zor bir uygulamadır. Hem form sayfası hem de formun gönderildiği adres HTTPS olmalıdır. Sertifika kurulumu için SSL sertifikası rehberine, protokol ayarları için HTTPS ve TLS 1.3 yazısına bakabilirsiniz.

5. Spam koruması da veri işler

Spam'i engellemek için kullanılan harici doğrulama servisleri çoğunlukla ziyaretçinin IP adresi ve tarayıcı bilgisi gibi verileri servis sağlayıcısına gönderir. Bu servisi kullanıyorsanız aydınlatma metninizde amaç ve alıcı olarak belirtin; sağlayıcının sunucuları yurt dışındaysa bunun bir yurt dışı aktarım olup olmadığını değerlendirin. Daha az veri işleyen seçenekler de vardır: görünmez tuzak alanı (honeypot), gönderim hızı sınırı ve sunucu tarafı filtreler. Bot trafiğini tanıma yöntemleri için bot trafiği yazısına göz atabilirsiniz.

Form verisi nerede duruyor?

Aydınlatma metninde aktarılan alıcıları (md. 10/1-c) doğru yazabilmek için önce form verisinin izlediği yolu çıkarın. Tipik bir sitede veri birden fazla yerde iz bırakır:

Yedekleme düzeni kurarken veritabanı yedekleme stratejileri yazısındaki saklama döngüsü fikrini form verisine de uygulayabilirsiniz: yedekler sonsuza kadar tutulmamalıdır.

Ne kadar saklanır, nasıl silinir? (md. 4 ve md. 7)

Md. 4/2-d, verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklanmasını ister. Md. 7/1'e göre işlenmesini gerektiren sebepler ortadan kalktığında veriler resen veya ilgili kişinin talebiyle silinir, yok edilir veya anonim hâle getirilir. Usulü Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik düzenler:

• VERBİS kaydı yükümlülüğü olan veri sorumluları kişisel veri saklama ve imha politikası hazırlar (Yön. md. 5/1). Bu politikada belirlenen periyodik imha aralığı her hâlde altı ayı geçemez (md. 11/2).
• Politika hazırlama yükümlülüğü olmayanlar, silme yükümlülüğünün doğduğu tarihi takip eden üç ay içinde verileri siler, yok eder veya anonim hâle getirir (md. 11/3). Politika yükümlülüğünün olmaması, silme yükümlülüğünü kaldırmaz (md. 5/3).
• Silme, yok etme ve anonim hâle getirme işlemleri kayıt altına alınır ve bu kayıtlar en az üç yıl saklanır (md. 7/3).

Kanun veya Yönetmelik iletişim formu mesajları için gün cinsinden sabit bir süre vermez. Süreyi siz belirlersiniz: örneğin talebin sonuçlanmasından sonra olası bir itiraz veya uyuşmazlık için makul bir süre. Belirlediğiniz süreyi yazılı hâle getirin ve form eklentisinin, e-posta kutusunun ve yedeklerin bu süreye uyacak şekilde temizlenmesini sağlayın. VERBİS yükümlülüğünüz olup olmadığını VERBİS rehberinden kontrol edebilirsiniz.

Sık yapılan hatalar

• Formun gönderilmesini “KVKK metnini onaylıyorum” kutusunun işaretlenmesine bağlamak.
• Aydınlatma ile bülten veya pazarlama rızasını tek kutuda toplamak.
• Pazarlama kutusunu önceden işaretli getirmek.
• Aydınlatma metninde form servisini, e-posta sağlayıcısını ve spam doğrulama hizmetini alıcı olarak saymamak.
• İletişim için toplanan e-posta adresini sonradan kampanya listesine eklemek.
• Form gönderimlerini yıllarca veritabanında ve yedeklerde bırakmak.

Sık Sorulan Sorular

Basit bir iletişim formu için açık rıza kutusu şart mı?

Form yalnızca ziyaretçinin kendi talebine cevap vermek için kullanılıyorsa genellikle md. 5/2'deki şartlardan birine dayanılabilir ve açık rıza kutusu gerekmez. Aydınlatma ise her durumda gerekir. Kurul'un 2026/347 sayılı İlke Kararı'na ilişkin duyurusu, başka bir hukuki sebebe dayanılan işlemelerde yalnızca aydınlatma yapılacağını söyler.

“Aydınlatma metnini okudum” kutusu koymak yasak mı?

Kanunda böyle bir kutuyu doğrudan yasaklayan bir hüküm yok. Ancak Kurum, aydınlatma yapıldığına dair ilgili kişiden onay veya rıza istenmesini ihlal örnekleri arasında saymıştır. Formu böyle bir kutuya bağlamak yerine aydınlatma bağlantısını gönder düğmesinin yanında göstermek, Kurul'un yaklaşımıyla daha uyumludur.

Formdan gelen kişiye sonradan kampanya e-postası atabilir miyim?

Bu, formun amacından farklı yeni bir amaçtır. Aydınlatma Tebliği md. 5/1-b, amaç değiştiğinde yeni amaç için ayrıca aydınlatma yapılmasını ister; pazarlama e-postası için ayrıca 6563 sayılı Kanun kapsamında onay ve İYS kaydı gerekir. Kurul 2024/1361 sayılı kararında, bilgi talebinin ticari ileti için onay aranmayan hâllerden sayılmadığını da değerlendirmiştir.

Form servisim yurt dışında, ne yapmalıyım?

Önce verinin gerçekten nerede işlendiğini sağlayıcının belgelerinden öğrenin. Yurt dışı aktarım söz konusuysa md. 9'daki yollardan birinin sağlanması gerekir; ayrıntılar yurt dışı aktarım yazımızda. Somut durumunuz için bir avukata danışmanız iyi olur.

Adı geçen yazılım ve hizmet adları sahiplerine aittir. Bu yazı bağımsız bir rehberdir; Kişisel Verileri Koruma Kurumu veya adı geçen şirketlerle bir bağı bulunmaz.

İlgili içerikler: KVKK uyum kontrol listesi · Aydınlatma metni nasıl hazırlanır · Çerez politikası ve çerez bandı · Yurt dışı sunucu ve veri aktarımı · İlgili kişi başvurusu nasıl cevaplanır · İYS ve ticari e-posta kuralları · SSL sertifikası nasıl alınır