Web Sitesi Aydınlatma Metni Nasıl Hazırlanır? KVKK md. 10 ve Tebliğe Göre Rehber

Hangi kurallar geçerli?

Temel hüküm Kanun md. 10'dur. Uygulama kuralları, 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan (28.04.2019 tarihli değişiklikle birlikte) Aydınlatma Tebliği'ndedir. Kurum ayrıca KVKK: Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi (KVKK Yayınları No: 60, Mart 2025) ile örnekler ve kötü uygulama örnekleri yayımlamıştır. md. 10 ve Tebliğ md. 4'e göre bilgilendirme asgari olarak şu beş unsuru içermelidir:

Tebliğ md. 5: Web sitesi için en kritik kurallar

Tebliğ'in 5. maddesi, aydınlatmanın nasıl yapılacağına dair usul ve esasları sayar. Web sitesi sahibini doğrudan ilgilendirenler şunlardır:

• Her işleme şartında aydınlatma (5/1-a): Açık rızaya dayanın ya da dayanmayın, aydınlatma her durumda yapılır.
• Amaç değişirse yeniden aydınlatma (5/1-b): Forma yeni bir amaç eklediyseniz, o amaçla işlemeye başlamadan önce metni güncelleyin.
• VERBİS ile uyum (5/1-ç): Sicile kayıt yükümlülüğünüz varsa metindeki bilgiler Sicile bildirdiklerinizle uyumlu olmalı.
• Talebe bağlı değil (5/1-d): Kullanıcı sormasa da bilgilendirmeyi siz yaparsınız.
• İspat sizde (5/1-e): Aydınlatmayı yaptığınızı gösterebilmelisiniz; formun hangi metin sürümüyle gönderildiğini kayıt altına almak bu yüzden faydalıdır.
• Aydınlatma ve açık rıza ayrı (5/1-f): İşleme açık rızaya dayanıyorsa bu iki işlem ayrı ayrı yapılmalıdır.
• Genel ve muğlak ifade yasağı (5/1-g): Amaç belirli, açık ve meşru olmalı; genel nitelikte, muğlak ifadeler ve başka amaçlar için de işlenebileceği izlenimini veren cümleler kullanılmamalıdır.
• Sade dil (5/1-ğ): Bildirim anlaşılır, açık ve sade olmalıdır.
• Eksik, yanıltıcı, yanlış bilgi yok (5/1-j).

Kurumun rehberi, 5/1-g'deki yasağa somut örnek de veriyor: “Kişisel verilerinizi yeni hizmetler geliştirmek için kullanabiliriz” veya “araştırma amaçlı olarak kullanabiliriz” gibi ifadelerden kaçınılmalı. Bunun yerine verinin hangi süreçte, ne için kullanıldığını yazın.

Aydınlatma metnini açık rıza metninden ayırın

Sitelerde en sık görülen yapısal hata, tek bir metin ve tek bir onay kutusuyla hem bilgilendirme yapıp hem rıza almaya çalışmaktır. Tebliğ md. 5/1-f bunu açıkça yasaklar: açık rızaya dayalı işlemede aydınlatma ve açık rıza alma işlemleri ayrı ayrı yapılır. Kurumun aydınlatma rehberi de kötü örnekler arasında, tek bir imza ile birden çok amaca rıza alınan ve “aksini beyan etmediğiniz takdirde” iletişime geçileceğini varsayan bir formu gösterir ve “Açık rıza ile aydınlatma aynı metinde birleşmemelidir” notunu düşer.

Çerez rehberinde aktarılan Kurulun 27.02.2020 tarihli ve 2020/173 sayılı kararı iki noktayı daha netleştirir: “siteyi ziyaret ederek bu bildirimi kabul etmiş olursunuz” gibi bir ifade rıza yerine geçmez; açık rıza dışında bir hukuki sebep varken ayrıca açık rıza istemek ise dürüstlük kuralına aykırı yorumlanabilir. Pratikte bu, formlarınızda şu düzen demektir:

• Aydınlatma: gönder düğmesinin yakınında kısa bir bilgi cümlesi ve metne bağlantı. Kanun ve Tebliğ aydınlatma için bir onay kutusu öngörmez.
• Açık rıza yalnızca gerçekten gerekiyorsa (örneğin pazarlama amaçlı iletişim gibi başka bir hukuki sebebe dayanmayan bir işleme için): ayrı, işaretsiz gelen, amaç bazında bir kutu ve kutunun yanında neye rıza verildiğini anlatan kısa bir metin.
• Rıza verilmeden de formun gönderilebilmesi, rızanın hizmetin ön koşulu yapılmaması.

Form tasarımının ayrıntılarını iletişim formu, aydınlatma ve açık rıza yazısında, ticari ileti onayının ayrıca 6563 sayılı Kanun kapsamında ele alınması gerektiğini İYS ve ticari e-posta kuralları yazısında anlattık.

Katmanlı aydınlatma: kısa bilgi + tam metin

Kurumun rehberi “katmanlı aydınlatma”yı şöyle tanımlar: kişisel verilerin elde edilmesi sırasında ilgili kişiye verilerinin elde edildiği konusunda ön bilgilendirme yapılarak, md. 10'a uygun ayrıntılı aydınlatmaya yönlendirilmesi. Rehber web sayfasındaki bir belgede katmanlı aydınlatmayı ve açılan pencereyi (pop-up) elektronik ortamdaki yöntemler arasında sayar. Web sitesinde bu genellikle şöyle uygulanır:

• Birinci katman (formun yanında): Veri sorumlusunun adı, bu formdaki verilerin ne için kullanılacağı tek cümleyle ve “Ayrıntılı bilgi için aydınlatma metni” bağlantısı.
• İkinci katman (tam metin): md. 10'daki beş unsurun tamamı; doğrudan o formun bölümüne açılan bir bağlantıyla (örneğin sayfa içi #iletisim-formu bağlantısı).
• Çerezlerde aynı mantık: bant birinci katman, tercih paneli ve çerez metni ikinci katman. Ayrıntılar çerez politikası ve çerez bandı rehberinde.

Aydınlatma metni sitede nereye konmalı?

md. 10 bilgilendirmenin verinin elde edilmesi sırasında yapılmasını ister. Çerez rehberi de aydınlatmanın kolayca erişilebilir ve fark edilebilir olmasını, erişimi zorlaştıran yöntemlerden kaçınılmasını vurgular. Bu yüzden metni yalnızca alt bilgiye (footer) koymak çoğu zaman yetmez; veri toplanan her noktada ilgili bölüme ulaşılabilmelidir.

Tek bir uzun metin mi, süreç başına ayrı metinler mi? Mevzuat biçim dayatmaz; ancak Kurul 2020/173 sayılı kararda pek çok konuyu bir arada içeren karmaşık bir gizlilik bildiriminin aydınlatma yerine geçmediğini belirtmiştir. Pratik çözüm, süreçlere ayrılmış başlıklar (iletişim, üyelik, sipariş, bülten, çerez) ve her formdan doğrudan ilgili başlığa bağlantıdır.

Örnek başlık yapısı

Aşağıdaki iskelet, md. 10, Tebliğ md. 4 ve 5 ile Kurumun rehberindeki örnekler esas alınarak hazırlanmış bir örnektir. Doğrudan kopyalanacak bir metin değildir ve tek başına uyum garantisi vermez; her bölümü kendi veri işleme envanterinize göre doldurun.

ÖRNEK: [Site adı] Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni

1. Veri sorumlusu
   Unvan, adres, e-posta, telefon; varsa veri sorumlusu temsilcisi

2. İletişim formu
   2.1 İşlenen veriler (ad, e-posta, mesaj içeriği ...)
   2.2 Amaç (ör. talebinizi yanıtlamak)
   2.3 Hukuki sebep (6698 md. 5/2'nin ilgili bendi veya md. 5/1 açık rıza)
   2.4 Toplama yöntemi (web formu, otomatik yolla)
   2.5 Aktarım: alıcı grubu + aktarım amacı (ör. e-posta hizmeti sağlayıcısı)

3. Üyelik            (aynı alt başlıklarla)
4. Sipariş ve ödeme  (aynı alt başlıklarla)
5. Bülten            (aynı alt başlıklarla)
6. Çerezler          (ayrı çerez metnine bağlantı)

7. Yurt dışına aktarım (varsa: hangi veri, hangi alıcı grubu, hangi amaç)

8. Haklarınız (6698 md. 11) ve başvuru yolu
   Başvuru adresi, e-posta / KEP adresi

9. Son güncelleme tarihi (zorunlu unsur değil, önerilir)

Sık yapılan hatalar

• Aydınlatma ve açık rızayı tek metin ve tek kutuda birleştirmek (Tebliğ 5/1-f).
• Muğlak amaçlar: “hizmetlerimizi geliştirmek”, “yasal düzenlemeler çerçevesinde”, “iş ortaklarımızla paylaşabiliriz” gibi ifadeler (Tebliğ 5/1-g).
• Hukuki sebebi yazmamak ya da yalnızca “KVKK md. 5 kapsamında” demek. Tebliğ 5/1-h, md. 5 ve 6'daki şartlardan hangisine dayandığınızın açıkça belirtilmesini ister.
• Alıcıyı yazıp amacı yazmamak: Kurumun rehberindeki kötü örnekte “hissedarlarla paylaşılmaktadır” denip amacın yazılmaması eksiklik olarak gösteriliyor (Tebliğ 5/1-ı).
• “Siteyi kullanarak kabul etmiş sayılırsınız” ifadesi (Kurul 2020/173).
• Okunmayacak biçim: rehberdeki kötü örnekte çok küçük punto, açık gri ve italik yazılmış, hukuki terimlerle dolu bir metin eleştiriliyor (Tebliğ 5/1-ğ). Rehber görme engellilerin erişebilirliğine de dikkat çekiyor.
• Metni güncellememek: yeni bir form, yeni bir sağlayıcı ya da yeni bir amaç eklendiğinde metin de güncellenmeli (Tebliğ 5/1-b).
• Metni yalnızca alt bilgiye koymak: veri, formda elde ediliyorsa bilgilendirmeye de orada ulaşılabilmeli (md. 10).

Sık Sorulan Sorular

Gizlilik politikası ile aydınlatma metni aynı şey mi?

Hayır. Aydınlatma metni md. 10 ve Tebliğ'deki unsurları karşılamak zorunda olan bir belgedir. Kurul, karmaşık ve pek çok başka konuyu içeren bir gizlilik bildiriminin aydınlatma yükümlülüğünün yerine getirildiği şeklinde yorumlanamayacağını belirtmiştir (2020/173). Gizlilik politikanız varsa, aydınlatmayı ayrı ve kolay bulunur bir metin olarak sunmak daha güvenlidir.

md. 11'deki hakları tek tek yazmak zorunda mıyım?

Kurumun rehberine göre bu bilgi, hakların sayılması suretiyle verilebileceği gibi ilgili Kanun maddesine atıf yapılarak da verilebilir. Kullanıcı açısından hakları kısaca saymak ve başvuru yolunu yazmak genellikle daha anlaşılırdır. Başvuruları nasıl karşılayacağınızı KVKK ilgili kişi başvurusu yazısında anlattık.

VERBİS kaydım yoksa aydınlatma metni yine gerekir mi?

Evet. Aydınlatma yükümlülüğü Sicile kayıt yükümlülüğünden bağımsızdır. Kayıt yükümlülüğünüz varsa Tebliğ 5/1-ç gereği metindeki bilgiler Sicile bildirdiklerinizle uyumlu olmalıdır. Kimlerin muaf olduğu için VERBİS kayıt zorunluluğu yazısına ve Kurulun güncel kararlarına bakın.

Verileri kullanıcıdan değil, başka bir kaynaktan alıyorsam ne olur?

Tebliğ md. 6'ya göre bu durumda aydınlatma; verinin elde edilmesinden itibaren makul bir süre içinde, veri iletişim için kullanılacaksa ilk iletişim sırasında, aktarılacaksa en geç ilk aktarım sırasında yapılır.

Aydınlatma yapmamanın yaptırımı nedir?

Kanun md. 18/1-a, md. 10'daki aydınlatma yükümlülüğünü yerine getirmeyen veri sorumlusu hakkında idari para cezası öngörür; Kurulca verilen idari para cezalarına karşı idare mahkemesinde dava açılabilir (md. 18/3). Kanundaki tutarlar her yıl yeniden değerleme oranıyla güncellendiği için uygulanacak güncel tutarı kvkk.gov.tr üzerinden kontrol edin.

Adı geçen yazılım ve hizmet adları sahiplerine aittir. Bu yazı bağımsız bir rehberdir; Kişisel Verileri Koruma Kurumu veya adı geçen şirketlerle bir bağı bulunmaz.

İlgili içerikler: Okur verisi aydınlatma metni · Aydınlatma yükümlülüğü haberde uygulanır mı? · İletişim formu: aydınlatma ve açık rıza · Çerez politikası ve çerez bandı nasıl hazırlanır · Web sitesi KVKK uyumu kontrol listesi · Sitede iletişim bilgisi bulundurma zorunluluğu