Web Sitesi KVKK Uyumu: Madde Madde Kontrol Listesi

Siteniz hangi kişisel verileri işliyor?

Uyum çalışmasının ilk adımı, sitenin veri haritasını çıkarmaktır. Aşağıdaki tablo tipik bir sitede karşılaşılan veri kaynaklarını gösterir. Kendi sitenizde olmayanları silin, eksik olanları ekleyin; aydınlatma metni, çerez politikası ve gerekiyorsa VERBİS bildirimi bu listeden beslenecek.

Temel ilkeler: md. 4

Kanun md. 4/2, kişisel veri işlenirken uyulması zorunlu beş ilke sayar. Bunlar soyut görünse de web sitesinde doğrudan karşılığı vardır:

• Hukuka ve dürüstlük kurallarına uygunluk: Ziyaretçiye söylemediğiniz bir amaçla veri toplamamak.
• Doğru ve gerektiğinde güncel olma: Üyelerin bilgilerini güncelleyebileceği bir yol sunmak.
• Belirli, açık ve meşru amaç: “Hizmetlerimizi geliştirmek” gibi muğlak amaçlar yerine somut amaç yazmak.
• Amaçla bağlantılı, sınırlı ve ölçülü olma: Bir iletişim formunda T.C. kimlik numarası veya doğum tarihi istememek.
• Gerekli süre kadar muhafaza: Log, form kaydı ve yedekler için bir saklama süresi belirlemek ve süre dolunca silmek.

İşleme şartları: md. 5 ve md. 6

Md. 5/1'e göre kişisel veriler kural olarak açık rıza olmadan işlenemez; ancak md. 5/2 açık rıza aranmayan şartları sayar: kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası için gereklilik, hukuki yükümlülük, ilgili kişinin alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati. Sipariş teslimatı için adres işlemek genellikle sözleşme şartına dayanır; bu durumda ayrıca açık rıza istemek gerekmez.

Sağlık, biyometrik veri, din, dernek üyeliği gibi özel nitelikli veriler ise md. 6'da ayrıca düzenlenir. 7499 sayılı Kanunla değişik md. 6/3, bu verilerin işlenmesini yasak sayar ve açık rıza dahil sınırlı istisnalar öngörür; md. 6/4 ayrıca Kurul'un belirlediği yeterli önlemlerin alınmasını şart koşar. Sıradan bir şirket sitesinin bu tür veri toplaması genellikle gerekmez; formunuzda böyle bir alan varsa önce kaldırmayı düşünün.

Kontrol listesi: yükümlülükler tek tabloda

Aşağıdaki tabloyu sitenizin denetim listesi olarak kullanabilirsiniz. Her satırdaki bağlantı, konuyu adım adım anlatan yazıya gider.

Teknik tedbirler: Kurum'un Veri Güvenliği Rehberi ne diyor?

Md. 12/1, veri sorumlusunun hukuka aykırı işlemeyi ve erişimi önlemek, verilerin muhafazasını sağlamak için “uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri” almasını ister. Md. 12/2'ye göre veriler başkası tarafından sizin adınıza işleniyorsa (örneğin barındırma firması) bu tedbirlerden onunla birlikte müştereken sorumlusunuz. Kurum'un Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) bu genel hükmü örneklendirir. Rehberde web siteleri açısından öne çıkan noktalar şunlardır:

• Güvenli bağlantı: Rehber, farklı internet siteleri veya mobil uygulamalardan kişisel veri temin edilecekse bağlantıların “SSL ya da daha güvenli bir yol ile” kurulmasını önemli sayar. Pratikte bu, sitenin tamamen HTTPS üzerinden çalışması demektir; bkz. SSL sertifikası nasıl alınır ve HTTPS ve TLS 1.3 rehberi.
• Erişim yetkisi: Çalışanlara yalnızca işleri için gerekli ölçüde yetki verilmesi, bir erişim yetki ve kontrol matrisi oluşturulması önerilir.
• Parolalar: Kolay tahmin edilebilir diziler yerine büyük-küçük harf, rakam ve sembol kombinasyonları; kaba kuvvet saldırılarına karşı deneme sayısının sınırlandırılması; yönetici yetkisinin sadece gerektiğinde kullanılması; ayrılan çalışanların hesaplarının vakit kaybetmeden kapatılması.
• Log kayıtları: Rehber, “tüm kullanıcıların işlem hareketleri kaydının düzenli olarak tutulması (log kayıtları gibi)” ve güvenlik sorunlarının hızla raporlanmasını sayar.
• Yedekleme: Fidye yazılımlarına karşı yedekleme stratejisi önerilir; yedeklere sadece sistem yöneticisi erişebilmeli ve veri seti yedekleri “mutlaka ağ dışında” tutulmalıdır. Bkz. veritabanı yedekleme stratejileri.
• Bulut: Bulutta tutulan veriler için yedekleme, gerekiyorsa uzaktan erişimde iki kademeli kimlik doğrulama ve şifreleme önerilir.
• Güncel yazılım ve tarama: Rehberin teknik tedbir tablosunda güvenlik duvarı, güncel anti-virüs, sızma testi ve saldırı tespit sistemleri yer alır.

Log kayıtları: KVKK ve 5651 birlikte nasıl okunur?

Sunucu logları hem güvenlik için gereklidir hem de kişisel veri içerir (IP adresi). Bu yüzden iki soruyu ayrı ayrı sorun: Log tutmak zorunda mıyım, ve ne kadar saklayabilirim?

5651 sayılı Kanun, internet aktörlerini rollerine göre ayırır. Md. 2'ye göre içerik sağlayıcı internette sunulan bilgiyi üreten veya sağlayan kişidir; kendi sitesini yayınlayan şirket genellikle bu roldedir. Yer sağlayıcı “hizmet ve içerikleri barındıran sistemleri sağlayan veya işleten” kişi, erişim sağlayıcı ise kullanıcılarına internete erişim olanağı sağlayan kişidir. Trafik bilgisi saklama yükümlülüğü bu rollere göre değişir:

Cloudflare gibi bir ters vekil sunucu kullanıyorsanız loglarda ziyaretçinin değil vekil sunucunun IP'si görünebilir; gerçek IP'nin nasıl alındığını Cloudflare arkasında gerçek ziyaretçi IP adresi yazısında anlattık. Bu hizmetlerin yurt dışı aktarım boyutunu da yurt dışı sunucu ve KVKK yazısında değerlendirin.

Sık yapılan hatalar

• Aydınlatma metnini sitenin altına koyup formların yanında hiç bağlantı vermemek.
• Analitik ve reklam etiketlerini çerez onayından önce yüklemek.
• Aydınlatma metni ile açık rıza metnini tek bir onay kutusunda birleştirmek (Aydınlatma Tebliği md. 5/1-f).
• Hukuki sebep yazmamak; Tebliğ md. 5/1-(h) hukuki sebebin açıkça belirtilmesini ister.
• Form kayıtlarını, eski yedekleri ve logları süresiz saklamak.
• Başvuru için yalnızca posta adresi vermek; Başvuru Tebliği md. 5 KEP, güvenli elektronik imza, mobil imza ve sistemde kayıtlı e-posta gibi yolları da sayar.
• WordPress yönetici paneline herkesin ortak bir hesapla girmesi.
• Hosting, e-posta ve analitik sağlayıcılarıyla veri işleme ilişkisini hiç yazılı hâle getirmemek.

İdari para cezaları

Md. 18, yükümlülüklere aykırılık için idari para cezası öngörür. Bu tutarlar Kabahatler Kanunu md. 17/7 uyarınca her yıl yeniden değerleme oranında artırılır. Kurum'un 31 Aralık 2025'te yayımladığı tabloya göre 2026 yılı tutarları şöyledir:

Md. 18/3'e göre Kurul'un verdiği idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Silmesi gereken verileri silmemek ise md. 17/2 uyarınca Türk Ceza Kanunu md. 138 kapsamında suç olarak düzenlenmiştir.

Sık Sorulan Sorular

Küçük bir şirket sitesi de KVKK'ya tabi mi?

Evet. Md. 2, Kanun'u kişisel verileri otomatik yollarla işleyen tüm gerçek ve tüzel kişilere uygular; ölçek sınırı yoktur. Ölçek yalnızca bazı yükümlülüklerde, örneğin VERBİS kaydında Kurul kararıyla belirlenen istisnalarda rol oynar. Ayrıntı için VERBİS kimler için zorunlu yazısına bakın.

Form kayıtlarını ne kadar saklamalıyım?

Kanun tek bir süre vermez; md. 4/2-(d) “ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre” kadar saklamayı ister. Md. 7 ve Silme Yönetmeliği uyarınca işleme şartları ortadan kalkınca veri silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Silme Yönetmeliği md. 11/3'e göre saklama ve imha politikası hazırlama yükümlülüğü olmayan veri sorumlusu, silme yükümlülüğünün doğduğu tarihi takip eden üç ay içinde silmelidir; md. 7/3'e göre silme işlemlerinin kayıtları en az üç yıl saklanır.

Barındırma firması verilerimden sorumlu mu?

Barındırma firması genellikle sizin adınıza veri işleyen konumundadır (md. 3/1-ğ). Md. 12/2'ye göre güvenlik tedbirlerinin alınmasında siz ve veri işleyen müştereken sorumlusunuz. Bu, sorumluluğun tamamen hosting firmasına geçtiği anlamına gelmez; site içindeki eklentiler, parolalar ve form ayarları sizin kontrolünüzdedir.

Google Analytics kullanmak için açık rıza gerekiyor mu?

Kurum'un Temmuz 2025 tarihli Çerez Uygulamaları Hakkında Rehberi, kitle ölçümüyle sınırlı, anonim istatistik üreten, siteler arası takip yapmayan ve verileri üçüncü taraflara iletmeyen birinci taraf analitik çerezlerin “kesinlikle gerekli” kategorisinde değerlendirilebileceğini söyler. Üçüncü taraf analitik ve reklam amaçlı çerezler bu kapsama girmez. Kullandığınız aracın bu koşulları karşılayıp karşılamadığını çerez politikası rehberinde ele aldık.

Adı geçen yazılım ve hizmet adları sahiplerine aittir. Bu yazı bağımsız bir rehberdir; Kişisel Verileri Koruma Kurumu veya adı geçen şirketlerle bir bağı bulunmaz.

İlgili içerikler: Çerez politikası ve çerez bandı · Web sitesi aydınlatma metni · İletişim formu ve açık rıza · Yurt dışı sunucu ve veri aktarımı · İlgili kişi başvurusuna cevap · VERBİS kaydı kimler için zorunlu · Kişisel veri ihlali bildirimi · İYS ve ticari e-posta kuralları